Intelligenza artificiale nella Pubblica Amministrazione: domande frequenti

Le nostre risposte alle domande più frequenti sull’adozione (e l’utilizzo) dei sistemi di intelligenza artificiale all’interno della Pubblica Amministrazione.

Da quando la Legge 132/2025 ha fissato i principi di trasparenza e sorveglianza umana sull’uso dell’intelligenza artificiale nella pubblica amministrazione, le domande che ricevo dagli enti sono ricorrenti.

In questa pagina ho raccolto le più frequenti, con risposte costruite sui riferimenti normativi puntuali (AI Act, Legge 132/2025, GDPR, Codice dei contratti pubblici) e con la cautela necessaria su un quadro che si sta ancora completando con i decreti attuativi e le linee guida AGID definitive.

Le risposte sono di carattere generale e non sostituiscono una consulenza puntuale: ogni Ente ha una situazione propria, e su molti punti la valutazione finale richiede il confronto con il DPO e, dove esiste, con l’ufficio legale.

Domande e dubbi frequenti sulla normativa che regolamente l’intelligenza artificiale nella PA

Il mio Ente deve davvero adottare una circolare sull'uso dell'IA?

Non esiste una norma che imponga letteralmente di adottare una “circolare sull’IA” come adempimento autonomo, ma ci sono obblighi sostanziali che senza un atto interno di governance diventano difficili da rispettare.

L’articolo 4 del Regolamento UE 2024/1689 (AI Act), applicabile dal 2 febbraio 2025, richiede a tutti i soggetti che mettono in servizio sistemi di IA (PA incluse) di garantire un livello adeguato di alfabetizzazione del personale che ne fa uso. L’articolo 3, comma 3, della Legge 132/2025 impone che ci sia sempre una sorveglianza umana effettiva sui sistemi di IA usati dall’amministrazione.

L’articolo 30 del GDPR richiede che ogni trattamento di dati personali (e quindi anche quelli che passano per strumenti di IA) sia inserito nel registro dei trattamenti, e l’articolo 35 può imporre una valutazione d’impatto sulla protezione dei dati (DPIA) quando il trattamento presenta un rischio elevato per i diritti e le libertà delle persone interessate.

Senza un atto interno che disciplini quali strumenti possono essere usati, da chi, con quali dati e con quali cautele, il tuo Ente non ha gli elementi per dimostrare di aver assolto a quegli obblighi.

Il nome dell’atto può variare (circolare, regolamento interno, ordine di servizio del Segretario o del Responsabile per la Transizione Digitale): conta la sostanza.

Se vuoi capire quale forma di atto si adatta meglio al tuo Ente, approfondisci il servizio di affiancamento.

Quali sono le scadenze chiave per le PA tra AI Act e Legge 132/2025?

Le scadenze più rilevanti per la pubblica amministrazione italiana derivano da due fonti: il Regolamento UE 2024/1689 (AI Act), entrato in vigore il 1° agosto 2024, e la Legge 132/2025, entrata in vigore il 10 ottobre 2025.

Per l’AI Act le date che il tuo Ente deve tenere a mente sono:

2 febbraio 2025: applicazione dei divieti su pratiche di IA proibite (Capitolo II) e obbligo di alfabetizzazione del personale (articolo 4)
2 agosto 2025: applicazione degli obblighi sui modelli di IA per finalità generali (GPAI) e nomina delle autorità nazionali competenti
2 agosto 2026: applicazione generale del Regolamento, con particolare riferimento agli obblighi sui sistemi ad alto rischio, alcuni dei quali sono molto rilevanti per la PA (settore istruzione, lavoro, accesso a servizi pubblici essenziali). Questa scadenza è oggetto delle proposte di rinvio del Digital Omnibus, vedi paragrafo sotto
2 agosto 2027: completamento dell’applicazione per i sistemi ad alto rischio integrati in prodotti già regolamentati da altre normative europee, anch’essa interessata dalle proposte di rinvio

La Legge 132/2025, oltre a fissare principi generali di trasparenza, sorveglianza umana e conoscibilità, contiene una delega al Governo per l’adozione di decreti attuativi entro dodici mesi dall’entrata in vigore: entro ottobre 2026 sono attesi i decreti che declineranno operativamente molti aspetti che oggi sono solo principi.

