L'AgID, con la determinazione n. 169 del 9 novembre 2026, adotta le Linee guida per l'utilizzo dell'intelligenza artificiale nella Pubblica Amministrazione. Dalla governance alla gestione dei rischi, ecco le principali regole e gli adempimenti per gli enti pubblici.
L'intelligenza artificiale può aiutare una pubblica amministrazione a gestire documenti, analizzare dati e migliorare i servizi ai cittadini. Ma chi controlla i risultati? E chi risponde se l'algoritmo sbaglia?
A queste domande cercano di rispondere le nuove Linee guida per l'adozione di IA nella Pubblica Amministrazione, adottate dall'Agenzia per l'Italia Digitale (AgID) con la determinazione n. 169 del 9 novembre 2026.
Il documento, previsto dal Piano Triennale per l'Informatica nella PA 2024-2026 ed emanato secondo l'art. 71 del Codice dell'Amministrazione Digitale (CAD), traduce i principi dell'AI Act e della normativa nazionale in indicazioni operative per gli enti.
A chi si applicano le Linee guida
Le Linee guida si rivolgono ai soggetti individuati dall'art. 2, comma 2, del CAD: amministrazioni pubbliche, gestori di servizi pubblici e società a controllo pubblico.
Riguardano l'adozione dei sistemi di IA, con particolare attenzione alla conformità normativa e agli effetti sull'organizzazione amministrativa.
Il principio di fondo è semplice: l'IA deve essere uno strumento al servizio dell'amministrazione, non un sostituto delle sue responsabilità.
Strategia e governance: il ruolo del RTD
Le amministrazioni devono definire una strategia per l'IA, coerente con il PIAO e con la propria organizzazione, individuando obiettivi, risorse e casi d'uso.
Il coordinamento è affidato al Responsabile per la Transizione Digitale (RTD) e al relativo Ufficio (UTD), con il coinvolgimento del Responsabile della protezione dei dati (RPD) e del referente per la cybersicurezza.
Negli enti che utilizzano intensivamente l'IA può essere istituito anche un Responsabile dell'Intelligenza Artificiale (RIA), figura facoltativa che opera secondo le direttive del RTD.
AgID propone un modello organizzativo basato sul miglioramento continuo (Plan-Do-Check-Act), ispirato allo standard ISO/IEC 42001, che costituisce un riferimento metodologico e non impone una certificazione generalizzata.
Anche l'adozione di un codice etico è facoltativa, mentre resta necessario definire responsabilità e procedure di governance adeguate.
Rischi, trasparenza e controllo umano
Prima di adottare un sistema di IA, le amministrazioni devono valutarne i rischi secondo la classificazione dell'AI Act, distinguendo tra pratiche vietate, sistemi ad alto rischio e sistemi a rischio limitato o minimo.
Per quelli ad alto rischio sono previsti requisiti rafforzati, tra cui, nei casi stabiliti dall'art. 27 dell'AI Act, la valutazione d'impatto sui diritti fondamentali (FRIA), da coordinare con l'eventuale valutazione sulla protezione dei dati personali (DPIA).
L'applicazione di specifici obblighi per i sistemi ad alto rischio è stata tuttavia differita dal Regolamento (UE) 2026/1744 al 2 dicembre 2027 per i sistemi dell'allegato III e al 2 agosto 2028 per quelli dell'allegato I.
Particolare attenzione è riservata alla sorveglianza umana, alla tracciabilità delle operazioni e all'informazione dei cittadini sull'impiego dell'IA nei processi amministrativi.
Sul punto, l'art. 14 della legge n. 132/2025 stabilisce che l'IA svolge una funzione strumentale e di supporto all'attività provvedimentale: la persona conserva autonomia e potere decisionale e resta responsabile del procedimento e del provvedimento, ferma la responsabilità dell'amministrazione nella gestione dei sistemi.
Dati, sicurezza e competenze
Le Linee guida dedicano ampio spazio alla qualità dei dati, alla protezione delle informazioni personali e alla cybersicurezza, con particolare attenzione agli errori, alle distorsioni (bias) e agli attacchi informatici specifici dei sistemi di IA.
Un ruolo centrale è assegnato alla formazione del personale, che deve acquisire competenze adeguate per utilizzare e controllare queste tecnologie.
Gli enti devono inoltre definire indicatori di prestazione (KPI) per verificare l'effettivo miglioramento dell'efficienza e della qualità dei servizi.
Cosa devono fare concretamente gli enti
Il percorso delineato da AgID può essere sintetizzato in cinque passaggi:
Definire una strategia, individuando obiettivi, casi d'uso, costi e benefici attesi.
Organizzare la governance, attribuendo responsabilità al RTD e coinvolgendo le altre figure competenti.
Valutare i rischi, verificando conformità normativa, tutela dei dati e impatto sui diritti.
Formare il personale, predisponendo procedure per l'utilizzo e la sorveglianza dei sistemi.
Monitorare i risultati, documentando le attività e correggendo eventuali criticità.
AgID incoraggia inoltre sperimentazioni iniziali a basso rischio, l'impiego di soluzioni open source o open weight e la collaborazione tra amministrazioni per condividere infrastrutture e competenze.
Restano in corso gli iter di adozione delle ulteriori Linee guida dedicate allo sviluppo e all'acquisizione (procurement) dei sistemi di IA nella PA.
La sfida non è soltanto introdurre l'intelligenza artificiale negli uffici pubblici, ma imparare a governarla. Perché un algoritmo può aiutare a prendere una decisione, ma non può sostituire chi deve comprenderla, motivarla e assumersene la responsabilità.
Documenti correlati:
AGID - Determinazione del Direttore Generale n. 169 del 9 novembre 2026
Adozione delle Linee guida per l’adozione di intelligenza artificiale nella pubblica amministrazioneIntelligenza artificiale nella PA: quando può essere usata nel procedimento amministrativo? — TAR Marche, sez. I, sentenza n. 758 del 01/06/2026.
Intelligenza artificiale, la nuova legge con deleghe — Legge 23 settembre 2025, n. 132.
AI Act, Digital Omnibus: nuove scadenze e divieto di deepfake intimi — Regolamento (UE) 2026/1744 dell'8 luglio 2026.