Intelligenza artificiale nella PA: focus sulle Linee guida AgID 2026

Intelligenza artificiale negli enti pubblici: cosa prevedono le Linee Guida AgID 2026 su strategia, Responsabili della Transizione Digitale e dell’Intelligenza Artificiale, rischi, dati, controlli, formazione e monitoraggio

Le Linee Guida AgID del 9 novembre 2026 definiscono il quadro operativo per l’adozione dell’intelligenza artificiale nella PA, indicando criteri, responsabilità e misure organizzative per governarne l’utilizzo lungo tutto il ciclo di vita.

Il modello delineato comprende una strategia coordinata dal Responsabile per la Transizione Digitale, la definizione e documentazione dei casi d’uso, la gestione dei rischi, il controllo e la qualità dei dati, la sorveglianza, la formazione del personale e il monitoraggio continuo dei sistemi.

L’obiettivo è accompagnare le amministrazioni nel passaggio da una fase prevalentemente sperimentale a un utilizzo dell’IA governato, verificabile e integrato nei processi dell’ente, coerente con l’AI Act, con la normativa nazionale e con gli strumenti di programmazione e organizzazione della Pubblica Amministrazione.

Ecco un’ampia e dettagliata analisi delle linee guida, qui disponibili per il download gratuito.

Cosa prevedono le Linee Guida AgID sull’IA nella PA?

Le Linee Guida AgID stabiliscono criteri e modalità per adottare sistemi di intelligenza artificiale nella Pubblica Amministrazione, con particolare attenzione alla conformità normativa e agli impatti organizzativi.

Le linee guida recepiscono il quadro normativo europeo e nazionale (Regolamento (UE) 2024/1689 e Legge 132/2025) e si articolano in alcune macroaree fondamentali, tra cui:

classificazione del rischio e conformità: le PA sono tenute a classificare i sistemi di IA in base ai livelli di rischio definiti dall’AI Act, applicando requisiti di trasparenza, sorveglianza umana e responsabilità, soprattutto per le soluzioni ad alto rischio.
modello di adozione (Ciclo PDCA): viene introdotto un modello di adozione basato sul miglioramento continuo Plan-Do-Check-Act (PDCA) e sugli standard ISO/IEC 42001, affiancato da strumenti pratici di autovalutazione della maturità organizzativa e tecnologica.
qualità dei dati e sicurezza: la gestione dei dati viene riconosciuta come prerequisito essenziale per sistemi di IA affidabili. Il documento integra i principi di qualità dei dati (accuratezza, coerenza, completezza e attualità) con rigorose misure di cybersecurity per mitigare minacce specifiche dell’IA (evasion, poisoning, privacy e abuse attacks).
codice Etico e Competenze: viene promosso un modello di IA antropocentrico che prevede l’adozione di un codice etico di comportamento, un forte investimento sull’alfabetizzazione digitale e la valorizzazione dei profili professionali specializzati all’interno degli Uffici per la Transizione al Digitale (UTD).

Un elemento essenziale per interpretare correttamente il documento è il diverso valore delle formulazioni utilizzate. Le Linee Guida precisano infatti che “DEVE o DEVONO indicano un requisito obbligatorio”, “DOVREBBE” identifica invece una raccomandazione da valutare attentamente, mentre “PUÒ” individua una possibilità facoltativa.

Quali sono gli obblighi AI per le PA indicati dalle Linee Guida AgID?

In sintesi, quando utilizzano le formulazioni DEVE/DEVONO, le Linee Guida richiedono alle PA di:

