AI Act e Comuni, come preparare gli uffici alle nuove regole europee

L’intelligenza artificiale sta entrando sempre più nelle attività quotidiane della #Pubblica mministrazione, dalla redazione degli atti alla gestione delle richieste dei cittadini, fino all’analisi dei documenti e al supporto dei #procedimentiamministrativi. Per i Comuni diventa quindi fondamentale conoscere le regole che disciplinano l’utilizzo di queste tecnologie e organizzare gli uffici affinché l’innovazione avvenga nel rispetto della normativa. Il riferimento è il Regolamento europeo 2024/1689, noto come #AI Act, che stabilisce obblighi differenziati in base alle caratteristiche dei sistemi utilizzati e ai rischi che possono comportare per le persone.

Le #amministrazioni locali, comprese Unioni di Comuni e Comunità montane, devono innanzitutto verificare quali strumenti di intelligenza artificiale siano già presenti nei propri uffici, considerando non soltanto i software acquistati espressamente per questo scopo, ma anche le funzionalità integrate nei programmi gestionali, nelle piattaforme documentali e nei servizi di trascrizione e traduzione. La ricognizione deve comprendere anche i chatbot e le applicazioni online utilizzati autonomamente dai dipendenti, individuando per ciascuno la finalità, l’ufficio coinvolto e i dati trattati. Questa attività permette di riconoscere eventuali criticità e distinguere gli strumenti destinati a semplici operazioni di supporto da quelli che possono influenzare decisioni amministrative.

Nella maggior parte dei casi il Comune opera come utilizzatore professionale, definito deployer dal regolamento europeo, mentre il fornitore è il soggetto che sviluppa e mette a disposizione il sistema. La distinzione è importante perché, in determinate circostanze, un’amministrazione che modifica sostanzialmente una soluzione o la commercializza con il proprio nome può assumere anche gli obblighi previsti per i fornitori.

Un altro aspetto centrale riguarda le regole interne per il personale. È opportuno definire una policy che chiarisca quali strumenti possono essere utilizzati, per quali attività e con quali precauzioni, prestando particolare attenzione alle informazioni inserite nei servizi esterni. Dati personali dei cittadini, documenti riservati, relazioni dei servizi sociali, segnalazioni della polizia locale e atti di gara non ancora pubblicati richiedono verifiche specifiche in materia di protezione dei dati e riservatezza. Indicazioni scritte e condivise aiutano a evitare utilizzi impropri e consentono agli uffici di lavorare con strumenti autorizzati e procedure uniformi.

Accanto alle regole, è necessaria un’adeguata formazione del personale. L’articolo 4 dell’#AIAct, applicabile dal 2 febbraio 2025, richiede infatti che fornitori e utilizzatori adottino misure per assicurare un livello adeguato di alfabetizzazione in materia di intelligenza artificiale alle persone che utilizzano questi sistemi per conto dell’organizzazione. I Comuni possono quindi prevedere attività formative generali per i dipendenti e approfondimenti specifici per chi impiega l’IA nei procedimenti amministrativi o in attività che possono incidere sui cittadini, conservando la documentazione delle iniziative svolte.

Le amministrazioni devono inoltre verificare che gli strumenti utilizzati non rientrino tra le pratiche vietate dall’articolo 5 del regolamento europeo. Tra queste figurano determinate forme di valutazione delle persone basate sul comportamento sociale, alcune applicazioni di riconoscimento delle emozioni nei luoghi di lavoro e negli istituti scolastici, fatte salve le eccezioni previste, e specifiche forme di categorizzazione biometrica che deducono caratteristiche sensibili. Particolare cautela è necessaria anche per i sistemi di videosorveglianza dotati di funzionalità intelligenti, rispetto ai quali occorre conoscere con precisione le caratteristiche della tecnologia acquistata e gli utilizzi consentiti.

