Commercialisti e intelligenza artificiale: obblighi, responsabilità e sanzioni

Commercialisti e intelligenza artificiale: obblighi, responsabilità e sanzioni secondo la normativa vigente

La disciplina italiana ed europea sull’utilizzo dell’IA negli studi professionali: cosa prevede la legge, cosa impone il Codice deontologico e quali sono le conseguenze disciplinari

L’intelligenza artificiale può essere utilizzata nell’attività del commercialista, ma il suo impiego non è privo di regole.

Il quadro normativo oggi applicabile è composto da più livelli: la legge 23 settembre 2025, n. 132, che contiene una specifica disposizione sulle professioni intellettuali; il Codice deontologico della professione dei dottori commercialisti e degli esperti contabili, modificato nel 2025 con l’introduzione di specifiche regole sull’intelligenza artificiale; il relativo Codice delle sanzioni disciplinari; la normativa europea sulla protezione dei dati personali e, soprattutto, il Regolamento (UE) 2024/1689, il cosiddetto AI Act, modificato nel 2026 dal Regolamento (UE) 2026/1744.

Per il commercialista il principio fondamentale è chiaro: l’intelligenza artificiale può essere uno strumento di supporto, ma non può trasformarsi nel sostituto dell’attività intellettuale che costituisce oggetto della prestazione professionale.

La disciplina specifica contenuta nella legge italiana e nel Codice deontologico va inoltre distinta dagli obblighi che possono derivare dall’AI Act in funzione della tipologia di sistema utilizzato e del ruolo assunto dall’operatore.

La legge n. 132/2025: l’articolo 13 sulle professioni intellettuali

La disposizione nazionale di riferimento è l’articolo 13 della legge 23 settembre 2025, n. 132, recante «Disposizioni e deleghe al Governo in materia di intelligenza artificiale».

La legge è stata pubblicata nella Gazzetta Ufficiale n. 223 del 25 settembre 2025 ed è entrata in vigore il 10 ottobre 2025. Il suo articolo 13 è espressamente dedicato alle professioni intellettuali.

Il primo comma stabilisce:

«L’utilizzo di sistemi di intelligenza artificiale nelle professioni intellettuali è finalizzato al solo esercizio delle attività strumentali e di supporto all’attività professionale e con prevalenza del lavoro intellettuale oggetto della prestazione d’opera».

La norma non vieta quindi l’utilizzo dell’IA da parte del professionista.

Stabilisce però due criteri fondamentali.

Il primo riguarda la funzione dell’intelligenza artificiale: il suo utilizzo deve essere finalizzato alle attività strumentali e di supporto all’attività professionale.

Il secondo riguarda la prevalenza del lavoro intellettuale: nell’erogazione della prestazione deve rimanere prevalente il lavoro intellettuale oggetto della prestazione d’opera.

La legge non contiene, invece, un elenco tassativo delle singole attività che il commercialista può o non può affidare a un sistema di IA.

Non è quindi corretto ricavare dall’articolo 13 un catalogo legislativo di attività «consentite» e «vietate». Il criterio stabilito dal legislatore riguarda la funzione che l’IA assume rispetto alla prestazione professionale.

L’obbligo di informazione al cliente

Il secondo comma dell’articolo 13 introduce una specifica regola nel rapporto tra professionista e cliente.

La disposizione stabilisce che, per assicurare il rapporto fiduciario tra professionista e cliente, le informazioni relative ai sistemi di intelligenza artificiale utilizzati dal professionista devono essere comunicate al soggetto destinatario della prestazione intellettuale.

La comunicazione deve avvenire con un linguaggio:

• chiaro;
• semplice;
• esaustivo.

Si tratta quindi di un obbligo previsto direttamente dalla legge nazionale e non soltanto di una raccomandazione di buona prassi.

La norma non stabilisce però, nel suo testo, un modello standard di informativa né prescrive un particolare formato della comunicazione.

