Le nuove linee guida per l’adozione dell’AI nelle pubbliche amministrazioni.

Antonio Naddeo

2 ore fa

Il 9 novembre AgID ha pubblicato le Linee Guida per l’adozione di IA nella Pubblica Amministrazione. Le aspettavamo da tempo, e chi si occupa di intelligenza artificiale nella PA sa quanto fossero necessarie.

Quello che segue è un primo commento. Le ho lette, ma non ancora con la calma e l’attenzione che centoquaranta pagine di questo peso meritano. Sono gli appunti di una prima lettura: cosa mi ha convinto subito, cosa mi è sembrato mancare, e qualche indicazione pratica per chi vuole cominciare ad applicarle. Mi riprometto di tornarci nelle prossime settimane, un capitolo alla volta, con un’analisi più approfondita.

Cosa dicono le Linee Guida AgID sull’intelligenza artificiale

Il documento è vincolante, perché adottato ai sensi dell’articolo 71 del Codice dell’amministrazione digitale, e usa un linguaggio preciso: ciò che le PA DEVONO fare, ciò che DOVREBBERO fare, ciò che POSSONO fare. Dentro c’è un impianto completo:

il ciclo di vita di un sistema di IA, dalla pianificazione al ritiro;
la classificazione del rischio dell’AI Act, con l’obbligo per ogni ente di capire se è fornitore o semplice utilizzatore (deployer) di un sistema;
venti principi, dalla conformità normativa alla sorveglianza umana;
un modello organizzativo basato sul miglioramento continuo, con la strategia per l’IA da scrivere in coerenza con il PIAO;
la governance affidata al Responsabile per la transizione digitale, con la possibilità di istituire un Responsabile dell’IA dove l’uso è intenso;
l’obbligo di alfabetizzazione sull’IA per tutto il personale e competenze specifiche per i dirigenti, legate anche agli obiettivi di performance.

C’è una frase che vale da sola la lettura. Il principio P.5 dice che la responsabilità ultima delle decisioni resta in capo alla PA, “qualunque sia il livello di automazione previsto”.

Cose che ho scritto e che ora sono nero su bianco

Confesso una certa soddisfazione. Molti dei concetti su cui insisto da mesi, qui e nella mia newsletter su Substack, oggi hanno un timbro ufficiale.

Chi firma risponde. Non esiste un vuoto normativo in cui l’errore dell’algoritmo resta di nessuno. Le Linee Guida riprendono i tre principi indicati dal Garante per la protezione dei dati personali: conoscibilità, non esclusività della decisione algoritmica, non discriminazione. Tradotto: il cittadino ha diritto di sapere che c’è una macchina di mezzo, e deve esserci una persona capace di smentirla.

Sorvegliare non significa cliccare “conferma”. Il principio P.13 chiede che i sistemi possano essere verificati, corretti o sostituiti da personale umano. È la differenza, su cui ho scritto più volte, tra convalidare un output e prendere una decisione.

La competenza deve stare nell’organizzazione, non in una persona sola. Il capitolo sulla formazione chiede che i dirigenti sappiano valutare opportunità, rischi e impatti dei sistemi che adottano. Bene. Ma se quella competenza resta nella testa del dirigente bravo, il giorno in cui va in pensione se ne va con lui.

Prima l’organizzazione, poi la tecnologia. Le Linee Guida lo scrivono in modo esplicito: l’adozione dell’IA “non determina necessariamente la creazione di nuove strutture organizzative”, ma richiede l’evoluzione dei profili professionali che già abbiamo. È quello che sostenevo parlando di modello operativo: il telescopio non serve se la finestra resta la stessa.

Cosa manca: le persone e i contratti

Ed ecco il punto su cui voglio essere franco. In centoquaranta pagine le persone che usano questi sistemi ogni giorno compaiono quasi solo come destinatari di formazione. Mancano del tutto le relazioni sindacali. E non c’è alcun richiamo al Titolo sull’intelligenza artificiale dei contratti collettivi 2025-2027.

