Cosa dice l'AI Act alla pubblica amministrazione?
L'AI Act, il regolamento europeo sull'intelligenza artificiale, non vieta l'AI negli uffici pubblici. La divide in livelli di rischio in base all'uso, non alla tecnologia. Lo stesso modello può essere a rischio minimo quando smista la posta e ad alto rischio quando aiuta a decidere chi riceve un sussidio.
Un caso di esempio, non un ente reale. Un Comune di 40.000 abitanti vuole usare un assistente per le bozze delle risposte ai cittadini e un agente per smistare le PEC. Il segretario comunale chiede se è legale. Rispondiamo passo per passo, con le norme in vigore e quelle in arrivo.
Quali sono i livelli di rischio, con esempi da ufficio?
- Vietato. Il punteggio sociale che porta a trattare peggio le persone, la previsione di reati basata solo sulla profilazione, il riconoscimento delle emozioni al lavoro e a scuola. Questi divieti valgono dal 2025.
- Alto rischio. Valutare se una persona ha diritto a prestazioni e servizi pubblici essenziali, oppure concedere, ridurre o revocare un beneficio. Nell'elenco ci sono anche scuola, personale, forze dell'ordine e giustizia.
- Trasparenza. Chi parla con un assistente AI deve saperlo, salvo che sia evidente. L'obbligo vale da agosto 2026.
- Rischio minimo. Smistare la posta, preparare bozze, riassumere un fascicolo. Non ci sono obblighi specifici oltre alla formazione del personale.
Quando un uso da ufficio diventa alto rischio?
Anche dentro un ambito dell'elenco, un sistema non è ad alto rischio se non incide in modo rilevante sulla decisione. L'articolo 6 indica quattro casi: un compito procedurale limitato, il miglioramento di un lavoro umano già fatto, il controllo degli scostamenti da decisioni passate senza sostituire la valutazione umana, un compito preparatorio. Resta però sempre ad alto rischio un sistema che fa profilazione delle persone.
La nostra lettura: per il Comune dell'esempio, smistare PEC e preparare bozze sono compiti preparatori o procedurali. Un sistema che dà un punteggio a chi chiede un contributo è un'altra cosa. Le linee guida della Commissione europea sull'articolo 6 sono ancora in bozza.
Cosa vale già oggi e cosa arriva nel 2027?
Oggi valgono i divieti, l'obbligo di formare chi usa l'AI e la trasparenza verso il cittadino. Gli obblighi per i sistemi ad alto rischio dell'elenco partono il 2 dicembre 2027, dopo il rinvio deciso dall'Unione europea con il regolamento Digital Omnibus on AI. Da quella data l'ente dovrà, tra l'altro, usare il sistema secondo le istruzioni del fornitore e affidarne il controllo a persone competenti.
Il GDPR, invece, vale già per ogni uso che tocca dati personali. Se l'AI legge le PEC dei cittadini, servono una base giuridica e misure di sicurezza adeguate, come per qualsiasi altro trattamento.
Cosa aggiunge la legge italiana?
La legge 132 del 2025, all'articolo 14, dice che le PA usano l'AI per lavorare in modo più efficiente e ridurre i tempi dei procedimenti. Devono garantire che il funzionamento sia conoscibile e l'uso tracciabile. L'AI ha una funzione strumentale e di supporto, e la persona resta l'unica responsabile dei provvedimenti in cui è stata usata.
La nostra lettura: su questo punto la regola italiana va oltre l'AI Act, perché vale per ogni uso e non solo per l'alto rischio. In pratica la firma resta sempre a un funzionario.
Come classifichi un uso nel tuo ente?
- L'AI decide qualcosa su una persona, o prepara soltanto il lavoro di chi decide?
- Tocca benefici, lavoro, scuola o sicurezza?
- Fa profilazione, cioè valuta le persone in base ai loro dati?
La nostra lettura: se le tre risposte sono no, sei quasi sempre nel rischio minimo. Scrivi la classificazione in una riga nel registro dei casi d'uso, con la data e il nome di chi l'ha fatta. Parti dagli usi preparatori, come bozze e smistamento, e di' sempre al cittadino quando parla con un sistema.
E noi?
Come lo imposteremmo nel Comune dell'esempio: prima lo smistamento delle PEC, con l'agente che propone l'ufficio e l'operatore che conferma. Poi le bozze delle risposte, rilette e firmate da un funzionario. Ogni uso entra nel registro con la sua classificazione prima di partire.
Quindi cosa fai?
- Se l'AI smista, riassume o prepara bozze, puoi partire con formazione, trasparenza e GDPR in ordine.
- Se l'AI aiuta a decidere su benefici, servizi o personale, preparati agli obblighi dell'alto rischio e coinvolgi il responsabile della protezione dei dati dall'inizio.
- Se l'AI dà punteggi alle persone in base ai loro comportamenti, fermati e chiedi un parere: puoi finire tra le pratiche vietate.
“In Comune l'AI prepara il lavoro e la firma resta a una persona. Ogni nuovo uso parte da lì.”
DBrothers — sull'AI Act nella pubblica amministrazione
Domande frequenti
Un assistente AI sul sito del Comune è ad alto rischio?
Di solito no, se dà informazioni sui servizi. Il cittadino però deve sapere che parla con un sistema di AI, salvo che sia evidente.
Serve formare il personale?
Sì. Chi usa sistemi di AI prende misure perché il personale sappia usarli, e l'obbligo vale già oggi. Dopo le modifiche dell'Omnibus il testo precisa che non serve garantire un livello specifico per ogni persona.
Le regole possono ancora cambiare?
Sì. Le linee guida sull'articolo 6 sono in bozza e le linee guida AgID sull'adozione dell'AI nella PA non sono ancora definitive. Il testo può cambiare: aggiorneremo questa pagina.
Fai l'elenco degli usi di AI che il tuo ente ha già o vuole avviare, e passali alle tre domande di questa pagina. Si parte dal primo uso preparatorio, e la firma resta al funzionario.
