AI Act italiano per commercialisti: cosa cambia nel 2026 e cosa fare adesso

L'AI Act è la cornice normativa più discussa nel mondo della professione nel 2026. La sigla copre due cose distinte: il regolamento europeo 2024/1689 sull'intelligenza artificiale (in vigore con efficacia progressiva fra il 2025 e il 2027) e la legge italiana di attuazione 132/2025, in vigore dal 10 ottobre 2025. Per uno studio commercialista che usa intelligenza artificiale nelle sue procedure, il punto chiave è capire quali sono gli obblighi pratici, cosa fare entro il mese di agosto 2026 e cosa rischia chi non si organizza.

Questa guida sintetizza, da un punto di vista operativo, le cose da fare. Non è una trattazione giuridica completa: è una traccia di lavoro.

A chi si applica e perché riguarda anche gli studi piccoli

Il regolamento europeo classifica gli usi dell'IA per livello di rischio. Per lo studio commercialista la qualifica frequente è quella di 'deployer' (utilizzatore professionale) di sistemi a rischio limitato, talvolta a rischio alto quando l'AI incide su decisioni che riguardano lavoro, credito, accesso a servizi.

Le interpretazioni dottrinali pubblicate fra fine 2025 e inizio 2026 hanno chiarito tre casi tipici dello studio.

• Uso di chatbot AI generalisti (ChatGPT, Claude, Gemini in versione business) per redigere lettere, sintesi, ricerca normativa = rischio limitato. Obblighi base di trasparenza e informativa.
• Uso di sistemi AI per scoring di rischio (clienti, fornitori, dipendenti) = rischio alto. Obblighi pesanti di audit trail, supervisione umana, valutazione di impatto.
• Uso di sistemi AI verticali fiscali (chat su normativa, analisi bilancio AI, automazione registrazioni) = rischio limitato a medio, dipende dall'uso. Tipicamente: obblighi di tracciabilità, qualità del dato, opt-out training.

Le scadenze concrete del 2026

Le dieci azioni operative da chiudere entro agosto 2026

1. Inventario degli strumenti AI usati in studio. Lista scritta: nome dello strumento, fornitore, scopo, chi lo usa, su quali dati. Senza questo non si parte.
2. Verifica DPA (Data Processing Agreement) con ogni fornitore AI. Va firmato. La versione consumer dei chatbot non ha DPA: va dismessa o portata a Team/Enterprise.
3. Verifica opt-out training su dati cliente. Controllare nelle impostazioni amministrative che i dati non finiscano nel training di modelli generali. Documentare lo screenshot.
4. Aggiornamento dell'informativa privacy. Aggiungere il paragrafo 'utilizzo di sistemi di intelligenza artificiale' con elenco delle finalità e degli strumenti.
5. Protocollo d'uso interno. Documento di una pagina che indica chi può usare quali strumenti, su quali dati, come si valida l'output. Firmato dai collaboratori.
6. Registro delle decisioni assistite da AI. Foglio di log dove si annota quando l'AI ha contribuito in modo non marginale a una decisione professionale, e chi l'ha validata.
7. Supervisione umana effettiva. Mai output AI che esce dallo studio senza revisione del professionista responsabile. È il principio cardine dell'AI Act.
8. Formazione minima del team. Almeno due ore di formazione documentate per ogni collaboratore che usa AI. Slide e foglio firme, basta.
9. Procedura di gestione incidenti. Cosa fare se l'AI produce un output erroneo che è arrivato al cliente. Chi avvisa, come si rimedia, come si traccia.
10. Verifica annuale del set up. Aggiornamento di tutti i punti sopra una volta l'anno, verbalizzato dal titolare di studio.

Cosa si rischia in caso di inadempimento

Le sanzioni del regolamento europeo sono molto pesanti per gli operatori AI (fino a 35 milioni o 7% del fatturato globale per i divieti più gravi), ma per uno studio commercialista deployer il rischio principale non è la sanzione amministrativa: è la responsabilità professionale.

Tre scenari concreti.

• Cliente che subisce un danno a seguito di un parere AI non validato dal professionista. Chiamata in responsabilità diretta del professionista, con possibile rivalsa della polizza professionale solo se la procedura era documentata.
• Garante Privacy che apre un'istruttoria per uso di chatbot consumer su dati cliente. Sanzioni amministrative GDPR + ordine di cessazione del trattamento.
• Provvedimento disciplinare dell'Ordine per uso non controllato di strumenti AI che incide sulla qualità della prestazione. È un'ipotesi nuova, già citata in documenti CNDCEC del 2025.

Cosa stanno facendo gli studi più avanti nel 2026

Negli studi pilota che osserviamo, il pattern dominante è la scelta di uno strumento AI verticale per la professione (non un chatbot generalista) che incorpori già di base i controlli richiesti dall'AI Act: audit trail integrato, hosting EU, DPA italiano firmato, opt-out training automatico, supervisione umana strutturata nel flusso di lavoro.

L'alternativa, che è ancora la maggioranza nel 2026, è uno studio che usa due o tre chatbot generalisti separati, con configurazioni non documentate, su account personali del collaboratore. Questo scenario, dal mese di agosto 2026, diventa fonte di contestazione anche in caso di prestazione corretta nel merito.

In sintesi

L'AI Act non è un divieto di usare l'AI in studio: è un obbligo di usarla bene. Le cose da fare sono dieci, sono documentali, sono chiudibili in due o tre giornate di lavoro se ci si organizza. Chi rinvia adesso ci tornerà sopra a luglio 2026 in fretta e con maggiore stress.