Il 9 novembre 2026 l’Agenzia per l’Italia Digitale ha pubblicato, con Determinazione del Direttore Generale Mario Nobile n. 169, le Linee Guida per l’adozione di IA nella Pubblica Amministrazione. Un documento di circa centoquaranta pagine, previsto dal Piano Triennale per l’Informatica 2024-2026, elaborato in concertazione con ACN, ANAC, ANCI, Conferenza delle Regioni, Consip, Dipartimento della Funzione Pubblica, Dipartimento per la Trasformazione Digitale, INAIL, INPS, ISTAT e altri soggetti. Non un annuncio accompagnato da grande clamore mediatico, ma il classico atto amministrativo che compare sul sito istituzionale e sul portale della trasparenza, con il PDF allegato e il riferimento all’articolo 71 del Codice dell’Amministrazione Digitale.
Sommario
Il contesto normativo e i principi cardine
Le Linee Guida arrivano in un momento preciso. L’AI Act europeo (Regolamento UE 2024/1689) è in vigore, la legge italiana 132 del 2025 ha dettato le disposizioni nazionali in materia di intelligenza artificiale, e le amministrazioni pubbliche si trovano di fronte alla necessità di utilizzare sistemi algoritmici senza cedere il controllo sulle decisioni che incidono sui diritti dei cittadini. Il testo cerca di tradurre questo quadro in indicazioni operative. Classifica i sistemi secondo i livelli di rischio dell’AI Act (vietati, alto rischio, rischio limitato, rischio minimo), propone un modello di adozione basato sul ciclo Plan-Do-Check-Act e sullo standard ISO/IEC 42001, insiste sulla qualità dei dati e sulla cybersicurezza, e promuove un’alfabetizzazione digitale diffusa. Tra i principi elencati – una ventina, articolati in cinque aree – spiccano la responsabilità ultima dell’amministrazione, la trasparenza, la protezione dei dati personali e la sorveglianza umana.
La “riserva di umanità” tra giurisprudenza ed etica
Quest’ultimo elemento è il cuore del documento e, al tempo stesso, il punto in cui il linguaggio rischia di diventare più solenne che operativo. Le Linee Guida richiedono che i sistemi di intelligenza artificiale siano progettati e utilizzati in modo da consentire la verifica, la correzione o la sostituzione dell’output da parte di una persona umana. La sorveglianza non è solo un requisito tecnico dell’AI Act; è anche, secondo il testo e secondo la giurisprudenza amministrativa (in particolare la sentenza del TAR Lazio n. 1895/2026), una fase del procedimento amministrativo. La decisione deve restare in capo alle persone umane e deve essere richiamata nelle motivazioni dei provvedimenti finali. Si parla di “riserva di umanità”. In alcuni passaggi i riferimenti etici includono documenti dell’UNESCO, dell’OCSE, del Consiglio d’Europa e l’enciclica Magnifica Humanitas. Non è una liturgia, ma il tono a tratti eleva il controllo umano a principio quasi fondativo dell’azione amministrativa algoritmica.
“Il problema non è l’affermazione del principio. È la distanza tra il principio e la capacità organizzativa reale della pubblica amministrazione italiana.”
Le Linee Guida affidano la regia al Responsabile per la Transizione Digitale e al relativo Ufficio. Il RTD coordina la strategia, coinvolge il DPO e il referente per la cybersicurezza, riferisce agli organi di governo e garantisce la sorveglianza umana. In contesti di utilizzo intenso è possibile istituire un Responsabile dell’Intelligenza Artificiale (RIA) con un ufficio dedicato, che opera comunque sotto le direttive del RTD.
“Questa architettura è ragionevole sulla carta. Nella pratica, molti RTD e molti Uffici per la Transizione Digitale sono già gravati da una quantità di adempimenti, progetti PNRR, interoperabilità, SPID, pagoPA, cybersecurity e gestione del cambiamento organizzativo. Aggiungere la governance dell’intelligenza artificiale senza un rafforzamento reale di risorse e competenze significa trasformare una figura già sotto pressione in un ulteriore punto di accumulo di responsabilità formali.”
