Legge 132/2025 sull’IA e segreto professionale: cosa devono fare avvocati e commercialisti
Con la Legge n. 132/2025 l’Italia si è dotata della sua prima legge nazionale organica sull’intelligenza artificiale. Per chi è tenuto al segreto professionale — avvocati e commercialisti in primo luogo — la legge fissa regole d’uso dell’IA che si sommano agli obblighi di riservatezza già esistenti. Vediamo cosa cambia davvero, perché incollare i dati di un cliente in ChatGPT è un’esposizione concreta, e come anonimizzare i dati sul proprio computer prima di usare l’IA. Il presente articolo è divulgativo e non costituisce consulenza legale.
Che cos’è la Legge n. 132/2025 (e cosa non è)
Si tratta della Legge 23 settembre 2025, n. 132 («Disposizioni e deleghe al Governo in materia di intelligenza artificiale»), pubblicata nella Gazzetta Ufficiale Serie Generale n. 223 del 25 settembre 2025 ed entrata in vigore il 10 ottobre 2025. (Fonte: Gazzetta Ufficiale, testo ufficiale.) È la prima legge nazionale organica sull’IA — non la prima legge sull’IA in assoluto: l’AI Act europeo (Reg. UE 2024/1689) la precede ed è direttamente applicabile. L’art. 1, comma 2 stabilisce infatti che le disposizioni della legge «si interpretano e si applicano conformemente» al Regolamento europeo: una legge-quadro che affianca e adatta l’AI Act, senza sostituirlo; l’art. 3, comma 5 precisa inoltre che non produce nuovi obblighi per i sistemi di IA per finalità generali oltre a quelli già previsti dal Regolamento.
Le regole della L. 132/2025 che toccano avvocati e commercialisti
Il cuore per i professionisti è l’art. 13. Il comma 1 dispone che, nelle professioni intellettuali, l’uso dell’IA è finalizzato al solo esercizio delle attività strumentali e di supporto, «con prevalenza del lavoro intellettuale» del professionista: l’IA, in sintesi, deve supportare, non sostituire il lavoro intellettuale (formula che parafrasa la norma, non ne cita il testo). Il comma 2 aggiunge un obbligo operativo: per assicurare il rapporto fiduciario col cliente, le informazioni sui sistemi di IA utilizzati sono comunicate al cliente «con linguaggio chiaro, semplice ed esaustivo». (Fonte: L. 132/2025, art. 13.)
Sul fronte dei dati, l’art. 4, comma 2 richiama un principio (non un nuovo obbligo autonomo): che l’utilizzo di sistemi di IA garantisca «il trattamento lecito, corretto e trasparente dei dati personali e la compatibilità con le finalità per le quali sono stati raccolti, in conformità al diritto dell’Unione europea». Vale la pena ricordarlo: sono princìpi, che rinviano al GDPR e all’AI Act, non doveri creati ex novo dalla legge italiana.
Il segreto professionale non nasce con l’IA
Le regole sull’IA si innestano su un quadro di riservatezza già solido. Per gli avvocati, l’art. 13 del Codice deontologico forense impone la rigorosa osservanza del segreto professionale e il massimo riserbo su fatti e circostanze appresi per ragioni professionali, nell’interesse del cliente e della parte assistita. (Fonte: CNF, Codice deontologico forense, art. 13.) Per i commercialisti, la base è l’art. 5 del D.Lgs. 28 giugno 2005, n. 139, che sancisce l’obbligo del segreto professionale per gli iscritti — con un’eccezione da non dimenticare: la facoltà di astensione non vale per le attività di revisione e certificazione obbligatorie e per le funzioni di sindaco o revisore. (Fonte: D.Lgs. 139/2005, art. 5.) Il segreto, per inciso, non è assoluto: cede di fronte a interessi prevalenti come l’antiriciclaggio e le verifiche fiscali. A fare da presidio penale trasversale c’è l’art. 622 c.p., che punisce la rivelazione senza giusta causa di un segreto professionale, da cui possa derivare nocumento, con la reclusione fino a un anno o con la multa da 30 a 516 euro. (Fonte: Codice penale, art. 622.)
Perché incollare dati del cliente in ChatGPT è un’esposizione reale
Il Consiglio nazionale dei commercialisti (CNDCEC) lo mette nero su bianco. Nella sua «Guida operativa di intelligenza artificiale #3 — L’aiuto intelligente al Commercialista» (24 ottobre 2025), avverte che i servizi di IA «consumer» che utilizzano i contenuti forniti dagli utenti — prompt, documenti, conversazioni — per l’addestramento dei modelli sono incompatibili con gli obblighi di segretezza: fornire a tali servizi un documento con informazioni sensibili di un cliente equivarrebbe a una violazione del segreto professionale e del GDPR. (Fonte: CNDCEC, Guida operativa IA #3.) L’avvertenza vale specificamente per i servizi che usano davvero gli input per l’addestramento; alcune versioni offrono oggi un’opzione di esclusione, ma l’onere di verificarlo — e di documentarlo — resta sul professionista.
La stessa Legge 132/2025 introduce peraltro un rischio nuovo di segno opposto: l’art. 26 inserisce nel codice penale l’art. 612-quater («Illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale»), che punisce con la reclusione da uno a cinque anni chi, senza consenso, diffonde immagini, video o voci falsificati con l’IA e idonei a indurre in inganno sulla loro genuinità, causando un danno ingiusto. È un reato di danno — non basta la mera diffusione, serve un nocumento effettivo — di regola procedibile a querela.
