AI Act europeo per la Pubblica Amministrazione italiana: guida completa a obblighi, scadenze e conformità
Il Regolamento (UE) 2024/1689, meglio conosciuto come AI Act, è il primo quadro normativo al mondo che regolamenta l’intelligenza artificiale in modo organico.
Entrato in vigore il 1° agosto 2024, rappresenta una svolta storica per tutte le organizzazioni che sviluppano o utilizzano sistemi di AI nell’Unione Europea – e la pubblica amministrazione italiana è in prima linea.
Ma cosa significa davvero per il tuo ente?
Quali sono gli obblighi concreti?
E soprattutto, come puoi adeguarti senza farti travolgere dalla complessità normativa?
Cos’è l’AI Act e perché riguarda direttamente la tua amministrazione?
L’AI Act non è una norma astratta destinata solo alle Big Tech. È un regolamento europeo direttamente applicabile in Italia, senza bisogno di leggi di recepimento, che impone obblighi precisi a chiunque utilizzi sistemi di intelligenza artificiale – e questo include tutte le pubbliche amministrazioni.
Se il tuo ente usa (o sta pensando di usare) AI per:
- Gestire graduatorie e assegnare servizi ai cittadini
- Selezionare personale o valutare prestazioni dei dipendenti
- Analizzare pratiche amministrative
- Fornire risposte automatizzate tramite chatbot
- Supportare decisioni in ambito sociale, educativo o sanitario
…allora l’AI Act ti riguarda direttamente. E gli obblighi sono già operativi.
Deployer, non solo fornitori: la PA è responsabile
Una distinzione fondamentale: l’AI Act non si rivolge solo a chi sviluppa sistemi di AI (i “fornitori”), ma anche a chi li utilizza.
Nel linguaggio del regolamento, sei un deployer ogni volta che la tua amministrazione usa un sistema di AI sotto la propria autorità.
Cosa significa? Che non puoi scaricare la responsabilità sul fornitore del software.
La conformità normativa, la valutazione del rischio e la tutela dei diritti dei cittadini ricadono anche – e soprattutto – su di te.
L’approccio dell’AI Act basato sul rischio: le 4 categorie che devi conoscere
L’AI Act non tratta tutti i sistemi di AI allo stesso modo. Il regolamento adotta un approccio basato sul rischio, classificando i sistemi in quattro categorie con obblighi crescenti.
Rischio inaccettabile: sistemi vietati
Alcuni usi dell’AI sono completamente proibiti perché rappresentano una minaccia inaccettabile per i diritti fondamentali:
- Social scoring da parte di autorità pubbliche (assegnare punteggi ai cittadini in base al comportamento sociale)
- Manipolazione del comportamento che può causare danni fisici o psicologici
Sfruttamento di vulnerabilità di gruppi specifici (bambini, disabili, anziani) - Identificazione biometrica remota in tempo reale in spazi pubblici per attività di contrasto (salvo eccezioni molto limitate e con autorizzazione giudiziaria)
Se stai utilizzando o considerando uno di questi sistemi, fermati immediatamente. Sono vietati dal 2 febbraio 2025.
Rischio alto: dove si concentrano gli obblighi per la PA
Qui rientrano molti sistemi che le pubbliche amministrazioni già usano o vorrebbero adottare:
- Selezione e gestione del personale (screening CV, valutazione prestazioni, assegnazione di mansioni)
- Accesso a servizi pubblici essenziali (assegnazione benefici sociali, sussidi, alloggi popolari)
- Gestione di graduatorie (asili nido, borse di studio, servizi alla persona)
- Identificazione biometrica e categorizzazione delle persone
- Valutazione dell’affidabilità in ambito creditizio o assicurativo (quando la PA agisce come ente erogatore)
Per questi sistemi, gli obblighi sono stringenti e comprendono:
- Valutazione di conformità prima della messa in servizio
- Sistema di gestione dei rischi con identificazione, valutazione e mitigazione
- Governance dei dati (qualità, rappresentatività, assenza di bias)
- Documentazione tecnica completa sempre aggiornata
- Registrazione e conservazione dei log delle operazioni
- Trasparenza verso i cittadini che interagiscono con il sistema
- Supervisione umana (human oversight) effettiva e documentata
- Cybersecurity e robustezza del sistema
Rischio limitato: obblighi di trasparenza
Sistemi come chatbot, assistenti virtuali o generatori di contenuti rientrano in questa categoria.
