Una bozza di lettera all'Agenzia, il riassunto di una circolare, la ricerca di una prassi, il controllo di un bilancio prima del deposito: in uno studio di commercialisti o di consulenti del lavoro l'AI ha usi concreti. Il problema è cosa ci carichi. Buste paga, bilanci non ancora pubblici, dati dei dipendenti dei clienti. Qui trovi dove finiscono quei file, cosa hanno scritto il CNDCEC e il Consiglio nazionale dei consulenti del lavoro, come dirlo nel mandato e cosa chiedere a chi ti propone uno strumento. È informazione, non consulenza: per il tuo studio ci sono il tuo Ordine e il tuo consulente privacy.
Una busta paga non è un documento qualsiasi
Un cedolino contiene più di nomi e importi. Un'assenza per malattia è un dato sulla salute. Una trattenuta per la quota associativa dice a quale sindacato è iscritta la persona. Sono le «categorie particolari» dell'art. 9 del GDPR, che al paragrafo 1 ne vieta il trattamento e al paragrafo 2, lettera b), lo ammette quando serve per gli obblighi di diritto del lavoro e sicurezza sociale, «in presenza di garanzie appropriate». Lo studio li tratta per conto dei clienti, su decine o centinaia di dipendenti di altre aziende.
Con i servizi di AI online i documenti escono dallo studio e finiscono su servizi esteri. Il cedolino caricato per «controllare se torna» fa lo stesso percorso di una domanda qualsiasi. Lo stesso vale per il bilancio che non è ancora stato depositato, per l'appunto sulla strategia in una verifica fiscale, per la lettera con cui il cliente spiega perché non ha pagato. Il codice deontologico dei commercialisti, all'art. 10, chiede «l'assoluto riserbo e la riservatezza delle informazioni acquisite nell'esercizio della professione» e di vigilare perché lo rispettino anche tirocinanti, dipendenti e collaboratori. Il fornitore che tiene i tuoi file è parte di quella catena.
Cosa hanno scritto gli Ordini
Tutto parte dall'art. 13 della legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025: l'AI nelle professioni intellettuali serve solo per «attività strumentali e di supporto», con prevalenza del lavoro intellettuale, e le informazioni sui sistemi usati vanno comunicate al cliente «con linguaggio chiaro, semplice ed esaustivo». I due Consigli nazionali si sono mossi nelle stesse settimane.
Commercialisti. Il 9 ottobre 2025 il CNDCEC ha pubblicato una clausola contrattuale tipo per l'informativa ai clienti. Il 3 novembre, con l'informativa n. 156/2025, ha diffuso la terza guida operativa «L'aiuto intelligente al Commercialista», scritta con la Fondazione nazionale: dentro ci sono policy, checklist, registri e la clausola per il mandato (appendice D). La guida dice anche di aver analizzato, per le applicazioni di AI più diffuse, «le finalità e i titolari del trattamento, l'ubicazione dei server», e dedica un'appendice a valutare soluzioni in locale per «gestire "in locale" i dati utilizzati». Il 20 novembre 2025 il Consiglio nazionale ha modificato il codice deontologico: l'art. 21, commi 8-10, in vigore dal 21 novembre 2025, impone di usare l'AI solo per attività strumentali, di «accertarsi che i sistemi di intelligenza artificiale di cui si avvale siano dotati di adeguate misure di sicurezza e riservatezza» e di comunicare al cliente i sistemi usati, «facendone menzione […] anche nella eventuale documentazione prodotta».
Consulenti del lavoro. Il 6 ottobre 2025 il Consiglio nazionale dell'Ordine ha mandato ai Consigli provinciali una nota sul principio di trasparenza. L'obbligo di informare il cliente «non può ridursi a un mero adempimento formale, ma deve tradursi in una comunicazione effettiva e comprensibile». Le raccomandazioni: usare l'AI «esclusivamente come strumento di supporto», redigere «comunicazioni chiare e tracciabili», tenere «il pieno controllo dei processi decisionali», adottare protocolli interni coerenti con sicurezza e affidabilità.
La clausola nel mandato: cosa aggiungere sul «dove»
La clausola in appendice D della guida del CNDCEC è in quattro punti: usi ausiliari (ricerca, bozze, contenuti non decisionali) con controllo umano effettivo; nessuna decisione automatizzata ai sensi dell'art. 22 del GDPR; impegno a informare, se richiesto, su strumenti, finalità e misure adottate; diritto del cliente di chiedere, con motivazione, l'esclusione dell'AI dall'incarico. C'è anche una versione breve: lo studio usa strumenti di AI per attività di supporto e ogni risultato è rivisto da un professionista.
