La conversazione comincia sempre allo stesso modo. Un socio di uno studio legale, la responsabile di uno studio commercialista o il direttore di uno studio medico raccontano la stessa cosa con parole diverse: «a noi servirebbe da dio, ma noi siamo regolamentati». E lì finisce. La frase funziona come chiusura di riunione, non come analisi. Nessuno chiede quale parte esattamente sia regolamentata, né se quello che si voleva automatizzare cadesse dentro quella parte.
La tesi in una frase: nelle professioni con segreto professionale il limite non lo pone il modello, lo pone la responsabilità. Chi firma il referto medico, la dichiarazione fiscale o l'atto di citazione risponde uguale, che abbia usato l'IA o no. E questo, lungi dal chiudere la porta, la mette al suo posto: l'IA prepara il fascicolo, il professionista firma. Tutto quello che viene prima della firma è terreno aperto; tutto quello che sostituisce la firma è una linea che non si attraversa.
IA nei settori regolamentati: cosa può toccare in uno studio medico, uno studio commercialista o uno studio legale
«Settore regolamentato» è un'etichetta troppo larga per prenderci una decisione. Quello che davvero è regolamentato in uno studio medico, in uno studio commercialista o in uno studio legale non è l'uso del software: sono tre cose concrete. Il dovere di segreto su quello che ti affida il cliente o il paziente. La riserva di attività —quali atti può compiere e firmare solo un professionista iscritto all'albo—. E il trattamento di dati particolari, che in sanità sono la regola e non l'eccezione.
Nessuna delle tre dice niente su chi prepara la bozza, chi ordina la documentazione, chi riassume ottocento pagine di fascicolo o chi si accorge che manca una ricevuta. Quel lavoro —che è la maggior parte delle ore fatturabili di uno studio medio e del carico amministrativo di un ambulatorio— non è riservato a nessuno. È semplicemente distribuito male: lo fa il professionista più caro perché non c'è mai stato un altro modo di farlo.
Il limite non lo pone il modello, lo pone chi firma
La domanda utile non è «l'IA può fare questo?», ma «chi risponde se va male?». E quella risposta non cambia con la tecnologia: risponde il professionista che firma, l'iscritto all'albo che si assume l'atto, la società che emette la fattura. Un modello non può essere citato in giudizio, non è iscritto a nessun ordine professionale e non ha una polizza di responsabilità civile. Non è un difetto del modello: è il motivo per cui la firma esiste.
Da qui esce un criterio operativo che funziona nelle tre professioni e che non ha bisogno di un avvocato per essere applicato:
- Se il risultato esce da casa tua con una firma, la firma è di una persona. Il sistema può arrivare fino alla bozza completa, con le sue citazioni e i suoi calcoli. Mai fino all'invio.
- Se il risultato non esce, o esce come lavoro interno, può andare molto più in là. Ordinare, classificare, estrarre, confrontare, avvisare che manca qualcosa: lì non c'è atto riservato né responsabilità delegata.
- Se il passaggio decide su una persona —una diagnosi, un licenziamento, un reclamo—, la revisione umana non è un extra. È la condizione perché quel passaggio esista.
Questa ripartizione ha un nome tecnico e una meccanica che non è opinabile: è il disegno dell'umano nel ciclo di un'automazione con IA, dove l'importante non è che ci sia una persona a guardare, ma che quella persona abbia il contesto, il tempo e l'autorità reale per dire di no.
Quello che oggi può toccare, senza discussioni
Applicando il criterio precedente, la lista di quello che si può automatizzare in uno studio legale, uno studio commercialista o uno studio medico smette di essere corta. È praticamente tutto quello che un professionista fa prima di pensare:
- Preparare il fascicolo. Raccogliere la documentazione di una pratica, ordinarla cronologicamente, individuare cosa manca e lasciare un riassunto con i link al documento originale di ogni affermazione.
- Estrarre il dato da un documento che arriva in qualsiasi formato. La fattura del fornitore, il referto, l'atto notarile, il certificato. Il lavoro duro non è leggere il PDF: è che ogni emittente lo impagina a modo suo.
- Tradurre il burocratese in lingua comprensibile. La prima bozza di una lettera al cliente, di un consenso informato o della spiegazione di una liquidazione, che poi rivede chi sa.
- Sorvegliare scadenze, richieste e novità normative e avvisare chi di dovere prima che scada, invece di dipendere dal fatto che qualcuno guardi una cartella.
- Preparare la risposta alla domanda che si ripete. In uno studio commercialista, l'80% delle email di gennaio si somigliano tutte. Che la bozza esista non toglie criterio a nessuno: toglie battitura.
Tutto questo condivide una proprietà: se il sistema sbaglia, l'errore lo vede una persona prima che esca. È la definizione pratica di rischio accettabile, e non dipende da quanto è bravo il modello.
Quello che non dovrebbe toccare, e non per paura: per disegno
L'altra metà della lista è ugualmente importante, e conviene scriverla in positivo e non come un divieto vago. Un sistema non dovrebbe emettere una diagnosi, presentare una dichiarazione, depositare un atto né rispondere a una richiesta senza che una persona l'abbia visto e approvato. Non perché la legge lo dica con queste parole in tutti i casi, ma perché il giorno in cui va male la domanda sarà chi l'ha controllato, e «nessuno, andava da solo» non è una risposta che si possa dare due volte.