adottare un modello organizzativo strutturato per l’IA, con processi, politiche, risorse e strumenti per governare, implementare, monitorare e migliorare i sistemi durante l’intero ciclo di vita;
definire una strategia per l’IA coerente con il contesto e la missione dell’ente, contenente obiettivi, azioni e misure di trasparenza e coordinata con PIAO, data governance e Piano Triennale per l’informatica nella PA;
affidare la responsabilità della gestione dell’IA al RTD e al suo ufficio, coinvolgendo, secondo le competenze, il Responsabile della protezione dei dati e il referente per la cybersicurezza;
documentare e aggiornare i casi d’uso e le relative soluzioni lungo tutto il ciclo di vita, dalla sperimentazione alla dismissione;
identificare i requisiti di ciascun sistema considerando almeno conformità all’AI Act, gestione e qualità dei dati, protezione dei dati personali, cybersicurezza e livello di rischio;
definire KPI per ogni caso d’uso e monitorarli durante l’intero ciclo di vita della soluzione;
documentare gli esiti delle valutazioni d’impatto applicabili e condividerli con le parti interessate;
predisporre un piano operativo, con obiettivi misurabili, attività, risorse, tempi, responsabilità e criteri di valutazione e monitoraggio;
allocare risorse e competenze adeguate, formare il personale il personale sulle minacce e sui rischi, verificarne le competenze e conservarne evidenza documentale;
monitorare i sistemi di IA e il loro impatto sui diritti fondamentali per tutto il ciclo di vita, mantenendo aggiornata la documentazione tecnica;
per i sistemi ad alto rischio, garantire la sorveglianza umana, personale adeguatamente competente e la conservazione della documentazione necessaria alla tracciabilità e agli audit;
garantire trasparenza e informativa agli utenti, soprattutto quando l’IA interviene nei processi decisionali o tratta dati personali;
assicurare qualità e corretta governance dei dati, oltre al rispetto della disciplina sulla protezione dei dati personali;
integrare la cybersicurezza lungo tutto il ciclo di vita dell’IA, proteggendo infrastrutture, asset, dati e catena di approvvigionamento.

Gli obblighi non sono però identici per tutti i sistemi: alcuni valgono in generale, mentre altri scattano in funzione del livello di rischio e del ruolo assunto dalla PA come fornitore o deployer, soprattutto per i sistemi classificati ad alto rischio dall’AI Act.

Come deve organizzarsi una PA per adottare l’intelligenza artificiale?

Una Pubblica Amministrazione deve inserire l’adozione dell’IA in un modello organizzativo governato, collegato alla propria missione, alla programmazione dell’ente, ai dati disponibili, alle competenze e ai rischi. La strategia per l’intelligenza artificiale deve essere coerente con gli strumenti di programmazione dell’amministrazione, a partire dal PIAO e dal Piano triennale per l’informatica nella PA, e deve considerare anche la governance dei dati.

Il modello organizzativo indicato dalle Linee Guida segue una logica di ciclo continuo:

pianificare l’adozione e individuare gli obiettivi;
implementare il sistema e i processi organizzativi;
verificare prestazioni, rischi e conformità;
introdurre azioni di miglioramento.

La logica è riconducibile al modello Plan–Do–Check–Act e per sistemi con rischio e complessità più contenuti, le attività possono essere proporzionate al caso concreto.

Piano operativo: come deve essere strutturato?

Le Linee Guida impongono alle PA di tradurre la strategia per l’IA in obiettivi operativi chiari, misurabili, monitorati e aggiornati periodicamente. Il piano operativo è quindi il documento che trasforma la strategia generale in attività concrete, assegnate e verificabili.

AgID richiede espressamente un approccio sistematico e documentato di project management. Nel piano la PA deve:

definire le attività operative da svolgere;
identificare le risorse necessarie;
stabilire i tempi di completamento;
assegnare responsabilità specifiche;
definire criteri di valutazione e monitoraggio dei risultati.

Il piano non dovrebbe limitarsi alla fase iniziale di adozione ma deve comprendere tutte le attività necessarie per conseguire gli obiettivi relativi alla gestione dei sistemi di IA e coordinarsi anche con gli eventuali profili di procurement e sviluppo.

Una struttura operativa efficace può quindi contenere, per ciascun caso d’uso:

La fase di implementazione deve poi dare concreta attuazione al piano operativo. Le Linee Guida collegano espressamente questa fase anche alle valutazioni periodiche dei rischi e degli impatti, che devono essere ripetute a intervalli pianificati o in presenza di modifiche significative.

Chi è responsabile dell’intelligenza artificiale nella Pubblica Amministrazione?

Il Responsabile dell’Intelligenza Artificiale (RIA) è una figura dedicata al coordinamento dell’IA che la Pubblica Amministrazione può istituire nei contesti caratterizzati da un’elevata intensità di utilizzo dei sistemi di intelligenza artificiale. La sua nomina non costituisce quindi un obbligo generalizzato: le Linee Guida AgID utilizzano espressamente il termine “PUÒ”.

