L’Agenzia per l’Italia Digitale ha posto in consultazione pubblica, con la Determinazione n. 43/2026, le Linee guida per lo sviluppo e l’acquisto di sistemi di intelligenza artificiale nella pubblica amministrazione il 12 marzo 2026. La consultazione si è chiusa l’11 aprile e il testo è ora atteso ai pareri della Conferenza Unificata e del Garante Privacy. È il secondo tassello di un percorso regolatorio iniziato un anno prima e il momento giusto per fare il punto: quali regole governano oggi l’AI negli uffici pubblici italiani, chi vigila, cosa dicono i giudici amministrativi e cosa stanno facendo davvero comuni, agenzie e ministeri.
Due binari di linee guida: adozione prima, sviluppo e procurement poi
AgID ha scelto di procedere su due binari paralleli.
Il primo è quello dell’adozione. Con la Determinazione n. 17/2025 l’agenzia ha messo in consultazione, fino al 20 marzo 2025, le Linee guida per l’adozione dell’intelligenza artificiale nella pubblica amministrazione: un documento che fissa cinque principi di riferimento (conformità, etica, qualità, sostenibilità e formazione) e propone un modello di adozione in sette fasi costruito sul ciclo di vita dei sistemi AI definito in sede OCSE. Non un manifesto, ma un manuale operativo: come scegliere un caso d’uso, come valutarne i rischi, come misurarne i risultati.
Il secondo binario, aperto a marzo 2026, guarda a chi i sistemi li costruisce o li compra. Le linee guida su sviluppo e procurement entrano nel merito delle specifiche tecniche, dei capitolati di gara e dei requisiti da chiedere ai fornitori. È il passaggio più delicato: la gran parte delle amministrazioni italiane non svilupperà mai un modello in casa, ma quasi tutte, prima o poi, ne acquisteranno uno. Se i requisiti di trasparenza, sicurezza e qualità dei dati non entrano nei contratti, non entreranno da nessuna parte.
I due binari non nascono nel vuoto. Il Piano triennale per l’informatica nella pubblica amministrazione 2024-2026, nell’aggiornamento 2025, dedica all’intelligenza artificiale un capitolo specifico dentro la sezione sui dati, con obiettivi e risultati attesi per le amministrazioni. E sopra tutto sta il Regolamento UE 2024/1689 (AI Act), che classifica come ad alto rischio molti impieghi tipici del settore pubblico, dall’accesso ai servizi essenziali alla gestione delle prestazioni sociali, imponendo valutazioni e controlli che le linee guida nazionali traducono in procedura.
Nessuno dei documenti AgID è, a oggi, definitivo. Le amministrazioni più avvedute li stanno comunque già usando come riferimento, perché anticipano obblighi che il regolamento europeo rende comunque ineludibili.
AgID e ACN: chi vigila su cosa dopo la Legge 132/2025
La cornice istituzionale l’ha fissata la Legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, che ha designato le due autorità nazionali per l’intelligenza artificiale.
Ad AgID spetta il versante della promozione e dell’abilitazione: favorire l’innovazione, definire le procedure e gestire notifica, valutazione, accreditamento e monitoraggio degli organismi incaricati di verificare la conformità dei sistemi AI. All’Agenzia per la Cybersicurezza Nazionale va invece il versante della sorveglianza: vigilanza sul mercato, ispezioni, poteri sanzionatori e ruolo di punto di contatto unico con le istituzioni europee. Restano ferme le competenze delle autorità di settore, Banca d’Italia, CONSOB e IVASS, per gli ambiti vigilati.
Una divisione dei compiti lineare sulla carta, che nella pratica richiederà coordinamento continuo: molti sistemi usati dagli enti pubblici toccano insieme dati personali, sicurezza informatica e procedimenti amministrativi, e quindi le competenze di più autorità contemporaneamente.
La stessa legge fissa poi un principio specifico per gli uffici pubblici: l’intelligenza artificiale opera in funzione strumentale e di supporto all’attività amministrativa, mentre la responsabilità dei provvedimenti resta in capo alla persona. Il funzionario non può trincerarsi dietro l’output di un sistema, e l’ente non può disegnare procedimenti in cui nessun essere umano risponde dell’esito.
