Gestionale AI per commercialisti e ISO 27001: cosa garantisce

Chi cerca un «gestionale AI per commercialisti» certificato ISO/IEC 27001 deve sapere due cose. La prima: Commercialista AI non è un gestionale, non trasmette file XML e non paga gli F24, lavora accanto al gestionale dello studio. La seconda: DC Academy S.r.l., la società che lo sviluppa, ha ottenuto il 19 ottobre 2026 la certificazione ISO/IEC 27001:2022 per la sicurezza delle informazioni e la ISO 9001:2015 per la qualità, valide fino al 18 ottobre 2029.

In questa guida spieghiamo cosa dice davvero un certificato di questo tipo, come verificarlo da soli in 2 minuti, cosa resta comunque scritto nell'informativa privacy e nelle condizioni del servizio, e quali controlli restano allo studio. L'obiettivo è dare a un commercialista gli elementi per valutare un fornitore senza fidarsi di un logo in fondo alla pagina.

Un gestionale AI per commercialisti? Prima chiariamo cosa fa il programma

Commercialista AI legge la casella email dello studio, riconosce i clienti, prepara bozze di risposta, F24, solleciti, scadenze e confronti fra estratti conto e fatture. Le trasmissioni all'Agenzia delle Entrate, le registrazioni contabili e i pagamenti restano nel gestionale che lo studio usa già: il programma lavora accanto al tuo gestionale, e le trasmissioni e i pagamenti li fai da lì, come oggi.

Questo conta anche per la sicurezza. Il programma tratta dati delicati: email dei clienti, documenti, estratti conto, modelli F24. Per questi dati lo studio è titolare del trattamento e nomina DC Academy responsabile, come prevede l'articolo 15.2 delle condizioni del servizio (versione 2026-10-19a). Per questo la domanda «questo fornitore è affidabile?» è legittima, e un certificato è uno degli elementi per rispondere, non l'unico.

Cosa dicono i due certificati

Nel piede di ogni pagina del sito del programma sono riportati i dati dei due certificati di DC Academy S.r.l.:

• ISO 9001:2015, gestione della qualità, certificato n. 093AGID080201;
• ISO/IEC 27001:2022, sicurezza delle informazioni, certificato n. 093AGID080204;
• ente emittente Accurate Global, data di rilascio 19 ottobre 2026, validità fino al 18 ottobre 2029.

La ISO/IEC 27001 riguarda il sistema di gestione della sicurezza delle informazioni: in parole semplici, il modo in cui un'organizzazione individua i rischi sui dati che tratta, sceglie le misure per ridurli, le documenta e le tiene sotto controllo nel tempo. La ISO 9001 riguarda invece il sistema di gestione della qualità, cioè come l'organizzazione organizza i propri processi e il servizio verso i clienti.

Un certificato si riferisce all'organizzazione che lo ha ottenuto, in questo caso DC Academy S.r.l. Il campo di applicazione preciso è indicato sul certificato stesso: se per il tuo studio è un elemento decisivo, chiedi una copia del certificato e leggi a quali attività si riferisce.

Come verificare il certificato in 2 minuti

Un logo su una pagina web si copia facilmente. Per questo il sito riporta il collegamento «Verifica i numeri nel registro dell'ente emittente», che porta alla pagina dei clienti attivi di Accurate Global (accurateiso.com, sezione Certificate Verification). Abbiamo controllato la pagina il 29 ottobre 2026: DC ACADEMY S.R.L compare nell'elenco dei clienti attivi.

Il metodo vale per qualsiasi fornitore di software che dichiara una certificazione:

1. annota il numero del certificato e il nome esatto dell'ente emittente;
2. apri il registro dell'ente, partendo dal suo sito e non da un collegamento ricevuto via email;
3. cerca per numero di certificato o per ragione sociale;
4. controlla che la ragione sociale coincida con quella del contratto che firmi;
5. controlla la data di scadenza e lo stato del certificato.

Se il nome della società che compare nel registro è diverso da quello che emette la fattura, chiedi spiegazioni prima di firmare.

Cosa il certificato non dice: i limiti scritti nell'informativa

Una certificazione non rende un sistema inviolabile, e non sostituisce la lettura dei documenti contrattuali. L'informativa privacy del programma (versione 2026-10-26a) lo dice in modo esplicito: «Nessun sistema è inviolabile». Nella stessa sezione, intitolata «Cifratura e limiti della protezione», sono descritti con precisione i punti forti e i limiti:

• i nuovi documenti originali, i testi estratti e i nuovi testi integrali della posta hanno cifratura autenticata AES-256-GCM, con chiavi derivate per studio e per utilizzo;
• le credenziali della casella e la sessione del browser sono protette con cifratura, e le password di accesso non sono conservate in chiaro;
• non tutti i campi del database hanno questa cifratura aggiuntiva: anagrafiche, oggetti, riepiloghi e dati necessari alle ricerche possono essere leggibili dal servizio, oltre alla cifratura dei supporti del fornitore;
• le chiavi sono separate dal database ma accessibili al servizio che deve decifrare: non sono sotto custodia esclusiva dello studio;
• il programma non è un sistema di conservazione a norma.

Questi limiti valgono anche con la certificazione. Un fornitore serio li scrive; un fornitore che promette «sicurezza totale» va guardato con più attenzione, non con meno.

