IA e segreto professionale: il terzo che non si può citare in giudizio

Mon, 24 Aug 2026 00:00:00 +0000

Quando l’FBI ha sequestrato i dispositivi di Bradley Heppner, dirigente d’azienda imputato per frode sui titoli, gli agenti vi hanno trovato trentuno documenti di un genere nuovo. Non erano né messaggi di posta elettronica, né appunti, né scambi con il suo avvocato. Erano le sue conversazioni con una piattaforma di intelligenza artificiale destinata al grande pubblico, nelle quali aveva esposto la propria strategia difensiva, soppesato gli argomenti di fatto e di diritto che avrebbe potuto opporre e anticipato ciò che l’accusa gli avrebbe contestato. Aveva tenuto quegli scambi dopo aver ricevuto una citazione a comparire davanti al gran giurì, e senza che il suo difensore glielo avesse chiesto.

Il 10 febbraio 2026 il giudice Jed Rakoff, del tribunale federale del distretto meridionale di New York, ha stabilito che quei documenti non erano coperti da alcuna protezione.

Lo stesso giorno, a ottocento chilometri di distanza, un altro tribunale federale ha stabilito il contrario.

Due decisioni, due dottrine, un solo gesto

In Warner v. Gilbarco , il tribunale federale del distretto orientale del Michigan ha rifiutato di obbligare un’attrice priva di difensore a produrre le tracce del proprio uso di strumenti di IA generativa nella preparazione della causa. Il ragionamento sta in una formula: le piattaforme di IA sono strumenti, non persone. Sottoporre un documento a uno strumento non equivale a divulgarlo alla controparte. La protezione del lavoro preparatorio, ciò che il diritto statunitense chiama work product, è dunque sopravvissuta.

In United States v. Heppner , la cui motivazione scritta è stata pubblicata il 17 febbraio, il tribunale newyorkese ha concluso che gli scambi dell’imputato con la piattaforma non erano coperti né dal segreto professionale dell’avvocato né dalla protezione del lavoro preparatorio. Il giudice si è fondato sulle condizioni generali della piattaforma, che indicano che gli input e gli output possono essere conservati, utilizzati per l’addestramento e comunicati a terzi, comprese le autorità pubbliche. Un utente informato di ciò non poteva ragionevolmente attendersi riservatezza.

Entrambi gli esiti si difendono perfettamente. Il segreto dell’avvocato cade non appena vi sia divulgazione a un terzo, chiunque esso sia. La protezione del lavoro preparatorio cade solo in caso di divulgazione alla controparte. Due dottrine distinte, un medesimo gesto, due esiti opposti.

Ciò che nessuna delle due decisioni esamina è l’ipotesi che entrambe condividono. Ed è quell’ipotesi a non reggere il confronto con il resto del diritto.

Il paragone che nessuno fa

Affidare i fascicoli dei clienti a un fornitore di hosting non è mai stato trattato, di per sé, come una rinuncia al segreto.

Eppure il fornitore è un terzo, senza discussione possibile. Detiene i documenti sulle proprie apparecchiature. Può essere costretto a produrli, e lo è stato in diverse giurisdizioni. Nessun ordine forense, nessun tribunale, nessun regolatore professionale ne ha però dedotto che ricorrere a un servizio di hosting distrugga il segreto per principio.

La linea di demarcazione non è dunque mai stata la semplice presenza di un intermediario tecnico. Ce n’è sempre uno. La posta trasporta la lettera. Il corriere detiene il fascicolo. L’operatore instrada la chiamata. Ciascuno è un terzo in senso letterale, e nessuno fa cadere il segreto per la sua sola esistenza.

Ciò che distingueva il fornitore di hosting era più stretto e più preciso di quanto la giurisprudenza enunci di solito. Archiviava senza leggere. Non poteva dedurre nulla dal contenuto. Non aveva alcuna capacità di sapere ciò che deteneva.

Ciò che proteggeva il fornitore di hosting non era il suo status giuridico di terzo, era la sua incapacità tecnica di sapere ciò che deteneva.

Questo criterio funziona in silenzio da due decenni. Nessuno ha avuto bisogno di scriverlo, perché nessun intermediario lo aveva ancora messo in difficoltà.

Ciò che i giudici decidono realmente

Una volta enunciato il criterio, le decisioni di febbraio cambiano natura.