Sarà quindi necessario che l’informazione sia effettivamente adeguata alla prestazione e consenta al destinatario di conoscere l’utilizzo dei sistemi di IA rilevanti nell’erogazione dell’attività professionale.

Il Codice deontologico dei commercialisti

Per gli iscritti all’Albo la disciplina legislativa è stata ulteriormente specificata dal CNDCEC attraverso la modifica del Codice deontologico della professione.

Le nuove disposizioni sull’utilizzo dell’intelligenza artificiale sono state inserite nell’articolo 21, attraverso i commi 8, 9 e 10.

Le modifiche sono state deliberate dal CNDCEC il 20 novembre 2025 e sono entrate in vigore il 21 novembre 2025.

Questa disciplina è particolarmente importante perché traduce il principio generale della legge in obblighi professionali specifici.

Articolo 21, comma 8: l’IA è uno strumento di supporto

Il nuovo comma 8 dell’articolo 21 stabilisce che il professionista può utilizzare sistemi di intelligenza artificiale, nell’esecuzione dell’incarico, esclusivamente per attività strumentali e di supporto alla propria attività professionale.

Il risultato della prestazione deve essere prevalentemente il prodotto dell’attività intellettuale del professionista.

Tale attività deve essere svolta nel rispetto dei principi di:

• competenza;
• diligenza;
• qualità;
• indipendenza;
• autonomia.

La disposizione contiene inoltre un limite espresso: il professionista non può utilizzare l’IA in modo tale che essa sostituisca la propria attività intellettuale o la propria valutazione e interpretazione dei fatti e delle norme oggetto dell’incarico professionale.

La conseguenza è particolarmente significativa nell’attività tributaria.

Un sistema di IA può assistere il professionista nella fase di lavoro, ma la valutazione professionale della questione fiscale rimane in capo al commercialista.

Non è quindi corretto affermare che l’IA sia vietata negli studi professionali. È invece previsto che il suo utilizzo rimanga strumentale e di supporto e che non sostituisca l’attività intellettuale del professionista.

La verifica delle fonti e dei dati: articolo 21, comma 9

Il comma 9 dell’articolo 21 introduce una disciplina ancora più puntuale.

Quando il professionista si avvale del contributo di sistemi di intelligenza artificiale, assume pienamente la responsabilità e il controllo.

La disposizione impone al professionista di verificare, tra l’altro:

• le fonti;
• la veridicità dei dati;
• la veridicità delle informazioni utilizzate;
• l’adeguatezza delle misure di sicurezza;
• l’adeguatezza delle misure di riservatezza;
• la conformità del sistema alla normativa sulla protezione dei dati personali.

Questo è uno dei punti centrali della disciplina deontologica.

Il risultato prodotto da un sistema di IA non può essere assunto automaticamente come corretto soltanto perché appare plausibile, completo o tecnicamente elaborato.

Il commercialista deve effettuare il controllo richiesto dal proprio obbligo professionale.

La regola assume particolare importanza nell’attività fiscale, nella quale una risposta errata relativa a una norma, a un adempimento o a un orientamento giurisprudenziale può incidere direttamente sulla prestazione resa al cliente.

Nessuna esimente per l’utilizzo dell’IA

Il Codice deontologico chiarisce inoltre che il ricorso ai sistemi di intelligenza artificiale non costituisce un’esimente rispetto agli obblighi deontologici e alle norme vigenti.

L’utilizzo della tecnologia, pertanto, non elimina né attenua automaticamente gli obblighi professionali dell’iscritto.

Il commercialista che utilizza l’IA deve continuare a rispettare gli obblighi derivanti dalla legge e dal Codice deontologico.

La competenza sul sistema utilizzato

La disciplina del comma 9 non si limita alla verifica dell’output.

I doveri di competenza e capacità adeguate comportano, in caso di utilizzo dell’IA, la conoscenza del funzionamento e della tecnologia utilizzata da parte del professionista e, per quanto rileva nell’organizzazione dello studio, dei dipendenti e collaboratori interessati.

