Cliente nuovo, primo appuntamento, mercoledì pomeriggio alle 17:30. Si presenta con un permesso di soggiorno bulgaro, parla un italiano stentato ma comprensibile, vuole comprare un immobile a Milano da 380mila euro pagando in parte con bonifico da una banca lussemburghese e in parte con assegni circolari. Ti chiede se può chiudere entro dieci giorni perché ha già fissato il trasloco.
Quanti campanelli ti suonano? Tanti, contemporaneamente. La domanda vera non è se sospetti qualcosa: è come scrivi nero su bianco la tua valutazione del rischio, in modo che regga davanti a UIF o Guardia di Finanza se mai dovessero chiederti spiegazioni tra cinque anni. Quella valutazione deve essere fatta, motivata, scritta, archiviata.
I 4 livelli di rischio AML che devi conoscere
Il D.Lgs 231/2007 e il Reg. UE 2024/1624 ti chiedono di applicare l'adeguata verifica modulandola sul livello di rischio del singolo cliente e della singola operazione. Non c'è un solo modo per identificare il cliente: ce ne sono quattro, e devi scegliere quello giusto motivando perché.
- Verifica semplificata: rischio basso oggettivo. Clienti istituzionali, società quotate in mercati regolamentati UE, enti pubblici. Identificazione minima e poco altro. Attenzione: la semplificata non è il default, devi motivarla.
- Verifica ordinaria: rischio medio standard. La normalità del lavoro: privati italiani con operazioni coerenti col profilo reddituale e patrimoniale dichiarato.
- Verifica rafforzata: rischio alto. Clienti esteri da paesi a rischio, PEP e familiari, strutture societarie opache con holding offshore, operazioni inusuali per importo o struttura. Più documenti, più controlli, autorizzazione interna se prevista.
- Astensione e SOS: quando non riesci materialmente a fare la verifica perché il cliente non collabora, oppure quando il rischio è talmente alto che non puoi mitigarlo. Non concludi l'atto, valuti la segnalazione UIF.
Come l'IA ti aiuta a classificare (anonimizzando sempre)
L'IA è utile per costruire la motivazione scritta della classificazione del rischio. Non per fare la classificazione al posto tuo: quella è valutazione professionale del notaio, non delegabile né a software né a collaboratori. La motivazione invece beneficia di una strutturazione che l'IA fa bene.
Regola di sopravvivenza, da ripetere ogni volta: mai dati reali su strumenti pubblici. Sostituisci Mario Rossi con "Cliente X", via Tal dei Tali con "residenza Italia/UE", banca BPM con "banca italiana grande dimensione". Mantieni la sostanza del rischio (cittadinanza, fascia importo, fonte fondi, modalità pagamento), togli ogni elemento identificativo. Se vuoi lavorare con dati reali, ti serve ambiente enterprise con DPA o modello locale.
PROMPT — Valutazione livello rischio AML
Sei un consulente antiriciclaggio per studi notarili italiani. Devo classificare il livello di rischio AML di un cliente secondo D.Lgs 231/2007 e Reg. UE 2024/1624.
Profilo cliente (anonimizzato): persona fisica, cittadinanza [PAESE], residenza [PAESE], professione dichiarata [PROFESSIONE GENERICA], età [FASCIA], operazione [TIPO ATTO], importo [FASCIA IMPORTO ES. 300-500K], fonte fondi dichiarata [FONTE], modalità pagamento [BONIFICO/CONTANTI/MISTO], banca ordinante [TIPO BANCA E PAESE], rapporto col notaio [NUOVO/STORICO].
Output richiesto: 1) livello di rischio proposto (basso/medio/alto/rafforzata) con riferimento normativo, 2) i 3-5 elementi che spingono verso quel livello, 3) le misure di mitigazione che dovrei adottare, 4) gli ulteriori documenti che potrei chiedere, 5) elementi che farebbero scattare l'obbligo SOS.