Un tribunale che tratta la sottoposizione di un documento a un’IA generativa come una divulgazione a un terzo non sta applicando una vecchia regola a fatti nuovi. Sta constatando che questo preciso intermediario non è come gli altri. Che tratta invece di archiviare. Che al suo interno accade qualcosa che non accade all’interno di un disco rigido.

Il tribunale federale del Kansas ha formulato la dimensione pratica senza giri di parole in Jefferies v. Harcros Chemicals , il 25 marzo 2026. Ha esteso l’ordine di protezione a tutti gli atti del procedimento, compresi quelli non riservati, sul presupposto che sia praticamente impossibile recuperare un dato una volta che è stato sottoposto a uno strumento di IA aperto, perché è servito ad addestrare il modello. La conservazione non è una politica commerciale rinegoziabile. È una proprietà del funzionamento del sistema.

Messe una in fila all’altra, queste decisioni equivalgono a riconoscere, nel vocabolario del diritto delle prove, una capacità che il diritto non ha mai dovuto attribuire a un server.

La posizione francese e ciò che i suoi criteri presuppongono

L’enunciato più netto non viene da un tribunale ma dalla regolamentazione professionale.

Il Conseil national des barreaux, il consiglio nazionale forense francese, ha pubblicato nel settembre 2024 la sua prima guida pratica sull’IA generativa, poi adottato il 17 marzo 2026 una guida su deontologia e intelligenza artificiale . La prima è categorica sul punto centrale: l’avvocato non deve comunicare a un sistema di IA generativa dati coperti dal segreto professionale, e ciò vale per il nome del cliente come per qualsiasi informazione strategica o riservata. L’alternativa raccomandata è il lavoro su insiemi di dati pseudonimizzati, nei quali gli elementi identificativi sono stati sostituiti.

Il commento dei pratici alla posizione francese, in particolare la guida comparativa di Baker McKenzie sul segreto professionale , ne ricava quattro condizioni cumulative. Il segreto sopravvive all’uso di uno strumento di IA generativa unicamente se la piattaforma preserva una riservatezza completa, senza riutilizzo, addestramento né accesso di terzi; se è gestita esclusivamente sotto il controllo dell’avvocato o dello studio; se serve a una finalità giuridica rientrante nel mandato di consulenza o di difesa; e se il risultato riflette il ragionamento proprio dell’avvocato anziché il trattamento autonomo del sistema.

Su quest’ultima condizione vale la pena soffermarsi.

Perché il segreto tenga, occorre che il sistema non abbia apportato un trattamento suo proprio.

Un criterio redatto in questi termini ha senso solo se si ritiene il sistema capace di apportare un trattamento suo proprio. Nessuno scrive una regola che esiga che uno schedario non abbia ragionato sui documenti che contiene. La condizione esiste perché mira a qualcosa che uno schedario non può fare.

Lo stesso riconoscimento implicito si annida nella raccomandazione di pseudonimizzazione. Sostituire gli elementi identificativi prima della trasmissione è necessario solo se si suppone che il sistema potrebbe altrimenti collegarli, conservarli o dedurne qualcosa. Un supporto di puro archivio non richiederebbe alcuna precauzione del genere.

Non voler leggere, non poter leggere

Un’obiezione sorge immediatamente: anche il fornitore di hosting può essere costretto a produrre, allora perché un intermediario fa cadere il segreto e l’altro no?

La risposta si trova nel Codice deontologico modello del CCBE , ed è più precisa di quanto l’obiezione supponga. L’avvocato europeo deve esigere dai propri collaboratori, dal proprio personale e da chiunque coinvolga nella fornitura dei suoi servizi che osservino il medesimo obbligo di riservatezza. L’obbligo si propaga lungo la catena.

Un fornitore di hosting può essere integrato in quella catena. Firma un contratto di responsabile del trattamento. Accetta impegni di riservatezza. Può essere sottoposto ad audit e può essere citato in giudizio in caso di inadempimento. Il terzo è vincolato.

Una piattaforma di IA generativa che conserva i contenuti ricevuti e vi si addestra non può essere integrata nella catena allo stesso modo, perché ciò che occorrerebbe impedire non è un comportamento ma un’architettura. Un impegno a non addestrarsi sui dati in ingresso è una promessa relativa a un’intenzione. È opponibile al fornitore, ma non modifica ciò per cui il sistema è costruito, e non è verificabile dall’esterno.