L’obbligo principale? Informare chiaramente gli utenti che stanno interagendo con un sistema di AI.
Se il tuo ente usa un chatbot sul sito istituzionale, devi comunicare esplicitamente ai cittadini che stanno parlando con un’intelligenza artificiale, non con un operatore umano.
Rischio minimo: libertà di utilizzo
La maggior parte dei sistemi di AI (filtri spam, videogiochi, sistemi di raccomandazione generici) rientra qui.
Nessun obbligo specifico oltre alle normative di settore già esistenti.
AI Act: gli obblighi (concreti) per la pubblica amministrazione deployer
Come Pubblica Amministrazione che utilizza sistemi di intelligenza artificiale, hai responsabilità precise che vanno oltre la semplice acquisto del software.
Valutazione d’impatto: DPIA e FRIA
Per i sistemi ad alto rischio che trattano dati personali (praticamente tutti nella PA), devi effettuare:
- DPIA (Data Protection Impact Assessment) – Già prevista dal GDPR, diventa ancora più critica con l’AI. Devi valutare l’impatto del sistema sulla protezione dei dati personali, identificare i rischi e adottare misure di mitigazione.
- FRIA (Fundamental Rights Impact Assessment) – Valutazione dell’impatto sui diritti fondamentali. L’AI Act richiede di analizzare come il sistema può influenzare diritti come dignità, non discriminazione, protezione dei dati, libertà di espressione.
Le Linee Guida AGID (in consultazione nel 2025) forniscono template specifici per queste valutazioni, adattati alla realtà della PA italiana.
Trasparenza e informativa ai cittadini
Ogni volta che un cittadino interagisce con un sistema di AI nella tua amministrazione, ha diritto di saperlo. L’informativa deve essere:
- Chiara e comprensibile (no gergo tecnico)
- Tempestiva (prima dell’interazione)
- Completa (spiegare come funziona il sistema, quali dati usa, come influenza le decisioni)
Questo si integra con gli obblighi già previsti dal GDPR e dal D.Lgs. 33/2013 sulla trasparenza amministrativa.
Una mancata o inadeguata informativa può comportare invalidità degli atti amministrativi e responsabilità del funzionario.
Supervisione umana: il principio di non sostituzione
L’AI Act è chiarissimo su un punto: l’intelligenza artificiale deve supportare, non sostituire, la decisione umana.
Nella pratica questo significa:
- Un funzionario deve comprendere come il sistema AI è arrivato a un determinato output
- Deve avere la capacità effettiva di non seguire le raccomandazioni dell’AI
- Deve poter intervenire e correggere decisioni errate
- La responsabilità finale resta sempre in capo al dipendente pubblico
Non basta inserire un “timbro umano” pro forma su decisioni già prese dall’AI. La supervisione deve essere reale e consapevole.
Le Linee Guida AGID specificano che il personale incaricato deve possedere le competenze, l’esperienza e l’autorità necessarie per svolgere questa funzione in modo efficace.
Gestione dei rischi e monitoraggio continuo
L’adozione di AI non si esaurisce nell’acquisto e installazione. Devi:
- Monitorare le prestazioni del sistema nel tempo
- Rilevare anomalie e malfunzionamenti
- Segnalare incidenti gravi alle autorità competenti (AgID e ACN)
- Aggiornare la valutazione del rischio quando cambiano le condizioni operative
È un processo iterativo, non un adempimento una tantum.
Scadenze e tempistiche AI Act: entro quando devi essere conforme
L’AI Act prevede un’applicazione graduale, con scadenze diverse per categorie di sistemi e obblighi.
