Gestire l’IA in modo responsabile nella PA digitale
La PA digitale evolve attraverso servizi connessi, processi automatizzati e strumenti capaci di supportare le decisioni delle amministrazioni.
L’integrazione dell’Intelligenza Artificiale apre nuove opportunità per migliorare l’organizzazione interna e la qualità dei servizi, ma richiede anche regole chiare, controlli adeguati e responsabilità ben definite.
La trasformazione non riguarda soltanto la scelta della tecnologia. Ogni progetto di IA coinvolge dati, persone, procedure e fornitori, con possibili conseguenze sulla riservatezza delle informazioni e sui diritti dei cittadini.
Per questo, la governance deve accompagnare il sistema dalla valutazione iniziale fino al monitoraggio nel tempo, coinvolgendo le funzioni amministrative, tecniche e legali.
Il quadro normativo e le indicazioni di AgID
La governance dei sistemi di IA nella Pubblica Amministrazione deve tenere conto di un insieme di disposizioni che disciplinano la protezione dei dati, i requisiti dei sistemi intelligenti e l’organizzazione dei servizi pubblici.
Tra i riferimenti principali rientrano il GDPR (Regolamento UE 2016/679, GDPR), l’AI Act (Regolamento UE 2024/1689), come modificato dal Regolamento UE 2026/1744 relativo al cosiddetto AI Omnibus, la normativa italiana sull’Intelligenza Artificiale (L. 132/2025) e il Codice dell’Amministrazione Digitale (D.Lgs. 82/2005), nonché, per i profili di sicurezza, la disciplina NIS2 (D.Lgs. 138/2024).
A questo quadro si affiancano le linee guida dell’Agenzia per l’Italia Digitale (AgID), che trattano l’adozione, lo sviluppo e l’acquisizione di sistemi di IA da parte delle amministrazioni, il cui iter di adozione è ancora in corso.
Per gli enti, l’obiettivo concreto consiste nel tradurre i requisiti normativi in decisioni verificabili: stabilire chi risponde del sistema, quali dati vengono trattati, quali rischi possono emergere, quali controlli sono previsti e come si interviene in caso di errore.
Prima del progetto: finalità, dati e minacce
La prima verifica riguarda il problema amministrativo da risolvere. Prima di selezionare una soluzione, l’ente dovrebbe definire le finalità, i benefici attesi, le categorie di utenti coinvolti e le attività che resteranno sotto la responsabilità del personale.
Questa analisi permette di capire se l’IA sia davvero appropriata e quale livello di autonomia sia ragionevole assegnarle.
Va inoltre accertato che l’uso previsto non rientri tra le pratiche vietate dall’art. 5 dell’AI Act.
Quando il sistema tratta dati personali, la sua realizzazione deve rispettare i principi di protezione dei dati fin dalla progettazione e per impostazione predefinita, previsti dall’articolo 25 del GDPR. L’amministrazione è tenuta a valutare la pertinenza dei dati, limitarne la raccolta a quanto necessario e stabilire regole per accessi, conservazione e cancellazione.
In presenza di trattamenti di dati personali che possono comportare un rischio elevato per i diritti e le libertà delle persone, l’amministrazione deve effettuare una valutazione d’impatto sulla protezione dei dati (DPIA) ai sensi dell’articolo 35 del GDPR.
Per determinati sistemi di IA ad alto rischio, l’articolo 27 del Regolamento europeo sull’Intelligenza Artificiale prevede, per i deployer individuati dalla disposizione e prima della messa in uso del sistema, una valutazione d’impatto sui diritti fondamentali (FRIA), con le eccezioni e le condizioni stabilite dal regolamento.
I due adempimenti hanno presupposti e finalità distinti: non vanno considerati automaticamente equivalenti o intercambiabili.
La scelta della soluzione: costi, fornitori e contratti
Una volta definite finalità e condizioni di sicurezza, l’amministrazione può confrontare le opzioni disponibili. La valutazione economica non dovrebbe fermarsi al prezzo iniziale o al canone del servizio.