La governance dell’IA resta infatti incardinata sul Responsabile per la Transizione Digitale (RTD). Le Linee Guida stabiliscono che le funzioni di definizione e supervisione della strategia IA, della relativa governance e della gestione dei rischi sono ricondotte, nelle PA, al RTD.

Solo nei contesti in cui l’utilizzo dell’intelligenza artificiale assume particolare rilevanza o complessità, l’amministrazione può istituire una figura dedicata, il Responsabile dell’Intelligenza Artificiale, eventualmente supportato da un proprio Ufficio per l’Intelligenza Artificiale (UIA), che opera secondo le direttive del RTD.

Nei contesti in cui l’utilizzo dell’intelligenza artificiale è particolarmente esteso, l’amministrazione può inoltre individuare un Responsabile dell’intelligenza artificiale che operi secondo le direttive del RTD.

Quale ruolo svolge il Responsabile dell’Intelligenza Artificiale (RIA)?

Il Responsabile dell’Intelligenza Artificiale (RIA) è una figura dedicata al coordinamento dell’IA che la Pubblica Amministrazione può istituire nei contesti caratterizzati da un’elevata intensità di utilizzo dei sistemi di intelligenza artificiale.

La governance dell’IA resta incardinata sul Responsabile per la Transizione Digitale (RTD). Le Linee Guida stabiliscono che la responsabilità della gestione dell’intelligenza artificiale nella PA deve essere affidata al RTD e al relativo Ufficio per la Transizione Digitale, secondo le modalità definite nella strategia dell’ente. Il RIA, quando istituito, opera invece seguendo le direttive del RTD.

Al Responsabile dell’Intelligenza Artificiale possa essere assegnato un apposito Ufficio per l’Intelligenza Artificiale (UIA). Anche questa è una possibilità organizzativa e non un requisito obbligatorio.

Le Linee Guida ricondicono il RIA al profilo del Chief AI Officer. Tra le sue funzioni principali rientrano la definizione e la supervisione della strategia di IA, della governance e della gestione dei rischi.

Il Responsabile dell’IA deve contribuire, in particolare, a garantire:

integrazione sicura ed efficace dei sistemi di IA nei processi dell’amministrazione;
attuazione della strategia di intelligenza artificiale;
governance delle soluzioni adottate;
gestione dei rischi connessi ai sistemi di IA;
conformità alla normativa applicabile;
trasparenza nell’utilizzo dei sistemi;
tracciabilità delle attività e delle decisioni;
adeguati meccanismi di sorveglianza umana.

Nella PA, tuttavia, queste funzioni sono ordinariamente ricondotte al RTD. La figura del RIA serve quindi soprattutto a specializzare e rafforzare il presidio organizzativo dell’IA quando numero, complessità o rilevanza dei sistemi utilizzati rendono opportuno un coordinamento dedicato.

Il RIA non opera però isolatamente. Le Linee Guida descrivono un ecosistema professionale più ampio, nel quale possono rientrare figure quali AI Product Manager, AI Prompt Engineer, AI Algorithm Engineer, AI Data Engineer, AI Data Scientist, AI Security Specialist, Machine Learning Engineer e specialisti NLP. Accanto ai profili tecnici assumono rilievo anche professionalità già presenti nell’amministrazione, come il Responsabile della protezione dei dati, il giurista informatico e il comunicatore pubblico, oltre a figure trasversali come Organizational Designer, Change Manager e AI Ethicist.

L’obiettivo non è necessariamente creare nuove strutture per ogni amministrazione, ma assicurare che la PA disponga delle competenze necessarie per progettare, adottare, gestire e supervisionare i sistemi di IA. Le Linee Guida stabiliscono infatti che le amministrazioni DEVONO individuare e sviluppare le professionalità e le competenze necessarie, anche attraverso reclutamento, formazione, upskilling e specializzazione.

Particolare attenzione è riservata anche ai dirigenti pubblici e al RTD: le amministrazioni DEVONO assicurare che acquisiscano e mantengano un livello di conoscenze e competenze in materia di IA adeguato alle rispettive responsabilità. Tali competenze devono consentire di valutare l’opportunità di utilizzo dei sistemi, i benefici attesi, i rischi, gli impatti sui processi e sui servizi pubblici e la conformità al quadro normativo.

