2° Contenuto Riservato: IA e commercialisti: obblighi e responsabilità

CIRCOLARE MONOGRAFICA – PROFESSIONI

L’IA supporta il commercialista, a cui competono controllo, responsabilità, riservatezza e informazione al cliente

DI ARMANDO URBANO | 5 NOVEMBRE 2026

L’impiego dell’intelligenza artificiale nell’attività del commercialista richiede la prevalenza del contributo intellettuale del professionista, il controllo delle informazioni utilizzate e la tutela della riservatezza. L’art. 13 della Legge n. 132/2025 e l’art. 21, commi 8, 9 e 10, del Codice deontologico CNDCEC disciplinano la funzione di supporto della tecnologia, la responsabilità e il controllo del professionista e l’informazione al cliente. A tali disposizioni si affiancano le regole civilistiche, il GDPR e l’AI Act, da considerare nel testo modificato nel 2026. La corretta applicazione richiede di distinguere i precetti vincolanti dalle scelte organizzative consigliabili e la responsabilità disciplinare dai diversi presupposti della responsabilità civile. Le specifiche sanzioni per le violazioni in materia di IA vanno lette insieme ai criteri generali di determinazione della sanzione.

Premessa

L’intelligenza artificiale può essere impiegata nello studio per organizzare documenti, predisporre bozze, sintetizzare materiali e svolgere analisi preliminari. La compatibilità di questi utilizzi con l’incarico professionale dipende dalle modalità concrete con cui il commercialista seleziona i dati, verifica i risultati e formula le proprie conclusioni. La disponibilità di un elaborato linguisticamente corretto non dimostra, da sola, la correttezza della prestazione.

Il riferimento nazionale specifico è l’art. 13 della Legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025. La disposizione riguarda le professioni intellettuali e collega l’uso dell’IA alla sua funzione strumentale e di supporto, alla prevalenza del lavoro intellettuale e alla trasparenza nei confronti del destinatario della prestazione. Per gli iscritti all’Albo, la disciplina è precisata dall’art. 21, commi 8, 9 e 10, del Codice deontologico della professione, introdotti con le modifiche deliberate dal CNDCEC il 20 novembre 2025. L’art. 45, comma 1-bis, del Codice ne stabilisce l’entrata in vigore al 21 novembre 2025.

Occorre mantenere distinti i diversi livelli di disciplina. La Legge nazionale regola l’utilizzo dell’IA nella prestazione intellettuale; il Codice specifica i doveri dell’iscritto; le norme civilistiche disciplinano diligenza e responsabilità nel rapporto obbligatorio; il Regolamento UE n. 2016/679 governa il trattamento dei dati personali. Il Regolamento UE n. 2024/1689, comunemente denominato AI Act, considera invece ruoli, sistemi e fattispecie secondo il proprio ambito di applicazione. Il rispetto di una singola disposizione non esaurisce gli adempimenti eventualmente richiesti dalle altre fonti.

L’esame delle regole professionali già applicabili conserva, pertanto, autonomia rispetto alle decorrenze delle disposizioni europee sui sistemi ad alto rischio. Per valutare una specifica soluzione tecnologica occorre individuare la fattispecie pertinente, senza trasferire indistintamente a ogni impiego di IA l’intero apparato previsto per categorie particolari di sistemi.

Strumentalità della tecnologia e prevalenza del lavoro intellettuale

L’art. 13, comma 1, della Legge n. 132/2025 ammette l’utilizzo dell’IA nelle professioni intellettuali per attività strumentali e di supporto, preservando la prevalenza del lavoro intellettuale oggetto della prestazione. La disposizione considera il rapporto tra il contributo della tecnologia e l’attività dovuta dal professionista. La circostanza che un sistema sia tecnicamente in grado di formulare una risposta non risolve la questione della sua utilizzabilità nell’esecuzione dell’incarico.

Per il commercialista, la ricerca di una disposizione, la sistemazione di documenti e la predisposizione di una bozza possono costituire attività di supporto. La verifica della norma pertinente, la valutazione dei fatti e l’elaborazione della conclusione restano affidate al professionista. Per rendere effettivo il proprio contributo è quindi opportuno verificare le premesse, la completezza dei dati e la sostenibilità della conclusione, oltre alla forma del documento.

