Dalla strategia per l’IA al ruolo del Responsabile per la Transizione Digitale, fino alla gestione dei rischi, alla formazione del personale e alla tutela dei dati: le indicazioni operative per Comuni, Province e amministrazioni pubbliche.
Con la Determinazione n. 169 del 9 novembre 2026, l’Agenzia per l’Italia Digitale (AgID) ha approvato le Linee Guida per l’adozione di IA nella Pubblica Amministrazione, previste dal Piano Triennale per l’Informatica nella PA 2024-2026, con l’obiettivo di accompagnare le amministrazioni nell’introduzione di sistemi affidabili, sicuri e conformi alla normativa europea e nazionale.
Il provvedimento, elaborato nell’ambito del Tavolo di concertazione del Piano Triennale con il coinvolgimento, tra gli altri, di ACN, ANAC, ANCI, Conferenza delle Regioni, Consip e Dipartimento della Funzione Pubblica, interessa direttamente anche Comuni, Province e altri enti territoriali per ricondurre l’utilizzo dell’intelligenza artificiale a una programmazione coerente con i propri strumenti organizzativi, a partire dal Piano integrato di attività e organizzazione (PIAO).
L’elemento più significativo è il passaggio da un approccio prevalentemente sperimentale a un modello di adozione fondato su responsabilità definite, gestione dei rischi, sorveglianza umana e monitoraggio dei risultati, nel quale le prescrizioni obbligatorie si affiancano a raccomandazioni e strumenti facoltativi.
Linee Guida AgID sull’IA nella PA: a chi si applicano e cosa prevedono
Le disposizioni si rivolgono ai soggetti individuati dall’articolo 2, comma 2, del CAD e definiscono criteri e modalità per l’adozione dei sistemi di intelligenza artificiale, con particolare attenzione alla conformità normativa e agli effetti sull’organizzazione amministrativa.
Il quadro di riferimento è costituito principalmente dal Regolamento (UE) 2024/1689 (AI Act), dalla Legge n. 132/2025 e dal D.Lgs. n. 179/2026, ai quali si affiancano le disposizioni sulla protezione dei dati personali, sulla cybersicurezza e sulla gestione dei servizi digitali.
Per individuare gli adempimenti effettivamente richiesti, occorre considerare il significato attribuito alle espressioni utilizzate: «DEVE» e «DEVONO» identificano requisiti obbligatori, «DOVREBBE» indica una raccomandazione rispetto alla quale devono essere valutate eventuali soluzioni alternative, mentre «PUÒ» e «POSSONO» individuano misure facoltative.
Questa distinzione consente alle amministrazioni di separare gli obblighi dalle possibilità di adattamento organizzativo, evitando di trasformare ogni indicazione metodologica in un ulteriore adempimento.
Strategia per l’intelligenza artificiale: obblighi di programmazione e coordinamento con il PIAO
L’introduzione di sistemi di IA deve essere accompagnata dalla definizione di una strategia per l’intelligenza artificiale coerente con le funzioni istituzionali dell’amministrazione, nella quale siano individuati gli obiettivi perseguiti, le azioni necessarie per raggiungerli e le misure destinate a garantire la trasparenza sulle modalità di utilizzo delle tecnologie.
Secondo il paragrafo 4.1, la strategia deve essere sviluppata in coerenza con il PIAO, con la governance dei dati e con il Piano Triennale per l’Informatica nella PA, considerando la qualità delle basi informative disponibili, le competenze del personale e i procedimenti nei quali l’intelligenza artificiale può migliorare l’efficienza operativa e i servizi.
È prevista anche la possibilità di definire strategie comuni e realizzare progetti in forma associata, un’opportunità particolarmente interessante per i Comuni di minori dimensioni, che possono condividere competenze, infrastrutture e risorse tecnologiche senza dover sviluppare autonomamente tutte le componenti organizzative.
Responsabile per la Transizione Digitale: chi coordina l’intelligenza artificiale nella pubblica amministrazione
Il coordinamento della strategia viene affidato al Responsabile per la Transizione Digitale (RTD) e al relativo Ufficio per la Transizione Digitale (UTD), ai quali spetta presidiare la gestione dei sistemi adottati, verificarne la conformità normativa e riferire agli organi di governo sulle prestazioni e sulle attività di monitoraggio.
