AI and professional secrecy: how to avoid the hidden risks of Shadow AI in law firms

Gli studi legali affrontano quotidianamente la sfida di bilanciare la velocità operativa richiesta dall’analisi di grandi volumi documentali con la necessità imprescindibile di proteggere riservatezza e segreto professionale. In questo scenario, l’adozione incontrollata di chatbot pubblici rischia di esporre dati sensibili, trasformando uno strumento di efficienza in un potenziale punto di vulnerabilità.

In questo articolo analizziamo il fenomeno della Shadow AI, il rapporto tra strumenti consumer e segreto professionale e gli insegnamenti dei casi statunitensi Heppner e Warner. Vedremo inoltre quali verifiche svolgere prima di adottare una piattaforma LegalTech AI e come Lanpartners può supportare lo studio nella valutazione dell’infrastruttura, dei fornitori e delle policy interne.

Perché l’IA sta entrando negli studi legali

The legal sector is undergoing a technological transformation che riguarda ormai l’efficienza operativa quotidiana degli studi, non solo le prospettive future. I professionisti gestiscono oggi volumi di dati crescenti: dall’e-discovery nei grandi contenziosi commerciali alla due diligence nelle operazioni di M&A. In questo contesto, l’IA riduce in modo significativo i tempi necessari per estrarre clausole specifiche, riassumere documenti tecnici o predisporre bozze iniziali di accordi.

Questa urgenza di adottare nuovi strumenti ha però anticipato, in molti studi, the development of adequate IT governance. While steering committees discuss long-term strategies, employees often begin to use online tools independently to optimize their daily work.

Che cos’è la Shadow AI

Si definisce “Shadow IT” l’utilizzo di dispositivi, software e servizi tecnologici da parte dei dipendenti senza l’approvazione o il controllo del dipartimento IT. Con la diffusione dei Large Language Models (LLM), questo fenomeno ha assunto una forma più insidiosa, nota come “Shadow AI”. Nel settore legale, un ambiente per definizione sensibile, la Shadow AI si manifesta ad esempio quando un associato o un praticante copia parti di un testo riservato e le incolla nel prompt di un chatbot pubblico per ottenerne un riassunto o una traduzione, aggirando di fatto le policy dello studio.

What data should not be entered into a public chatbot

Il rischio nasce dal modello di business e dall’architettura tecnica dei chatbot generalisti destinati al pubblico. Le condizioni di utilizzo di questi strumenti spesso prevedono la possibilità di impiegare i dati immessi per addestrare i modelli o di condividerli in determinati contesti.

Inserire dati personali, giudiziari o informazioni coperte da segreto professionale in un chatbot pubblico può violare gli obblighi di riservatezza e la normativa sulla protezione dei dati, quando il trattamento non è stato preventivamente valutato, autorizzato e protetto. Una volta che un documento riservato viene elaborato da questi strumenti, lo studio legale rischia di perdere il controllo sulla sua localizzazione, sulla conservazione e sulla reale riservatezza.

The Heppner case and the Warner case: what US jurisprudence teaches

La questione della riservatezza nel rapporto uomo-macchina è approdata di recente nelle aule di tribunale statunitensi, con due decisioni che mostrano quanto il quadro giurisprudenziale sia ancora in fase di consolidamento.

Il 4 novembre 2025, durante l’arresto di Bradley Heppner (accusato di frode), l’FBI ha sequestrato documenti che riportano i resoconti delle comunicazioni intrattenute dall’imputato con l’IA generativa Claude, utilizzata per elaborare argomenti difensivi e valutare linee strategiche. La difesa ha chiesto l’esclusione di questi documenti dal processo, ma il 10 febbraio 2026 il giudice federale Jed Rakoff ha respinto la richiesta, ritenendo che le conversazioni e i materiali prodotti tramite una piattaforma pubblica di IA non fossero protetti né dall’attorney-client privilege né dalla work-product doctrine.

Questa decisione appartiene all’ordinamento statunitense e non costituisce un precedente vincolante per i tribunali italiani, ma resta rilevante perché evidenzia i rischi processuali legati a un uso non governato di strumenti consumer basati sull’IA. Il caso Heppner non stabilisce che ogni utilizzo dell’intelligenza artificiale faccia venir meno il segreto professionale: mostra piuttosto come una piattaforma consumer, priva di qualsiasi incarico difensivo e di un rapporto professionale con l’utente, possa indebolire o escludere le pretese di riservatezza nel caso concreto.

Un orientamento diverso emerge da Warner v. Gilbarco, Inc., deciso nello stesso periodo: il giudice federale del Michigan Anthony Patti ha riconosciuto la protezione della work-product doctrine per alcuni documenti che una parte, difendendosi da sola, aveva elaborato con l’ausilio di ChatGPT. Il confronto tra i due casi conferma che non esiste una regola automatica legata al semplice utilizzo di un chatbot: a fare la differenza sono il contesto, la finalità, la riservatezza delle informazioni immesse, la piattaforma scelta e le modalità con cui il fornitore tratta i dati.