Già operativi (dal 2 febbraio 2025):
- Divieto di sistemi a rischio inaccettabile
- Obblighi di governance per l’AI
- Formazione e alfabetizzazione del personale
Dal 2 agosto 2025:
- Regole per modelli di AI per finalità generali (GPAI)
- Obblighi di trasparenza
Dal 2 agosto 2026:
- Applicazione completa delle norme per sistemi ad alto rischio
- Tutti gli obblighi per deployer operativi
Dal 2 agosto 2027:
- Sistemi AI integrati in prodotti regolamentati (es. dispositivi medici, automotive)
Aggiornamento importante: la proposta di rinvio (Digital Omnibus)
Novembre 2025: La Commissione europea ha presentato il “Digital Omnibus”, un pacchetto di semplificazioni normative che propone di posticipare l’applicazione delle norme sui sistemi ad alto rischio di massimo 16 mesi – quindi fino a dicembre 2027.
Attenzione: si tratta di una proposta, non ancora approvata.
Il testo deve passare l’esame di Parlamento europeo e Consiglio, e diversi eurodeputati hanno già espresso opposizione, in particolare dal centrosinistra e dalla sinistra che criticano il processo omnibus per l’assenza delle abituali valutazioni d’impatto e consultazioni pubbliche.
Il rinvio scatterebbe solo quando saranno disponibili:
- Standard tecnici definitivi (CEN-CENELEC)
- Linee guida operative complete
- Strumenti di supporto per la conformità
La Commissione motiva la proposta con i ritardi nell’adozione degli atti di esecuzione, i ritardi degli Stati nel nominare le autorità competenti e le difficoltà concrete di imprese e PA nel tradurre le regole in pratica.
Cosa significa per te?
Anche se la proposta dovesse essere approvata:
- Non abbassare la guardia: gli obblighi restano gli stessi, cambiano solo le tempistiche
- Sfrutta il tempo extra in modo strutturato: usalo per adeguarti con calma, non per procrastinare
- Preparati ora: chi si muove oggi avrà un vantaggio competitivo e zero stress quando le norme diventeranno pienamente operative
Il rinvio non cambia la sostanza degli obblighi, ma offre più margine temporale per un’adozione consapevole e preparata – esattamente ciò che un servizio di affiancamento come pAInregola ti aiuta a fare.
Nota: Questo aggiornamento (novembre 2025) non è ancora stato recepito nelle Linee Guida AGID né nella normativa italiana, che mantengono i termini originali dell’AI Act. Continua a monitorare gli sviluppi attraverso AgID e ACN.
Le autorità competenti per l’uso dell’intelligenza artificiale nella Pubblica Amministarzione: AgID e ACN
La Legge italiana 132/2025 ha designato due autorità nazionali per l’intelligenza artificiale, ciascuna con un ruolo specifico e complementare.
AgID (Agenzia per l’Italia Digitale) assume il ruolo di promozione dell’innovazione e sviluppo dell’AI nel settore pubblico. Si occupa di definire linee guida operative per l’adozione, fornire supporto tecnico alle amministrazioni e agire come autorità notificante per gli organismi di valutazione della conformità.
In pratica, AgID ti aiuta a capire come adottare l’AI in modo corretto e conforme.
ACN (Agenzia per la Cybersicurezza Nazionale) ha invece funzioni di vigilanza del mercato e controllo della conformità. Dispone di poteri ispettivi e sanzionatori, verificando che i sistemi di AI utilizzati rispettino effettivamente le norme.
È l’autorità che interviene quando qualcosa non va.
Entrambe operano in coordinamento stretto: AgID ti accompagna nell’adozione responsabile fornendo strumenti e linee guida, mentre ACN vigila sul rispetto concreto delle regole.
Un modello che bilancia supporto e controllo, innovazione e sicurezza.
AI Act e sanzioni: quanto costa la (non) conformità
L’AI Act prevede sanzioni amministrative pecuniarie significative, strutturate in base alla gravità della violazione:
- Fino a 35 milioni di euro o 7% del fatturato globale per uso di sistemi vietati
- Fino a 15 milioni di euro o 3% del fatturato per violazione degli obblighi su sistemi ad alto rischio
- Fino a 7,5 milioni di euro o 1,5% del fatturato per informazioni false o incomplete alle autorità
L’AI Act non specifica esplicitamente come le sanzioni si applicheranno alle pubbliche amministrazioni.
Secondo l’interpretazione prevalente emersa nelle analisi applicative, le sanzioni dovrebbero essere adattate alle specificità del settore pubblico e commisurate ai bilanci disponibili, ma questo aspetto sarà definito dalle autorità nazionali competenti.
