IA e segreto professionale: come evitare i rischi nascosti della Shadow AI negli studi legali

Gli studi legali affrontano quotidianamente la sfida di bilanciare la velocità operativa richiesta dall’analisi di grandi volumi documentali con la necessità imprescindibile di proteggere riservatezza e segreto professionale. In questo scenario, l’adozione incontrollata di chatbot pubblici rischia di esporre dati sensibili, trasformando uno strumento di efficienza in un potenziale punto di vulnerabilità.

In questo articolo analizziamo il fenomeno della Shadow AI, il rapporto tra strumenti consumer e segreto professionale e gli insegnamenti dei casi statunitensi Heppner e Warner. Vedremo inoltre quali verifiche svolgere prima di adottare una piattaforma LegalTech AI e come Lanpartners può supportare lo studio nella valutazione dell’infrastruttura, dei fornitori e delle policy interne.

Perché l’IA sta entrando negli studi legali

Il settore legale sta attraversando una trasformazione tecnologica che riguarda ormai l’efficienza operativa quotidiana degli studi, non solo le prospettive future. I professionisti gestiscono oggi volumi di dati crescenti: dall’e-discovery nei grandi contenziosi commerciali alla due diligence nelle operazioni di M&A. In questo contesto, l’IA riduce in modo significativo i tempi necessari per estrarre clausole specifiche, riassumere documenti tecnici o predisporre bozze iniziali di accordi.

Questa urgenza di adottare nuovi strumenti ha però anticipato, in molti studi, lo sviluppo di una governance IT adeguata. Mentre i comitati direttivi discutono strategie a lungo termine, i collaboratori iniziano spesso a usare autonomamente strumenti online per ottimizzare il proprio lavoro quotidiano.

Che cos’è la Shadow AI

Si definisce “Shadow IT” l’utilizzo di dispositivi, software e servizi tecnologici da parte dei dipendenti senza l’approvazione o il controllo del dipartimento IT. Con la diffusione dei Large Language Models (LLM), questo fenomeno ha assunto una forma più insidiosa, nota come “Shadow AI”. Nel settore legale, un ambiente per definizione sensibile, la Shadow AI si manifesta ad esempio quando un associato o un praticante copia parti di un testo riservato e le incolla nel prompt di un chatbot pubblico per ottenerne un riassunto o una traduzione, aggirando di fatto le policy dello studio.

Quali dati non dovrebbero essere inseriti in un chatbot pubblico

Il rischio nasce dal modello di business e dall’architettura tecnica dei chatbot generalisti destinati al pubblico. Le condizioni di utilizzo di questi strumenti spesso prevedono la possibilità di impiegare i dati immessi per addestrare i modelli o di condividerli in determinati contesti.

Inserire dati personali, giudiziari o informazioni coperte da segreto professionale in un chatbot pubblico può violare gli obblighi di riservatezza e la normativa sulla protezione dei dati, quando il trattamento non è stato preventivamente valutato, autorizzato e protetto. Una volta che un documento riservato viene elaborato da questi strumenti, lo studio legale rischia di perdere il controllo sulla sua localizzazione, sulla conservazione e sulla reale riservatezza.

Il caso Heppner e il caso Warner: cosa insegna la giurisprudenza USA

La questione della riservatezza nel rapporto uomo-macchina è approdata di recente nelle aule di tribunale statunitensi, con due decisioni che mostrano quanto il quadro giurisprudenziale sia ancora in fase di consolidamento.

Il 4 novembre 2025, durante l’arresto di Bradley Heppner (accusato di frode), l’FBI ha sequestrato documenti che riportano i resoconti delle comunicazioni intrattenute dall’imputato con l’IA generativa Claude, utilizzata per elaborare argomenti difensivi e valutare linee strategiche. La difesa ha chiesto l’esclusione di questi documenti dal processo, ma il 10 febbraio 2026 il giudice federale Jed Rakoff ha respinto la richiesta, ritenendo che le conversazioni e i materiali prodotti tramite una piattaforma pubblica di IA non fossero protetti né dall’attorney-client privilege né dalla work-product doctrine.

Questa decisione appartiene all’ordinamento statunitense e non costituisce un precedente vincolante per i tribunali italiani, ma resta rilevante perché evidenzia i rischi processuali legati a un uso non governato di strumenti consumer basati sull’IA. Il caso Heppner non stabilisce che ogni utilizzo dell’intelligenza artificiale faccia venir meno il segreto professionale: mostra piuttosto come una piattaforma consumer, priva di qualsiasi incarico difensivo e di un rapporto professionale con l’utente, possa indebolire o escludere le pretese di riservatezza nel caso concreto.

Un orientamento diverso emerge da Warner v. Gilbarco, Inc., deciso nello stesso periodo: il giudice federale del Michigan Anthony Patti ha riconosciuto la protezione della work-product doctrine per alcuni documenti che una parte, difendendosi da sola, aveva elaborato con l’ausilio di ChatGPT. Il confronto tra i due casi conferma che non esiste una regola automatica legata al semplice utilizzo di un chatbot: a fare la differenza sono il contesto, la finalità, la riservatezza delle informazioni immesse, la piattaforma scelta e le modalità con cui il fornitore tratta i dati.

