AI & Contenzioso

Intelligenza artificiale e gestione delle controversie

Guida per imprese che vogliono innovare senza esporsi

L’AI può semplificare i processi aziendali, ma nelle decisioni strategiche e nelle liti resta centrale l’intelligenza umana:
contesto, responsabilità e reputazione non sono automatizzabili.

I. Dove l’AI porta valore (e dove no)

Le imprese usano già l’AI per:

pre‑screening contrattuale (clausole penali, foro, garanzie);
drafting assistito (contratti, verbali, lettere, playbook di negoziazione);
supporto decisionale (sintesi dossier, ipotesi di proposta mediativa, analisi BATNA/WATNA);
monitoraggio di rischi legali/reputazionali (early warning, issue mapping).

Benefici reali: velocità, minore carico operativo, capacità di gestire grandi volumi documentali.

Limite strutturale: i modelli non colgono intenzioni negoziali, asimmetrie di potere, dinamiche di trattativa e non assumono responsabilità per gli esiti.
Trattare l’AI come “decisore” è un errore: è uno strumento per pre‑analisi e supporto, non sostituisce il giudizio professionale.

II. Rischi da non sottovalutare

1) Illusione di autonomia

Un sistema può proporre testi o strategie, ma non ha consapevolezza del rischio né del vostro mercato; se l’output è fuorviante, la responsabilità resta in capo all’impresa (e, se del caso, agli amministratori).

2) “Buco” di contesto

Una lite (giudizio, arbitrato, mediazione) è un processo da governare: obiettivi, vincoli, persone, tempi. L’AI non intercetta i segnali deboli (relazioni tra parti, timing, posture) che spesso orientano l’esito.

3) Vincoli legali già applicabili (GDPR)

Quando l’AI tratta dati personali, si applica il GDPR, in particolare:

art. 22 GDPR: diritto a non essere soggetti a decisioni basate unicamente su trattamenti automatizzati (compresa la profilazione) che producono effetti giuridici o similmente significativi, salvo le eccezioni del par. 2 con specifiche salvaguardie (intervento umano significativo, possibilità di esprimere il proprio punto di vista e di contestare la decisione).
artt. 13(2)(f), 14(2)(g), 15(1)(h): obblighi informativi sull’esistenza di decisioni automatizzate/profilazione, sulla logica di fondo e sugli effetti previsti per l’interessato.

In concreto: scoring candidati o decisioni disciplinari interamente automatizzate sono in linea di principio vietati, salvo eccezioni ex art. 22(2) e con salvaguardie effettive (revisione umana reale, tracciabilità, canali di contestazione).

III. AI Act: cosa cambia davvero (timeline e perimetro)

Il Regolamento (UE) 2024/1689 (AI Act) introduce un approccio risk‑based, con applicazione graduale:

Entrata in vigore: 1 agosto 2024; piena applicabilità generale: 2 agosto 2026.
Pratiche vietate: applicabili dal 2 febbraio 2025 (es. social scoring generalizzato, manipolazione subliminale, sfruttamento vulnerabilità, taluni usi di riconoscimento emozioni in contesti sensibili).
GPAI / modelli di uso generale (Capo V): obblighi per i provider dal 2 agosto 2025; requisiti ulteriori per modelli con rischio sistemico.
Sistemi ad alto rischio: obblighi principali dal 2 agosto 2026 (risk management, data governance, logging, trasparenza verso i deployer, human oversight).

Nota: per GPAI già sul mercato prima del 2 agosto 2025 operano regimi transitori; non si prevede un rinvio sostanziale delle scadenze.

IV. Governance, contratti e supply‑chain: AI “a prova di audit”

1) Privacy & data protection (GDPR)

DPIA (art. 35) per trattamenti ad alto rischio; registro (art. 30); accordi art. 28 con fornitori; trasferimenti extra‑UE (Capo V) con SCC e transfer impact assessment.
Informative complete (artt. 13–14) e canali per i diritti (art. 15, inclusa la “logica” in caso di ADM).

2) Sicurezza (NIS2)

Per entità essenziali/importanti e per chi dipende da fornitori cloud/AI critici: misure tecniche/organizzative adeguate, gestione della supply‑chain, incident reporting e business continuity.

3) Dati e portabilità (Data Act)

Clausole su accesso/uso equo dei dati, condivisione, cloud switching e misure anti lock‑in; prevedere SLA e service credits per estrazione/portabilità dei dati alla cessazione.

4) Contratti con vendor AI

Uso di input/output per training solo se pattuito (o espressamente vietato).
Data‑location UE o garanzie equivalenti; audit & logging; indennizzi; SLA coerenti con NIS2.
Per GPAI via API: documentazione tecnica e impegni di cooperazione (Capo V AI Act; artt. 53–55 per modelli a rischio sistemico).