Ciò che è certo: la responsabilità personale dei funzionari rimane pienamente operativa secondo la normativa italiana vigente.
Oltre alle sanzioni pecuniarie, la non conformità comporta conseguenze che vanno ben oltre l’aspetto economico. Gli atti amministrativi adottati con sistemi non conformi possono essere dichiarati invalidi, creando un contenzioso amministrativo complesso e oneroso.
La perdita di fiducia da parte dei cittadini mina la credibilità dell’ente e il rapporto con la comunità.
I ricorsi amministrativi si moltiplicano, con costi legali e organizzativi elevati.
E non dimenticare la responsabilità dirigenziale per mancata vigilanza, che può tradursi in procedimenti disciplinari e conseguenze sulla carriera dei funzionari coinvolti.
Il costo della non conformità, insomma, va ben oltre le multe formali.
Oltre l’AI Act: il quadro normativo completo per la PA
L’AI Act non opera in isolamento, ma si integra in un ecosistema normativo complesso che devi conoscere e rispettare nella sua interezza.
Il GDPR (Regolamento UE 2016/679) rimane il pilastro fondamentale per la protezione dei dati personali.
Quando usi sistemi di AI che trattano dati personali – e nella PA è praticamente sempre così – devi rispettare i principi di minimizzazione, trasparenza e responsabilità che il GDPR ha introdotto.
La DPIA diventa obbligatoria per tutti i trattamenti ad alto rischio, e l’AI Act si innesta su questi obblighi aggiungendo ulteriori livelli di protezione.
La Legge italiana 132/2025 rappresenta la prima legge nazionale organica sull’AI in Europa. Va oltre l’AI Act introducendo specificità per settori chiave come sanità, lavoro, pubblica amministrazione e giustizia.
Il principio antropocentrico che guida questa legge impone che l’AI resti sempre uno strumento di supporto, mai di sostituzione della decisione umana. La governance nazionale viene strutturata attraverso AgID e ACN, creando un sistema di controllo e supporto specifico per il contesto italiano.
Le Linee Guida AGID traducono i principi normativi in strumenti operativi concreti. Trovi template di valutazione d’impatto, indicazioni pratiche per la PA, best practice settoriali e casi d’uso reali. Sono il ponte tra la teoria normativa e la pratica quotidiana del tuo ente.
Il CAD (Codice dell’Amministrazione Digitale) completa il quadro con i principi generali che regolano la digitalizzazione della PA: il diritto all’uso delle tecnologie, la trasparenza e accessibilità dei servizi, la qualità dell’interazione digitale con i cittadini.
L’AI deve inserirsi in questo quadro più ampio senza contraddirlo.
Ogni normativa si sovrappone e si integra con le altre in un sistema complesso ma coerente.
Non puoi essere conforme all’AI Act ignorando il GDPR, così come non puoi rispettare la Legge 132/2025 senza considerare le indicazioni AGID.
La conformità è un puzzle in cui tutti i pezzi devono incastrarsi perfettamente.
Opportunità AI Act (non solo obblighi): i benefici della conformità
Sì, l’AI Act porta obblighi e responsabilità. Ma guardalo anche come un’opportunità strategica per il tuo ente.
Un framework normativo chiaro ti permette di adottare l’AI in modo sicuro e sostenibile, innovando senza improvvisare. Puoi sperimentare nuove tecnologie sapendo esattamente quali sono i paletti da rispettare, evitando passi falsi che potrebbero costarti caro in termini di sanzioni, contenzioso e reputazione.
La conformità ti aiuta a guadagnare la fiducia dei cittadini.
Trasparenza, supervisione umana e tutela dei diritti non sono solo obblighi legali sulla carta – sono la base per costruire un rapporto di fiducia solido con chi usa i tuoi servizi. I cittadini sanno che i loro dati sono protetti, che le decisioni automatizzate sono supervisionate da persone competenti, che possono contestare e chiedere spiegazioni.
Sistemi AI ben governati e conformi alle norme funzionano meglio, durano di più e producono risultati affidabili. Un’adozione strutturata significa meno problemi tecnici, meno necessità di interventi correttivi, maggiore efficienza operativa nel lungo periodo.
