Negli enti pubblici l'intelligenza artificiale è arrivata in ordine sparso: un chatbot sul sito comunale, un assistente per protocollare, uno strumento che aiuta a scrivere le determine, un sistema che smista le segnalazioni dei cittadini. Quasi sempre senza una decisione centrale, quasi sempre senza una valutazione.
Il problema è che nella PA gli errori hanno due conseguenze in più rispetto al privato: toccano diritti dei cittadini e generano responsabilità del funzionario.
Il principio italiano: decide la persona
La legge 132/2025, in vigore dal 10 ottobre 2025, imposta l'uso dell'IA nella pubblica amministrazione come strumento di supporto all'efficienza e alla qualità dei servizi, con la responsabilità del procedimento che resta in capo al funzionario.
Non è una formula di stile. Significa che l'istruttoria assistita da un modello resta un'istruttoria del responsabile del procedimento, con tutto ciò che comporta in termini di motivazione dell'atto e di sindacabilità davanti al giudice amministrativo.
E la motivazione, in un provvedimento, non può essere "così ha suggerito il sistema": deve reggere da sola.
Il chatbot per i cittadini
È l'impiego più diffuso ed è quello con la regola più semplice. Dal 2 agosto 2026, per l'articolo 50 dell'AI Act, il sistema che interagisce direttamente con le persone deve dichiarare di essere un sistema di IA.
Nel contesto pubblico aggiungerei due elementi che non sono obbligatori ma sono di buon senso: dire chiaramente che le risposte non hanno valore di atto amministrativo, e garantire un canale umano raggiungibile. Un cittadino che si vede negare informazioni da un bot senza alternative è un ricorso che si prepara da solo.
Dove la PA finisce nell'alto rischio
L'Allegato III include i sistemi destinati a essere usati dalle autorità pubbliche per valutare l'ammissibilità delle persone alle prestazioni e ai servizi di assistenza pubblica essenziali, o per concederli, ridurli, revocarli o recuperarli. Ci sono poi ambiti come istruzione, giustizia, migrazione, gestione di infrastrutture critiche.
Traduzione per un comune: il sistema che aiuta a istruire le domande per un contributo sociale, per l'assegnazione di alloggi o per l'accesso a servizi essenziali è un candidato serio all'alto rischio. Obblighi applicabili dal 2 dicembre 2027.
Per il deployer pubblico si aggiunge, nei casi previsti, la valutazione d'impatto sui diritti fondamentali: un adempimento in più rispetto al privato, e va progettato per tempo.
Il pezzo che riguarda la sicurezza
I decreti attuativi approvati il 4 agosto 2026 hanno introdotto l'articolo 437-bis del codice penale sull'omessa adozione delle misure di sicurezza nei sistemi ad alto rischio. Nella PA, dove le responsabilità sono personali e nominative, è un elemento da considerare nell'attribuzione degli incarichi.
Gli stessi decreti disciplinano l'identificazione biometrica in tempo reale nelle attività di polizia: ammessa solo in casi eccezionali, per periodi limitati e con autorizzazione giudiziaria, con divieto di raccolta massiva e indiscriminata di dati biometrici da fonti online.
Le tre cose da fare in un ente, subito
Inventario. Quali sistemi di IA sono in uso, in quali uffici, per quali procedimenti. In molti enti nessuno lo sa, perché gli strumenti sono entrati dentro forniture più ampie.
Trasparenza. Dichiarazione su chatbot e assistenti rivolti al pubblico, e informazione ai cittadini quando un sistema interviene in un procedimento che li riguarda.
Formazione. L'articolo 4 dell'AI Act, nella versione applicabile dal 27 luglio 2026, chiede misure effettive e proporzionate: nella PA significa formare chi istruisce pratiche, non solo l'ufficio informatico.
E una raccomandazione che vale doppio nel pubblico: i dati dei cittadini non si caricano in servizi generici. Non è una questione di AI Act, è una questione di GDPR e di dovere d'ufficio — con l'articolo 326 del codice penale sullo sfondo per la rivelazione di segreti d'ufficio.
Il vantaggio che nessuno sfrutta
Un ente che fa l'inventario dei sistemi, scrive due pagine di regole e forma il personale ha, in tre mosse, più conformità del 90% delle amministrazioni italiane. E ottiene un beneficio pratico: sa cosa sta usando, il che consente di negoziare meglio i rinnovi delle forniture.
Una nota personale
Io di mestiere costruisco sistemi IA privati per studi professionali e piccole imprese italiane. Non vendo corsi e non vendo pacchetti di conformità da 4.000 euro con la copertina lucida. I regolamenti li leggo perché mi tocca, e li racconto come li ho capiti. Se hai una domanda, sul gruppo Telegram di Super Squalo (t.me/Squalogruppo) si discute di questa roba ogni giorno, e si risponde gratis.
Nel pubblico l'IA può far risparmiare tempo prezioso. Ma la firma sull'atto resta di una persona, e quella persona deve poter spiegare perché.
Domande frequenti
Un comune può usare l'IA per istruire le pratiche?
Sì, come supporto. La responsabilità del procedimento resta in capo al funzionario e la motivazione del provvedimento deve reggersi autonomamente. Se il procedimento riguarda servizi essenziali, valutare la classificazione ad alto rischio.
Serve informare i cittadini?
Sì per i sistemi che interagiscono direttamente con loro, per effetto dell'articolo 50. Ed è buona amministrazione informare quando un sistema interviene in un procedimento che li riguarda.
Cosa cambia con la valutazione d'impatto sui diritti fondamentali?
È un adempimento previsto per determinati deployer di sistemi ad alto rischio, fra cui soggetti pubblici, e diventa rilevante con l'applicabilità degli obblighi sull'Allegato III dal 2 dicembre 2027.