È qui che l'argomento del settore si ribalta. L'obiezione abituale —«non possiamo, siamo regolamentati»— si usa per non fare niente, quando quello che la normativa esige è esattamente ciò che un sistema montato bene dà e un processo manuale no: tracciabilità. Sapere cosa si è fatto, con quale dato, con quale permesso e chi l'ha approvato. Questa è la governance e il controllo dell'automazione con IA, e uno studio con log e approvazioni registrate è in una posizione migliore davanti a un'ispezione rispetto a uno dove tutto si è deciso su WhatsApp.
Il segreto professionale non sparisce perché il fornitore è grande
C'è un punto in cui la prudenza del settore è invece ben fondata, e conviene dirlo senza sminuirlo. Mettere il fascicolo di un cliente o la cartella clinica di un paziente dentro uno strumento sottoscritto a titolo personale, senza accordo di responsabile del trattamento e senza sapere dove viene processato il dato, è un problema reale. E non si risolve con una clausola dell'informativa privacy del fornitore.
L'Agenzia spagnola di protezione dei dati (AEPD, l'omologa spagnola del nostro Garante privacy) ha pubblicato a febbraio 2026 degli orientamenti sull'intelligenza artificiale agentica dalla prospettiva della protezione dei dati la cui premessa è quella che in questo dibattito si ignora di più: usare un agente di IA non è sostituire uno strumento con un altro più avanzato, ma può cambiare la natura stessa del trattamento, la sua portata e i suoi rischi. Ambito: Spagna. Tradotto nella pratica di uno studio: la decisione non è «uso l'IA o no?», è «quale dato esce da qui, verso dove e con quale contratto?». E quella decisione si prende una volta sola, quando si monta il sistema, non ogni volta che qualcuno apre una scheda.
Il segreto professionale, per giunta, non esonera dal GDPR: lo modula. È un limite all'accesso di terzi, non un lasciapassare che sostituisce gli obblighi sul trattamento. Chi lo capisce al contrario finisce con entrambe le cose sbagliate.
Perché il calendario dell'AI Act non è il tuo limite principale
Conviene disinnescare qui una confusione che ritarda le decisioni. Il calendario del regolamento europeo sull'IA —cosa obbliga già e cosa è slittato all'Omnibus— è sviluppato in quello che l'AI Act ti chiede da agosto 2026, e qui non lo ripetiamo. Quello che conta per una professione ordinistica è un'altra cosa: quel calendario non è il primo che ti stringe.
Gli usi ad alto rischio dell'Allegato III —dove ricadono alcuni usi sanitari e di decisione sulle persone— sono stati rinviati al 2 dicembre 2027 tramite il pacchetto Omnibus concordato a maggio 2026, secondo il monitoraggio del calendario di applicazione dell'AI Act pubblicato dal Future of Privacy Forum. Ambito: Unione europea. Ma la tua responsabilità professionale non è stata rinviata, perché non ha mai avuto una data di entrata: se un referto firmato da te va male, l'ordine e il cliente non ti chiederanno dell'Allegato III. Per questo l'ordine corretto è il contrario di quello che si segue di solito: prima decidi dove va la firma umana, e la conformità normativa cade quasi da sola dietro quella decisione.
Come si monta tutto questo in uno studio che non può fermarsi
L'ordine conta più dello strumento. In un'organizzazione piccola con obbligo di segreto, la sequenza che funziona è questa:
- Comincia da un processo senza firma. Preparazione del fascicolo, estrazione documentale, controllo delle scadenze. Niente che esca verso un terzo. Così il primo errore possibile è interno e costa poco.
- Decidi il dato prima dello strumento. Quale informazione esce dal tuo sistema, verso quale fornitore, con quale contratto di responsabile del trattamento e con quale termine di conservazione. Se quella risposta non sta in un foglio, non sei ancora pronto per il passo successivo.
- Metti la revisione umana nel punto dove fa male. Non in tutti i passaggi —quello uccide il risparmio—, ma esattamente in quello che ha una conseguenza verso l'esterno.
- Registra tutto dal giorno uno. Quale documento è entrato, cosa ha estratto il sistema, cosa ha cambiato la persona. Il registro non è burocrazia: è quello che trasforma un'ispezione scomoda in una cartella.
- Misura una cosa sola all'inizio: quante ore di professionista iscritto all'albo smettono di andarsene in lavoro che non richiedeva l'iscrizione. Se quel numero non si muove, il progetto non sta funzionando, per quanto moderna sia la demo.
Quel secondo punto —il dato prima dello strumento— è quello che affonda più progetti e che riceve meno attenzione. È lavoro di governo del dato: sapere quale informazione hai, chi può toccarla e cosa può uscire dal tuo perimetro, prima di collegare qualsiasi cosa. Farlo dopo significa riscrivere il sistema intero con il cliente già dentro.
Quello che cambia davvero
Il settore regolamentato non automatizzerà il giudizio professionale, e chi lo vende mente. Quello che automatizzerà è tutto ciò che sta intorno al giudizio professionale e che oggi se lo mangia: la preparazione, la ricerca, l'ordine, la bozza, l'avviso. Uno studio dove il socio dedica il 70% del tempo a preparare e il 30% a decidere non compete con uno dove quella proporzione è rovesciata. E rovesciarla non richiede di cambiare la legge, né l'ordine professionale, né la polizza. Richiede di decidere dove va la firma e montare tutto il resto sotto.
«Siamo regolamentati» continuerà a essere vero. Smette di essere una scusa il giorno in cui qualcuno chiede quale parte, esattamente.