Nell’esercizio di queste funzioni, il RTD deve coinvolgere il Responsabile della protezione dei dati (RPD) e il Referente per la cybersicurezza, assicurando il coordinamento tra competenze tecnologiche, organizzative e giuridiche.
Non viene invece introdotto un obbligo generalizzato di nominare un Responsabile dell’Intelligenza Artificiale (RIA). Nei contesti caratterizzati da un utilizzo particolarmente intenso di queste tecnologie, l’ente può istituire una figura dedicata, eventualmente supportata da un proprio ufficio, che opera secondo le direttive del RTD.
L’adeguamento, pertanto, non comporta necessariamente la creazione di nuove strutture, ma richiede soprattutto di rafforzare le competenze e le funzioni già esistenti.
AI Act e Pubblica Amministrazione: classificazione dei rischi e obblighi
Prima di introdurre o utilizzare un sistema di intelligenza artificiale, le amministrazioni devono verificarne il livello di rischio secondo la classificazione prevista dall’AI Act, considerando le caratteristiche della soluzione, le finalità e il contesto di impiego.
Il sistema europeo distingue quattro categorie:
- Rischio inaccettabile: comprende le pratiche vietate dall’articolo 5 dell’AI Act.
- Alto rischio: riguarda i sistemi che possono incidere significativamente sulla salute, sulla sicurezza o sui diritti fondamentali e che rientrano nelle fattispecie individuate dal regolamento.
- Rischio limitato: comprende sistemi soggetti a specifici obblighi di trasparenza.
- Rischio minimo: riguarda applicazioni alle quali non si applicano gli obblighi specificamente previsti per i sistemi ad alto rischio.
La classificazione richiede particolare attenzione quando l’IA viene utilizzata per supportare procedimenti amministrativi, elaborare informazioni relative ai cittadini o contribuire ai processi decisionali, poiché l’eventuale qualificazione come sistema ad alto rischio dipende dalle condizioni e dalle finalità individuate dalla normativa europea.
È necessario inoltre individuare il ruolo assunto dall’ente, distinguendo tra fornitore (provider) e soggetto utilizzatore (deployer), poiché a ciascuna posizione corrispondono responsabilità differenti. Nei casi previsti dall’articolo 25 dell’AI Act, un’amministrazione che modifica sostanzialmente un sistema acquisito oppure ne cambia la finalità può assumere gli obblighi propri del fornitore.
Per le applicazioni ad alto rischio sono previsti requisiti specifici in materia di gestione dei rischi, documentazione, tracciabilità e sorveglianza umana, ai quali si aggiunge, nei casi stabiliti dall’articolo 27 del regolamento europeo, la valutazione d’impatto sui diritti fondamentali (FRIA).
Resta ferma, quando ne ricorrono i presupposti, la necessità di effettuare anche la valutazione d’impatto sulla protezione dei dati personali (DPIA), ai sensi dell’articolo 35 del Regolamento (UE) 2016/679 (GDPR).
Adozione dell’IA nella PA: modello organizzativo, monitoraggio e codice etico
Per governare l’intero ciclo di vita dei sistemi di intelligenza artificiale, dalla pianificazione alla dismissione, le amministrazioni devono adottare processi, politiche e strumenti organizzativi adeguati. AgID propone a questo scopo un modello basato sul ciclo di miglioramento continuo Plan-Do-Check-Act (PDCA) e sulle pratiche gestionali dello standard ISO/IEC 42001:2023, che costituisce un riferimento metodologico e non sostituisce i requisiti di conformità previsti dall’AI Act.
L’attuazione richiede di individuare gli obiettivi, selezionare i casi d’uso, valutare i rischi e predisporre un piano operativo nel quale siano definite attività, risorse, tempi e responsabilità.
Per ciascun caso d’uso devono inoltre essere stabiliti indicatori di prestazione (KPI) attraverso i quali misurare l’efficacia della soluzione, considerando non soltanto le prestazioni tecniche, ma anche gli effetti sui processi amministrativi, la qualità dei dati, i costi e la sostenibilità.
Il monitoraggio deve accompagnare l’intero ciclo di vita del sistema, consentendo di individuare anomalie e introdurre eventuali misure correttive. Per le applicazioni a rischio limitato o minimo è comunque possibile accorpare alcune fasi del modello organizzativo, adattandolo alla complessità del progetto.
