Premessa

L’intelligenza artificiale è già oggi presente nei contesti lavorativi della Pubblica Amministrazione, spesso in modo diffuso, spontaneo e non formalizzato. L’accessibilità crescente degli strumenti e la loro integrazione nelle applicazioni di uso quotidiano stanno determinando un utilizzo sempre più esteso da parte del personale, anche in assenza di specifiche indicazioni organizzative.

Tale scenario, se da un lato offre rilevanti opportunità in termini di efficienza e semplificazione, dall’altro espone gli enti a rischi significativi sotto il profilo giuridico, organizzativo e reputazionale, in particolare in relazione alla gestione dei dati, alla qualità degli atti amministrativi e alla tracciabilità dei processi.

Particolare rilevanza assume il rispetto della normativa in materia di protezione dei dati personali. L’utilizzo non regolamentato di strumenti di intelligenza artificiale può comportare il trattamento improprio di dati personali, anche appartenenti a categorie particolari, nonché il trasferimento di informazioni verso piattaforme esterne in assenza di adeguate garanzie. Tali comportamenti espongono l’Ente a rischi di non conformità al Regolamento (UE) 2016/679 (GDPR), con possibili conseguenze in termini di responsabilità, sanzioni e danno reputazionale.

In particolare, l’impiego di sistemi di intelligenza artificiale deve avvenire nel rispetto:

• dei principi di liceità, correttezza, trasparenza, minimizzazione e limitazione della finalità di cui all’art. 5 GDPR;
• del principio di accountability e responsabilizzazione del titolare del trattamento (art. 24 GDPR);
• degli obblighi di protezione dei dati fin dalla progettazione e per impostazione predefinita (privacy by design e by default) (art. 25 GDPR);
• delle misure tecniche e organizzative adeguate a garantire la sicurezza del trattamento (art. 32 GDPR);
• nonché, ove ricorrano i presupposti, dell’obbligo di effettuare una Valutazione d’Impatto sulla Protezione dei Dati (DPIA) per trattamenti che presentano rischi elevati (art. 35 GDPR).

In tale ambito, assumono inoltre rilievo:

• la gestione dei possibili data breach, derivanti da utilizzi impropri o non controllati degli strumenti, con conseguente esposizione o perdita di dati;
• la necessità per l’Ente di essere in grado di dimostrare, anche in sede di controllo, la conformità dei trattamenti effettuati.

Il quadro regolatorio europeo si sta inoltre completando con l’adozione dell’AI Act, che introduce un approccio basato sul rischio (“risk-based approach”), prevedendo obblighi differenziati in funzione del livello di impatto dei sistemi di intelligenza artificiale, con particolare attenzione agli utilizzi nel settore pubblico. Tale evoluzione normativa rafforza ulteriormente la necessità di dotarsi di strumenti interni di governo e controllo.

È importante evidenziare che tali esigenze di regolamentazione sussistono anche nel caso di utilizzo di sistemi di intelligenza artificiale “chiusi” o protetti, basati su database interni o su fonti circoscritte e non connessi alla ricerca su internet. Sebbene tali soluzioni riducano alcuni rischi legati alla dispersione dei dati, permangono criticità rilevanti in termini di affidabilità dei contenuti generati, responsabilità delle decisioni, correttezza amministrativa e necessità di supervisione umana.

In questo contesto, l’assenza di un quadro di governance strutturato non costituisce una condizione neutra, ma un fattore di rischio sistemico. L’utilizzo non regolamentato degli strumenti di intelligenza artificiale può infatti determinare comportamenti non conformi alla normativa vigente e rendere difficile l’attribuzione delle responsabilità.

Si rende pertanto necessario avviare, anche in via anticipata rispetto al consolidamento del quadro regolatorio nazionale ed europeo, un percorso interno di regolamentazione dell’utilizzo dell’IA, fondato su:

• la definizione di un regolamento interno che disciplini modalità d’uso, ambiti consentiti e limiti operativi;
• l’individuazione di un presidio organizzativo dedicato, anche attraverso la designazione di un Responsabile per l’Intelligenza Artificiale o di una funzione equivalente;
• l’introduzione di misure di controllo, tracciabilità e supervisione umana.

Tale approccio consente all’Ente di passare da un utilizzo implicito e non governato dell’IA a un modello consapevole, responsabile e coerente con i principi di buona amministrazione, trasparenza e tutela dell’interesse pubblico.

Un rischio sistemico, non episodico

Il fenomeno dell’utilizzo dell’intelligenza artificiale all’interno delle organizzazioni non può più essere considerato episodico. In assenza di policy e strumenti di governance, l’uso cresce ogni giorno in modo silenzioso e non tracciato.

Le conseguenze sono concrete: dati esposti, contenuti non verificati, processi non documentati e responsabilità che restano in capo all’amministrazione e ai singoli funzionari. Le indicazioni di principio – quali tracciabilità, supervisione umana e controllo dei processi – sono già note, ma risultano ancora poco tradotte in modelli operativi.