GDPR, segreto professionale e responsabilità dello studio

Il dovere di riservatezza si intreccia con la disciplina professionale forense, in particolare con quanto previsto dagli articoli 13 e 28 del Codice Deontologico Forense, oltre che con le disposizioni applicabili in materia di protezione dei dati personali. Su questi aspetti, la valutazione più opportuna resta quella condotta insieme al proprio DPO e al legale di riferimento: l’obiettivo di questo articolo non è entrare nel merito interpretativo delle norme deontologiche, ma fornire allo studio gli elementi pratici utili a porsi le domande giuste quando adotta strumenti di IA.

Il Regolamento (UE) 2016/679 (GDPR) non vieta l’uso dell’IA, ma impone di valutare con attenzione finalità del trattamento, base giuridica, ruoli privacy, misure di sicurezza e minimizzazione dei dati. I fascicoli gestiti da uno studio legale possono contenere categorie particolari di dati personali ai sensi dell’articolo 9 del GDPR, oppure dati relativi a condanne penali e reati disciplinati dall’articolo 10. Non tutti i fascicoli contengono necessariamente entrambe le categorie, ma la loro eventuale presenza richiede una valutazione preventiva di finalità, base giuridica e misure di sicurezza. Trasmettere queste informazioni a una piattaforma di IA significa quindi definire con chiarezza chi assume il ruolo di Titolare e chi quello di Responsabile del trattamento, verificando allo stesso tempo le garanzie offerte dal fornitore.

Come valutare una piattaforma LegalTech AI

Nella nostra esperienza, l‘IA può offrire un contributo prezioso allo studio legale, a condizione che venga adottata attraverso una governance solida e una valutazione accurata dei fornitori. Consigliamo di privilegiare piattaforme LegalTech specializzate, progettate nativamente per il settore giuridico, perché tendono a favorire la conformità normativa e a limitare i rischi tipici delle soluzioni consumer. Le piattaforme professionali si distinguono tra loro per architettura e obiettivi:

• Harvey: strumento di punta per l’IA generativa legale. Il fornitore dichiara contrattualmente il divieto di utilizzare i dati dei clienti per addestrare i propri modelli, secondo le condizioni contrattuali e le configurazioni applicabili al servizio, e prevede controlli enterprise come Single Sign-On (SSO), audit log e gestione del ciclo di vita dei dati.
• Lexroom, Legòra e Lybra: queste soluzioni offrono funzionalità orientate alla ricerca, all’analisi documentale e al drafting, con controlli e configurazioni da verificare di volta in volta in relazione al contratto, all’area geografica di trattamento e al modello di implementazione scelto.

I requisiti tecnici: DPA, accessi, retention, log e formazione

Prima di implementare una soluzione IA, lo studio dovrebbe verificare alcuni requisiti tecnici e contrattuali fondamentali:

• Data Retention e Addestramento: il contratto e, quando applicabile, il Data Processing Agreement (DPA) devono chiarire se prompt, output e documenti vengono utilizzati per addestrare i modelli, per quanto tempo vengono conservati, quali log tecnici e backup vengono mantenuti, le modalità di cancellazione e quali subfornitori possono accedervi.
• Localizzazione dei dati: quando possibile, è preferibile scegliere fornitori e aree di trattamento all’interno del SEE. Quando i server delle piattaforme si trovano al di fuori dello Spazio Economico Europeo, è essenziale verificare che il trasferimento sia coperto da Clausole Contrattuali Standard (SCC) o da una decisione di adeguatezza, evitando flussi incontrollati verso giurisdizioni prive di garanzie equivalenti al GDPR.
• Valutazione d’Impatto (DPIA): occorre valutare se il trattamento presenti un rischio elevato per i diritti delle persone e, quando ricorrono i presupposti dell’articolo 35 del GDPR, svolgere una DPIA prima dell’avvio del progetto.
• Gestione accessi: conviene adottare, ove disponibili e proporzionati al rischio, autenticazione a più fattori (MFA), Single Sign-On e sistemi di logging e monitoraggio delle attività, a supporto dell’accountability.
• Formazione del personale: le migliori policy e infrastrutture tecniche perdono efficacia se manca consapevolezza da parte di chi le utilizza. Programmare sessioni di formazione periodiche sui rischi della Shadow AI è essenziale per prevenire data leak accidentali e tutelare il segreto professionale dello studio.

Il ruolo di Lanpartners e IT CONCIERGE®

Dalla nostra esperienza quotidiana sul campo con il servizio IT CONCIERGE®, abbiamo compreso che l’adozione dell’IA in uno studio legale non è una mera questione di software, ma un delicato equilibrio tra innovazione e protezione del segreto professionale. 