Sul Digital Omnibus, il pacchetto di semplificazione dell’AI Act proposto dalla Commissione europea il 19 novembre 2025, l’iter è in fase avanzata ma non concluso. Il 26 marzo 2026 il Parlamento europeo ha approvato la propria posizione (569 voti favorevoli, 45 contrari, 23 astenuti), introducendo date precise per il rinvio degli obblighi sui sistemi ad alto rischio:

2 dicembre 2027 per i sistemi elencati nell’Allegato III dell’AI Act (biometria, infrastrutture critiche, istruzione, occupazione, servizi essenziali, giustizia, frontiere)
2 agosto 2028 per i sistemi disciplinati da normative settoriali europee. Il testo deve ora passare dal trilogo con il Consiglio e la Commissione, e fino a quando l’iter non si chiude le scadenze originarie dell’AI Act restano formalmente in vigore

Quello che il rinvio non tocca resta importante: il divieto sui sistemi a rischio inaccettabile e l’obbligo di alfabetizzazione del personale (articolo 4 dell’AI Act) restano pienamente in vigore dal 2 febbraio 2025, così come gli obblighi sui modelli GPAI dal 2 agosto 2025.

La pianificazione del tuo Ente non può quindi essere fatta sul presupposto che il rinvio venga confermato: fino all’esito del trilogo, il calendario di riferimento resta quello dell’AI Act originario.

Se vuoi un piano di adempimenti calibrato sulle scadenze che riguardano davvero il tuo Ente, contattaci per un confronto.

La Legge 132/2025 si applica anche a società partecipate, scuole, ASL e Unioni di Comuni?

Per la maggior parte dei soggetti citati la risposta è sì, ma la qualificazione è importante perché non tutti gli obblighi si applicano allo stesso modo a tutte le categorie di enti.

Scuole, aziende sanitarie locali e Unioni di Comuni rientrano nel perimetro della pubblica amministrazione di cui all’articolo 1, comma 2, del D.Lgs. 165/2001, e a esse si applicano sia le previsioni della Legge 132/2025 che riguardano l’amministrazione pubblica, sia gli obblighi del GDPR e dell’AI Act.

Per le società a partecipazione pubblica il discorso è più articolato. La Legge 132/2025 contiene previsioni che riguardano specificamente l’uso dell’IA nelle pubbliche amministrazioni, e l’applicazione alle società partecipate dipende dalla loro natura giuridica concreta: le società in house e quelle che svolgono servizi pubblici essenziali rientrano spesso negli obblighi di tipo PA per via del CAD e di altre normative settoriali, ma la qualifica va verificata caso per caso.

L’AI Act invece si applica direttamente a ogni soggetto che metta in servizio sistemi di IA, indipendentemente dalla forma giuridica.

Se hai dubbi sull’applicazione delle norme alla specifica forma giuridica del tuo Ente, contattaci per una verifica puntuale.

Domande e dubbi frequenti su trasparenza e atti amministrativi

Bisogna indicare nelle determine se è stata usata l'intelligenza artificiale?

Dipende dall’uso che ne è stato fatto. La Legge 132/2025 non impone letteralmente di scrivere “ho usato l’IA” dentro ogni determina o delibera, ma fissa un principio di trasparenza e conoscibilità (articolo 3, commi 1 e 3) che rende la menzione fortemente raccomandabile quando l’IA ha avuto un ruolo non marginale nell’istruttoria.