Normativa e indirizzi strategici: un quadro in evoluzione

Sul piano regolatorio, il contesto si sta rapidamente strutturando.

A livello europeo, l’AI Act introduce un approccio basato sul rischio, con obblighi stringenti soprattutto per i sistemi utilizzati nel settore pubblico. In ambito nazionale, la normativa vigente rafforza i principi di governance e responsabilità umana, mentre il Piano Triennale per l’Informatica nella PA (2024-2026) richiama esplicitamente l’adozione responsabile dell’intelligenza artificiale.

Le linee guida dell’AgID individuano inoltre principi fondamentali quali trasparenza, controllo umano e sicurezza.

Il principale elemento di criticità non risiede nella mancanza di riferimenti normativi, bensì nella difficoltà di tradurre tali indicazioni in strumenti operativi concreti all’interno degli enti.

Linee guida sull’AI: limiti applicativi

Le attuali linee guida evidenziano alcune criticità in termini di applicabilità. Le indicazioni risultano spesso di carattere generale e richiedono competenze specialistiche non sempre disponibili all’interno delle amministrazioni.

Permangono inoltre ambiguità nella definizione delle responsabilità organizzative e nella ripartizione dei ruoli tra le diverse funzioni coinvolte (tecniche, giuridiche, organizzative).

Il rischio è quello di un approccio meramente formale, basato su adempimenti documentali, senza una reale capacità di governo del fenomeno.

RTD e governance dell’AI

Il Responsabile per la Transizione Digitale è naturalmente chiamato a svolgere un ruolo centrale in questo ambito. Tuttavia, nella maggior parte dei casi, tale funzione risulta già fortemente impegnata e non sempre supportata da competenze specialistiche adeguate.

La gestione dell’intelligenza artificiale richiede infatti un approccio multidisciplinare, che integri aspetti tecnici, giuridici, organizzativi e di sicurezza.

In tale contesto, si rende opportuno valutare l’introduzione di un presidio dedicato alla governance dell’IA, anche attraverso l’individuazione di una figura o funzione specifica con compiti di coordinamento, indirizzo e monitoraggio.

In assenza di tale supporto, il rischio è che l’utilizzo degli strumenti avvenga senza adeguati controlli, con conseguente esposizione dell’Ente a criticità operative e responsabilità.

Shadow AI: un fenomeno già presente

Nel contesto attuale, è altamente probabile che l’utilizzo dell’intelligenza artificiale sia già diffuso all’interno degli enti pubblici, anche in modo non formalizzato.

Si parla in questo caso di “Shadow AI”: strumenti utilizzati dai dipendenti in modo spontaneo, al di fuori di qualsiasi presidio organizzativo.

Il fenomeno è particolarmente difficile da intercettare, anche perché l’AI è ormai integrata in numerosi strumenti di uso quotidiano (email, browser, piattaforme digitali), e la soglia di utilizzo si è abbassata al punto da renderne spesso inconsapevole l’impiego.

Efficienza immediata e rischi operativi

Le ragioni della diffusione sono evidenti: gli strumenti di intelligenza artificiale consentono di risparmiare tempo, sintetizzare documenti e supportare le attività quotidiane.

Tuttavia, permangono criticità rilevanti legate alla qualità dei contenuti generati, che possono risultare imprecisi, incompleti o non verificati.

Nel contesto della Pubblica Amministrazione, tali limiti si traducono in rischi diretti sulla qualità degli atti, sulla correttezza dei procedimenti e sulla tenuta giuridica delle decisioni.

Dati e fiducia

Un ulteriore elemento critico riguarda la gestione dei dati.

L’utilizzo inconsapevole di strumenti di intelligenza artificiale può comportare la condivisione di informazioni su piattaforme esterne, senza adeguate garanzie in termini di sicurezza e tracciabilità.

Nel contesto della PA, dove vengono trattati dati personali e informazioni sensibili, tale aspetto assume particolare rilevanza.

Un contesto che accelera l’adozione

Il mercato dell’intelligenza artificiale è in forte crescita e gli strumenti risultano sempre più accessibili, integrati e semplici da utilizzare.

Ciò rende inevitabile la diffusione anche all’interno degli enti pubblici, spesso in assenza di un quadro organizzativo strutturato.

Una domanda necessaria

La questione non è se l’intelligenza artificiale sia presente all’interno dell’Ente, ma quanto sia diffusa e quanto sia governata.

Per supportare una prima valutazione del fenomeno, è disponibile uno strumento di stima orientativa (“Shadow AI Estimate”), che consente di ottenere una proiezione del possibile utilizzo non formalizzato all’interno dell’organizzazione.

→ Accedi a Shadow AI Estimate

Entionline ha pensato ad un servizio, AI GOVERNANCE, che si pone come obiettivo quello di fornire strumenti pratici per regolamentare l’adozione e l’uso delle tecnologie AI da parte del personale.