AI e dati dei clienti: GDPR e segreto professionale nello studio del commercialista

Due livelli di tutela, non uno solo

I dati di una pratica contabile sono protetti su due piani distinti. Il primo è il GDPR (Regolamento UE 2016/679), che si applica a qualunque dato personale trattato dallo studio. Il secondo è il segreto professionale del commercialista (art. 622 c.p. e il codice deontologico dei dottori commercialisti ed esperti contabili): un dovere di riservatezza che esiste indipendentemente dal GDPR e che non viene meno solo perché un trattamento è «conforme» sulla carta.

I fascicoli di uno studio contengono inoltre dati economici, bancari e fiscali di persone e imprese, e talvolta dati che il GDPR definisce «particolari» (art. 9) o «giudiziari» (art. 10 — ad esempio in contenziosi tributari). Ogni strumento che tratta questi dati — un copilota sui documenti, un gestionale di studio, un assistente vocale — va scelto e configurato tenendo conto di entrambi i livelli.

Le domande da porsi prima di adottare uno strumento

Prima di far entrare un tool AI nel flusso di una pratica, vale la pena rispondere a poche domande concrete:

• Base giuridica: qual è la base che legittima il trattamento (di norma, l’esecuzione dell’incarico professionale)?
• Responsabile del trattamento: il fornitore firma un accordo ex art. 28 GDPR (DPA) come responsabile?
• Dove risiedono i dati: sono conservati nell’UE o trasferiti fuori? Con quali garanzie (es. clausole contrattuali standard)?
• Segreto professionale: lo strumento espone informazioni di pratica a personale del fornitore o a terzi non autorizzati?
• Minimizzazione: lo strumento tratta solo i dati necessari alla finalità, e per il tempo necessario?

AI generativa e cautele aggiuntive

Con gli strumenti di AI generativa (copiloti sui documenti, trascrizione, assistenti) va chiarito un punto spesso trascurato: i documenti o le registrazioni caricati vengono usati per addestrare i modelli del fornitore? Per un fascicolo contabile la risposta accettabile è «no», con garanzie contrattuali esplicite. Preferite fornitori con modalità dedicate ai professionisti e alle imprese, che offrono tenant isolati ed escludono l’uso dei dati di pratica per l’addestramento.

Anche l’informativa al cliente e la lettera d’incarico vanno aggiornate: se parte della gestione della pratica avviene tramite strumenti AI, è corretto che il cliente lo sappia in modo trasparente.

Una nota onesta

Questa guida ha scopo informativo e non sostituisce il parere di un consulente privacy, di un DPO o la valutazione deontologica del singolo caso. La conformità dipende dallo specifico strumento, dalla configurazione e dal tipo di pratica. Il messaggio di fondo, però, è incoraggiante: usare l’AI nello studio in modo conforme è possibile — a patto di sceglierla con criterio, non di improvvisare.