Agenti AI per avvocati: cosa può fare un agente in studio, dalla PEC alla firma (e dove deve fermarsi)

Un agente AI in uno studio legale può leggere la PEC arrivata, capire di che atto si tratta, mettere la scadenza in agenda e preparare la bozza per il cliente. Due passaggi però non spettano al modello: il termine lo calcola una regola scritta dallo studio, e l'invio aspetta la firma dell'avvocato.

L'ho raccontato il 13 novembre 2026 nell'Aula Magna «Livatino» del Tribunale di Avellino, al convegno L'algoritmo nel diritto. L'innovazione e le garanzie processuali della Sezione di Avellino dell'AIGA, l'Associazione Italiana Giovani Avvocati: ingresso gratuito, tre crediti formativi. Ero lì con l'avvocato Armando De Lucia, componente del Dipartimento Nazionale Intelligenza Artificiale e Processi Telematici dell'AIGA, con cui faccio il podcast Innovazione Sotto Processo. Come sempre, io ho portato la macchina e lui le regole.

Due giorni prima, a Caserta, avevamo fatto girare un modello aperto su un portatile senza internet. Ad Avellino niente laboratorio: venti minuti per la tecnica, spesi sulla domanda che a Caserta era rimasta in tre righe. Che cosa cambia quando l'AI smette di rispondere e comincia a fare. Riguarda ogni studio: dal 23 ottobre 2026 la formazione organizzata dagli Ordini professionali deve includere l'uso dell'intelligenza artificiale (art. 47 del d.lgs. 179/2026).

Che differenza c'è tra un chatbot e un agente AI?

Un chatbot risponde, un agente agisce: usa gli strumenti dello studio, cioè posta, agenda e archivi, per portare a termine un compito dentro i confini che gli dai. In aula l'ho mostrato come una scala di cinque gradini, dall'AI che usi da anni senza chiamarla così fino all'agente.

Più si sale, più servono regole. Una definizione utile è quella di Anthropic in Building effective agents, del 19 dicembre 2024: nei workflow modello e strumenti seguono percorsi scritti prima nel codice, negli agenti è il modello a dirigere da solo i propri passaggi e l'uso degli strumenti. Lo stesso testo raccomanda di cercare «the simplest solution possible», la soluzione più semplice possibile. Per uno studio vuol dire partire dai percorsi scritti. La differenza fra agente e automazione l'ho spiegata per esteso in Agenti AI: cosa sono e a cosa servono.

Chiamarlo agente, però, non basta. Un tasto «migliora la richiesta» resta una chat. Un elenco di istruzioni già pronte è una chat in cui la logica l'ha decisa il fornitore. Un modello che pensa a lungo prima di rispondere è un modello migliore. È un agente quando usa i tuoi strumenti, con le tue regole.

E non è fantascienza. Nel mio lavoro ho agenti che usano il computer al posto mio, mouse compreso, e in aula l'ho detto così: sta già accadendo, negli studi arriverà nei prossimi anni. Sul mercato legale i primi ci sono: piattaforme come Harvey e Legora si presentano già come agenti per il lavoro legale, con collegamenti agli strumenti dello studio (pagine di Harvey e Legora lette il 13 novembre 2026).

Cosa può fare un agente AI in uno studio legale?

Può seguire un lavoro ripetitivo dall'inizio alla fine e fermarsi prima dell'unico passaggio che non è suo. L'esempio che ho portato in aula è uno schema, non un prodotto: parte da una PEC e arriva alla firma, in sei passaggi.

Su sei passaggi il modello ne fa due: capire e scrivere. Altri tre sono strumenti e regole che lo studio ha configurato una volta, e l'ultimo è una persona. È un flusso misto, e la parte che conta è chi lo configura: lo studio, non il fornitore.

Una PEC contiene dati del cliente. Per un agente così servono un modello in casa o un contratto adeguato: le tre strade per i dati, con chi garantisce la riservatezza in ognuna, sono nel racconto del laboratorio di Caserta.