Eppure quel Titolo c’è, in ogni contratto della tornata: lo ha aperto il CCNL Funzioni Centrali, poi Funzioni locali e, infine, l’ ipotesi di accordo della di Sanità. Prevede l’informazione preventiva alle organizzazioni sindacali prima di introdurre un sistema di IA che incide sull’organizzazione del lavoro, porta la materia al confronto e, dove serve, alla contrattazione integrativa. Ne ho scritto a proposito delle novità per i Comuni e della Sanità. Non è un dettaglio: un ente che seguisse alla lettera le Linee Guida senza applicare il contratto sarebbe in regola con AgID e inadempiente verso i propri lavoratori. e passibile di comportamento antisindacale.

Si dirà: è una dimenticanza grave. Va detto, per onestà, che c’è una scusante. L’iter delle Linee Guida è cominciato molto prima che quei contratti venissero firmati. Il documento discende dal Piano triennale per l’informatica 2024-2026 e si fonda su una ricognizione dei progetti di IA avviata da AgID già nel 2024, mentre il Titolo sull’IA è nato ai tavoli dell’ARAN tra l’estate e l’autunno di quest’anno. Un testo che attraversa un percorso di adozione così lungo fotografa il quadro di quando è partito.

Le stesse Linee Guida, però, prevedono di essere aggiornate periodicamente “per tener conto dell’evoluzione normativa e tecnologica”. Mi auguro che il primo aggiornamento arrivi presto e che dia spazio alle persone: a ciò che il contratto collettivo già impone e alla partecipazione di chi lavora con questi sistemi tutti i giorni.

L’IA generativa che entra dalla porta di servizio

C’è un secondo tema che merita più di quello che trova. Le Linee Guida lo sfiorano due volte. Nel capitolo sulla formazione, parlando della consapevolezza nell’usare al lavoro le applicazioni di IA generativa che ognuno usa nella vita privata. E nel capitolo sui codici etici, dove si prevede di “introdurre regole di utilizzo dei sistemi di IA da parte dei dipendenti”.

A mio avviso è poco, rispetto a quello che sta accadendo negli uffici. Molte amministrazioni hanno scelto la strada difensiva: blocchiamo tutto. Ma il dipendente apre il browser, va su un servizio gratuito, carica la bozza della relazione e si fa aiutare. Nessuno l’ha autorizzato, nessuno lo controlla, nessuno sa dove finiscono quei documenti. Chiudere la porta principale non serve se resta aperta quella di servizio. Serve una regola d’uso chiara, scritta e conosciuta: quali strumenti, per quali attività, con quali dati mai. Il codice di comportamento, il GDPR e il segreto d’ufficio ci danno già la cornice. Manca il coraggio di scriverla.

Come applicare le Linee Guida: sei mosse per cominciare

Per chi vuole partire da subito, ecco una piccola guida pratica.

Fate il censimento. Elencate i sistemi di IA già in uso, compresi quelli che nessuno ha formalmente acquistato.
Classificate. Per ciascun sistema, stabilite la classe di rischio secondo l’AI Act e il ruolo dell’ente: semplice utilizzatore o fornitore. Se modificate in modo sostanziale un sistema, diventate fornitori, con tutti gli obblighi che ne derivano.
Scrivete chi decide e chi può fermare. La strategia va nel PIAO, che non è un adempimento, la regia al Responsabile per la transizione digitale. Ma scrivete anche chi ha l’autorità di sospendere un sistema quando qualcosa non va.
Formate tutti e i dirigenti di più. L’alfabetizzazione sull’IA è ormai una competenza digitale di base. Per i dirigenti servono obiettivi di performance collegati.
Dite le cose prima. Ai cittadini, con atti motivati che dichiarano l’uso del sistema. Ai lavoratori e ai sindacati, con l’informazione preventiva prevista dal contratto. E date regole chiare sull’IA generativa.
Mettete le garanzie nel capitolato e misurate il valore. Trasparenza, reversibilità, diritto di verificare: si decide prima della firma del contratto con il fornitore. Poi misurate il valore prodotto, non il semplice numero di accessi.

Le regole non bastano

Le Linee Guida AgID dicono con precisione cosa fare. Non possono dire chi avrà il coraggio di farlo. Il rischio vero non è l’algoritmo che sbaglia: è l’amministrazione che si limita a protocollarle.

Come ho detto, ci tornerò.