Dove stanno i dati e chi li tratta

La certificazione riguarda l'organizzazione di DC Academy, ma i dati passano anche da fornitori tecnici. L'informativa privacy li elenca come sub-responsabili:

• Render Services, Inc. per applicazione e database, in Oregon, Stati Uniti;
• Anthropic Ireland, Limited per la generazione di testi con intelligenza artificiale quando consentita, con trattamenti anche negli Stati Uniti;
• Zapier, Inc. per le comunicazioni di servizio, negli Stati Uniti;
• Google Ireland Limited per la posta di servizio e i documenti di assistenza;
• Hetzner Online GmbH per il server del canale ufficiale con l'Agenzia delle Entrate, in Germania.

L'informativa precisa anche che le copie di ripristino del database hanno oggi una finestra di 3 giorni sul servizio Render configurato. Ogni fornitore ha le proprie certificazioni e regole: la certificazione di DC Academy non le sostituisce. Per un quadro completo di cosa arriva al fornitore di intelligenza artificiale, funzione per funzione, rimandiamo alla guida dedicata nei correlati qui sotto.

Cosa succede se c'è una violazione dei dati

L'articolo 15.11 delle condizioni stabilisce che DC Academy comunica allo studio ogni violazione dei dati personali trattati per suo conto senza ingiustificato ritardo e comunque entro 24 ore da quando ne ha avuto conoscenza. La comunicazione contiene, nella misura disponibile, le informazioni previste dall'articolo 33, paragrafo 3, del Regolamento UE 2016/679: natura della violazione, categorie e numero approssimativo di interessati, punto di contatto, conseguenze probabili e misure adottate o proposte. Le informazioni mancanti arrivano in fasi successive.

L'informativa aggiunge una precisazione onesta: il termine di 24 ore non è una promessa di rilevare qualsiasi incidente entro quel termine. La valutazione degli adempimenti verso il Garante e verso i clienti dello studio resta allo studio, che è il titolare di quei dati. L'articolo 15.10 prevede che DC Academy assista lo studio, anche mettendo a disposizione una valutazione d'impatto tipo e la documentazione tecnica del servizio.

Cosa resta allo studio, con o senza certificazione

La sicurezza di un servizio come questo si gioca su due lati. Il fornitore applica le misure dell'articolo 32 del Regolamento, descritte all'articolo 15.7 delle condizioni: cifratura dei dati in transito e a riposo, controllo e tracciatura degli accessi, salvataggio periodico e procedure di ripristino. Lo studio, dal canto suo, controlla ciò che dipende da lui:

1. protegge gli account e i dispositivi con cui si accede al programma;
2. conserva copie autonome dei documenti importanti, perché il programma non è un archivio a norma;
3. decide quali clienti trattare come sensibili e dove spegnere l'intelligenza artificiale;
4. verifica ogni contenuto prima dell'invio, come chiede l'articolo 7, lettera a, delle condizioni;
5. informa i propri clienti dell'uso di strumenti di intelligenza artificiale, come richiede l'articolo 13 della legge 132/2025.

I 7 controlli di sicurezza che lo studio ha in mano dentro il programma sono raccolti in una guida separata, collegata qui sotto. Ogni due settimane mostriamo Commercialista AI dal vivo in un webinar gratuito per gli studi: la prossima data e l'iscrizione sono qui. Vai al webinar per gli studi

Commercialista AI è un gestionale certificato ISO 27001?

Non è un gestionale: lavora accanto a quello dello studio, che continua a occuparsi di trasmissioni e pagamenti. La certificazione ISO/IEC 27001:2022 è di DC Academy S.r.l., la società che sviluppa il programma, rilasciata il 19 ottobre 2026 e valida fino al 18 ottobre 2029.

Come verifico che il certificato sia vero?

Dal sito dell'ente emittente, Accurate Global, apri la pagina di verifica dei certificati e cerca il numero 093AGID080204 o la ragione sociale DC Academy S.r.l. Controlla che nome, stato e scadenza coincidano con quanto dichiarato.

La certificazione garantisce che i dati non saranno mai violati?

No. Nessuna certificazione rende un sistema inviolabile, e l'informativa privacy lo scrive in modo esplicito. Il certificato attesta un sistema di gestione dei rischi sulle informazioni; i limiti della protezione restano quelli descritti nell'informativa.

Con il fornitore certificato lo studio è a posto con il GDPR?

No. Per i dati dei propri clienti lo studio resta titolare del trattamento e deve valutare il fornitore, informare i clienti e proteggere account e dispositivi. La certificazione del fornitore è un elemento della valutazione, non la sostituisce.

Entro quanto vengo avvisato di una violazione dei dati?

Secondo l'articolo 15.11 delle condizioni, senza ingiustificato ritardo e comunque entro 24 ore da quando DC Academy ne ha avuto conoscenza, con le informazioni disponibili e le altre in fasi successive.

Vuoi vedere come lavora Commercialista AI accanto al gestionale del tuo studio? Piani annuali da 59,25 € + IVA al mese oppure mensili da 79 € + IVA al mese, con Garanzia Avvio di 30 giorni: se entro 30 giorni dal primo pagamento lo studio vuole smettere, restituiamo tutto l'importo.

GUARDA COME FUNZIONA