Per un dirigente pubblico la conseguenza pratica è semplice da enunciare e impegnativa da gestire: l’ente che adotta un sistema AI non risponde più solo al proprio controllo interno, ma opera dentro un sistema di vigilanza nazionale con poteri ispettivi reali. La stagione delle sperimentazioni informali, avviate da un singolo ufficio senza delibera, senza registro e senza valutazione d’impatto, è finita.
Conoscibilità, non esclusività, non discriminazione: i paletti dei giudici
Prima ancora delle autorità, i confini li avevano tracciati i giudici amministrativi.
Il caso di scuola è la mobilità dei docenti gestita da un algoritmo ministeriale, finita davanti al Consiglio di Stato con la sentenza n. 2270 dell’8 aprile 2019: l’uso di un algoritmo il cui funzionamento non è conoscibile viola i principi di imparzialità, pubblicità e trasparenza dell’azione amministrativa. Con le successive sentenze gemelle n. 8472, 8473 e 8474 del 2019 il Consiglio di Stato ha consolidato tre principi che valgono ancora oggi, e che l’AI Act ha di fatto assorbito.
Primo: la conoscibilità. Il cittadino ha diritto di sapere che una decisione che lo riguarda è stata istruita da un algoritmo e di comprenderne la logica, dai criteri applicati ai dati considerati come rilevanti, fino agli autori e al procedimento con cui il sistema è stato costruito. Secondo: la non esclusività della decisione automatizzata, ancorata all’articolo 22 del GDPR, per cui deve sempre esistere un contributo umano capace di controllare, validare o smentire l’esito della macchina. Terzo: la non discriminazione algoritmica, che impone di verificare che il sistema non produca effetti distorti o penalizzanti su singole categorie di persone, anche in modo non intenzionale.
Quelle pronunce hanno anche esteso il perimetro: l’algoritmo è ammesso non solo negli atti vincolati, ma anche nell’attività discrezionale, purché i tre principi siano rispettati. La giurisprudenza successiva ha continuato a scavare nello stesso solco; il TAR Campania, con la sentenza n. 7003 del 14 novembre 2022, ha ribadito le garanzie di conoscibilità dell’algoritmo e l’esigenza di un controllo umano effettivo sul procedimento, quello che la letteratura chiama human-in-the-loop.
Il punto non è vietare la macchina. È impedire che diventi un alibi.
Cosa fanno davvero le amministrazioni: i numeri del primo censimento
Quanto alla realtà dei progetti, il primo rapporto AgID sullo stato dell’AI nella pubblica amministrazione, pubblicato a giugno 2025, offre la fotografia più attendibile disponibile. Su 142 organizzazioni contattate hanno risposto in 108, e 45 hanno dichiarato almeno un’iniziativa di intelligenza artificiale, per un totale di 120 progetti censiti. Le finalità prevalenti: aumento dell’efficienza operativa nel 42% dei casi, migliore gestione e analisi dei dati nel 24%, migliore accesso ai servizi per cittadini e imprese nel 18%.
Dietro i numeri, i casi d’uso sono concreti e spesso poco appariscenti. Assistenti virtuali che rispondono ai quesiti dei cittadini sui servizi anagrafici o tributari. Classificazione automatica dei documenti in ingresso al protocollo, con smistamento verso l’ufficio competente. Analisi delle segnalazioni sul territorio per orientare la manutenzione. Supporto alla redazione di atti ripetitivi. Strumenti di ricerca dentro archivi normativi e delibere.
Niente di spettacolare, ed è un bene.
La lezione dei progetti riusciti è che l’AI pubblica funziona quando parte da un problema misurabile, un arretrato, un tempo di risposta, un servizio congestionato, e non dall’esigenza di annunciare qualcosa. Funziona, soprattutto, quando l’ente conserva il controllo del processo: ogni risposta automatica ai cittadini presuppone una base informativa curata, e ogni smistamento automatico presuppone qualcuno che verifichi gli errori di classificazione. Dove questa manutenzione manca, il progetto muore in silenzio dopo il comunicato stampa.