La strategia indicata: anonimizzare in locale prima di usare l’IA
Il capitolo 3 della Guida CNDCEC dedica ampio spazio all’anonimizzazione come punto di equilibrio tra IA e tutela della privacy, in linea con la Legge 132/2025, e indica l’anonimizzazione come strategia da privilegiare per condividere dati con sistemi esterni, inclusi i servizi di IA. La ragione è netta: a differenza della pseudonimizzazione — che resta un dato personale, perché conserva una chiave di re-identificazione — l’anonimizzazione riduce l’esposizione al rischio e il carico di conformità. Con un’avvertenza che la Guida stessa non nasconde: l’anonimizzazione non è a rischio zero, perché un rischio residuo di re-identificazione va comunque gestito, e sfugge davvero al GDPR solo quando è irreversibile.
In pratica, però, i modi più ovvi per farlo falliscono proprio qui. Tre scorciatoie apparenti non reggono:
- Cancellare nomi e indirizzi a mano — spesso non basta: un dato solo pseudonimizzato resta personale e il contesto (importi, nomi di progetti, stile di redazione) può re-identificare.
- Usare uno strumento di anonimizzazione online — è escluso: già il solo caricamento del file esporrebbe al servizio i dati che si vogliono proteggere.
- Mettere un rettangolo nero su un PDF — lascia il testo intatto sotto; non è un vero oscuramento.
Serve quindi esattamente questo: una rimozione accurata e verificabile dei dati identificativi, in locale, su documenti, fogli di calcolo, e-mail, audio e foto.
Come Occlira aiuta
Occlira colma esattamente queste tre lacune, in un unico passaggio sul suo computer. Invece di cercare i nomi a mano, individua i dati personali e glieli presenta per la revisione. Invece di caricare qualcosa, tutto avviene in locale — nessun cloud, nessun account, nessun caricamento. E invece di un inefficace rettangolo nero, applica un vero oscuramento del PDF. Il tutto su documenti, fogli di calcolo, e-mail, audio e foto: così il file può essere condiviso o incollato in ChatGPT, Claude o Gemini senza esporre il segreto, e i valori reali si ripristinano in locale quando servono.
Due funzioni, da tenere distinte con onestà. Il vero oscuramento del PDF fissa i riquadri e cancella il testo e i metadati sottostanti — utile per gli atti destinati comunque a uscire dallo studio, perché il contenuto è rimosso, non solo coperto. La modalità reversibile, invece, è in termini di GDPR una pseudonimizzazione: sostituisce gli identificativi con segnaposto e conserva la mappatura sul suo dispositivo, ma il risultato resta un dato personale. Va presentata come misura di sicurezza interna, non come anonimizzazione irreversibile ai sensi del Considerando 26 del GDPR.
Il perimetro resta chiaro: Occlira aiuta a rispettare gli obblighi di segretezza e riservatezza (art. 13 CDF, art. 5 D.Lgs. 139/2005, art. 622 c.p., GDPR), ma non garantisce la conformità e non è consulenza legale. Il professionista rivede ogni elemento e conserva la propria responsabilità. Come Occlira tratti i suoi dati è spiegato nella pagina Dati e privacy.
Domande frequenti
Non con dati identificabili su servizi che utilizzano i contenuti immessi per addestrare i modelli: la Guida operativa del CNDCEC avverte che ciò è incompatibile con gli obblighi di segretezza ed equivarrebbe a una violazione del segreto professionale e del GDPR. La strada indicata è anonimizzare i dati in locale prima dell’uso, oppure ricorrere a soluzioni che escludano contrattualmente l’addestramento sui suoi input.
No. L’art. 13 non vieta l’IA: prevede che, nelle professioni intellettuali, il suo uso sia finalizzato alle sole attività strumentali e di supporto, con prevalenza del lavoro intellettuale del professionista, e impone di informare il cliente sui sistemi di IA utilizzati con linguaggio chiaro, semplice ed esaustivo.
La Guida CNDCEC indica l’anonimizzazione come strategia da privilegiare, perché — a differenza della pseudonimizzazione, che resta un dato personale con una chiave di re-identificazione — riduce l’esposizione al rischio e il carico di conformità. Attenzione però: l’anonimizzazione sfugge al GDPR solo se è davvero irreversibile e conserva comunque un rischio residuo di re-identificazione da gestire.
L’art. 622 del codice penale punisce la rivelazione senza giusta causa di un segreto professionale, da cui possa derivare nocumento, con la reclusione fino a un anno o con la multa da 30 a 516 euro; si aggiungono le sanzioni deontologiche e le conseguenze in materia di protezione dei dati. La Legge 132/2025 ha inoltre introdotto il nuovo art. 612-quater c.p. sui contenuti falsificati con l’IA.
No. È la prima legge nazionale organica italiana sull’IA, non la prima legge sull’IA in assoluto: l’AI Act (Reg. UE 2024/1689) la precede ed è direttamente applicabile. L’art. 1, comma 2 stabilisce che le disposizioni italiane si interpretano e si applicano in conformità al Regolamento europeo: la legge lo affianca e lo adatta, non lo sostituisce.
No. Occlira aiuta a rimuovere i dati identificativi prima dell’uso dell’IA; non rende di per sé “conforme” l’operazione e non è consulenza legale né una garanzia di conformità. Il professionista rivede ogni elemento prima di condividere o incollare un file e mantiene la piena responsabilità.
Lo provi su un caso reale
Gratis per 14 giorni su Windows e macOS. Licenza una tantum, nessun abbonamento.
Per approfondire: la guida CNDCEC sull’IA · per gli studi legali · per i commercialisti · anonimizzare prima di ChatGPT · oscurare Word, PDF ed Excel · locale vs cloud · che cosa sono i dati personali?