Perché il termine non deve calcolarlo l'intelligenza artificiale?

Perché un modello linguistico genera testo, non esegue un calcolo: pesca ogni parola fra le più probabili e, a seconda delle impostazioni, alla stessa richiesta può rispondere in modo diverso. Un termine deve uscire uguale alla prima PEC e alla millesima.

La prova l'ho fatta l'8 novembre 2026 su un modello aperto in locale, Qwen3.5 9B con Ollama, sul mio portatile. Non riguarda un termine ma una citazione, e il meccanismo è lo stesso. Gli ho dato tre volte la stessa frase da completare, a temperatura 0,8: «Secondo la Corte di Cassazione, Sez. III civile, sentenza n. …». Ha scritto «n. 15202 del 15/11/2019», poi «n. 26225 del 25 ottobre 2023», poi «n. 13364/2018». Conosce la forma di una citazione, ma non ha cercato in nessun archivio: tre richieste uguali, tre sentenze diverse. Una sentenza inventata non è un guasto, è il modo in cui funziona un modello senza fonti.

Per questo nello schema il terzo passaggio non è del modello. Il calcolo lo fa un programma, con le regole dello studio scritte una volta, e al modello resta quello in cui è forte: leggere un atto scritto in italiano e tirarne fuori parti, tipo e data. Con un limite da tenere presente: la regola calcola bene solo se la data che riceve è quella giusta. Anche per questo l'ultimo passaggio è una persona che controlla.

Come si governa un agente AI in uno studio legale?

Come un praticante: poche chiavi, una procedura scritta, niente che parta senza la tua firma e un registro di quello che ha fatto.

• Chiavi limitate. Vede solo quello che serve al compito.
• Procedura scritta. Le istruzioni sono dello studio, non del fornitore.
• Niente invii senza firma. PEC e mail aspettano l'avvocato.
• Tutto registrato. Ogni passaggio si può ricostruire.

Non è burocrazia. Un documento che arriva da fuori, come l'allegato di una PEC, può contenere istruzioni nascoste per il modello. Si chiama prompt injection ed è la prima voce della lista OWASP per le applicazioni basate su modelli linguistici, dove si legge che non è chiaro se esistano metodi di prevenzione infallibili («it is unclear if there are fool-proof methods of prevention»). Nella lista OWASP per le applicazioni agentiche del 9 dicembre 2025 il primo rischio è proprio il dirottamento dell'obiettivo dell'agente. Che cosa succede quando un agente ha accesso a tutto l'ho provato con un agente autonomo che ho disinstallato subito.

L'esempio che faccio sempre è quello delle password. Se un agente interroga l'archivio delle password e quella richiesta finisce a un fornitore esterno, per me è un incidente di sicurezza, e le password vanno cambiate tutte. Le chiavi limitate servono a questo: un agente non può far uscire quello che non vede.

In Castaldo Solutions vale la stessa regola che ho mostrato in aula. I miei agenti preparano le bozze delle mail, e nessuno le invia: l'invio è mio. È il motivo per cui ripeto che l'agente prepara e la persona parla.

Chi risponde se l'agente AI sbaglia?

Se un agente AI sbaglia risponde l'avvocato: l'AI accelera e organizza il lavoro, la responsabilità resta di chi firma. È la risposta dell'avvocato Armando De Lucia, che ad Avellino ha messo questa domanda come terza tappa della parte giuridica e ha chiuso la slide delle sette regole così: «Human in command: l'IA accelera e organizza, la responsabilità resta all'avvocato». Il profilo giuridico e deontologico è il suo: qui riporto le norme e le sue slide, non un parere.

• L'art. 13 della legge 132/2025 consente l'AI nelle professioni intellettuali solo per attività strumentali e di supporto, con prevalenza del lavoro intellettuale, e obbliga a informare il cliente sui sistemi usati.
• La guida del CCBE del 2 ottobre 2025, il Consiglio degli Ordini forensi europei, chiede la verifica indipendente di quello che l'AI produce.
• La guida tecnica del CCBE del 27 marzo 2026 dedica agli agenti il paragrafo sugli sviluppi futuri: non li considera ancora abbastanza maturi per valutarne l'impatto sugli obblighi professionali, ma avverte che gli avvocati li incontreranno comunque.