Conviene distinguere tre situazioni:

Uso marginale (correggere un testo, sistemare la punteggiatura, tradurre): basta annotare l’uso nel fascicolo del procedimento, senza menzione nell’atto
Uso sostanziale di supporto all’istruttoria (ricerca normativa, prima bozza di analisi, sintesi di documenti): la menzione in premessa diventa importante, perché è in questi casi che il principio di trasparenza si gioca per intero
Uso nelle procedure di gara con sistemi automatizzati: qui siamo su un obbligo vero e proprio. L’articolo 30 del Codice dei contratti pubblici (D.Lgs. 36/2023) richiede di esplicitare negli atti di gara l’utilizzo di sistemi automatizzati e le modalità di correzione degli errori

In ogni caso la menzione non sostituisce la responsabilità umana: serve a dichiarare che la decisione finale resta in capo al Responsabile del procedimento, come richiesto dall’articolo 3, comma 3, della Legge 132/2025.

La formulazione puntuale da inserire nella premessa dell’atto va calibrata caso per caso, perché dipende dal tipo di strumento usato, dal provvedimento con cui il tuo Ente ha adottato l’elenco autorizzato, dalle competenze del Responsabile del procedimento e dalla natura dei dati trattati. Per questo conviene che la formula sia condivisa con l’ufficio legale (se presente) e con il DPO, soprattutto quando l’uso dell’IA tocca dati personali.

Se vuoi un supporto per costruire la formula corretta per i tuoi atti e dare regole chiare all’uso dell’IA dentro il tuo Ente, scopri il servizio sul nostro servizio di affiancamento.

Bisogna informare il cittadino se l'IA ha contribuito a un procedimento che lo riguarda?

Dipende da come l’IA è stata usata nel procedimento, e la distinzione è importante perché gli obblighi di informazione sono molto diversi nei due scenari principali.

Se l’IA è stata strumento di supporto all’istruttoria con decisione finale assunta da un funzionario in carne e ossa, l’obbligo di trasparenza si soddisfa attraverso la menzione nell’atto (vedi domanda 4) e attraverso l’aggiornamento dell’informativa privacy generale del tuo Ente, che deve dichiarare se e come l’amministrazione fa uso di sistemi di IA nei propri trattamenti (articoli 13 e 14 del GDPR). Una comunicazione individualizzata al singolo cittadino di solito non è obbligatoria.

Se invece l’IA è la base di una decisione automatizzata che produce effetti giuridici sul cittadino, scattano obblighi diversi e più stringenti: l’articolo 22 del GDPR richiede che il cittadino riceva informazioni significative sulla logica utilizzata, sull’importanza e sulle conseguenze previste del trattamento, e abbia il diritto di ottenere l’intervento umano. Se il sistema rientra anche nella categoria ad alto rischio dell’AI Act, ci sono ulteriori obblighi di trasparenza specifici previsti dal Regolamento.

L’aggiornamento dell’informativa privacy e l’eventuale predisposizione di comunicazioni specifiche per i procedimenti con uso significativo di IA sono attività che vanno gestite con il DPO, perché incidono sulla conformità complessiva del trattamento.

Se vuoi un confronto su come aggiornare l’informativa e gestire la trasparenza verso il cittadino in modo conforme, contattaci per un confronto.

Domande e dubbi frequenti sugli strumenti di intelligenza artificiale autorizzati nella PA

Esiste un elenco "ufficiale" di strumenti IA autorizzati per la PA?

No, e nemmeno è atteso che venga pubblicato. Non esiste un elenco “ufficiale” di strumenti IA autorizzati per la pubblica amministrazione, perché la scelta di quali strumenti utilizzare è una decisione di organizzazione interna che ogni Ente deve costruire in base ai propri contratti, alle configurazioni applicate, agli ambiti d’uso che intende abilitare e alla valutazione fatta con il DPO sulla conformità al GDPR.

Le linee guida AGID per l’IA nella PA, attualmente in fase di definizione, non contengono e con ogni probabilità non conterranno un elenco di strumenti autorizzati: definiscono i principi e i criteri, lasciando all’autonomia organizzativa di ogni Ente la scelta concreta degli strumenti.

Quello che il tuo Ente deve costruire, in pratica, è un proprio elenco autorizzato, formalizzato in un atto (determina, decreto del Segretario o del RTD, allegato a una circolare) e aggiornato nel tempo.