Lanpartners, forte della certificazione ISO/IEC 27001 per la sicurezza delle informazioni e di oltre 25 anni di affiancamento ai professionisti del diritto, opera non come un semplice fornitore IT, ma come un partner strategico che guida lo studio in un percorso di governance strutturato. Il nostro intervento si focalizza sulla comprensione profonda delle esigenze specifiche della practice, partendo da un audit infrastrutturale rigoroso e una valutazione accurata dei fornitori. 

Attraverso l’IT CONCIERGE®, implementiamo policy interne e misure tecniche (quali il controllo degli accessi e la segmentazione dei dati) necessarie per isolare le attività di IA dal rischio di fughe informative. In questo contesto, la nostra collaborazione con piattaforme come Lexroom nasce dalla ricerca di soluzioni che combinino eccellenza tecnologica e attenzione alla conformità, adottando politiche di retention dei dati più controllate, certificazioni ISO pertinenti e architetture progettate tenendo conto del GDPR e del nuovo quadro normativo europeo sull’IA.

Checklist finale per lo studio legale

Prima di adottare uno strumento di IA, verifica questi punti chiave:

☐ Esiste una policy interna sull’uso dell’IA?

☐ Sono stati censiti gli strumenti già utilizzati dal personale?

☐ Il fornitore dichiara formalmente se usa o non usa i dati per l’addestramento?

☐ Sono disponibili il DPA e la lista aggiornata dei subfornitori?

☐ Gli accessi sono gestiti con SSO e MFA?

☐ È stato definito chi può caricare documenti e utilizzare specifiche funzionalità di IA?

☐ È possibile applicare ruoli e permessi differenti agli utenti?

☐ Vengono conservati e monitorati i log delle attività?

☐ È stato valutato se il trattamento richieda una DPIA ai sensi dell’articolo 35 GDPR?

☐ È prevista una procedura per segnalare incidenti, errori o utilizzi non autorizzati?

☐ Il personale ha ricevuto istruzioni pratiche e formazione sull’uso degli strumenti?

☐ È previsto un controllo umano (human-in-the-loop) sugli output generati dall’IA?

FAQ sull’IA negli studi legali

È possibile utilizzare ChatGPT o altri chatbot pubblici nello studio legale?

Sì, ma solo nel rispetto delle policy interne e senza inserire informazioni riservate, dati personali non necessari o contenuti coperti dal segreto professionale. Prima di autorizzarne l’uso, lo studio dovrebbe verificare le condizioni del servizio, le impostazioni relative alla conservazione dei dati, l’eventuale utilizzo per l’addestramento dei modelli e le garanzie offerte dal fornitore. La guida del CCBE raccomanda particolare cautela nell’inserimento di dati relativi ai clienti nei sistemi di IA generativa.

La semplice pubblicazione online di un dato consente di inserirlo in un chatbot?

No. Il fatto che un’informazione sia reperibile online non significa che possa essere utilizzata senza ulteriori valutazioni. Occorre considerare la finalità del trattamento, la base giuridica, la natura del dato, le aspettative dell’interessato e le condizioni della piattaforma utilizzata. La pubblicità del dato non elimina automaticamente gli obblighi previsti dal GDPR o dal segreto professionale.

Una piattaforma LegalTech è automaticamente conforme al GDPR?

No. Una piattaforma progettata per il settore legale può offrire strumenti e garanzie più adatti rispetto a un chatbot consumer, ma la conformità dipende anche dal contratto, dalla configurazione, dai ruoli privacy, dalle modalità di conservazione, dai subfornitori e dalle procedure adottate dallo studio. È quindi necessario svolgere una valutazione del fornitore e definire correttamente responsabilità, accessi e misure di sicurezza.

Quali verifiche deve fare uno studio prima di adottare una piattaforma di IA?

Dovrebbe verificare almeno:

• Se i dati vengono utilizzati per addestrare i modelli;
• Per quanto tempo vengono conservati prompt, documenti, output e log;
• Dove vengono trattati i dati;
• Quali subfornitori possono accedervi;
• Se sono disponibili DPA, MFA, SSO, RBAC e audit log;
• Come vengono gestite cancellazione, incidenti e richieste di supporto;
• Se il progetto richiede una DPIA ai sensi dell’articolo 35 GDPR.

Questi elementi aiutano a valutare concretamente il livello di controllo, sicurezza e tracciabilità della soluzione.

L’IA può sostituire la verifica dell’avvocato?

No. Gli output generati dall’IA devono essere verificati da un professionista qualificato prima di essere utilizzati in un atto, in una comunicazione al cliente o in un’attività di ricerca giuridica. L’avvocato deve controllare accuratezza, completezza, aggiornamento delle fonti, eventuali errori e rispetto del contesto processuale: il controllo umano resta essenziale anche quando la piattaforma utilizza fonti giuridiche specializzate.

Il tuo studio ha già adottato strumenti di IA?

Prenota una consulenza con noi per valutare l’infrastruttura, i fornitori, le policy e le modalità di utilizzo. Scopri come integrare l’IA nei flussi di lavoro dello studio con maggiore controllo, sicurezza e consapevolezza, riducendo i rischi della Shadow AI.