In questo quadro, il Responsabile dell’Intelligenza Artificiale assume soprattutto la funzione di presidio specialistico e di coordinamento nei contesti più complessi: non sostituisce il RTD, ma rafforza la capacità dell’amministrazione di governare in modo strutturato strategia, rischi, competenze, conformità e ciclo di vita dei sistemi di IA.

Qual è la differenza tra RTD e Responsabile dell’IA?

La differenza fondamentale riguarda il livello di responsabilità previsto dalle Linee Guida.

Le Linee Guida stabiliscono infatti che la PA deve implementare la propria strategia affidandone il coordinamento, insieme alla governance dei dati, al RTD e all’UTD, coinvolgendo il Responsabile della protezione dei dati e il referente per la cybersicurezza.

Il RIA non sostituisce quindi il RTD e non costituisce una struttura parallela autonoma: opera all’interno del modello di governance definito dal RTD e secondo le sue direttive.

Quando può essere utile nominare un Responsabile dell’IA?

Le Linee Guida non stabiliscono una soglia numerica o criteri automatici per determinare quando debba essere istituito il RIA. Indicano però come riferimento i “contesti ad elevata intensità di utilizzo dell’Intelligenza Artificiale”.

In termini organizzativi, la figura può quindi risultare particolarmente utile quando l’amministrazione gestisce:

numerosi sistemi o casi d’uso di IA contemporaneamente;
sistemi con livelli di rischio o complessità elevati;
progetti che coinvolgono più uffici o processi amministrativi;
sistemi che richiedono un monitoraggio continuativo;
un numero significativo di fornitori, modelli o piattaforme;
attività rilevanti di gestione dei dati, conformità e controllo degli output;
programmi strutturati di sviluppo o diffusione dell’IA nell’ente.

Questi ultimi punti rappresentano una lettura organizzativa coerente con le Linee Guida, mentre il documento AgID non definisce parametri quantitativi specifici per la nomina.

Quali competenze dovrebbe avere il Responsabile dell’IA?

Le Linee Guida collegano il profilo del Responsabile dell’IA alla UNI 11621-8:2026, indicata come possibile riferimento per l’individuazione e la descrizione dei profili professionali relativi all’intelligenza artificiale. Richiamano inoltre l’European e-Competence Framework.

Il profilo richiede quindi competenze trasversali che non si limitano alla conoscenza tecnica dei modelli di IA. Il RIA deve essere in grado di comprendere e coordinare aspetti relativi a:

strategia e governance dell’intelligenza artificiale;
gestione del rischio;
normativa e conformità;
qualità e governance dei dati;
sicurezza informatica;
trasparenza e tracciabilità;
sorveglianza umana;
integrazione dei sistemi nei processi organizzativi.

Le Linee Guida sottolineano inoltre che l’adozione dell’IA non richiede necessariamente la creazione di nuove strutture organizzative: in primo luogo, le PA devono rafforzare le competenze dei profili professionali già presenti. Alcuni di questi profili possono poi specializzarsi progressivamente fino ad assumere funzioni prevalentemente o esclusivamente dedicate all’IA.

Il Responsabile dell’IA è quindi obbligatorio?

No. Le Linee Guida AgID distinguono nettamente tra due livelli:

la responsabilità della gestione dell’IA DEVE essere affidata al RTD e al suo ufficio;
nei contesti a elevata intensità di utilizzo dell’IA, la PA PUÒ istituire il Responsabile dell’Intelligenza Artificiale e PUÒ assegnargli un apposito ufficio.

Il RIA è quindi una figura organizzativa specialistica e facoltativa, pensata per rafforzare il governo dell’IA nelle amministrazioni in cui la diffusione o la complessità dei sistemi rende insufficiente una gestione non dedicata. La responsabilità istituzionale prevista dal modello AgID rimane comunque incardinata sul RTD.

Risorse, competenze e formazione: quali obblighi ha la PA?

Le Linee Guida richiedono alle amministrazioni di determinare e allocare risorse finanziarie, tecnologiche e umane adeguate a sviluppare, mantenere e migliorare nel tempo i sistemi di IA. Il requisito riguarda quindi non soltanto il budget iniziale, ma la capacità dell’ente di sostenere il sistema lungo il suo ciclo di vita.