La disposizione non richiede che il commercialista possieda competenze da sviluppatore o informatico.

Richiede però una conoscenza adeguata alla tecnologia utilizzata e alla funzione che essa svolge nell’attività professionale.

La questione diventa quindi anche organizzativa: uno studio che consente l’utilizzo di sistemi di IA da parte di collaboratori e dipendenti deve considerare anche le competenze necessarie al loro utilizzo corretto.

Articolo 21, comma 10: informare il cliente

Il comma 10 dell’articolo 21 disciplina specificamente il rapporto con il cliente.

Il professionista deve comunicare al cliente e alla parte assistita le informazioni relative ai sistemi di intelligenza artificiale utilizzati nell’erogazione della prestazione professionale.

Anche in questo caso il Codice richiede un linguaggio:

• chiaro;
• semplice;
• esaustivo.

La disposizione prevede inoltre che tali informazioni siano riportate anche nell’eventuale documentazione prodotta.

La previsione deontologica costituisce quindi una disciplina specifica per gli iscritti all’Albo e si coordina con l’obbligo informativo già previsto dall’articolo 13 della legge n. 132/2025.

È importante distinguere questo obbligo dalle diverse regole di trasparenza previste dall’AI Act: non si tratta della stessa disposizione né della stessa fattispecie.

Le sanzioni disciplinari

Il quadro è completato dal Codice delle sanzioni disciplinari del CNDCEC.

La modifica dell’articolo 21 del Codice delle sanzioni ha introdotto due specifiche previsioni.

La violazione dei doveri previsti dall’articolo 21, commi 8 e 9, del Codice deontologico comporta la sanzione disciplinare della sospensione fino a sei mesi.

La violazione dei doveri previsti dall’articolo 21, comma 10, comporta invece la sospensione fino a tre mesi.

La distinzione è quindi precisa:

Non è quindi corretto limitarsi ad affermare genericamente che «l’utilizzo scorretto dell’IA può comportare sanzioni»: il Codice delle sanzioni individua espressamente le conseguenze disciplinari per le violazioni dei nuovi obblighi.

Naturalmente, la previsione della sanzione edittale non significa che ogni violazione determini automaticamente il massimo della sospensione: la sanzione concreta deve essere applicata nell’ambito del procedimento disciplinare secondo le regole dell’ordinamento professionale.

Privacy: l’IA non cambia le regole sui dati personali

Un ulteriore livello di disciplina riguarda la protezione dei dati personali.

L’utilizzo di un sistema di IA non consente al professionista di inserire indiscriminatamente nel sistema dati e documenti relativi ai clienti.

Resta applicabile il Regolamento (UE) 2016/679 (GDPR), oltre alla normativa nazionale in materia di protezione dei dati personali.

Il Codice deontologico richiama espressamente, nell’articolo 21, comma 9, la necessità di verificare la conformità del sistema alla normativa sulla protezione dei dati personali.

Prima di utilizzare un sistema di IA con dati riferibili ai clienti occorre quindi valutare, in relazione al concreto trattamento, gli aspetti previsti dalla normativa privacy: base giuridica, finalità, minimizzazione, sicurezza, conservazione dei dati, ruoli privacy e condizioni del servizio utilizzato.

Non è invece corretto affermare, in via generale, che ogni utilizzo dell’IA richieda automaticamente una valutazione d’impatto sulla protezione dei dati.

La DPIA deve essere effettuata quando ricorrono i presupposti previsti dall’articolo 35 GDPR, cioè quando il trattamento, in particolare se effettuato mediante nuove tecnologie, è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche.

L’AI Act europeo: una disciplina distinta

Accanto alla legge italiana e alla disciplina professionale opera il Regolamento (UE) 2024/1689, l’AI Act.

L’AI Act stabilisce un quadro armonizzato europeo per l’intelligenza artificiale e utilizza un approccio basato sul rischio.