Per ogni strumento l’elenco dovrebbe specificare almeno la denominazione e la versione esatta, gli estremi del contratto e del Data Processing Agreement (DPA) sottoscritto ai sensi dell’articolo 28 del GDPR, le configurazioni applicate, gli ambiti d’uso consentiti e quelli vietati, le tipologie di dati ammesse nei prompt.

Se vuoi un supporto per costruire l’elenco autorizzato del tuo Ente partendo dai contratti e dalle licenze già attive, scopri di più sul nostro servizio di affiancamento.

Possiamo usare ChatGPT, Claude o Gemini gratuiti nella pubblica amministrazione?

Dipende dall’uso che se ne fa, e per la PA la risposta operativa nella maggior parte dei casi è no.

Le versioni gratuite di ChatGPT, Claude, Gemini e NotebookLM non sono vietate in modo assoluto: se in un prompt non passa alcun dato personale (nessun riferimento a persone identificate o identificabili), il GDPR non si applica al singolo prompt e l’uso può essere tecnicamente conforme.

Il problema è che le privacy policy delle versioni consumer di solito dichiarano l’uso dei prompt per addestrare i modelli e queste policy cambiano con frequenza, non esiste un Data Processing Agreement sottoscrivibile (DPA, ovvero il contratto con cui il fornitore si impegna ai sensi dell’articolo 28 del GDPR a trattare i dati alle condizioni stabilite dalla PA), e non è prevista una via per imporre configurazioni specifiche.

Basta un dipendente che incolla un atto o un nome nel prompt e il tuo Ente si trova fuori dal perimetro contrattuale: per questo autorizzare formalmente le versioni free è raramente una scelta sostenibile.

Per le versioni a pagamento (Claude for Work, ChatGPT Team o Enterprise, Gemini per Google Workspace, NotebookLM in ambiente Workspace) le condizioni possono essere diverse, ma quanto diverse lo si può sapere solo verificando i contratti e le privacy policy aggiornati al momento della valutazione: l’eventuale disponibilità di un DPA sottoscrivibile, l’esclusione dei prompt dall’addestramento dei modelli, le configurazioni di sicurezza, la residenza dei dati. Sono tutte condizioni che cambiano nel tempo e tra piani, e che non si possono dare per scontate.

Per questo la scelta di quali strumenti autorizzare non si fa leggendo le pagine commerciali dei fornitori: va costruita con il DPO del tuo Ente (la cui nomina è obbligatoria ai sensi dell’articolo 37 del GDPR) e, dove esiste, con l’ufficio legale, sulla base delle privacy policy e dei contratti aggiornati al momento della valutazione, e dell’eventuale necessità di una valutazione d’impatto sulla protezione dei dati (DPIA) ai sensi dell’articolo 35 del GDPR.

Se vuoi un confronto su quali strumenti autorizzare per il tuo Ente e su come impostare la valutazione con il DPO, non esitare a contattarci.

Come comunichiamo l'elenco degli strumenti autorizzati ai dipendenti?

L’elenco degli strumenti IA autorizzati è un atto di organizzazione interna, e per la PA italiana ci sono tre forme principali con cui adottarlo:

una determina o decreto del Segretario o del Responsabile per la Transizione Digitale che approva l’elenco come allegato (la forma più solida sul piano della tracciabilità amministrativa)
un aggiornamento della circolare esistente con un allegato tenuto vivo nel tempo (più snello, utile se prevedi di modificare l’elenco con frequenza)
un ordine di servizio del Segretario, soluzione intermedia tra le prime due

Non c’è invece un obbligo specifico di pubblicazione sull’albo pretorio o in Amministrazione Trasparente, perché le misure di trasparenza che la Legge 132/2025 e le bozze di linee guida AGID disciplinano riguardano il rapporto verso il cittadino quando l’IA incide sui procedimenti, non il governo interno degli strumenti autorizzati.

Una volta adottato l’atto, la diffusione al personale passa dalla intranet e da una email di notifica a tutti i dipendenti, integrate con i materiali di formazione che garantiscono l’alfabetizzazione richiesta dall’articolo 4 dell’AI Act.

Se vuoi un confronto su quale forma di atto si adatta meglio al tuo Ente, non esitare a contattarci.