L’art. 21, comma 8, del Codice deontologico rende esplicito il limite: la tecnologia non deve prendere il posto dell’attività intellettuale dell’iscritto e della sua valutazione o interpretazione dei fatti e delle norme oggetto dell’incarico. La disposizione richiama inoltre competenza, diligenza, qualità, indipendenza e autonomia. Il controllo del commercialista deve quindi riguardare il contenuto professionale dell’elaborato, anche quando la sua produzione materiale sia stata agevolata dall’IA.

Responsabilità e controllo secondo il Codice deontologico

L’art. 21, comma 9, del Codice deontologico attribuisce al professionista che si avvale dell’IA la piena responsabilità e il controllo del relativo contributo. Il medesimo comma impone la verifica delle fonti e della veridicità dei dati e delle informazioni utilizzati, nonché l’accertamento delle misure di sicurezza, riservatezza e conformità alla disciplina sulla protezione dei dati personali. Precisa, infine, che il ricorso alla tecnologia non costituisce esimente rispetto agli obblighi deontologici e normativi.

Il precetto riguarda sia la scelta del sistema sia l’impiego dei risultati. L’attenzione alla sola risposta finale lascerebbe fuori dal controllo i documenti trasmessi, le condizioni del servizio e le modalità con cui le informazioni sono state acquisite. Viceversa, la scelta di un ambiente dotato di misure di sicurezza non rende automaticamente corretto il contenuto prodotto. I due controlli hanno oggetti differenti e devono essere considerati entrambi.

Nella pratica, è consigliabile verificare che la risposta riguardi effettivamente la domanda professionale, utilizzi dati pertinenti e non aggiunga circostanze assenti dalla documentazione.

L’eventuale intervento del fornitore della tecnologia va esaminato separatamente. Le condizioni contrattuali del servizio non sostituiscono i doveri dell’iscritto verso il cliente; allo stesso tempo, la previsione deontologica non consente di formulare conclusioni generali sulle responsabilità del fornitore senza conoscere il servizio, il contratto e i fatti rilevanti. L’inesattezza generata dal sistema va quindi considerata insieme alla condotta concretamente tenuta dal professionista.

Il dato certo è il permanere dei doveri professionali di controllo e verifica.

Diligenza professionale e disciplina civilistica

L’art. 1176, comma 2, c.c. richiede che la diligenza nell’adempimento delle obbligazioni professionali sia valutata in rapporto alla natura dell’attività esercitata. Il ricorso all’IA si colloca nell’esecuzione della prestazione e deve essere considerato insieme alle verifiche richieste dall’incarico. Le prescrizioni deontologiche sulla verifica delle fonti e sul controllo del contributo tecnologico conservano il proprio significato anche quando l’uso dello strumento sia finalizzato a ridurre i tempi di lavorazione.

La responsabilità risarcitoria richiede un esame del rapporto e della prestazione concretamente dovuta. L’accertamento non si esaurisce nella constatazione di un risultato inesatto e va mantenuto distinto da quello relativo ai doveri deontologici. Il richiamo alla tecnologia impiegata deve inserirsi nella valutazione dell’esecuzione dell’incarico, senza anticiparne l’esito.

Resta il riferimento all’art. 2236 c.c., che limita la responsabilità ai casi di dolo o colpa grave quando la prestazione implichi la soluzione di problemi tecnici di speciale difficoltà. Il presupposto indicato dalla disposizione riguarda il contenuto della prestazione: il mero impiego di una tecnologia complessa non dimostra, da solo, la ricorrenza della fattispecie. Non è quindi corretto presentare l’uso dell’IA come causa generale di attenuazione della responsabilità.

Attendibilità delle risposte e verifica delle fonti

I sistemi generativi possono fornire risposte formalmente persuasive che contengono errori, riferimenti incompleti o informazioni non aggiornate. L’obbligo dell’art. 21, comma 9, lettera a), richiede di riscontrare fonti, dati e informazioni utilizzati.