Tono: motivazione tecnica, citare articoli specifici quando rilevante. Massimo 400 parole. Non inventare riferimenti normativi non esistenti.
Il risultato non è la decisione: è una bozza ragionata che tu rileggi, modifichi sulla base di tutto quello che sai e che l'IA non sa, e firmi tu. La firma e la responsabilità restano tue.
3 errori tipici nella classificazione del rischio
- Classificare tutti "medio" per default. Il rischio standard non esiste come comodità burocratica. Devi motivare anche il medio: non è la voce comoda dove parcheggi i clienti che non sai dove mettere. Se motivi medio devi dire perché non è basso e perché non è alto.
- Confondere conoscenza personale con bassa rischiosità. Il cliente storico che conosci da vent'anni può comunque fare un'operazione anomala oggi. Devi valutare l'operazione singola, non solo la storia del rapporto. Cliente artigiano con redditi modesti che improvvisamente acquista immobile da 800mila: il rischio cambia indipendentemente da quanto lo conosci.
- Sottostimare la verifica rafforzata. Quando il cliente è PEP, residente in paese a rischio FATF, oppure ha una struttura societaria opaca, la rafforzata è obbligatoria per legge, non opzionale a discrezione tua. Saltarla è errore tipico in sanzioni MEF.
Cosa dice la legge nello specifico
L'art. 17 del D.Lgs 231/2007 impone l'adeguata verifica per ogni cliente al momento del conferimento dell'incarico professionale, quando l'operazione supera 15mila euro (anche se frazionata in più tranches collegate), o ogni volta che c'è sospetto a prescindere dall'importo.
L'art. 24 disciplina la verifica rafforzata: obbligatoria per PEP, paesi terzi ad alto rischio identificati dalla Commissione UE, operazioni complesse o di importo anomalo senza giustificazione economica apparente, operazioni che non hanno un fine economico o legittimo riconoscibile.
Il Reg. UE 2024/1624 agli artt. 16-34 armonizza queste regole a livello europeo, riducendo la discrezionalità dei singoli Stati membri. Da applicare progressivamente fino al 2027 secondo il calendario di entrata in vigore.
L'UIF ha pubblicato indicatori di anomalia specifici per notai (cfr. Provvedimento UIF 12 maggio 2023 e aggiornamenti) che ti aiutano a capire quando un'operazione è oggettivamente sospetta. Tienili stampati o salvati come riferimento operativo.
Domande frequenti
Posso usare ChatGPT gratuito per la classificazione del rischio?
Solo con dati totalmente anonimizzati: mai nome cliente, mai codice fiscale, mai importi esatti collegabili a operazione identificabile. Meglio versione enterprise con DPA firmato, dove i dati non vengono usati per addestramento e restano in UE. Per il professionista che vuole davvero lavorare con IA su dati AML, l'enterprise è investimento necessario.
Il cliente storico è automaticamente a basso rischio?
No. La storicità del rapporto è un elemento di mitigazione ma vale per quel singolo cliente in condizioni di operatività standard. Se ti porta un'operazione fuori profilo (es. cliente artigiano che improvvisamente compra immobile da 800mila in contanti), il rischio sale a prescindere dal pregresso. Devi valutare l'operazione specifica, non solo il rapporto.
Quando scatta l'obbligo di astensione?
Quando non riesci a completare l'adeguata verifica (cliente non collabora a fornire documenti, dichiarazioni incongruenti, identità dubbia) o quando il livello di rischio è tale da non potersi mitigare con misure proporzionate. In questi casi non concludi l'atto e valuti la SOS. L'astensione è obbligatoria ex art. 42 D.Lgs 231/2007, non facoltativa.
Vuoi vedere checklist e prompt usati da altri notai?
Sul canale Telegram Squalogruppo trovi confronto vero su casi reali (sempre anonimizzati), prompt collaudati che funzionano, e dubbi normativi discussi tra professionisti che fanno il lavoro tutti i giorni. Iscriviti, leggi, contribuisci quando hai qualcosa di utile da condividere.