Domande e dubbi frequenti sul censimento dei sistemi di intelligenza artificiale e sul personale

Il censimento degli usi di IA dei dipendenti è obbligatorio anche se la circolare non prevede sanzioni?

Tecnicamente no: nessuna norma di rango primario o secondario impone alle PA di censire come adempimento autonomo gli usi di IA fatti dai propri dipendenti. La domanda però è un po’ fuorviante, perché il censimento è il modo concreto con cui un Ente assolve a obblighi che esistono già e che si applicano indipendentemente dalla circolare.

Senza un censimento aggiornato il tuo Ente non riesce a tenere il registro dei trattamenti previsto dall’articolo 30 del GDPR (che deve includere ogni strumento che tratta dati personali, IA inclusa), perde il presidio della sorveglianza umana effettiva richiesta dall’articolo 3, comma 3, della Legge 132/2025 (perché non si può sorvegliare quello che non si sa esistere), e non ha le basi per assolvere agli obblighi di alfabetizzazione e governance previsti dall’articolo 4 dell’AI Act, operativi dal 2 febbraio 2025.

La scelta della circolare di non prevedere sanzioni per chi dichiara è deliberata e ha una funzione precisa: serve a far emergere usi che altrimenti resterebbero nascosti. Punire chi dichiara avrebbe l’effetto opposto a quello voluto, perché i dipendenti tacerebbero e il tuo Ente non saprebbe mai cosa è già stato fatto.

La sanzione sostanziale, quando c’è, riguarda il comportamento concreto (per esempio il trasferimento di dati personali a un fornitore senza DPA può configurare già una violazione del GDPR), non la risposta al censimento.

Trattalo quindi come obbligatorio nella sostanza, anche se la formulazione della circolare è invitante.

Se vuoi un confronto su come impostare il censimento e usarlo come base per costruire l’elenco autorizzato, non esitare a contattarci.

Cosa facciamo con i dipendenti che hanno già usato strumenti consumer su dati dell'Ente prima della circolare?

La regola della circolare di non sanzionare chi dichiara ha un obiettivo preciso: far emergere usi che altrimenti resterebbero sommersi, e permettere al tuo Ente di prenderne atto e gestirli. L’emersione, però, non sana automaticamente eventuali violazioni del GDPR già avvenute, che vanno valutate caso per caso con il DPO.

Quando un dipendente dichiara di avere usato in passato uno strumento consumer (per esempio una versione gratuita di ChatGPT, Claude o Gemini) inserendo nei prompt dati personali dell’Ente, può configurarsi una violazione dei principi del GDPR (articoli 5 e 6) e in alcuni casi una vera e propria violazione di dati personali ai sensi dell’articolo 4, punto 12, del Regolamento, da valutare per l’eventuale notifica al Garante (articolo 33) e agli interessati (articolo 34).

La valutazione spetta al DPO, sulla base della tipologia di dati trasmessi, della loro quantità, della gravità del rischio per gli interessati e delle azioni correttive che si possono mettere in campo. Quello che il tuo Ente non deve fare è punire la dichiarazione: l’azione disciplinare, se mai dovesse essere valutata, riguarda il comportamento sostanziale e va gestita con tutte le garanzie procedurali del caso.

Sul piano operativo, dichiarazione di emersione e gestione delle conseguenze sono due processi distinti: il primo serve a costruire il quadro completo, il secondo richiede una valutazione mirata con DPO e, dove esiste, ufficio legale.

Se hai casi concreti di emersione da gestire e vuoi un supporto per coordinare la valutazione con il DPO, non esitare a contattarci.

Domande e dubbi frequenti sulle responsabilità e sulla governance dei sistemi di intelligenza artificiale nella PA

Chi è responsabile se l'IA produce un errore in un atto amministrativo?

La responsabilità giuridica resta del Responsabile del procedimento e, in via finale, dell’amministrazione.

L’intelligenza artificiale è uno strumento, non un soggetto giuridico, e non può essere titolare di responsabilità: quando un atto amministrativo contiene un errore, il Responsabile risponde del contenuto come in qualsiasi altro caso, indipendentemente dal fatto che abbia usato l’IA come supporto o meno.

