Intelligenza artificiale nella PA: la guida tra le regole del Garante della Privacy e la sfida della maturità operativa

L’impiego dell’intelligenza artificiale nella Pubblica Amministrazione sta attraversando una fase decisiva. Se da un lato Comuni, Province e Regioni puntano sull’IA per velocizzare le procedure, ottimizzare i flussi di lavoro e migliorare i servizi al cittadino, dall’altro la reale integrazione operativa di questi strumenti riscontra ostacoli significativi.

Tra i rigidi vincoli posti dal Garante per la protezione dei dati personali e una complessa gestione del patrimonio informativo pubblico, la transizione dai progetti pilota a servizi completamente operativi richiede una strategia chiara. In questa guida analizziamo cosa stabilisce il quadro normativo aggiornato al 2026 e quali interventi infrastrutturali e organizzativi servono agli enti locali per garantire innovazione, efficienza e pieno rispetto dei diritti dei cittadini.

Le nuove regole del Garante della Privacy per l’IA pubblica: il caso Trento

Con il provvedimento n. 760 del 7 ottobre 2026, il Garante per la protezione dei dati personali ha espresso un parere favorevole condizionato sullo schema di regolamento predisposto dalla Provincia autonoma di Trento per l’utilizzo dell’algoritmo nella gestione amministrativa.

Il documento rappresenta un punto di riferimento fondamentale per tutto il comparto della PA locale italiana, inserendosi nella cornice d’attuazione della legge 23 settembre 2025, n. 132 (la quale stabilisce all’art. 14 che l’IA debba fungere esclusivamente da supporto all’attività decisionale umana).

L’Autorità ha posto precise condizioni preliminari all’adozione dei sistemi algoritmici:

• Il problema della memoria dei dati errati negli algoritmi: Nei modelli di intelligenza artificiale basati su apprendimento automatico, l’informazione errata contribuisce ad addestrare e modificare i parametri interni dell’algoritmo. La semplice rettifica del documento di partenza non assicura che il modello già addestrato smetta di risentire di quell’errore. Gli enti devono garantire strumenti in grado di rendere effettivi i diritti di rettifica e cancellazione (artt. 16 e 17 GDPR) anche nei sistemi già sviluppati.
• Dati sensibili e base giuridica formale: Per l’utilizzo di categorie particolari di dati o relativi a condanne penali, l’amministrazione non può affidarsi unicamente a schede informatorie interne, ma necessita di una base normativa solida, fondata su atti di rango almeno regolamentare o atti amministrativi generali.
• Principio di riserva della decisione e reale controllo umano: L’algoritmo può supportare la classificazione dei documenti o l’istruttoria, ma la responsabilità dell’atto finale resta in capo al funzionario pubblico, il quale deve disporre delle competenze necessarie per verificare e contestare l’esito generato dalla macchina.

Stato dell’arte dell’IA nella PA: il divario tra ambizione e maturità operativa

Sebbene l’interesse istituzionale verso l’innovazione sia elevato, l’effettiva maturità operativa delle pubbliche amministrazioni risulta ancora disomogenea. Lo studio del Capgemini Research Institute (Data and AI in government 2026: From AI ambition to operational maturity) evidenzia indicatori specifici:

• Enti che esplorano o sperimentano soluzioni di IA agentica: 55% delle organizzazioni pubbliche.
• Quota di budget IT destinata all’IA (proiezione 2027): 7% (rispetto al 5% del 2025).
• Iniziative di IA arrivate a piena operatività: Solo il 28%.
• Organizzazioni con difficoltà a superare la fase pilota: Il 70% degli enti incontra ostacoli nel passaggio all’utilizzo esteso.

Le principali barriere all’integrazione

Il blocco dei progetti nella fase di sperimentazione è causato da ostacoli di natura tecnica e organizzativa:

• Mancanza di interoperabilità dei dati (57%): assenza di standard condivisi tra banche dati.
• Criticità nella gestione e governance dei dati (53%): assenza di regole uniformi su accesso e qualità.
• Infrastrutture obsolete o non scalabili (45%): presenza di software legacy non predisposti per carichi di calcolo complessi.

Archivi digitali, DPIA e governance: la lista di controllo per i Comuni

La gestione documentale rappresenta l’ambito elettivo di prima applicazione dell’IA (come dimostra la sperimentazione della Provincia di Trento sul sistema protocollo P.I.Tre). Per avviare tali sistemi in sicurezza, ogni ente deve attenersi a una sequenza operativa ben definita:

1. Definizione preventiva della base giuridica: Individuare i procedimenti amministrativi interessati ed eliminare il conferimento di dati non strettamente pertinenti al fine dell’istruttoria.
2. Esecuzione della Valutazione d’Impatto (DPIA): Effettuare la DPIA ex art. 35 GDPR prima di attivare qualsiasi sistema ad alto rischio, coinvolgendo tempestivamente il Responsabile della Protezione dei Dati (RPD/DPO).
3. Pianificazione della gestione del ciclo di vita dei dati: Prevedere la conservazione dei dataset di addestramento su server posizionati all’interno dell’Unione Europea ed evitare il riutilizzo secondario di dati riservati.
4. Utilizzo prioritario di dati sintetici o pseudonimizzati: Nelle fasi di sviluppo e collaudo, ricorrere a dati sintetici generati artificialmente oppure a dati mascherati per limitare l’esposizione di informazioni riservate.
5. Integrazione nei flussi di lavoro ordinari: Evitare la creazione di portali isolati; gli assistenti virtuali devono integrarsi nei software gestionali già utilizzati dal personale amministrativo.
6. Formazione continua dei funzionari: Strutturare percorsi dedicati all’uso critico dei sistemi di IA per consentire ai dipendenti di individuare bias, errori di elaborazione o allucinazioni del sistema.

Sovranità digitale e affidabilità delle scelte pubbliche

La trasformazione tecnologica incide sulla capacità della Pubblica Amministrazione di mantenere la gestione autonoma e sicura delle proprie risorse informatiche.

Il 70% delle organizzazioni pubbliche individua nella leadership politica la leva primaria per la sovranità digitale, mentre il 65% attribuisce al controllo strategico sui dati un’importanza equivalente a criteri quali costi, prestazioni e velocità di innovazione.

Sebbene l’84% degli enti denunci una forte carenza di competenze tecniche interne e il 72% lamenti i costi elevati per sostenere l’autonomia tecnologica, l’adozione dell’IA richiede decisioni mirate su sicurezza, resilienza dei sistemi e controllo contrattuale sui fornitori terzi.