Intelligenza artificiale nella revisione legale: cosa dicono norme e principi

La legge 132/2025 e l'intelligenza artificiale nella revisione legale

La legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, contiene all'art. 13 le disposizioni sulle professioni intellettuali. Le regole sono due.

1. Uso strumentale: l'utilizzo di sistemi di AI nelle professioni intellettuali è finalizzato al solo esercizio delle attività strumentali e di supporto all'attività professionale, con prevalenza del lavoro intellettuale oggetto della prestazione.
2. Informazione al cliente: per assicurare il rapporto fiduciario, le informazioni relative ai sistemi di AI utilizzati dal professionista sono comunicate al destinatario della prestazione con linguaggio chiaro, semplice ed esaustivo.

Cosa cambia in pratica per l'intelligenza artificiale nella revisione legale

Il revisore legale e il sindaco svolgono una prestazione professionale di natura intellettuale: l'art. 13 è il primo riferimento da considerare. In pratica significa che l'AI può aiutare a cercare norme, leggere documenti, ordinare informazioni e scrivere bozze, mentre la pianificazione, la valutazione dei rischi, gli elementi probativi e il giudizio restano lavoro del revisore. La comunicazione al cliente si può inserire nella proposta o nella lettera di incarico, indicando quali strumenti usi e per quali attività.

AI Act e revisori: chi usa l'AI è un utilizzatore

Il Regolamento (UE) 2024/1689 (AI Act) classifica i sistemi di AI per livello di rischio. Il revisore che usa un assistente di ricerca e analisi documentale è un utilizzatore (deployer) e quell'uso non rientra, di per sé, tra quelli ad alto rischio elencati nell'Allegato III.

L'obbligo che riguarda subito anche gli studi è l'alfabetizzazione dell'art. 4, in vigore dal 2 febbraio 2025: chi usa sistemi di AI adotta misure per sostenere la competenza del personale che li usa. Il Regolamento (UE) 2026/1744, il Digital Omnibus sull'IA, ha chiarito che l'obbligo riguarda le misure da adottare e non un livello minimo di competenza da assicurare a ogni singola persona; servono comunque azioni concrete, come formazione e istruzioni interne.

Lo stesso regolamento ha rinviato al 2 dicembre 2027 l'applicazione delle regole sui sistemi ad alto rischio elencati nell'Allegato III. Per una società di revisione questo rileva soprattutto come datore di lavoro, se usa sistemi di AI per selezionare o valutare il personale, che l'Allegato III include tra gli usi ad alto rischio.

Elementi probativi, scetticismo e documentazione

I principi di revisione non parlano di AI in modo specifico, ma dicono già come trattarne i risultati.

ISA Italia 500: elementi probativi e AI

Il principio ISA Italia 500 chiede al revisore, nel definire e svolgere le procedure, di considerare la pertinenza e l'attendibilità delle informazioni da usare come elementi probativi (paragrafo 7). Una sintesi prodotta dall'AI non è un elemento probativo: lo sono i documenti e le fonti da cui deriva. Per questo serve uno strumento che indichi la fonte, così da poterla esaminare direttamente.

Scetticismo professionale

L'art. 9 del d.lgs. 39/2010 chiede di esercitare lo scetticismo professionale per tutta la revisione, in particolare su stime, accantonamenti, flussi di cassa futuri e continuità aziendale. Un testo ben scritto dall'AI va letto con lo stesso atteggiamento dubitativo di un documento della direzione.

ISA Italia 230 e art. 10-quater

La documentazione deve permettere a un revisore esperto di capire procedure, evidenze e giudizi. Se una nota nasce da una bozza dell'AI, nel file devono comparire le fonti verificate e il tuo ragionamento. L'art. 10-quater, comma 5, del d.lgs. 39/2010 chiede inoltre di documentare le richieste di pareri a consulenti esterni e i pareri ricevuti: un assistente AI non è un consulente, ma conservare domande e fonti consultate segue la stessa logica di tracciabilità.

Riservatezza del revisore e AI: dove finiscono i documenti

L'art. 9-bis del d.lgs. 39/2010 copre con l'obbligo di riservatezza e con il segreto professionale tutte le informazioni e i documenti a cui il revisore accede nell'incarico, anche dopo la sua conclusione. Caricare un bilancio o un verbale in uno strumento di AI è quindi una scelta da valutare come qualsiasi altro affidamento di dati a un fornitore.

I punti da verificare nei termini del servizio:

• se i contenuti caricati vengono usati per addestrare i modelli;
• dove si trovano i server e quali misure di sicurezza sono certificate;
• chi, all'interno dello studio o della società, può vedere i contenuti;
• come si cancellano i dati al termine dell'incarico;
• quali garanzie contrattuali esistono sul trattamento dei dati personali secondo il GDPR.

L'AI nel programma formativo MEF 2026

Il programma formativo 2026 dei revisori legali, adottato con determina del Ragioniere generale dello Stato del 20 febbraio 2026, conferma l'attenzione all'intelligenza artificiale applicata alla revisione. Tra le materie caratterizzanti compaiono «L'utilizzo dell'intelligenza artificiale nella revisione legale: normativa europea e nazionale e documenti tecnici» e «L'intelligenza artificiale nella revisione legale: etica, sicurezza e privacy». È un segnale chiaro: l'uso consapevole dell'AI è considerato parte della competenza professionale del revisore.

Intelligenza artificiale nella revisione legale: una policy in sei punti

Per uno studio o una società di revisione, una policy breve funziona meglio di un regolamento lungo.

1. Usi ammessi: ricerca normativa, lettura e sintesi di documenti, bozze di note, verbali e relazioni.
2. Usi esclusi: conclusioni sul giudizio, valutazioni di materialità e di rischio, comunicazioni al cliente non riviste.
3. Verifica delle fonti: ogni riferimento usato nel file va aperto sul testo ufficiale.
4. Dati: solo strumenti senza addestramento sui dati dei clienti e con garanzie di sicurezza documentate; caricare solo i documenti necessari.
5. Informazione al cliente: clausola nella lettera di incarico, come chiede l'art. 13 della legge 132/2025.
6. Formazione: misure di alfabetizzazione documentate, come richiede l'art. 4 dell'AI Act.

Come può aiutarti Next-OS

Next-OS cita le fonti di ogni risposta con un link verificabile, attinge a una banca dati normativa che si aggiorna quotidianamente e non usa i dati dei clienti per addestrare i modelli; Aptus.AI è certificata ISO/IEC 27001:2022 e tiene i dati su server in Irlanda. Aptus.AI lo dichiara estraneo sia ai sistemi di AI per finalità generali sia ai sistemi ad alto rischio dell'AI Act. In pratica lo usi per le carte di lavoro della revisione e per le verifiche periodiche del revisore; il quadro completo è nella pagina sull'AI per revisori legali.