GDPR, segreto professionale e responsabilità dello studio

Il dovere di riservatezza si intreccia con la disciplina professionale forense, in particolare con quanto previsto dagli articoli 13 e 28 del Codice Deontologico Forense, oltre che con le disposizioni applicabili in materia di protezione dei dati personali. Su questi aspetti, la valutazione più opportuna resta quella condotta insieme al proprio DPO e al legale di riferimento: l’obiettivo di questo articolo non è entrare nel merito interpretativo delle norme deontologiche, ma fornire allo studio gli elementi pratici utili a porsi le domande giuste quando adotta strumenti di IA.

Il Regolamento (UE) 2016/679 (GDPR) non vieta l’uso dell’IA, ma impone di valutare con attenzione finalità del trattamento, base giuridica, ruoli privacy, misure di sicurezza e minimizzazione dei dati. I fascicoli gestiti da uno studio legale possono contenere categorie particolari di dati personali ai sensi dell’articolo 9 del GDPR, oppure dati relativi a condanne penali e reati disciplinati dall’articolo 10. Non tutti i fascicoli contengono necessariamente entrambe le categorie, ma la loro eventuale presenza richiede una valutazione preventiva di finalità, base giuridica e misure di sicurezza. Trasmettere queste informazioni a una piattaforma di IA significa quindi definire con chiarezza chi assume il ruolo di Titolare e chi quello di Responsabile del trattamento, verificando allo stesso tempo le garanzie offerte dal fornitore.

How to evaluate a LegalTech AI platform

In our experience, l‘IA può offrire un contributo prezioso allo studio legale, a condizione che venga adottata attraverso una governance solida e una valutazione accurata dei fornitori. Consigliamo di privilegiare piattaforme LegalTech specializzate, progettate nativamente per il settore giuridico, perché tendono a favorire la conformità normativa e a limitare i rischi tipici delle soluzioni consumer. Le piattaforme professionali si distinguono tra loro per architettura e obiettivi:

• Harvey: strumento di punta per l’IA generativa legale. The supplier contractually declares the prohibition of using customer data to train its own models, in accordance with the contractual conditions and configurations applicable to the service, and provides enterprise controls such as Single Sign-On (SSO), audit logs, and data lifecycle management.
• Lexroom, Legòra e Lybra: queste soluzioni offrono funzionalità orientate alla ricerca, all’analisi documentale e al drafting, con controlli e configurazioni da verificare di volta in volta in relazione al contratto, all’area geografica di trattamento e al modello di implementazione scelto.

Technical requirements: DPA, access, retention, logs, and training

Before implementing an AI solution, the firm should verify some fundamental technical and contractual requirements:

• Data Retention and Training: il contratto e, quando applicabile, il Data Processing Agreement (DPA) devono chiarire se prompt, output e documenti vengono utilizzati per addestrare i modelli, per quanto tempo vengono conservati, quali log tecnici e backup vengono mantenuti, le modalità di cancellazione e quali subfornitori possono accedervi.
• Data localization: quando possibile, è preferibile scegliere fornitori e aree di trattamento all’interno del SEE. Quando i server delle piattaforme si trovano al di fuori dello Spazio Economico Europeo, è essenziale verificare che il trasferimento sia coperto da Clausole Contrattuali Standard (SCC) o da una decisione di adeguatezza, evitando flussi incontrollati verso giurisdizioni prive di garanzie equivalenti al GDPR.
• Valutazione d’Impatto (DPIA): occorre valutare se il trattamento presenti un rischio elevato per i diritti delle persone e, quando ricorrono i presupposti dell’articolo 35 del GDPR, svolgere una DPIA prima dell’avvio del progetto.
• Access management: conviene adottare, ove disponibili e proporzionati al rischio, autenticazione a più fattori (MFA), Single Sign-On e sistemi di logging e monitoraggio delle attività, a supporto dell’accountability.
• Staff training: le migliori policy e infrastrutture tecniche perdono efficacia se manca consapevolezza da parte di chi le utilizza. Programmare sessioni di formazione periodiche sui rischi della Shadow AI è essenziale per prevenire data leak accidentali e tutelare il segreto professionale dello studio.

Il ruolo di Lanpartners e IT CONCIERGE®

From our daily experience in the field with the servizio IT CONCIERGE®, abbiamo compreso che l’adozione dell’IA in uno studio legale non è una mera questione di software, ma un delicato equilibrio tra innovazione e protezione del segreto professionale. 