L’investimento iniziale in conformità si ripaga con interessi.
Le amministrazioni che adottano l’AI in modo responsabile e conforme si posizionano come enti innovativi e attraggono attenzione positiva.
Diventano punti di riferimento per altre amministrazioni, attirano talenti qualificati che vogliono lavorare in contesti all’avanguardia, accedono più facilmente a finanziamenti PNRR e fondi europei dedicati all’innovazione digitale.
E soprattutto, la conformità ti protegge da rischi legali e reputazionali che possono derivare da un uso improprio dell’AI.
Sanzioni economiche, contenziosi amministrativi, danni alla reputazione dell’ente, perdita di credibilità verso cittadini e stakeholder: tutto questo può essere evitato con un approccio strutturato e conforme sin dall’inizio.
Da dove iniziare per “mettersi in regola” con l’AI Act: i primi passi pratici
Se tutto questo ti sembra complesso, hai ragione. Lo è.
Ma non devi affrontarlo da solo, e soprattutto puoi procedere in modo strutturato seguendo una roadmap chiara.
Il primo passo è fare un inventario completo dei sistemi di AI che state già usando. Non fermarti ai software evidenti: anche strumenti integrati in piattaforme acquistate possono rientrare nell’AI Act
Quel gestionale documentale che “suggerisce automaticamente” le categorie? Potrebbe essere AI.
Il chatbot del sito istituzionale? Sicuramente è AI.
Mappali tutti, senza eccezioni.
Una volta identificati i sistemi, devi classificare il rischio di ciascuno secondo le categorie dell’AI Act.
Un sistema è vietato? Ad alto rischio? A rischio limitato?
Questa classificazione determina quali obblighi specifici si applicano e con quale urgenza devi intervenire.
Il terzo passo è valutare le lacune tra la situazione attuale e gli obblighi normativi.
Confronta dove sei oggi con dove dovresti essere.
- Hai già fatto le DPIA necessarie?
- La documentazione tecnica è completa?
- I log vengono registrati correttamente?
- La supervisione umana è effettiva o solo formale?
Questo gap analysis ti dice esattamente cosa manca.
A questo punto puoi prioritizzare gli interventi. Non puoi fare tutto subito, e non devi.
Parti dai sistemi ad alto rischio, da quelli che impattano più cittadini, dai casi d’uso più critici per l’ente.
Crea un piano di azione realistico con scadenze concrete.
Ma ricorda: la conformità all’AI Act non è solo questione tecnica o legale.
Devi coinvolgere il personale che usa quotidianamente questi sistemi. I dipendenti devono capire come funziona l’AI, quali sono i rischi, come esercitare una supervisione umana efficace. Senza formazione adeguata, anche il miglior piano di conformità sulla carta fallisce nella pratica.
Infine, documenta tutto con attenzione maniacale.
Valutazioni d’impatto, decisioni prese, misure adottate, formazione erogata, incidenti rilevati e risolti.
La documentazione completa e aggiornata è la tua migliore protezione in caso di controlli da parte di AgID o ACN, ma è anche lo strumento che ti permette di dimostrare ai cittadini e agli organi di controllo interno che stai operando in modo responsabile.
Conformità AI Act: l’affiancamento che trasforma la complessità in opportunità
L’AI Act europeo non è solo un insieme di obblighi da spuntare. È il quadro che definisce come la tua amministrazione può utilizzare l’intelligenza artificiale in modo sicuro, etico e conforme ai diritti dei cittadini.
Ma tradurre 180 articoli di regolamento, integrarli con GDPR, Legge 132/2025 e Linee Guida AGID, e applicarli alla realtà operativa del tuo ente è un’impresa complessa.
Ecco perché esiste pAInregola.
Non ti lasciamo solo davanti al caos normativo. Ti accompagniamo passo dopo passo:
- Classifichiamo i tuoi sistemi AI secondo l’AI Act
- Identifichiamo gli obblighi specifici per il tuo ente
- Creiamo il Piano AI conforme alle normative europee e nazionali
- Formiamo il personale su uso responsabile e supervisione umana
- Ti aggiorniamo su ogni cambiamento normativo (come il Digital Omnibus)
Vuoi capire come adeguarti all’AI Act senza stress?