Un’attenzione specifica deve essere riservata ai sistemi ad alto rischio, che possono riguardare, tra gli altri ambiti, l’accesso a determinate prestazioni pubbliche, la selezione del personale e alcuni processi relativi all’istruzione. Un software che contribuisce a ordinare le domande per un beneficio economico, uno strumento impiegato nella selezione dei candidati a un concorso o una soluzione che influenza l’accesso a un servizio richiedono una verifica della propria classificazione. Non tutti gli strumenti basati sull’intelligenza artificiale rientrano automaticamente in questa categoria: un chatbot che comunica gli orari degli uffici svolge una funzione diversa da un sistema che contribuisce a determinare l’accesso a una prestazione pubblica.

Per le categorie interessate dalle scadenze differite, il 2 dicembre 2027 rappresenta un riferimento importante per l’applicazione degli obblighi sui sistemi ad alto rischio. Gli enti dovrebbero comunque iniziare per tempo a esaminare le soluzioni in uso, confrontandosi con i fornitori e verificando le esigenze di supervisione umana, documentazione e controllo.

Anche la trasparenza nei confronti dei cittadini assume un ruolo fondamentale. Quando una persona interagisce con un sistema di intelligenza artificiale, deve essere informata nei casi previsti dalla normativa, mentre i contenuti generati artificialmente devono essere gestiti secondo le regole applicabili. Le disposizioni sulla trasparenza interessate dalla scadenza generale del 2 agosto 2026 riguardano anche le attività di comunicazione istituzionale: immagini, video e determinati testi generati dall’IA richiedono particolare attenzione, tenendo conto degli obblighi di dichiarazione e delle eccezioni previste per i contenuti sottoposti a revisione umana o controllo editoriale.

Per gli uffici comunali diventa quindi importante verificare le informazioni prima della pubblicazione e garantire che i cittadini possano distinguere correttamente le interazioni automatizzate da quelle con il personale.

L’adeguamento coinvolge anche i contratti con i fornitori di software e servizi di intelligenza artificiale. L’acquisto di una tecnologia, infatti, non elimina le responsabilità dell’amministrazione, che deve conoscere le funzionalità del sistema e le condizioni del suo utilizzo. Nei capitolati è opportuno disciplinare la disponibilità della documentazione tecnica, le istruzioni operative, l’accesso alle registrazioni delle attività del sistema, le informazioni sulla classificazione del rischio e la comunicazione di eventuali aggiornamenti o incidenti. È inoltre importante definire le procedure da seguire quando emergono criticità e, nei casi appropriati, prevedere la possibilità di sospendere l’utilizzo della soluzione.

Sul piano organizzativo, ogni ente deve individuare le figure incaricate di governare e controllare l’impiego dell’intelligenza artificiale, coinvolgendo in base alle rispettive competenze il segretario comunale, il responsabile per la transizione digitale, il responsabile della protezione dei dati e i responsabili dei servizi interessati. Quando un sistema supporta decisioni che possono incidere sui diritti dei cittadini, la supervisione umana deve essere effettiva: i funzionari devono poter comprendere e verificare i risultati, correggere eventuali errori e mantenere la responsabilità delle attività amministrative. Per i sistemi ad alto rischio, quando previsto, occorre inoltre considerare la valutazione d’impatto sui diritti fondamentali prima del primo utilizzo.

Il calendario dell’AI Act prevede scadenze differenziate: i divieti relativi alle pratiche vietate e le disposizioni sull’alfabetizzazione si applicano dal 2 febbraio 2025, mentre le regole sulla trasparenza interessate dalla scadenza generale decorrono dal 2 agosto 2026. Per determinati sistemi ad alto rischio è invece prevista la scadenza del 2 dicembre 2027, secondo il calendario aggiornato e le disposizioni applicabili alle singole categorie.

Gli enti locali sono quindi chiamati a intervenire fin da subito sugli aspetti già operativi e a prepararsi agli obblighi successivi attraverso una ricognizione degli strumenti, regole condivise, formazione e verifiche sui contratti. Anche i Comuni più piccoli possono procedere gradualmente, adottando misure proporzionate alle proprie dimensioni e alle tecnologie utilizzate. L’obiettivo è integrare l’intelligenza artificiale nei servizi pubblici senza compromettere la riservatezza, la correttezza dei procedimenti amministrativi e la tutela dei diritti dei cittadini.