Lanpartners, backed by ISO/IEC 27001 certification for information security and over 25 years of supporting legal professionals, operates not merely as an IT supplier, but as a strategic partner that guides the firm through a structured governance journey. Our intervention focuses on a deep understanding of the specific needs of the practice, starting with a rigorous infrastructure audit and an accurate vendor assessment. 

Attraverso l’IT CONCIERGE®, implementiamo policy interne e misure tecniche (quali il controllo degli accessi e la segmentazione dei dati) necessarie per isolare le attività di IA dal rischio di fughe informative. In questo contesto, la nostra collaboration with platforms such as Lexroom nasce dalla ricerca di soluzioni che combinino eccellenza tecnologica e attenzione alla conformità, adottando politiche di retention dei dati più controllate, certificazioni ISO pertinenti e architetture progettate tenendo conto del GDPR e del nuovo quadro normativo europeo sull’IA.

Final checklist for the law firm

Before adopting an AI tool, check these key points:

☐ Esiste una policy interna sull’uso dell’IA?

☐ Sono stati censiti gli strumenti già utilizzati dal personale?

☐ Il fornitore dichiara formalmente se usa o non usa i dati per l’addestramento?

☐ Sono disponibili il DPA e la lista aggiornata dei subfornitori?

☐ Gli accessi sono gestiti con SSO e MFA?

☐ È stato definito chi può caricare documenti e utilizzare specifiche funzionalità di IA?

☐ È possibile applicare ruoli e permessi differenti agli utenti?

☐ Vengono conservati e monitorati i log delle attività?

☐ È stato valutato se il trattamento richieda una DPIA ai sensi dell’articolo 35 GDPR?

☐ È prevista una procedura per segnalare incidenti, errori o utilizzi non autorizzati?

☐ Il personale ha ricevuto istruzioni pratiche e formazione sull’uso degli strumenti?

☐ È previsto un controllo umano (human-in-the-loop) sugli output generati dall’IA?

FAQ sull’IA negli studi legali

È possibile utilizzare ChatGPT o altri chatbot pubblici nello studio legale?

Sì, ma solo nel rispetto delle policy interne e senza inserire informazioni riservate, dati personali non necessari o contenuti coperti dal segreto professionale. Prima di autorizzarne l’uso, lo studio dovrebbe verificare le condizioni del servizio, le impostazioni relative alla conservazione dei dati, l’eventuale utilizzo per l’addestramento dei modelli e le garanzie offerte dal fornitore. La guida del CCBE raccomanda particolare cautela nell’inserimento di dati relativi ai clienti nei sistemi di IA generativa.

Does simply publishing data online allow it to be included in a chatbot?

No. Il fatto che un’informazione sia reperibile online non significa che possa essere utilizzata senza ulteriori valutazioni. Occorre considerare la finalità del trattamento, la base giuridica, la natura del dato, le aspettative dell’interessato e le condizioni della piattaforma utilizzata. La pubblicità del dato non elimina automaticamente gli obblighi previsti dal GDPR o dal segreto professionale.

Una piattaforma LegalTech è automaticamente conforme al GDPR?

No. Una piattaforma progettata per il settore legale può offrire strumenti e garanzie più adatti rispetto a un chatbot consumer, ma la conformità dipende anche dal contratto, dalla configurazione, dai ruoli privacy, dalle modalità di conservazione, dai subfornitori e dalle procedure adottate dallo studio. È quindi necessario svolgere una valutazione del fornitore e definire correttamente responsabilità, accessi e misure di sicurezza.

What checks must a firm perform before adopting an AI platform?

You should check at least:

• If the data is used to train the models;
• For how long are prompts, documents, outputs, and logs retained?;
• Where is the data processed;
• Which subcontractors can access it;
• If DPA, MFA, SSO, RBAC, and audit logs are available;
• How cancellations, incidents, and support requests are handled;
• Se il progetto richiede una DPIA ai sensi dell’articolo 35 GDPR.

Questi elementi aiutano a valutare concretamente il livello di controllo, sicurezza e tracciabilità della soluzione.

L’IA può sostituire la verifica dell’avvocato?

No. Gli output generati dall’IA devono essere verificati da un professionista qualificato prima di essere utilizzati in un atto, in una comunicazione al cliente o in un’attività di ricerca giuridica. L’avvocato deve controllare accuratezza, completezza, aggiornamento delle fonti, eventuali errori e rispetto del contesto processuale: il controllo umano resta essenziale anche quando la piattaforma utilizza fonti giuridiche specializzate.

Il tuo studio ha già adottato strumenti di IA?

Book a consultation con noi per valutare l’infrastruttura, i fornitori, le policy e le modalità di utilizzo. Scopri come integrare l’IA nei flussi di lavoro dello studio con maggiore controllo, sicurezza e consapevolezza, riducendo i rischi della Shadow AI.