Nessuna delle due dice dove vanno i documenti. Se vuoi che il cliente lo sappia prima di chiedertelo, puoi aggiungere, con il tuo consulente, tre righe: lo strumento usato e dove gira (server dello studio, data center in Italia, servizio fuori dall'Unione europea); se i file restano conservati dal fornitore e se servono ad addestrare i suoi modelli; chi è il responsabile del trattamento per conto dello studio, con il contratto dell'art. 28 del GDPR. Sono gli stessi tre punti che la nota dei consulenti del lavoro chiama «comunicazioni chiare e tracciabili».
Chi vede cosa dentro lo studio
C'è una domanda che negli studi associati pesa più del fornitore: i permessi. Chi elabora i cedolini del cliente A non ha motivo di interrogare i bilanci del cliente B. Con un'AI condivisa da tutto lo studio, senza permessi per cliente, la risposta a «mostrami gli stipendi dei dirigenti» arriva a chiunque la chieda. Quando valuti uno strumento, chiedi se i documenti si assegnano per cliente e per persona, se un collaboratore vede solo i suoi, e se esiste un registro che dice chi ha letto cosa. Un registro serve anche a te: l'art. 21, comma 9, del codice deontologico ti chiede di assumerti «la responsabilità e il controllo» dei sistemi che usi.
Cosa chiedere a chi ti propone un'AI per lo studio
| Domanda | Perché conta |
|---|---|
| Dove girano i modelli e dove stanno i file? | Paese e macchina, per iscritto. «In cloud» non basta. |
| I file vengono conservati? Per quanto? Servono ad addestrare? | Il cedolino di marzo non deve essere ancora lì a dicembre. |
| Chi, nel fornitore, può leggere i documenti? | Persone che devono avere un obbligo di riservatezza (art. 28, par. 3, lett. b, del GDPR). |
| C'è un contratto da responsabile del trattamento? | Istruzioni scritte, misure di sicurezza, cancellazione o restituzione a fine servizio (art. 28, par. 3). |
| I permessi sono per cliente e per persona? | Vedi sopra: è il punto che decide se lo strumento è usabile in uno studio associato. |
| C'è un registro degli accessi? | Per rispondere al cliente, e per il tuo controllo. |
| Cosa succede a fine contratto? | Restituzione dei file e cancellazione delle copie, con prova. |
Con un'AI privata, buste paga e bilanci restano nello studio
Un'AI privata usa modelli aperti installati su un server in Italia: nella sede dello studio, su una macchina dedicata a noleggio in un data center italiano, oppure in uno spazio condiviso con i dati separati, pensato per gruppi di professionisti e studi associati. Gli assistenti si creano con i documenti, gli strumenti e i permessi di ogni cliente: chi segue l'azienda vede i suoi cedolini e i suoi bilanci, gli altri no, e il registro tiene traccia degli accessi. Si usa dalla chat interna o, dal gestionale dello studio, via API. Qui trovi come funziona: AI privata per studi e gruppi di professionisti →. Se vuoi provarla sui tuoi documenti, raccontaci il tuo caso.
Domande frequenti
Devo dirlo al cliente anche se uso l'AI solo per le circolari?
L'art. 13 della legge 132/2025 parla dei «sistemi di intelligenza artificiale utilizzati», senza distinguere per uso, e il codice dei commercialisti chiede di farne menzione anche nella documentazione prodotta. Per il tuo caso, chiedi al tuo Ordine.
Basta togliere i nomi dalle buste paga?
Non sempre. In un provvedimento del 2026 il Garante ha ritenuto non anonimi dati senza nome ma con un codice per persona e dettagli sufficienti a isolarla. Un cedolino senza nome, con matricola, reparto e importi, è spesso riconoscibile. E il percorso del file verso il servizio estero non cambia.
E l'AI Act?
Il regolamento (UE) 2024/1689 è citato dalla clausola del CNDCEC e dalla legge 132/2025 per le definizioni; per gli obblighi del tuo studio, il riferimento è il tuo Ordine.
Fonti: legge 23 settembre 2025, n. 132, art. 13 (Normattiva); regolamento (UE) 2016/679, artt. 9 e 28 (testo sul sito del Garante); comunicato del CNDCEC del 9 ottobre 2025 sulla clausola tipo; informativa CNDCEC n. 156/2025 del 3 novembre 2025; guida operativa «L'aiuto intelligente al Commercialista» n. 3, appendici C e D (CNDCEC e FNC); codice deontologico dei commercialisti modificato il 20 novembre 2025, artt. 10, 21 e 45; nota del Consiglio nazionale dell'Ordine dei consulenti del lavoro del 6 ottobre 2025; comunicato del Garante del 2 ottobre 2026 sui dati non anonimi.