La formazione deve essere pianificata in funzione dei ruoli e dell’effettivo utilizzo dei sistemi di IA e le amministrazioni devono individuare le competenze necessarie, assicurare che il personale le acquisisca e conservarne evidenza.

Non tutti gli utenti devono possedere le stesse competenze: le amministrazioni devono definire misure formative e organizzative differenziate e proporzionate in base al ruolo svolto, alle competenze già possedute, alle caratteristiche del sistema e al contesto di utilizzo. Una strategia efficace dovrebbe distinguere almeno tra:

chi governa e autorizza i progetti;
chi valuta rischi, dati, privacy e sicurezza;
chi sviluppa o configura le soluzioni;
chi utilizza quotidianamente gli strumenti;
chi verifica gli output;
chi gestisce segnalazioni e anomalie.

La formazione deve inoltre accompagnare l’evoluzione dei sistemi. Nuove funzionalità, cambiamenti dei dati o modifiche del contesto operativo possono richiedere aggiornamenti delle competenze.

Per le PA coinvolte in sviluppo, acquisizione e gestione dell’IA, le Linee Guida richiedono inoltre di favorire l’accesso alla formazione su IA e protezione dei dati personali, di sostenere l’acquisizione e il mantenimento di competenze tecnico-specialistiche e certificazioni professionali e di prevedere nei piani formativi percorsi specifici sulla cybersicurezza dell’IA.

Un ulteriore elemento rilevante è la tracciabilità: gli interventi formativi devono essere evidenziati nella sezione dedicata alla formazione del PIAO e gestiti secondo le modalità di programmazione, monitoraggio e rendicontazione richiamate dalle Linee Guida.

Valutazione d’impatto: cosa deve documentare la PA?

Per i sistemi di IA ad alto rischio, le Linee Guida richiamano la valutazione d’impatto sui diritti fondamentali prevista dall’articolo 27 dell’AI Act. Quando gli obblighi coincidono con quelli già assolti attraverso una DPIA, cioè la valutazione d’impatto sulla protezione dei dati prevista dall’articolo 35 GDPR, le due valutazioni possono integrarsi.

Il requisito espresso dalle Linee Guida è netto: i risultati della valutazione d’impatto devono essere documentati e condivisi con le parti interessate. La PA deve quindi poter dimostrare non soltanto di avere effettuato la valutazione, ma anche quali rischi siano stati individuati, quali conseguenze siano state considerate e quali misure siano state adottate per ridurle.

Le Linee Guida aggiungono che, anche per i sistemi a rischio minimo, le amministrazioni dovrebbero definire un processo, eventualmente semplificato, per valutare le possibili conseguenze sui diritti fondamentali derivanti dallo sviluppo, dall’utilizzo o anche dall’uso improprio del sistema. Resta inoltre fermo l’obbligo di effettuare la DPIA quando ricorrono i presupposti previsti dal GDPR e dalla normativa applicabile.

La valutazione non è un adempimento una tantum: nella fase di implementazione, la PA deve condurla secondo quanto pianificato e ripeterla in presenza di modifiche significative del sistema, mantenendo una documentazione adeguata su tutti gli esiti.

In termini operativi, la documentazione dovrebbe quindi permettere di ricostruire almeno:

quali diritti o interessi possono essere coinvolti;
quali categorie di soggetti possono subire effetti dal sistema;
quali rischi sono stati individuati;
quali misure organizzative o tecniche sono state previste;
chi è responsabile delle verifiche;
quando la valutazione deve essere aggiornata;
quali soggetti devono essere informati o coinvolti.

Come devono essere gestiti i casi d’uso di IA nella PA?

Le PA devono individuare i casi d’uso in cui l’intelligenza artificiale può produrre il maggiore beneficio in termini di efficienza operativa e qualità dei servizi, in coerenza con la strategia IA, il contesto organizzativo e gli ambiti prioritari dell’ente. Per sperimentazioni, progetti pilota e iniziative circoscritte a basso rischio, le amministrazioni possono adottare un modello semplificato.

Una volta individuato il caso d’uso, la PA deve documentarlo e aggiornarlo lungo tutto il ciclo di vita, dalla fase di ideazione e POC fino al rilascio operativo, al monitoraggio e alla dismissione.