Gli interventi di modernizzazione, anche quando finanziati da risorse e avvisi riconducibili a PA digitale 2026, richiedono di considerare l’intero ciclo di vita della soluzione, includendo avvio, gestione, manutenzione, formazione del personale e possibili modifiche nel tempo.
Una stima completa deve comprendere anche i costi di uscita dal contratto, cioè le attività necessarie per trasferire i dati verso un altro fornitore, recuperare le informazioni in formati accessibili e assicurare la continuità del servizio.
La possibilità di cambiare soluzione senza dipendenze sproporzionate è un elemento di sostenibilità tecnica ed economica.
Anche la procedura di acquisizione deve essere coerente con l’oggetto, la complessità e i presupposti normativi del progetto.
Il Codice dei contratti pubblici (D.Lgs. 36/2023) offre soluzioni diverse. In funzione delle caratteristiche dell’intervento e dei presupposti previsti dalla normativa, l’ente può ricorrere a strumenti di acquisto centralizzato, come convenzioni e accordi quadro, oppure a procedure quali il dialogo competitivo o il partenariato per l’innovazione, quando ne ricorrano le condizioni.
Se il fornitore tratta dati personali per conto dell’amministrazione, il rapporto deve essere disciplinato secondo l’articolo 28 del GDPR. Il contratto deve chiarire istruzioni, obblighi, misure di sicurezza, eventuale ricorso ad altri responsabili e modalità di assistenza.
La presenza di un fornitore esterno non trasferisce automaticamente al di fuori dell’ente le responsabilità dell’amministrazione in qualità di titolare del trattamento. La qualificazione dei ruoli deve comunque dipendere dalle attività effettivamente svolte e dalle responsabilità assunte dai soggetti coinvolti.
Per i servizi cloud e le altre componenti tecnologiche, l’ente deve inoltre verificare i requisiti applicabili alla Pubblica Amministrazione, comprese le condizioni di qualificazione previste dalle regole nazionali per i servizi e le infrastrutture pertinenti, nell’ambito delle competenze dell’Agenzia per la cybersicurezza nazionale (ACN).
Devono inoltre essere verificati gli eventuali obblighi derivanti dal D.Lgs. 138/2024, che recepisce la direttiva NIS2, in relazione al campo di applicazione della disciplina e alla categoria di soggetto interessato.
Durante l’esercizio: supervisione umana e sicurezza
Dopo l’avvio, la governance deve proseguire con controlli periodici sulle prestazioni, sulla qualità dei risultati e sugli effetti del sistema.
Un modello può generare risposte inesatte, riprodurre distorsioni presenti nei dati o comportarsi diversamente quando cambiano le informazioni in ingresso. Per questo sono importanti test, registrazione degli eventi rilevanti, gestione delle anomalie e procedure di escalation.
La supervisione umana deve essere concreta e commisurata al rischio. Le persone incaricate devono comprendere i limiti della soluzione, poter verificare i risultati e disporre dell’autorità necessaria per correggerli o non darvi seguito.
Per i sistemi di IA ad alto rischio, l’amministrazione che li usa sotto la propria autorità può assumere la qualifica di deployer ai sensi dell’AI Act, in funzione del ruolo effettivamente svolto. Gli obblighi applicabili comprendono, tra l’altro, l’uso conforme alle istruzioni del sistema, l’assegnazione della supervisione umana a persone adeguatamente competenti, formate e autorizzate e la conservazione dei log generati automaticamente, nei limiti e per i periodi previsti dal regolamento.
Devono inoltre essere verificati gli obblighi di informazione e trasparenza pertinenti allo specifico sistema e al contesto di utilizzo.
La formazione del personale costituisce un presidio essenziale della governance. L’articolo 4 dell’AI Act, come modificato dal Regolamento UE 2026/1744, prevede che fornitori e deployer adottino misure volte a sostenere lo sviluppo dell’alfabetizzazione in materia di IA del personale e delle altre persone che usano o gestiscono sistemi per loro conto, in funzione delle competenze, dell’esperienza, della formazione e del contesto operativo.