È tutta la distanza tra un prestatore che non vuole leggere e un prestatore che non può leggere. Solo il secondo sopravvive a un cambio di azionista, a una revisione delle condizioni generali o a un ordine giudiziario. Abbiamo esaminato esattamente questo meccanismo a proposito del conflitto tra Data Act e CLOUD Act : una garanzia giuridica non vale mai più della giurisdizione che la ospita, mentre un’impossibilità tecnica non dipende da nessuna.

L’asimmetria

È qui che l’analisi arriva in un punto scomodo.

Il medesimo ordinamento giuridico che accetta di riconoscere una capacità di trattamento quando la questione è quella della rinuncia al segreto rifiuta di riconoscere alcunché quando la questione è quella della responsabilità.

La personalità elettronica era stata proposta dal Parlamento europeo nella sua risoluzione del 16 febbraio 2017 recante norme di diritto civile sulla robotica , al paragrafo 59, lettera f. Il testo suggeriva che ai robot autonomi più sofisticati potesse a termine essere riconosciuto uno status che consentisse di ritenerli responsabili dei danni che causano. La proposta è stata abbandonata dopo che una lettera aperta firmata da diverse centinaia di esperti vi si è opposta. La loro obiezione principale era solida: attribuire personalità alle macchine creerebbe un veicolo che permetterebbe ai fabbricanti di scaricare una responsabilità che spetta a loro.

La posizione si è dunque stabilizzata. Un sistema autonomo che causa un danno è un prodotto, uno strumento, lo strumento di chi lo ha impiegato. Non ha personalità giuridica. La responsabilità ricade su un attore umano o su una persona giuridica, e non può essere altrimenti, poiché non esiste altro luogo su cui farla ricadere.

Le due proposizioni funzionano oggi allo stesso tempo.

O il sistema è capace di ricevere una comunicazione nel senso giuridico del termine, e allora la sua capacità è riconosciuta per privare un cliente della sua protezione, mentre viene negata per risparmiare a chiunque il peso di una responsabilità. Oppure è uno strumento, e sottoporgli un documento non è più una divulgazione di quanto lo sia salvare un file su un disco, nel qual caso il ragionamento di febbraio crolla.

Il contesto europeo accentua lo squilibrio anziché correggerlo. La direttiva sulla responsabilità in materia di IA, annunciata come ritirata già nel programma di lavoro della Commissione del febbraio 2025, è stata ufficialmente abbandonata nell’ottobre 2025 . Era lo strumento destinato a trattare precisamente questa difficoltà. Resta la direttiva riveduta sulla responsabilità per danno da prodotti difettosi , che ora include il software e i sistemi di IA, ma che esige un difetto, un danno e un nesso di causalità, e che protegge le persone fisiche contro le lesioni personali, i danni materiali e la distruzione di dati. Il suo recepimento è dovuto solo entro il 9 dicembre 2026, e si applicherà unicamente ai prodotti immessi sul mercato dopo tale data.

L’obiezione prevedibile e la risposta

Un lettore attento replicherà che il diritto riconosce correntemente una capacità a un oggetto e non a un altro, senza che ciò costituisca un’incoerenza. Un animale può causare un danno giuridicamente rilevante senza avere personalità. Una società commerciale ha personalità per contrattare, e non per tutte le finalità in tutti gli ordinamenti. Riconoscere una capacità di trattamento a fini probatori non obbliga dunque nessuno a riconoscere una personalità a fini di responsabilità. Domande diverse, risposte diverse.

L’obiezione è seria, e sarebbe decisiva se l’asimmetria giocasse nei due sensi.

Gioca in uno solo. Là dove la capacità del sistema è accolta, il costo è sopportato dal cliente la cui protezione scompare. Là dove quella stessa capacità sarebbe servita a ripartire la responsabilità, diventa introvabile. Il risultato cade sempre dallo stesso lato.

Un’asimmetria che favorisce sistematicamente la stessa parte non è una distinzione dottrinale. È una ripartizione del rischio, e dovrebbe essere discussa come tale.

Che cosa comporta concretamente

Nulla di tutto ciò suggerisce che le professioni legali debbano rinunciare a questi strumenti. I testi professionali europei non lo dicono affatto, e il CCBE ha pubblicato una propria guida sull’argomento.

Ciò che suggerisce è che la questione decisiva non è quale strumento uno studio sceglie, ma che cosa quello strumento trattiene, e se la risposta dipenda da una politica o da una proprietà di progettazione. Un impegno a non conservare può essere ritirato, reinterpretato o messo da parte da una decisione giudiziaria. Un’architettura che non conserva non lo può, perché non c’è nulla da produrre.