Tra gli strumenti di governance utilizzabili rientra anche il codice etico e di condotta, la cui adozione non costituisce tuttavia un obbligo generalizzato. Le amministrazioni possono definire ulteriori regole di comportamento, anche integrandole negli strumenti organizzativi esistenti, per disciplinare l’utilizzo delle applicazioni da parte dei dipendenti e le relative responsabilità. Qualora venga adottato, il codice deve essere sottoposto a revisione periodica per mantenerlo aggiornato rispetto all’evoluzione normativa e tecnologica.
IA nei procedimenti amministrativi: responsabilità, controllo umano e trasparenza
L’utilizzo dell’intelligenza artificiale nei procedimenti amministrativi non modifica il principio secondo cui la responsabilità ultima delle decisioni rimane in capo alla Pubblica Amministrazione, indipendentemente dal livello di automazione adottato.
L’impiego di sistemi di IA deve quindi mantenere una funzione di supporto all’attività umana, attraverso modalità di sorveglianza umana che consentano al personale incaricato di verificare i risultati, intervenire in presenza di errori e, quando necessario, correggere o sostituire gli output generati.
Per le applicazioni ad alto rischio devono essere rispettati gli obblighi previsti dall’articolo 14 dell’AI Act, assicurando che la sorveglianza sia affidata a personale dotato delle competenze e dell’autorità necessarie.
A queste garanzie si affiancano gli obblighi di trasparenza, che richiedono di informare gli utenti sull’impiego dei sistemi e, secondo la normativa applicabile, sulle modalità di funzionamento e sulle possibili conseguenze delle decisioni automatizzate, assicurando, quando previsto, la possibilità di richiedere un intervento umano e contestare la decisione.
Formazione sull’intelligenza artificiale: gli adempimenti per dipendenti e dirigenti pubblici
L’introduzione dell’intelligenza artificiale richiede un adeguamento delle competenze del personale, affinché l’utilizzo delle nuove tecnologie sia accompagnato dalla conoscenza del loro funzionamento, dei limiti applicativi e delle implicazioni normative e organizzative.
Il capitolo 8 prevede che le amministrazioni garantiscano a tutti i dipendenti un adeguato livello di alfabetizzazione in materia di IA (AI literacy), attraverso percorsi differenziati in relazione alle funzioni svolte.
Per dirigenti e responsabili degli uffici, la formazione deve sviluppare soprattutto la capacità di valutare benefici, rischi e impatti dei progetti, mentre per il RTD, l’UTD e le figure specialistiche occorre rafforzare le competenze necessarie alla progettazione, gestione e supervisione dei sistemi.
Gli interventi formativi devono trovare adeguata evidenza nella sezione del PIAO dedicata alla formazione, anche valorizzando i programmi disponibili sulla piattaforma Syllabus e le opportunità di aggiornamento specialistico.
Per gli enti territoriali è prevista inoltre la promozione di iniziative di informazione e facilitazione rivolte ai cittadini, affinché possano comprendere le modalità di utilizzo dei servizi pubblici basati sull’IA.
Protezione dei dati e cybersicurezza: i requisiti per utilizzare sistemi di IA
La qualità dei dati costituisce un presupposto essenziale per l’affidabilità dei sistemi di intelligenza artificiale, soprattutto quando vengono utilizzati per elaborare informazioni amministrative o supportare decisioni che possono incidere sui diritti dei cittadini.
Le amministrazioni devono quindi verificare accuratezza, completezza, coerenza e aggiornamento dei propri patrimoni informativi, adottando misure organizzative che ne assicurino la corretta gestione nel rispetto delle disposizioni sulla protezione dei dati personali e sull’interoperabilità.
Alla qualità delle informazioni si affianca la necessità di presidiare i rischi di cybersicurezza, compresi quelli specifici delle tecnologie di IA, attraverso misure di prevenzione, monitoraggio e risposta agli incidenti integrate nelle politiche di sicurezza informatica dell’ente.
La valutazione delle soluzioni deve pertanto comprendere non soltanto le funzionalità disponibili, ma anche la protezione dei dati, la robustezza tecnologica e la capacità dell’amministrazione di mantenere il controllo sui sistemi utilizzati.
FONTI “Lavori.Pubblici.it”