Nei procedimenti amministrativi, l’IA può supportare l’istruttoria o l’organizzazione delle informazioni, ma le modalità di intervento umano devono essere definite in relazione alle funzioni esercitate e alle conseguenze per i cittadini.
Occorre inoltre considerare l’articolo 22 del GDPR, che prevede, in linea di principio, il divieto di sottoporre l’interessato a una decisione basata unicamente su un trattamento automatizzato, compresa la profilazione, quando produca effetti giuridici o incida in modo analogamente significativo sulla sua persona.
Il paragrafo 2 contempla specifiche eccezioni: necessità per la conclusione o l’esecuzione di un contratto, autorizzazione prevista dal diritto dell’Unione o nazionale con adeguate garanzie, oppure consenso esplicito.
Per un ente pubblico assume rilievo soprattutto l’autorizzazione per legge con garanzie adeguate, mentre contratto e consenso sono basi di difficile impiego, anche per il possibile squilibrio tra ente e cittadino. Il paragrafo 4 limita inoltre le decisioni automatizzate basate su categorie particolari di dati.
In ogni caso le eccezioni non eliminano le tutele previste dal regolamento e non costituiscono un’autorizzazione generale a delegare decisioni amministrative all’IA.
La sicurezza informatica completa questo presidio. Controlli sugli accessi, privilegi limitati alle effettive necessità, protezione dei dati, gestione degli incidenti e verifiche sulle interazioni con il sistema riducono il rischio di esposizione delle informazioni o di manipolazione degli input.
La collaborazione tra responsabili tecnici, sicurezza informatica e funzioni di protezione dei dati permette di affrontare i rischi in modo coordinato.
Il DPO nella governance dell’Intelligenza Artificiale
Il Data Protection Officer (DPO) contribuisce alla governance offrendo consulenza indipendente sugli obblighi in materia di protezione dei dati, sorvegliando l’osservanza del GDPR e supportando le valutazioni di rischio pertinenti.
Il suo apporto è particolarmente importante quando un progetto coinvolge dati personali, profilazione o attività che possono incidere significativamente sui cittadini.
Il DPO può essere coinvolto fin dalla fase di progettazione, fornendo consulenza sui rischi per la protezione dei dati, sulla necessità della valutazione d’impatto e sulle misure di tutela da considerare.
Quando è necessaria una DPIA, il suo parere deve essere richiesto nei termini previsti dall’articolo 35 del GDPR.
La responsabilità delle decisioni sul trattamento resta in capo al titolare, mentre il DPO svolge le funzioni di informazione, consulenza e sorveglianza previste dalla normativa. È inoltre necessario tutelarne l’indipendenza e prevenire conflitti di interesse.
La governance funziona meglio quando il DPO collabora con i responsabili dei processi, i referenti ICT, la sicurezza informatica, gli uffici acquisti e le figure che presidiano gli aspetti giuridici.
Il confronto tra queste competenze aiuta a individuare tempestivamente problemi e a mantenere allineati requisiti normativi, scelte tecnologiche e obiettivi del servizio.
Una governance documentata e proporzionata
Una PA digitale capace di integrare l’Intelligenza Artificiale in modo responsabile non si riconosce dal numero di sistemi introdotti, ma dalla qualità delle decisioni che ne accompagnano l’intero ciclo di vita.
Finalità definite, analisi dei rischi, contratti adeguati, controlli tecnici, supervisione umana e coinvolgimento del DPO devono comporre un percorso coerente e documentabile.
L’obiettivo è costruire servizi pubblici affidabili, accessibili e sicuri, mantenendo la responsabilità amministrativa al centro.
Una governance proporzionata al rischio consente di cogliere le opportunità dell’IA senza perdere di vista la tutela dei dati personali, la trasparenza e i diritti delle persone.
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