5) Evidence, privilegio e riservatezza

Evitare input in tool consumer di informazioni coperte da segreto/privilegio. Predisporre litigation hold, catena di custodia e retention per prompt/output/log, così da mantenere difendibilità probatoria.

V. Contenzioso, ADR e arbitrato: uso responsabile dell’AI

Le linee guida 2024–2025 invitano a un uso trasparente e proporzionato:

SVAMC (2024) e CIArb (2025): disclosure mirata sull’uso di AI, divieto di delegare poteri decisori all’AI, due diligence sui tool, modelli di procedural order/AI protocol.
ICCA‑NYC Bar‑CPR Cybersecurity Protocol (2022): quadro di misure “ragionevoli” in arbitrato (breach notification, gestione accessi, criteri di proporzionalità).

Clausole esemplificative

AI‑Use Disclosure: obbligo di dichiarare se e in che misura si impiega AI per attività che incidono su atti/prove, con conservazione dei log su richiesta del tribunale.
No‑Delegation: conferma che arbitri e parti non delegheranno ad AI funzioni decisorie o valutazioni probatorie.
Deepfake ban: divieto di manipolazioni sintetiche non dichiarate, obbligo di fornire originali e metadati.

VI. Casi d’uso tipici e red flags

Ufficio legale

Use case: pre‑screening di clausole (change of control, most favoured customer, liability caps).
Red flags: allucinazioni su normativa; riuso testi incompatibili con policy IP; scarsa tracciabilità fonti.

Risorse Umane

Use case: supporto a job description e griglie di colloquio.
Red flags: scoring candidati o decisioni disciplinari totalmente automatizzate senza eccezioni art. 22(2) GDPR e senza salvaguardie adeguate.

Vendite/Commerciale

Use case: redazione offerte, lettere di intenti, term sheet.
Red flags: promesse implicite non volute; incoerenze tra CGV, ordini e SLA.

Compliance

Use case: triage whistleblowing, ricerche sanzioni.
Red flags: assenza di DPIA, trasferimenti extra‑UE non valutati, controlli insufficienti su security e logging.

VII. Modello operativo “minimo” (ma concreto)

AI Register: mappa sistemi, dati, basi giuridiche, ruoli (provider/deployer), rischi, misure.
Policy & SOP: prompting sicuro, gestione dati riservati, four‑eyes sugli output critici, classi di confidenzialità.
Human oversight: chi approva cosa, con quali competenze e presìdi.
Contratti: allegati tecnici con security controls, SLA, audit, clausole tech‑change/sanctions‑change.
Auditabilità: log, versioning, explainability minima ove l’AI impatta persone/decisioni; conservazione prove difendibile.
Formazione periodica: rischi, limiti, best practice per Legal, HR, IT, Sales.
Piano incidenti: canali rapidi, breach triage, contenimento, lessons learned.

✅ Checklist legale per usare l’AI senza esporvi a rischi

Mappate i trattamenti (GDPR): categorie dati, basi giuridiche, tempi, trasferimenti (Capo V), registro art. 30, DPIA art. 35.
Informative & diritti: aggiornate privacy policy (artt. 13–14) e canali art. 15(1)(h) per logica/effetti in caso di ADM.
Niente “solo automatizzato” dove vietato: previste revisione umana e canali di contestazione (art. 22).
AI Act: classificate i sistemi (high‑risk/GPAI), impostate risk management, data governance, logging, oversight; rispettate scadenze 2025–2027.
Vendor due diligence: DPA art. 28, data‑location UE, no training senza consenso, audit; impegni Capo V AI Act.
Cybersecurity (NIS2): misure organizzative/tecniche, gestione fornitori, incident reporting.
Data Act: clausole su accesso/uso dati, condivisione, cloud switching (anti lock‑in).
ADR/Arbitrato: policy su AI in procedura, disclosure, no‑delegation, logging, deepfake ban; protocolli di cybersecurity.

Fonti essenziali

AI Act – Reg. (UE) 2024/1689: entrata in vigore 01.08.2024; pratiche vietate dal 02.02.2025; obblighi GPAI dal 02.08.2025; obblighi high‑risk dal 02.08.2026.
GDPR – Reg. (UE) 2016/679: artt. 13(2)(f), 14(2)(g), 15(1)(h), 22.
NIS2 – Dir. (UE) 2022/2555.
Data Act – Reg. (UE) 2023/2854.
Soft law ADR – SVAMC AI Guidelines (2024); CIArb AI Guideline (2025); ICCA‑NYC Bar‑CPR Cybersecurity Protocol (2022).

Parla con un avvocato
Studio Legale Rosano · Consulenza su AI, privacy, contratti, ADR

30/11/2025