Legge 132/2025: che cosa scrivere al cliente quando usi l'IA

Se eserciti una professione intellettuale e usi l'intelligenza artificiale per lavorare, devi dirlo al cliente. Lo stabilisce l'articolo 13 della legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025: le informazioni sui sistemi di IA che usi vanno comunicate a chi riceve la prestazione «con linguaggio chiaro, semplice ed esaustivo». Non serve un modulo di legge, non serve la firma del cliente, e non c'è una multa che scatta: serve che l'informazione ci sia e che tu possa dimostrare di averla data.

Qui ti dico che cosa scriverci dentro, in che forma e quando consegnarla. Riguarda anche me: sono iscritto all'Ordine degli Ingegneri.

Che cosa dice l'articolo 13, parola per parola

Sono due commi, dentro il Capo II della legge, quello delle disposizioni di settore.

Il comma 1 stabilisce che l'utilizzo di sistemi di IA nelle professioni intellettuali «è finalizzato al solo esercizio delle attività strumentali e di supporto all'attività professionale e con prevalenza del lavoro intellettuale oggetto della prestazione d'opera».

Il comma 2 stabilisce che «per assicurare il rapporto fiduciario tra professionista e cliente, le informazioni relative ai sistemi di intelligenza artificiale utilizzati dal professionista sono comunicate al soggetto destinatario della prestazione intellettuale con linguaggio chiaro, semplice ed esaustivo».

Tre cose vale la pena notare subito, perché decidono come si scrive il pezzo di carta.

• Il verbo è «sono comunicate». È un obbligo di informare, non di farsi autorizzare. Il cliente non deve dare un consenso perché tu possa usare gli strumenti.
• L'oggetto sono «i sistemi di intelligenza artificiale utilizzati», al plurale e con l'articolo determinativo. Non «il fatto che usi l'IA»: i sistemi.
• L'avverbio è «esaustivo». Una riga generica che dice «potremmo avvalerci di strumenti di intelligenza artificiale» soddisfa «chiaro» e «semplice», ma difficilmente «esaustivo». Questa è la mia lettura del testo, non un'interpretazione ufficiale: la legge non spiega che cosa intende.

Nota. L'articolo 13 parla di «professioni intellettuali» e non elenca le professioni. Copre con certezza quelle con un Ordine o un Collegio — avvocati, commercialisti, notai, medici, architetti, ingegneri, consulenti del lavoro — e il comma 1 si àncora alla «prestazione d'opera», che è una categoria più larga. Se fai lavoro intellettuale su incarico di un cliente, dai per buono che ti riguardi.

Quando un programma è un «sistema di IA», e quando no

L'obbligo scatta solo se usi sistemi di IA. La definizione non la dà la legge italiana, la dà l'AI Act all'articolo 3, punto 1: «un sistema automatizzato progettato per funzionare con livelli di autonomia variabili e che può presentare adattabilità dopo la diffusione e che, per obiettivi espliciti o impliciti, deduce dall'input che riceve come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtuali».

La parola che fa il lavoro è «deduce». Un programma che applica regole scritte da una persona non è un sistema di IA. Quindi:

• sono sistemi di IA: ChatGPT, Gemini, Claude, Copilot, i trascrittori automatici, i traduttori automatici, la funzione «riassumi questo documento» dentro un gestionale, i motori di ricerca giuridica che generano una risposta;
• non sono sistemi di IA: il gestionale di studio, il software di contabilità, un foglio di calcolo con le sue formule, la fatturazione elettronica, un correttore ortografico a dizionario.

Attenzione. La riga più insidiosa non è ChatGPT: è l'IA che è comparsa dentro programmi che usavi già. Il riassunto automatico nella casella di posta, la trascrizione nelle videochiamate, l'assistente nel gestionale. Spesso è attiva per impostazione predefinita e nessuno te l'ha annunciata. Se c'è, va nell'elenco.

I sei punti da scrivere

Non esiste un modello di legge. Questo è l'elenco che uso io, costruito su quello che l'articolo 13 chiede davvero.