Per ogni caso d’uso devono inoltre essere identificati i requisiti relativi a:

conformità all’AI Act;
gestione e qualità dei dati;
protezione dei dati personali;
sicurezza cibernetica;
livello di rischio del sistema.

Le PA devono anche definire KPI specifici per misurare l’efficacia della soluzione rispetto agli obiettivi prefissati e monitorarli nel tempo. Gli indicatori possono riguardare prestazioni del modello, qualità dei dati, robustezza, usabilità, impatto etico, conformità normativa, costi e sostenibilità.

In sintesi, ogni caso d’uso deve essere motivato, documentato, conforme, misurabile e monitorato lungo tutto il ciclo di vita.

Un caso d’uso di IA dovrebbe partire da un’esigenza concreta dell’amministrazione e da obiettivi misurabili, non dalla disponibilità della tecnologia. Le Linee Guida richiedono di documentare le caratteristiche del progetto dalla sperimentazione fino alla dismissione.

Per gli uffici tecnici, ad esempio, un sistema di IA può essere utilizzato per ricercare informazioni all’interno di archivi complessi o supportare la lettura di documentazione amministrativa e tecnica.

Prima dell’adozione occorre però chiarire almeno:

Il piano operativo deve quindi tradurre il caso d’uso in attività, risorse, tempi, responsabilità e criteri di valutazione.

Come si misura l’efficacia di un caso d’uso?

Per ogni caso d’uso, la PA deve definire indicatori di prestazione, o KPI, capaci di misurare l’efficacia del sistema nel raggiungimento degli obiettivi prefissati. I KPI non sono necessariamente uguali per tutti i sistemi: possono variare in funzione del livello di maturità tecnologica e delle caratteristiche del progetto e possono riguardare sia aspetti tecnici sia organizzativi. Tra gli ambiti indicati rientrano:

prestazioni del modello;
qualità dei dati;
robustezza e affidabilità;
efficienza computazionale;
usabilità e accessibilità;
impatto etico;
conformità normativa;
costi e sostenibilità.

Gli indicatori devono essere coerenti con il caso d’uso concreto e il monitoraggio continua durante l’utilizzo del sistema: il rilascio in produzione non coincide con la conclusione delle attività di controllo.

Come devono essere gestiti i rischi dell’IA nella PA?

Le PA devono adottare un sistema di gestione del rischio proporzionato alle caratteristiche, alle finalità e al contesto di utilizzo del sistema di intelligenza artificiale. Quando il sistema rientra nell’ambito di applicazione dell’AI Act, la gestione del rischio deve rispettare i requisiti previsti dal Regolamento, con particolare attenzione ai sistemi classificati ad alto rischio.

La valutazione deve considerare non solo i rischi tecnici, ma anche quelli per salute, sicurezza, diritti fondamentali e protezione dei dati personali, nel rispetto dei principi di minimizzazione, integrità e riservatezza, privacy by design e by default e degli obblighi di sicurezza previsti dalla normativa in materia di protezione dei dati personali e dall’AI ACT.

La classificazione del rischio deve inoltre essere riesaminata nel tempo:  un sistema che integra modelli di IA per finalità generali (GPAI) potrebbe infatti assumere caratteristiche tali da richiederne la riclassificazione come sistema ad alto rischio, con conseguente applicazione degli specifici obblighi dell’AI Act.

L’intelligenza artificiale può prendere decisioni al posto della PA?

L’uso dell’IA può supportare attività e decisioni, ma la responsabilità finale resta in capo alla Pubblica Amministrazione e per tale motivo che  la governance deve stabilire modalità di controllo e sorveglianza adeguate alle conseguenze prodotte dal sistema.

Un sistema di IA che propone classificazioni, sintesi o informazioni non elimina la necessità di verificare:

attendibilità dell’output;
completezza delle informazioni considerate;
eventuali errori o distorsioni;
compatibilità con le regole del procedimento;
responsabilità del soggetto che utilizza il risultato.

Quanto maggiore è l’impatto dell’output sulle persone o sul procedimento amministrativo, tanto più rilevante diventa la definizione preventiva delle misure di controllo.

Quali obblighi di informativa ha la PA quando utilizza sistemi di IA?