La verifica dovrebbe iniziare dall’esistenza del documento. Un riferimento normativo deve consentire di individuare l’atto e la disposizione; il richiamo a una pronuncia deve essere confrontato con il testo effettivo; l’indicazione di un documento di prassi deve essere verificata presso la fonte istituzionale pertinente. In seguito, è necessario accertare che il contenuto corrisponda a quanto attribuitogli nell’elaborato.

La dimensione temporale richiede un controllo distinto. Un testo vigente al momento della ricerca può differire da quello applicabile al periodo d’imposta o all’operazione esaminata. È pertanto consigliabile esplicitare, nel quesito di lavoro e nella revisione, il periodo rilevante e la data alla quale il quadro normativo deve essere ricostruito. La sola indicazione dell’ultima versione disponibile non risolve ogni problema di applicazione nel tempo.

L’IA può agevolare l’individuazione dei materiali e l’organizzazione della ricerca. La conclusione da sottoporre al cliente richiede, però, che il commercialista abbia esaminato le informazioni effettivamente poste a suo fondamento. Quando una fonte non sia reperibile o non confermi l’affermazione, quel contenuto non dovrebbe essere presentato come verificato.

Informazione al cliente e menzione nei documenti prodotti

L’art. 13, comma 2, della Legge n. 132/2025 richiede la comunicazione al destinatario della prestazione delle informazioni relative ai sistemi di IA utilizzati dal professionista. Per gli iscritti agli Albi dei Dottori commercialisti e degli esperti contabili, l’art. 21, comma 10, del Codice deontologico si riferisce al cliente e alla parte assistita e richiede che dell’utilizzo dell’IA sia fatta menzione anche nell’eventuale documentazione prodotta.

L’adempimento non coincide soltanto con la predisposizione di una clausola nella lettera d’incarico, poiché il Codice richiama anche la documentazione eventualmente prodotta. È opportuno che le modalità di informazione siano coerenti con il servizio reso e con l’effettivo ruolo della tecnologia.

Come criterio redazionale, è consigliabile indicare le attività per le quali l’IA viene impiegata, la funzione svolta nel processo di lavoro e il mantenimento del controllo professionale. Questi contenuti rappresentano una proposta di attuazione operativa, da adattare al caso; non costituiscono un elenco normativo ulteriore rispetto al testo delle disposizioni.

Riservatezza e protezione delle informazioni dello studio

Il controllo sul contenuto da trasmettere al sistema precede l’elaborazione. Dichiarazioni fiscali, documenti bancari, dati del personale e informazioni patrimoniali possono contenere dati personali; bilanci, contratti e operazioni societarie possono inoltre comprendere informazioni riservate. La decisione di utilizzare una piattaforma deve quindi considerare la natura del materiale e le condizioni effettive del servizio.

L’art. 10 del Codice deontologico disciplina il riserbo sulle informazioni acquisite nell’attività professionale e la vigilanza sul rispetto della riservatezza da parte di tirocinanti, dipendenti e collaboratori. L’art. 21, comma 9, lettera b), aggiunge lo specifico dovere di accertare sicurezza, riservatezza e conformità dei sistemi di IA alla normativa sulla protezione dei dati personali.

Per i dati personali, il Regolamento UE n. 2016/679 resta il riferimento.

Prima dell’utilizzo di un servizio esterno è consigliabile verificare quali informazioni siano inviate, le finalità del trattamento, i tempi di conservazione, le possibilità di riutilizzo da parte del fornitore e le misure per limitare gli accessi. Devono inoltre essere esaminate le condizioni degli eventuali trasferimenti verso Paesi terzi. L’accertamento deve riguardare la soluzione concretamente utilizzata, comprese le impostazioni disponibili e il contratto applicabile.

La distinzione tra versioni gratuite, a pagamento o destinate alle imprese può essere utile per orientare l’analisi, ma non dimostra da sola la conformità del trattamento. È preferibile verificare le caratteristiche documentate del servizio anziché attribuire a un’etichetta commerciale garanzie che non siano state accertate. Analoga cautela vale per l’eventuale disattivazione dell’uso dei dati per l’addestramento: si tratta di un elemento da esaminare insieme alle altre condizioni, non di una valutazione completa del servizio.