I documenti di riferimento per chi voglia approfondire la questione:

La guida del CCBE sull’uso dell’IA generativa da parte degli avvocati , pubblicata il 2 ottobre 2025, completata da una guida tecnica nel marzo 2026
La guida deontologica del Conseil national des barreaux del 17 marzo 2026, che applica i principi classici del segreto e dell’indipendenza senza creare un diritto speciale dell’IA
La guida comparativa di Baker McKenzie , utile per misurare la distanza tra i regimi nazionali

L’angolo che segue Arpokrat

Questo ragionamento va ben oltre gli studi legali. Vale per ogni relazione in cui qualcuno affida a un sistema un’informazione che non vuole veder riemergere, e si riduce a una sola domanda: la garanzia riposa su una promessa o su un’impossibilità?

È il principio che governa la progettazione di Arpokrat Messenger . L’identità vi è generata localmente a partire da chiavi crittografiche, senza numero di telefono né indirizzo di posta elettronica, e le chiavi private non lasciano mai il dispositivo. Questa scelta non consiste nell’impegnarsi a non sfruttare un elenco di utenti. Consiste nel non costituirne alcuno. Una richiesta di esibizione rivolta a un’infrastruttura che non detiene l’informazione non produce un rifiuto, produce un vuoto.

La sfumatura merita di essere posta onestamente, perché decide tutto. Una politica di riservatezza, anche sincera e anche ben redatta, è una dichiarazione d’intenti appoggiata a un’impresa, ai suoi azionisti del momento e alla giurisdizione in cui è stabilita. Questi tre elementi cambiano. Un’architettura che non raccoglie non cambia perché cambia un consiglio di amministrazione. È lo stesso spostamento che descrivevamo a proposito della raccolta oggi per una decifrazione più tardi : il rischio non si colloca nel momento in cui si promette, si colloca nel momento in cui qualcun altro decide.

Il diritto impiega tempo a integrare questa distinzione, e il dibattito sul segreto professionale ne dà una buona misura. Lo stesso vale per la protezione della localizzazione , dove l’essenziale della costruzione giuridica riguarda l’accesso a dati la cui esistenza non viene mai messa in discussione.

Conclusione

La giurisprudenza finirà per stabilizzarsi. Le corti d’appello risolveranno la divergenza, i regolatori pubblicheranno criteri, gli studi adegueranno le lettere di incarico e le clausole. Nulla di tutto ciò è dubbio.

Ma la questione di fondo non sarà risolta per quella via, perché non riguarda davvero il segreto professionale. Riguarda la possibilità, per un ordinamento giuridico, di riconoscere che una cosa sa, senza mai dover dire chi risponde di ciò che essa fa di quel sapere.

Finché questa questione resta aperta, l’unica variabile che un utente controlla davvero non è la qualità degli impegni che gli vengono dati. È la quantità di informazione che lascia esistere.

Questo articolo propone un’analisi giuridica generale destinata alla discussione. Non costituisce un parere né una consulenza legale.

Fonti

United States District Court for the Eastern District of Michigan, Warner v. Gilbarco Inc., 10 febbraio 2026, analisi Proskauer
United States District Court for the Southern District of New York, United States v. Heppner , 10 febbraio 2026, motivazione scritta del 17 febbraio 2026
United States District Court for the District of Kansas, Jefferies et al. v. Harcros Chemicals Inc. et al. , n. 2:25-cv-02352, 25 marzo 2026
Conseil national des barreaux, Il CNB adotta una guida su deontologia e intelligenza artificiale , 17 marzo 2026
Baker McKenzie, Global Privilege and Professional Secrecy Guide, France, Artificial Intelligence
CCBE, Model Code of Conduct for European Lawyers , 8 ottobre 2021
CCBE, Guide on the use of generative AI by lawyers , 2 ottobre 2025
Parlamento europeo, Risoluzione del 16 febbraio 2017 recante raccomandazioni alla Commissione concernenti norme di diritto civile sulla robotica , 2015/2103(INL)
Open Letter to the European Commission on Artificial Intelligence and Robotics
EAPIL, European Commission Withdraws Two Proposals: Assignments of Claims Regulation and AI Liability Directive , 9 ottobre 2025
Direttiva (UE) 2024/2853 del 23 ottobre 2024 sulla responsabilità per danno da prodotti difettosi

Intelligenza Artificiale on Arpokrat