Il linguaggio delle norme: obblighi, raccomandazioni e soft law
Il lessico delle Linee Guida è deliberatamente tecnico e segue le direttive ISO/IEC. Nella sezione delle note di lettura si spiega che “DEVE” indica un requisito obbligatorio, “DOVREBBE” una raccomandazione da valutare attentamente prima di adottare un approccio diverso, “PUÒ” una facoltà. La strategia per l’IA e la governance affidata al RTD sono obblighi. L’istituzione del RIA o l’adozione di un codice etico di condotta sono facoltà.
“La distinzione è corretta e utile: evita di trasformare ogni indicazione in un adempimento rigido. Allo stesso tempo rivela la natura di soft law del documento. Le Linee Guida non sostituiscono gli obblighi dell’AI Act o della legge 132/2025; li orientano. Per le amministrazioni più piccole o meno strutturate, tuttavia, la differenza tra ‘deve’, ‘dovrebbe’ e ‘può’ può risultare meno chiara di quanto i redattori immaginino. Quando le risorse sono scarse, le raccomandazioni tendono a diventare o adempimenti formali o elementi trascurati.”
Un capitolo significativo è dedicato alla protezione dei dati personali. Le amministrazioni devono predisporre informative chiare che informino il cittadino del fatto che sta interagendo con un sistema di intelligenza artificiale. È raccomandata una valutazione di impatto privacy anche per sistemi non classificabili ad alto rischio, e quindi non soggetti all’obbligo di Fundamental Rights Impact Assessment previsto dall’articolo 27 dell’AI Act.
Nei rapporti con i fornitori, qualificabili come responsabili esterni del trattamento, le clausole contrattuali e le istruzioni devono esplicitare, ai sensi dell’articolo 28 del GDPR, le condizioni alle quali il fornitore può utilizzare l’intelligenza artificiale, in particolare limitando il riutilizzo dei dati personali per l’addestramento o il riaddestramento di modelli destinati a terzi. Queste indicazioni sono concrete e necessarie.
“Chiunque abbia seguito appalti o convenzioni con fornitori di servizi digitali sa quanto sia facile che i dati delle amministrazioni finiscano ad alimentare modelli di cui l’amministrazione stessa perde il controllo. Il punto è ancora una volta organizzativo: chi, dentro gli enti, ha le competenze per redigere e negoziare clausole di questo tipo in modo efficace?”
Formazione del personale e controllo umano effettivo
Le Linee Guida insistono anche sulla formazione. L’alfabetizzazione sull’intelligenza artificiale deve riguardare tutto il personale, non solo gli addetti ai sistemi informativi. Vengono valorizzati i profili professionali specializzati all’interno degli Uffici per la Transizione Digitale. Si promuove un modello di IA antropocentrico e si suggerisce l’adozione di un codice etico. Tutto questo è condivisibile.
“La domanda che resta aperta è quanto tempo e quante risorse saranno effettivamente destinate a questa formazione, e se essa sarà in grado di produrre non solo attestati, ma una capacità reale di supervisionare sistemi che possono influenzare l’accesso a prestazioni, la valutazione di candidati nei concorsi, l’istruttoria di procedimenti o la risposta ai cittadini.”
La sentenza del TAR Lazio sulla “riserva di umanità” ha già mostrato che un sistema automatizzato che ignora elementi presenti nella domanda di un candidato, solo perché collocati in un campo formale diverso da quello previsto, non è accettabile. Il controllo umano deve essere effettivo, non meramente formale. Per essere effettivo richiede competenze che oggi sono distribuite in modo estremamente disomogeneo tra le amministrazioni.
C’è poi il tema della preferenza per soluzioni open source o open-weight. Le Linee Guida invitano le amministrazioni a privilegiare questi modelli, anche attraverso architetture in grado di orchestrare più modelli a seconda delle esigenze. Non è un obbligo assoluto, ma un orientamento chiaro verso il riuso, l’autonomia tecnologica e la riduzione della dipendenza da fornitori esterni.
“In un contesto in cui molte amministrazioni fanno fatica a gestire anche sistemi proprietari relativamente semplici, l’indicazione è ambiziosa. Può essere un’opportunità se accompagnata da investimenti in competenze interne e da meccanismi di condivisione tra enti. Può diventare un ulteriore elemento di complessità se lasciata a se stessa.”
