Il Quadro Normativo: cosa cambia davvero per la PA?
L'AI Act Europeo (Reg. UE 2024/1689) in sintesi: il modello di regolamentazione basato sul rischio (vietato, alto rischio, trasparenza e rischio minimo)
La Legge Italiana sull'AI (L. 132/2025) e i Decreti Attuativi (D.Lgs. 160/2026 e D.Lgs. 179/2026): come l'Italia recepisce e applica le regole europee nel settore pubblico
L'importanza dei ruoli: quando la PA è un fornitore o un deployer, come si può scivolare da un ruolo all'altro con cambio delle responsabilità per la PA e dipendenti
I 3 capisaldi inderogabili dell'azione amministrativa con l'AI:
1. Principio della Riserva Umana: l'AI ha valore puramente strumentale e di supporto; la responsabilità del provvedimento e della decisione resta esclusivamente in capo al funzionario/dirigente
2. Trasparenza e conoscibilità: l'obbligo di garantire al cittadino la tracciabilità dell'uso dell'algoritmo
3. Tutele sul luogo di lavoro: il divieto assoluto di adottare decisioni interamente automatizzate per assunzioni, concorsi, valutazione del personale o procedimenti disciplinari, sanzionato con la nullità dell'atto
L'AI negli uffici: tra "Alto Rischio" e il pericolo dell'uso autonomo dei dipendenti ("Shadow AI")
Qando l'AI in PA è "ad alto rischio" (Allegato III AI Act): le casistiche in cui l'uso della PA è ritenuto a rischio dalla normativa e le azioni da intraprendere
Il caso pratico del dipendente e la "Shadow AI":
1. esempio reale: cosa rischia l'ente se un funzionario usa autonomamente ChatGPT o Gemini freemium per riassumere determine, creare bozze di atti o analizzare dati dei cittadini?
2. Mappatura delle responsabilità: sanzioni GDPR a carico dell'Ente, invalidità dell'atto amministrativo per vizio di motivazione e profili di responsabilità dirigenziale/disciplinare
Come bonificare la Shadow AI:
Adozione della Policy/Netiquette istituzionale sull'uso dei chatbot
L'attivazione di licenze protette Enterprise/Team e blocco dell'addestramento sui dati dell'ufficio
La Roadmap operativa in 7 passi per l'adozione conforme
I 7 step di compliance della PA deployer:
1. Procurement qualificato: scegliere software dotati di Marcatura CE e documentale tecnica
2. Valutazione d'impatto sui diritti fondamentali: quando serve e come si compila
3. Integrazione FRIA-DPIA: semplificazione del Digital Omnibus (Reg. UE 2026/1744) per unificare la valutazione privacy e sui diritti fondamentali in un unico documento
4. Nomina del sorvegliante umano: competenze e poteri per evitare l'automation bias
5. Informativa obbligatoria: avviso preventivo ai lavoratori e rappresentanze sindacali (Art. 26.7 AI Act)
6. Tracciamento Log e registrazione: conservazione dei log per 6 mesi/5 mesi e iscrizione nel portale UE o nel registro nazionale ACN per infrastrutture critiche
7. Piani di formazione continua
Laboratory Operativo: esercitazioni e casi studio
Esercitazione 1 - Prompting sicuro nella PA: come usare l'AI generativa per velocizzare la stesura di mail, relazioni e report senza inserire dati personali o riservati (tecniche di anonimizzazione e mascheramento)
Esercitazione 2 - Checklist FRIA/DPIA Express: analisi di casi d'uso
Esercitazione 3 - La risposta al cittadino: gestione del diritto di spiegazione dell'algoritmo garantivo al cittadino