1. Quali strumenti, per nome. Il nome del prodotto e il piano, perché il piano cambia quello che succede ai dati. «Microsoft 365 Copilot, piano business» dice qualcosa; «strumenti di IA generativa» non dice niente.
2. Per quali attività. Ricerca, bozze, trascrizioni, traduzioni, riassunti, controlli formali. Va scritto che si tratta di attività strumentali e di supporto, perché è la condizione del comma 1.
3. Che il lavoro resta tuo. Che rileggi e verifichi ogni risultato, che le valutazioni e le decisioni sono tue, e che la responsabilità dell'incarico è tua. È l'altra metà del comma 1.
4. Che cosa succede ai documenti del cliente. Se li carichi su uno strumento o no; su quale piano; se il fornitore li usa per addestrare i suoi modelli; dove sono i server. È il punto che i clienti chiedono per primo e quello che i modelli in circolazione trattano peggio.
5. Che non ci sono decisioni automatiche, se è vero. Nessun esito dell'incarico viene deciso dalla macchina.
6. A chi chiedere, e come dire no. Un riferimento per i chiarimenti, e la possibilità per il cliente di chiedere che l'IA non venga usata sul suo incarico.

Esempio. Un elenco scritto per punti, allegato alla lettera d'incarico: «Nello svolgimento dell'incarico mi avvalgo di: [nome prodotto, piano] per la redazione di bozze e per la ricerca; [nome prodotto, piano] per la trascrizione delle riunioni. I documenti che mi consegna non vengono caricati su strumenti che li utilizzano per addestrare i propri modelli. Ogni risultato è verificato da me; valutazioni, decisioni e responsabilità restano mie. Può chiedere in qualsiasi momento che nessuno strumento di IA sia impiegato sul suo incarico». I nomi fra parentesi li metti tu: sono i tuoi, e devono essere veri.

I modelli che gli Ordini hanno già pubblicato

Due Consigli nazionali si sono mossi nei giorni successivi all'entrata in vigore.

Il Consiglio nazionale dei dottori commercialisti e degli esperti contabili ha pubblicato il 24 ottobre 2025 la terza guida operativa sull'intelligenza artificiale. Nell'Appendice D c'è un esempio di clausola da inserire nel mandato professionale, in quattro punti: l'uso dell'IA per sole finalità ausiliarie con «controllo umano effettivo»; la presa d'atto che non vengono adottate decisioni automatizzate ai sensi dell'articolo 22 del GDPR; l'impegno a informare il cliente «ove richiesto» su tipologia di strumenti, finalità e misure adottate; la facoltà del cliente di chiedere, «su richiesta espressa e motivata», l'esclusione dell'IA dall'incarico.

È il documento più concreto che esista oggi in Italia su questo adempimento, e se sei commercialista parti da lì. Due osservazioni mie, da leggere come tali.

La prima: il punto 3 sposta su richiesta del cliente proprio l'informazione specifica — quali strumenti, per cosa. L'articolo 13 dice invece che le informazioni «sono comunicate». Chi vuole stare tranquillo l'elenco lo mette subito, non lo tiene pronto per chi lo chiede.

La seconda: il punto 2 dichiara che non vengono adottate decisioni automatizzate. È una dichiarazione che devi poter mantenere. Se un giorno fai filtrare le pratiche da un sistema che decide da solo, quella riga diventa falsa.

Il Consiglio nazionale forense ha mandato ai Consigli dell'Ordine, con comunicazione del 13 ottobre 2025, uno schema di informativa al cliente, allegato e presentato come un testo che «se ritenuto utile, potrà essere agevolmente utilizzato». È facoltativo. Lo trovi sul sito del tuo Ordine territoriale. Alcuni Consigli locali hanno pubblicato anche formule proprie, con l'avvertenza che si tratta di loro letture e non di interpretazioni autentiche della norma: è giusto così, e vale anche per quello che leggi qui.

Non confonderla con l'informativa privacy

Sono due documenti con contenuti diversi, e il primo errore che vedo in giro è credere che uno copra l'altro.