Le PA devono garantire trasparenza e chiarezza nell’utilizzo dei sistemi di intelligenza artificiale, soprattutto quando questi possono incidere sui diritti o sugli interessi degli utenti. Nel rispetto di GDPR e AI Act, l’informativa deve essere chiara, accessibile e comprensibile e deve spiegare almeno quale sistema di IA viene utilizzato, per quali finalità, come funziona, quali dati e criteri incidono sulle decisioni e quali effetti possono derivarne.

Quando l’IA interviene in processi decisionali automatizzati, la PA deve inoltre fornire informazioni sulla logica utilizzata, sui principali elementi che hanno determinato l’esito e sulle possibili conseguenze per l’interessato e nei casi previsti dalla normativa, devono essere garantite anche adeguate tutele, compresa la possibilità di richiedere l’intervento umano, esprimere la propria opinione, contestare la decisione e ottenere una revisione.

Le amministrazioni devono infine indicare in modo chiaro procedure, canali e tempi per esercitare tali diritti. AgID raccomanda inoltre di predisporre informative specifiche per ciascun sistema di IA, utilizzando un linguaggio semplice e privo di tecnicismi.

Informativa IA al cliente: obblighi e modello

Come si applicano privacy e protezione dei dati personali ai sistemi di IA della PA?

La protezione dei dati personali deve essere valutata come parte integrante del progetto di IA. Quando un sistema tratta dati personali, l’amministrazione deve verificare gli adempimenti applicabili al trattamento concreto e coinvolgere le competenze previste dalla propria organizzazione, incluso il Responsabile della protezione dei dati quando necessario.

Le verifiche devono essere integrate con quelle relative a:

finalità del trattamento;
categorie di dati;
accessi alle informazioni;
sicurezza;
conservazione;
rischi per le persone;
eventuali valutazioni d’impatto richieste dal caso concreto.

Privacy e governance dell’IA non sono quindi due processi separati: la protezione dei dati entra nella progettazione e nel controllo della soluzione. Inoltre, un progetto di IA deve considerare non soltanto la sicurezza dell’infrastruttura informatica tradizionale, ma anche le vulnerabilità legate alle caratteristiche specifiche dei sistemi di IA.

Tra gli aspetti da governare rientrano la protezione delle informazioni, il controllo degli accessi, la sicurezza dei dati e la capacità di individuare anomalie o comportamenti inattesi.

Per questo il referente per la cybersicurezza, o la figura equivalente individuata dall’ente, deve essere coinvolto nel modello di governance insieme al RTD e alle altre funzioni interessate.

Quale documentazione deve conservare la Pubblica Amministrazione?

Le Pubbliche Amministrazioni devono assicurare la corretta conservazione della documentazione relativa ai sistemi di IA ad alto rischio, in conformità all’AI Act, al CAD e alle Linee Guida AgID sulla formazione, gestione e conservazione dei documenti informatici.

La documentazione deve consentire di ricostruire e verificare nel tempo il funzionamento del sistema, garantendo la tracciabilità dei processi automatizzati e delle attività svolte mediante l’IA. Devono quindi essere conservati, nel rispetto della normativa sulla protezione dei dati personali, i dati, i metadati e le informazioni necessarie alle attività di controllo, verifica e audit.

Per i sistemi ad alto rischio, l’articolo 18 dell’AI Act richiede inoltre la conservazione della documentazione tecnica, comprendente almeno le informazioni sul funzionamento del sistema, sulle prestazioni e sulle procedure di monitoraggio e controllo adottate per verificarne la conformità.

Il periodo di conservazione deve essere adeguato alla durata di utilizzo del sistema e deve tenere conto anche dei tempi di conservazione della documentazione relativa al procedimento amministrativo supportato dall’IA.

In sintesi, la documentazione deve essere completa, tracciabile, conservata per un periodo congruo e disponibile per eventuali verifiche e audit da parte delle autorità competenti.

La documentazione operativa può comprendere, a seconda del progetto:

descrizione del caso d’uso;
requisiti della soluzione;
ruoli e responsabilità;
manuali e procedure;
valutazioni d’impatto applicabili;
registrazioni delle attività di controllo;
rapporti di monitoraggio;
risultati degli indicatori di prestazione;
gestione delle anomalie;
registri dei reclami;
documentazione relativa alla formazione.