Minimizzazione anonimizzazione e pseudonimizzazione

La riduzione dei dati trasmessi costituisce un presidio operativo rilevante. Il principio di minimizzazione richiede che i dati personali siano pertinenti e limitati rispetto alle finalità del trattamento.

Occorre tuttavia distinguere la minimizzazione dall’anonimizzazione. Eliminare il nome di una persona o sostituirlo con una sigla non dimostra che il documento sia anonimo. L’identificazione può essere consentita da ulteriori elementi, anche considerati congiuntamente. L’analisi deve dunque riguardare l’insieme delle informazioni e la possibilità di ricondurle a una persona fisica.

Alfabetizzazione in materia di IA e competenza professionale

L’art. 4 dell’AI Act deve essere richiamato nella formulazione risultante dalle modifiche del Regolamento UE n. 2026/1744. Il testo vigente richiede a fornitori e deployer misure a sostegno dello sviluppo dell’alfabetizzazione del personale e delle altre persone che operano per loro conto, considerando preparazione, esperienza, contesto d’uso e persone interessate. Precisa che non è richiesto di garantire a ciascuno un livello specifico di alfabetizzazione.

Per il commercialista resta la prescrizione specifica dell’art. 21, comma 9, del Codice deontologico. In caso di ricorso all’IA, essa collega i doveri di competenza e capacità adeguate dell’art. 8 alla conoscenza del funzionamento e della tecnologia utilizzata, da parte del professionista e dei suoi dipendenti e collaboratori. L’aggiornamento del testo europeo non elimina questo distinto dovere deontologico.

Sul piano formativo, è consigliabile concentrarsi sulle caratteristiche del sistema effettivamente adottato: limiti delle risposte, reperimento delle fonti, trattamento dei documenti e modalità del controllo. La preparazione dovrebbe consentire agli utilizzatori di riconoscere quando un risultato non sia verificato o quando un’informazione non debba essere trasmessa. Non si tratta di attribuire al commercialista una competenza di sviluppo informatico, ma di organizzare la conoscenza necessaria a un impiego consapevole dello strumento.

Violazioni deontologiche e sanzioni disciplinari

Il Regolamento CNDCEC recante il Codice delle sanzioni disciplinari contiene disposizioni specifiche sull’IA.

L’art. 21, comma 2-bis, prevede la sospensione fino a sei mesi per la violazione dei doveri stabiliti dall’art. 21, commi 8 e 9, del Codice deontologico. Il comma 2-ter contempla la sospensione fino a tre mesi per la violazione del comma 10, relativo all’informazione al cliente e alla parte assistita e alla menzione nella documentazione prodotta. L’art. 29, comma 2, del Regolamento stabilisce per entrambe le disposizioni l’entrata in vigore al 21 novembre 2025.

Organizzazione dello studio e controllo proporzionato

Le norme esaminate richiedono un impiego controllato dell’IA. Per tradurre i doveri in modalità di lavoro riconoscibili è consigliabile predisporre regole interne commisurate alle dimensioni dello studio, agli strumenti adottati e alle attività svolte. Questa raccomandazione non deve essere confusa con l’affermazione di un obbligo generalizzato di adottare un documento denominato AI policy o di istituire una nuova funzione organizzativa.

Una procedura interna può identificare i sistemi autorizzati, i documenti che possono essere utilizzati e quelli che richiedono verifiche preventive. È opportuno precisare chi possa accedere agli strumenti, come debbano essere gestite le informazioni dei clienti e quali controlli precedano la consegna dell’elaborato. Le regole dovrebbero essere sufficientemente concrete da orientare l’attività di dipendenti e collaboratori, evitando formule che si limitino a ripetere l’obbligo di rispettare la normativa.

La revisione può essere organizzata in relazione all’oggetto dell’incarico. Per una bozza di comunicazione dello studio, il controllo potrà concentrarsi sulla corrispondenza al contenuto approvato e sulla riservatezza. Per un parere tributario, assumono rilievo anche la completezza dei fatti, la pertinenza delle fonti, la disciplina applicabile nel tempo e la coerenza della conclusione. Si tratta di esempi organizzativi; non costituiscono una classificazione dei sistemi ad alto rischio ai sensi dell’AI Act.