Il regolamento distingue, tra l’altro, pratiche di IA vietate, sistemi ad alto rischio, obblighi di trasparenza e sistemi di IA per finalità generali.

Per il commercialista è importante non confondere i due piani.

La legge n. 132/2025 e il Codice deontologico stabiliscono specificamente le regole che interessano l’esercizio della professione.

L’AI Act, invece, disciplina i sistemi di IA e gli operatori in funzione della specifica fattispecie, della tipologia del sistema e del ruolo ricoperto.

Il semplice fatto che un commercialista utilizzi un sistema di IA non significa, automaticamente, che egli assuma ogni possibile ruolo previsto dall’AI Act. La qualificazione deve essere effettuata sulla base delle definizioni e delle disposizioni del regolamento.

Alfabetizzazione sull’IA

Tra le disposizioni dell’AI Act già applicabili assume rilievo l’articolo 4, relativo all’alfabetizzazione in materia di IA.

La disposizione impone a fornitori e deployer di adottare misure per garantire, nella misura necessaria, un livello sufficiente di alfabetizzazione in materia di IA del personale e delle altre persone che operano e utilizzano sistemi di IA per loro conto.

L’obbligo è entrato nella prima fase di applicazione dell’AI Act.

Per gli studi professionali il tema si collega anche al Codice deontologico, che richiede la conoscenza del funzionamento e della tecnologia utilizzata.

Non si tratta di un obbligo di trasformare il commercialista in un tecnico informatico. Il livello di conoscenza deve essere adeguato al sistema utilizzato e all’attività nella quale viene impiegato.

Il calendario dell’AI Act aggiornato al 2026

Il calendario dell’AI Act deve essere letto alla luce delle modifiche introdotte dal Regolamento (UE) 2026/1744.

Il regolamento conferma la data generale di applicazione del 2 agosto 2026, ma modifica il calendario di alcune disposizioni relative ai sistemi ad alto rischio.

In particolare, il capo III, sezioni 1, 2 e 3, dell’AI Act si applica:

• dal 2 dicembre 2027 per i sistemi classificati ad alto rischio ai sensi dell’articolo 6, paragrafo 2, e dell’allegato III;
• dal 2 agosto 2028 per i sistemi classificati ad alto rischio ai sensi dell’articolo 6, paragrafo 1, e dell’allegato I.

La modifica del 2026 non equivale quindi a un rinvio generalizzato dell’intero AI Act.

Il regolamento continua ad avere un’applicazione progressiva e occorre verificare, per ciascuna disposizione, la relativa data di applicazione.

Le regole sulla trasparenza dei contenuti

Anche sul tema della trasparenza è necessario evitare semplificazioni.

L’articolo 50 dell’AI Act introduce specifici obblighi di trasparenza per determinate categorie di sistemi e contenuti.

Non è corretto trasformare tale disciplina nell’affermazione generale secondo cui ogni documento redatto con l’aiuto dell’IA deve essere necessariamente contrassegnato come contenuto generato dall’intelligenza artificiale.

La disciplina dipende dalla specifica fattispecie prevista dal regolamento.

Esiste inoltre un regime transitorio introdotto dal Regolamento UE 2026/1744: i fornitori di sistemi, compresi i sistemi di IA per finalità generali, che generano contenuti sintetici audio, immagine, video o testo e che siano stati immessi sul mercato prima del 2 agosto 2026 devono adottare le misure necessarie per conformarsi all’articolo 50, paragrafo 2, entro il 2 dicembre 2026.

Si tratta di una disciplina diversa dall’obbligo deontologico del commercialista di informare il cliente sull’utilizzo dell’IA.

Un esempio: l’IA nella ricerca tributaria

Il caso della ricerca tributaria permette di comprendere concretamente il confine fissato dalla normativa.

Il commercialista può utilizzare un sistema di IA come strumento di supporto per organizzare informazioni, effettuare una prima ricognizione documentale o assistere alcune fasi preparatorie del lavoro.