La gestione dei sistemi di IA richiede documenti, responsabilità e attività sempre tracciabili e per tale motivo ti consiglio di utilizzare usBIM  dove avrai la possibilità di raccogliere e organizzare la documentazione in un ambiente cloud condiviso, gestendo accessi, versioni, stati e informazioni associate ai documenti.

In sintesi: cosa deve fare una PA prima di adottare un sistema di IA?

Prima di adottare stabilmente un sistema di intelligenza artificiale, una Pubblica Amministrazione deve definire con chiarezza quale esigenza intende soddisfare, quali obiettivi vuole raggiungere e chi è responsabile del progetto. L’introduzione dell’IA non può infatti essere considerata una semplice scelta tecnologica, ma deve inserirsi in un processo organizzativo strutturato e documentato.

La PA deve inoltre conoscere quali dati vengono utilizzati, con quale livello di qualità e per quali finalità, valutare il livello di rischio del caso d’uso e stabilire chi è chiamato a verificare i risultati prodotti dal sistema. A questi aspetti si affiancano le misure necessarie per garantire la protezione dei dati personali, la cybersicurezza e il rispetto della normativa applicabile.

Un altro elemento centrale riguarda le competenze: l’amministrazione deve assicurarsi che il personale coinvolto disponga delle conoscenze necessarie per utilizzare, controllare e supervisionare correttamente il sistema di IA. Allo stesso tempo, devono essere definiti indicatori capaci di misurare nel tempo l’efficacia, l’affidabilità e l’impatto della soluzione sui processi e sui servizi.

Infine, l’adozione deve essere accompagnata da un sistema di monitoraggio continuo, in grado di gestire aggiornamenti, eventuali criticità, modifiche del livello di rischio e, quando necessario, la dismissione del sistema.

FAQ sull’intelligenza artificiale nella PA

Chi coordina l’intelligenza artificiale nella Pubblica Amministrazione?

Il coordinamento della strategia è affidato al Responsabile per la Transizione Digitale e al relativo ufficio, con il coinvolgimento delle funzioni competenti su dati, privacy, cybersicurezza e processi interessati.

È obbligatorio nominare un Responsabile dell’intelligenza artificiale?

No. Le Linee Guida prevedono la possibilità di individuare un Responsabile dell’intelligenza artificiale soprattutto nei contesti caratterizzati da un utilizzo particolarmente intenso dell’IA. La figura opera secondo le direttive del RTD.

Una PA deve avere una strategia per l’intelligenza artificiale?

L’adozione deve essere inserita in un modello organizzativo e in una strategia coerente con funzioni istituzionali, programmazione dell’ente, governance dei dati e Piano triennale per l’informatica nella PA.

L’IA può sostituire il responsabile di una decisione amministrativa?

No. L’utilizzo di un sistema automatizzato non trasferisce alla tecnologia la responsabilità finale dell’amministrazione. Devono essere definite responsabilità e modalità di controllo degli output.

Quali sono gli aspetti principali da valutare prima di adottare l’IA?

Caso d’uso, obiettivi, dati, classificazione e gestione del rischio, privacy, sicurezza cibernetica, responsabilità, sorveglianza, competenze, indicatori di prestazione e monitoraggio.

Come si distingue un obbligo da una raccomandazione nelle Linee Guida AgID?

“DEVE” e “DEVONO” identificano requisiti obbligatori; “DOVREBBE” indica una raccomandazione rispetto alla quale eventuali alternative devono essere valutate; “PUÒ” individua una misura facoltativa.

Le Linee Guida AgID 2026 disciplinano anche il procurement dell’IA?

Il documento definitivo qui analizzato riguarda l’adozione dei sistemi di IA. Sviluppo e procurement sono trattati come percorsi distinti e non devono essere confusi con il provvedimento sull’adozione.

Intelligenza artificiale: tutti gli approfondimenti

AI Act: cosa cambia dal 2026 per tecnici e imprese, quali obblighi osservare;
Digital Omnibus 2026: scadenze AI Act rinviate al 2027 e 2028;
RC professionale e intelligenza artificiale: cosa esclude

Scopri una nuova modalità di lavorare con l’intelligenza artificiale: analizzare, verificare e confrontare soluzioni progettuali attraverso richieste in linguaggio naturale: scopri le possibilità offerte da SIBILLA nei software ACCA.

Fonte: Read More