Il documento distingue correttamente tra le scadenze dell’AI Act e le indicazioni contenute nelle Linee Guida. Non anticipa automaticamente tutti gli obblighi europei, soprattutto quelli relativi ai sistemi ad alto rischio, le cui date di piena applicazione sono state in parte spostate da successive modifiche regolamentari. Questa precisione è positiva. Evita di creare l’illusione che l’adozione delle Linee Guida risolva di per sé il problema della conformità. Allo stesso tempo lascia le amministrazioni in una situazione di incertezza operativa: devono prepararsi, classificare i sistemi, organizzare la governance e la formazione, sapendo che parte degli obblighi europei diventerà pienamente cogente in tempi diversi.
Il rischio della burocratizzazione: la mappa e il territorio
“La critica più fondata a questo tipo di documenti non è che siano inutili. È che rischiano di aggiungere un livello di complessità burocratica senza risolvere il problema di fondo della pubblica amministrazione italiana: la scarsità di competenze specialistiche, la difficoltà di attrarre e trattenere profili tecnici, la frammentazione organizzativa e la tendenza a trasformare ogni innovazione in un adempimento da documentare piuttosto che in un cambiamento di processo.”
Le Linee Guida forniscono una mappa. Indicano che la responsabilità resta dell’amministrazione, che la sorveglianza humana non è negoziabile, che i dati devono essere di qualità, che i contratti con i fornitori devono essere chiari, che la formazione è necessaria. Tutto questo è corretto.
“Il rischio è che la mappa diventi il territorio: che gli enti si concentrino sulla redazione della strategia, sulla nomina formale di figure, sulla produzione di informative e di valutazioni di impatto, e che l’uso effettivo dell’intelligenza artificiale rimanga marginale o, peggio, avvenga in modo non governato perché la governance formale è troppo onerosa.”
C’è un’altra lettura possibile. In un settore in cui l’intelligenza artificiale sta già entrando attraverso sperimentazioni isolate, chatbot, sistemi di classificazione documentale o strumenti di supporto all’istruttoria, avere un quadro di riferimento condiviso è meglio dell’assenza di orientamenti. Le Linee Guida non pretendono di essere la soluzione definitiva. Sono uno strumento di soft regulation che cerca di accompagnare le amministrazioni verso un uso più consapevole. Il fatto che distinguano obblighi, raccomandazioni e facoltà è un segno di realismo. Il fatto che insistano sulla sorveglianza umana e sulla responsabilità ultima della pubblica amministrazione è coerente con la tradizione giuridica italiana e con le preoccupazioni espresse dalla giurisprudenza amministrativa.
I veri banchi di prova per la Pubblica Amministrazione
“Il punto di verifica non sarà la qualità redazionale del documento, né la completezza dei riferimenti normativi. Sarà la capacità delle amministrazioni di tradurre queste indicazioni in pratiche operative che migliorino i servizi senza aumentare in modo sproporzionato i costi di compliance.”
La riuscita dipenderà dalla possibilità, per un RTD o per un dirigente di area, di supervisionare realmente un sistema di intelligenza artificiale utilizzato in un procedimento, di intervenire quando l’output è errato o discriminatorio, e di spiegare al cittadino cosa sta succedendo. Sarà fondamentale formare non solo i tecnici, ma anche chi istruisce le pratiche e chi decide, evitando al contempo che l’intelligenza artificiale diventi un ulteriore fattore di disuguaglianza tra amministrazioni già forti e amministrazioni già deboli.
La cornice è pronta. Le Linee Guida offrono un perimetro normativo e organizzativo che va dall’AI Act alla sorveglianza umana, passando per la protezione dei dati, la gestione del rischio e la formazione.
“Ora resta da vedere se la pubblica amministrazione italiana avrà le risorse, le competenze e la volontà organizzativa per dipingere qualcosa di utile dentro quella cornice, o se si limiterà ad appendere la tela e a dichiarare di aver adempiuto.”
La Gioconda, in questo caso, non è un’opera d’arte da ammirare. È un servizio pubblico che funziona meglio per i cittadini, con decisioni che restano imputabili a persone umane e sistemi che restano sotto controllo.
Se le Linee Guida contribuiranno a questo risultato, avranno assolto il loro compito. Se diventeranno solo un altro adempimento da archiviare, avranno confermato il rischio che molti osservatori hanno già individuato: quello di una digitalizzazione che produce documenti più rapidamente di quanto produca capacità.