Il risultato fornito dal sistema non può però essere assunto automaticamente come soluzione professionale.

Il professionista deve verificare le fonti, la correttezza e la veridicità delle informazioni e deve svolgere autonomamente la valutazione della questione sottoposta dal cliente.

Se il sistema restituisce un riferimento normativo inesistente, una disposizione non più vigente oppure un’interpretazione errata, il professionista non può giustificare l’utilizzo dell’informazione limitandosi a rilevare che essa proveniva dal sistema di IA.

È proprio questo il significato della responsabilità e del controllo richiesti dall’articolo 21, comma 9, del Codice deontologico.

L’IA nello studio: il problema diventa anche organizzativo

La nuova disciplina porta l’intelligenza artificiale al di fuori della sola dimensione tecnologica.

Per uno studio professionale diventano rilevanti anche le modalità organizzative attraverso le quali l’IA viene utilizzata.

Occorre infatti considerare:

• quali sistemi sono utilizzati;
• per quali attività;
• quali soggetti possono utilizzarli;
• quali dati possono essere inseriti;
• quali controlli devono essere effettuati sugli output;
• come vengono gestiti sicurezza e riservatezza;
• quali informazioni devono essere fornite al cliente;
• quale formazione è necessaria per chi utilizza gli strumenti.

Questi elementi non costituiscono, tutti indistintamente, una checklist prevista da un unico articolo di legge. Sono il risultato del coordinamento tra obblighi professionali, normativa sull’IA e disciplina della protezione dei dati.

È quindi opportuno che lo studio definisca procedure interne coerenti con gli strumenti concretamente utilizzati.

Cosa non dice la normativa

Proprio perché la disciplina è recente, è utile chiarire anche ciò che non è previsto.

La normativa non stabilisce che:

• il commercialista non possa utilizzare ChatGPT o altri sistemi di IA;
• ogni utilizzo dell’IA richieda necessariamente una DPIA;
• ogni documento predisposto con l’ausilio dell’IA debba automaticamente riportare la dicitura «redatto con IA»;
• ogni errore prodotto da un sistema di IA determini automaticamente una sanzione disciplinare;
• il commercialista debba conoscere il codice sorgente del sistema utilizzato;
• esista un elenco legislativo delle singole attività fiscali che possono essere affidate all’IA.

Queste affermazioni sarebbero eccessive rispetto al contenuto delle fonti.

La normativa stabilisce invece principi, obblighi di controllo, obblighi informativi e, per la professione, specifiche conseguenze disciplinari.

Il punto centrale: l’IA può assistere, ma il giudizio professionale resta umano

Il quadro normativo oggi vigente può essere riassunto in una regola fondamentale.

Il commercialista può utilizzare l’intelligenza artificiale come strumento di supporto, ma non può trasferire al sistema la propria attività intellettuale, né la valutazione e l’interpretazione dei fatti e delle norme oggetto dell’incarico.

La legge n. 132/2025 pone il principio generale.

Il Codice deontologico CNDCEC lo traduce in obblighi professionali concreti: controllo, verifica delle fonti e dei dati, competenza, sicurezza, riservatezza, autonomia e informazione del cliente.

Il Codice delle sanzioni rende effettive tali prescrizioni prevedendo, per le specifiche violazioni, la sospensione fino a sei mesi o fino a tre mesi.

L’AI Act europeo opera su un piano ulteriore, disciplinando i sistemi di IA e i relativi operatori secondo un approccio basato sul rischio e secondo un calendario di applicazione progressivo, recentemente modificato dal Regolamento UE 2026/1744.

Per il professionista, dunque, il vero passaggio normativo non consiste nel divieto o nell’autorizzazione dell’intelligenza artificiale.

Consiste nella definizione di una responsabilità professionale nell’utilizzo dell’IA.

La tecnologia può assistere il commercialista. Non può sostituire il professionista nell’esercizio del giudizio che costituisce il contenuto della prestazione.