Particolare attenzione richiedono gli impieghi richiamati nella pratica professionale, quali analisi della continuità aziendale, scenari relativi alla crisi d’impresa e attività di revisione. La possibilità di utilizzare l’IA per elaborazioni preliminari non sostituisce le regole specifiche dell’incarico. Prima di utilizzare il risultato occorre verificare che il processo seguito sia compatibile con la funzione ricoperta e che le valutazioni richieste restino effettivamente svolte dal professionista.

Documentazione delle verifiche e conservazione

La possibilità di ricostruire il controllo svolto è utile nell’organizzazione della pratica. È consigliabile mantenere un collegamento tra documenti esaminati, fonti riscontrate e conclusione professionale, soprattutto per gli elaborati che incidono su scelte rilevanti del cliente. Tale indicazione ha natura operativa: non introduce, sulla base delle disposizioni qui esaminate, un autonomo obbligo generale di conservare ogni conversazione con il sistema.

Conclusioni

L’impiego dell’intelligenza artificiale nella prestazione del commercialista deve preservare il ruolo del professionista nella valutazione dei fatti, nell’interpretazione delle norme e nella formulazione delle conclusioni. L’art. 13 della Legge n. 132/2025 e l’art. 21 del Codice deontologicoindividuano questo limite e vi affiancano doveri specifici di controllo, riservatezza e informazione. La rapidità di produzione di una bozza non modifica il contenuto di tali prescrizioni.

La prima conseguenza operativa riguarda la verifica dell’elaborato. Il risultato del sistema deve essere confrontato con i documenti e con le fonti effettivamente pertinenti. La revisione deve consentire di separare i fatti accertati dalle informazioni mancanti e di controllare la disciplina applicabile al caso e al periodo rilevante. Il contributo professionale si manifesta nella comprensione e nella valutazione del contenuto utilizzato, oltre che nella sua approvazione finale.

La seconda conseguenza riguarda la gestione delle informazioni. Prima di trasferire materiale dello studio a un servizio esterno occorre considerare riservatezza, dati personali, condizioni contrattuali e caratteristiche della soluzione. La minimizzazione può ridurre le informazioni trasmesse, ma non sostituisce la valutazione del trattamento; la pseudonimizzazione non equivale automaticamente all’anonimizzazione. L’informazione al cliente sul ricorso all’IA deve essere coordinata con questi adempimenti, mantenendone distinti presupposti e finalità.

La terza conseguenza riguarda l’organizzazione delle competenze e dei controlli. È consigliabile rendere riconoscibili gli utilizzi ammessi, le verifiche richieste e le persone coinvolte. La formazione va riferita agli strumenti e alle attività effettive, tenendo conto sia dell’art. 4 dell’AI Act nel testo modificato nel 2026 sia dello specifico dovere deontologico di conoscenza della tecnologia utilizzata. Le procedure interne possono agevolare l’adempimento, purché siano applicate e non considerate un’esimente formale.

Il quadro disciplinare conferma la rilevanza dei comportamenti richiesti, con previsioni differenziate per i doveri di utilizzo e controllo e per quelli informativi. Le sanzioni specifiche devono essere lette insieme alle regole generali e senza sovrapporre l’accertamento disciplinare alla responsabilità civile.

Per il commercialista, l’adozione dell’IA resta dunque una scelta da inserire nella corretta esecuzione dell’incarico, con un apporto intellettuale effettivo e verifiche commisurate alla prestazione.

Riferimenti normativi:

Il contenuto di questa newsletter è strettamente riservato e destinato esclusivamente ai destinatari autorizzati.
È espressamente vietata la condivisione totale o parziale di questa comunicazione su qualsiasi piattaforma pubblica o privata, inclusi (ma non limitati a):
• Gruppi e canali Telegram
• Chat di gruppo o broadcast su WhatsApp
• Post o storie su Facebook, Instagram, X (Twitter), LinkedIn, o altri social network.

Ogni violazione di questa norma potrà comportare l’esclusione immediata dalla lista dei destinatari e, nei casi più gravi, azioni legali.

Grazie per il rispetto delle regole e per contribuire a mantenere la riservatezza delle informazioni condivise.