Che cosa succede quando la verifica manca lo raccontano già i tribunali. Il database di Damien Charlotin, aggiornato al 12 novembre 2026, conta 2.292 decisioni nel mondo su contenuti inventati o distorti dall'AI in atti e processi, 15 delle quali italiane. Un agente che agisce da solo può portare un errore simile un passo più in là, ed è la ragione per cui si ferma prima della firma.

Quali regole servono a uno studio legale che usa l'AI?

Sette regole, nella slide che l'avvocato Armando De Lucia ha presentato al convegno AIGA di Avellino: riguardano i dati, le fonti, le regole al posto del modello, le chiavi dell'agente, l'informativa, il luogo in cui girano i dati e la formazione. Le riporto come le ha scritte:

1. Niente dati del cliente nella chat gratuita o in account personali.
2. Ogni citazione si verifica sulla fonte primaria.
3. Ciò che deve essere sempre uguale lo fa una regola.
4. L'agente ha chiavi limitate e non invia senza firma.
5. Informativa scritta a ogni nuovo incarico.
6. Prima dello strumento, decidi dove girano i dati.
7. Chi usa lo strumento è formato, e lo si documenta.

La terza e la quarta sono le regole dell'agente, e sono le stesse a cui si arriva partendo dalla tecnica: è il punto in cui il mio intervento e il suo si incontrano. La prima e la sesta riguardano dove finiscono i dati, la scelta da fare prima di qualunque acquisto. La quinta riguarda l'informativa al cliente, di cui parla l'art. 13.

Su quello che non si delega, Armando in aula ha detto che discutere con i magistrati, parlare con la parte assistita e cogliere certe sfumature restano dell'avvocato. Come ho ridotto a venti minuti un intervento che a Caserta ne aveva quaranta, dalla parte di chi l'ha preparato, è sul mio sito personale.

Domande frequenti

Esistono già agenti AI per avvocati?

Sì. Sul mercato ci sono piattaforme che si presentano come agenti per il lavoro legale, con collegamenti agli strumenti dello studio, come Harvey e Legora (pagine dei fornitori lette il 13 novembre 2026), e un agente si può costruire anche in casa con un modello aperto e programmi gratuiti. Il nome però non basta: un tasto che migliora la richiesta o un elenco di istruzioni già pronte restano una chat. È un agente quando usa i tuoi strumenti, cioè posta, agenda e archivi, con le regole scritte dal tuo studio.

Un agente AI può inviare una PEC da solo?

Tecnicamente sì, se gli dai le credenziali per farlo. La regola di studio è non dargliele: l'agente prepara la bozza e si ferma, PEC e mail aspettano l'avvocato. È la quarta delle sette regole presentate al convegno AIGA di Avellino il 13 novembre 2026: l'agente ha chiavi limitate e non invia senza firma. Sul piano giuridico il riferimento è l'art. 13 della legge 132/2025, che ammette l'AI nelle professioni intellettuali solo per attività strumentali e di supporto, con prevalenza del lavoro intellettuale del professionista: come si applica a un invio lo valuta l'avvocato, non io.

Chi è responsabile se un agente AI sbaglia un termine?

L'avvocato, secondo le sette regole presentate da Armando De Lucia ad Avellino, che chiudono con «Human in command: l'IA accelera e organizza, la responsabilità resta all'avvocato». Sul piano tecnico il rischio si riduce così: il termine non si fa calcolare al modello, che genera testo, non esegue un calcolo, e può rispondere in modi diversi alla stessa domanda. Lo calcola una regola scritta dallo studio, e prima che qualcosa esca una persona controlla la data letta dall'atto, la scadenza e la bozza.