L'informativa del GDPR riguarda il trattamento dei dati personali e ha un contenuto elencato dagli articoli 13 e 14 del regolamento. Fra le voci c'è anche, alla lettera f del paragrafo 2 dell'articolo 13, «l'esistenza di un processo decisionale automatizzato, compresa la profilazione di cui all'articolo 22, paragrafi 1 e 4, e, almeno in tali casi, informazioni significative sulla logica utilizzata». L'informativa dell'articolo 13 della legge 132/2025 riguarda i sistemi di IA con cui svolgi l'incarico, anche quando non trattano dati personali di nessuno.

C'è poi un adempimento che non è un'informativa e che spesso manca del tutto. Se carichi documenti del cliente su uno strumento, il fornitore dello strumento tratta quei dati per conto tuo. L'articolo 28 del GDPR, al paragrafo 1, impone al titolare di ricorrere «unicamente a responsabili del trattamento che presentino garanzie sufficienti»; al paragrafo 3, che i trattamenti del responsabile siano «disciplinati da un contratto o da altro atto giuridico». Quel contratto, sui piani consumer, spesso non c'è. Che si possa caricare o no, e su quale piano, è un argomento a sé: lo affronto a parte.

Attenzione. Se sei tenuto al segreto professionale, caricare il documento di un cliente su uno strumento di terzi è una comunicazione a un terzo. Prima del testo dell'informativa viene la domanda se quel caricamento si possa fare.

Quando consegnarla, e ai clienti che hai già

La legge non fissa un momento. Il buon senso e l'àncora al rapporto fiduciario dicono: prima o insieme all'incarico, perché il cliente sappia come lavorerai mentre decide se affidarti il lavoro. In pratica, dentro la lettera d'incarico, il mandato o il preventivo, oppure in un foglio allegato.

Per i rapporti già in corso al 10 ottobre 2025 e per i clienti continuativi, la via più semplice è una comunicazione una volta sola, con la data, da archiviare nel fascicolo. E va rifatta quando l'elenco cambia: cambi strumento, cambi piano, si accende una funzione nuova. Un elenco di strumenti del 2025 non descrive quello che fai oggi.

Nota. Se pubblichi contenuti generati con l'IA, c'è un obbligo diverso e ulteriore, che viene dall'AI Act e si applica dal 2 agosto 2026: l'articolo 50. Ne ho scritto in AI Act in pratica, insieme alle sanzioni italiane e a chi vigila.

Tre errori da evitare

1. Chiedere il consenso invece di informare. La norma chiede di comunicare. Un modulo che subordina il tuo lavoro all'autorizzazione del cliente crea un'aspettativa che poi devi rispettare, e non te la chiedeva nessuno.
2. La riga generica. «Lo studio si avvale di strumenti di intelligenza artificiale» non dice quali, per cosa e con che fine fanno i documenti. Difficilmente è «esaustivo».
3. Il modello copiato e dimenticato. Vale solo finché è vero. La data in fondo serve a te.

Le tre cose da fare

1. Fai l'elenco, con nome e piano di ogni strumento, comprese le funzioni di IA dentro programmi che usavi già. Senza l'elenco non puoi scrivere niente di esaustivo, e serve anche per il registro dei trattamenti.
2. Scrivi mezza pagina sui sei punti qui sopra e attaccala alla lettera d'incarico.
3. Guarda i contratti. Per ogni strumento su cui carichi documenti dei clienti, verifica che esista l'atto previsto dall'articolo 28 del GDPR e che il piano non usi i tuoi dati per l'addestramento. Se manca, il problema non è l'informativa.

Quello che ho scritto qui viene dai testi ufficiali, letti oggi: l'articolo 13 della legge 132/2025 su Normattiva, l'AI Act e il GDPR nelle versioni ufficiali italiane, la guida del Consiglio nazionale dei commercialisti e la comunicazione del Consiglio nazionale forense ai Consigli dell'Ordine. Non è consulenza legale e non tiene conto del tuo caso: per quello senti il tuo responsabile della protezione dei dati, un avvocato o il tuo Ordine. Come lavoro e che cosa controllo prima di pubblicare è in Come collaudiamo; i limiti di quello che leggi qui sono nelle avvertenze.