Colpisce il divario. Una minoranza di enti, in genere grandi comuni, regioni e agenzie centrali, sperimenta con metodo; la maggioranza osserva. E il censimento fotografa proprio questo: più della metà delle organizzazioni rispondenti non aveva ancora alcuna iniziativa attiva.
Per i piccoli comuni, che in Italia sono migliaia e spesso contano una manciata di dipendenti, la strada realistica non è il progetto pilota in autonomia ma il riuso: soluzioni sviluppate da enti maggiori o da società pubbliche, messe a disposizione con documentazione e valutazioni già svolte. Anche su questo le linee guida AgID insistono, perché replicare un sistema già verificato costa meno e rischia meno che improvvisarne uno nuovo.
Il rischio, insomma, non è l’eccesso di automazione nella PA italiana. È la polarizzazione tra chi accumula esperienza e chi accumula ritardo.
Il nodo vero: le competenze dentro gli uffici
Ogni documento citato fin qui, dalle linee guida AgID alla Legge 132/2025, converge su un punto: senza competenze interne, la PA non è in grado né di usare l’AI né di comprarla.
Il tema del procurement lo dimostra. Scrivere un capitolato per un sistema di intelligenza artificiale richiede di saper chiedere conto della provenienza dei dati di addestramento, delle metriche di accuratezza, delle modalità di supervisione umana, della gestione degli errori. Un ente che non possiede queste competenze firma contratti che non sa valutare e subisce i fornitori invece di governarli. Non è un caso che le linee guida sull’adozione mettano la formazione tra i cinque principi cardine.
Il problema ha una faccia organizzativa precisa. Il Responsabile per la transizione digitale, figura obbligatoria per legge in ogni amministrazione, si trova caricato di un dossier che pochi enti presidiano con personale dedicato, mentre reclutare specialisti di dati e algoritmi a stipendi pubblici resta difficile in un mercato che li paga il doppio. La formazione del personale esistente non è quindi un ripiego: è, per la maggior parte degli enti, l’unica leva davvero disponibile nel breve periodo.
C’è anche un obbligo giuridico diretto: l’articolo 4 dell’AI Act chiede a chi impiega sistemi di intelligenza artificiale, e le amministrazioni rientrano a pieno titolo tra i deployer, di garantire al personale un livello adeguato di alfabetizzazione. Su questo terreno lavorano i programmi di formazione sull’AI per organizzazioni pubbliche e private che AIPIA progetta su misura, dal livello base per il personale amministrativo ai percorsi per chi deve scrivere capitolati e valutare fornitori.
La differenza tra un ente che forma dieci persone e uno che ne forma nessuna si vedrà nei prossimi due anni. Nei servizi, nei contenziosi evitati, nelle gare scritte bene.
La scadenza di agosto e il tempo delle scelte
Sul calendario di ogni amministrazione c’è ora una data: dal 2 agosto 2026 si applicano gli obblighi di trasparenza dell’articolo 50 dell’AI Act, e ogni chatbot pubblico dovrà dichiarare ai cittadini di essere un sistema automatizzato. Una o due righe di avviso, in apparenza. Ma dietro quelle righe c’è l’intero impianto che questo articolo ha descritto: censire i sistemi in uso, classificarli per livello di rischio, documentarli, assegnare le responsabilità. Chi deve orientarsi tra scadenze e adempimenti trova una mappa aggiornata nella guida operativa all’AI Act curata da AIPIA, pensata anche per responsabili di transizione digitale e uffici acquisti.
Il 2026 non consegna una PA trasformata dall’intelligenza artificiale. Consegna qualcosa di meno vistoso e più solido: regole in via di completamento, due autorità con poteri effettivi, tre principi giurisprudenziali stabili e un centinaio di progetti da cui imparare. Nella storia della digitalizzazione italiana è raro che la cornice arrivi prima della diffusione di massa. Questa volta è successo. Sprecare il vantaggio sarebbe la vera anomalia.