L’articolo 3, comma 3, della Legge 132/2025 esplicita che la sorveglianza umana sui sistemi di IA usati dall’amministrazione deve essere effettiva: la firma del Responsabile sull’atto è la dichiarazione formale che quel contenuto è stato verificato e fatto proprio, e quindi la responsabilità ricade pienamente sulla persona che ha firmato.

Sul piano interno (responsabilità disciplinare, contabile, dirigenziale) il fatto di aver seguito le procedure dell’Ente e di aver usato strumenti autorizzati può rilevare nella valutazione del comportamento, ma non elimina la responsabilità sostanziale per gli errori dell’atto.

Per questo è importante che il tuo Ente si doti di un atto interno che fissi le regole d’uso, costruisca un elenco di strumenti autorizzati con configurazioni verificate e attivi percorsi di alfabetizzazione che mettano i dipendenti in condizione di esercitare la sorveglianza umana richiesta dalla legge.

La verifica sui contenuti generati con IA non è un atto formale specifico: è la stessa diligenza istruttoria che il Responsabile esercita su qualsiasi altro contenuto, ma applicata con consapevolezza dei rischi propri dell’IA, in particolare allucinazioni, riferimenti normativi inesatti, dati inventati, bias.

Se vuoi un supporto per strutturare il quadro interno di responsabilità e di formazione del personale, scopri di più sul nostro servizio di affiancamento.

Serve una valutazione d'impatto (DPIA) per ogni strumento di IA che usiamo?

Dipende. La valutazione d’impatto sulla protezione dei dati (DPIA) prevista dall’articolo 35 del GDPR è obbligatoria quando il trattamento presenta un rischio elevato per i diritti e le libertà delle persone fisiche, e l’articolo 35, comma 3, individua casi specifici in cui la DPIA è sempre richiesta, tra cui le decisioni automatizzate con effetti giuridici e il trattamento su larga scala di dati particolari.

Per molti usi di IA in pubblica amministrazione la soglia di rischio elevato è superata, ma non è automatico: dipende dalla tipologia di trattamento, dai dati coinvolti, dalla natura del sistema e dall’impatto sui diritti delle persone interessate.

La valutazione sull’opportunità (o sull’obbligo) di redigere una DPIA spetta al DPO, che ha il compito di assistere l’Ente in questa decisione (articolo 39 del GDPR).

Il provvedimento del Garante per la protezione dei dati personali dell’11 ottobre 2018 ha individuato categorie di trattamenti per i quali la DPIA è in ogni caso necessaria, e alcune di queste categorie includono trattamenti che oggi sono spesso realizzati con strumenti di IA come la profilazione, le decisioni automatizzate e i trattamenti su larga scala di dati biometrici.

Indipendentemente dall’obbligo formale, la DPIA è uno strumento utile anche quando non è strettamente richiesta, perché permette al tuo Ente di documentare la valutazione fatta sui rischi e le misure adottate per ridurli, e diventa una base difensiva preziosa in caso di reclami o ispezioni.

Se vuoi un supporto per impostare il processo di valutazione e capire quali strumenti del tuo Ente richiedono una DPIA, non esitare a contattarci.

Hai una domanda specifica sull’uso dell’interlligenza artificiale nella Pubblica Amministrazione?

Le FAQ rispondono alle domande più frequenti, ma ogni Ente ha situazioni proprie: la circolare da adottare, l’elenco di strumenti da costruire, il coordinamento tra DPO e ufficio legale, la gestione dei casi di emersione, l’aggiornamento dell’informativa privacy.

Sono Andrea Marella e con pAInregola accompagno gli enti pubblici nell’adeguamento normativo all’intelligenza artificiale: ti aiuto a redigere gli atti interni, a costruire l’elenco degli strumenti autorizzati, a impostare l’alfabetizzazione del personale richiesta dall’AI Act, a confrontarti col DPO sui casi che ti stanno bloccando.

Per parlare con noi del tuo caso specifico, non esitare a contattarci.