Come talvolta accade per le novità che provengono dal mondo digitale l’approccio all’AI è spesso bottom up, dal basso, e anche negli uffici pubblici pare si stia consumando una rivoluzione silenziosa.

Sempre più dipendenti pubblici utilizzano quotidianamente strumenti di intelligenza artificiale generativa per riassumere norme complesse, abbozzare risposte alle email dei cittadini, correggere bozze di delibere o tradurre documenti tecnici, rivedere comunicati stampa.

Il fenomeno prende il nome di Shadow AI o Bring Your Own AI.

Accade che i lavoratori, senza autorizzazione, supervisione o controllo del dipartimento IT, del CED o dei responsabili della sicurezza o senza un apposito regolamento, decidano di adottare in autonomia strumenti personali come ChatGPT, Gemini, Claude o Perplexity, per rendere più efficiente il proprio lavoro quotidiano.

E sebbene non si possa fermare la spinta all’innovazione e all’utilizzo di strumenti che, di fatto, facilitano le procedure e riducono i tempi e le performance lavorative, tuttavia questa spinta spontanea verso la produttività si scontra con una criticità fondamentale: nella maggior parte dei casi manca una policy aziendale chiara, creando rischi significativi per la protezione dei dati riservati, la riservatezza delle pratiche amministrative e la conformità normativa. Manca un regolamento.

Il quadro normativo: l’AI Act europeo e i rischi per la PA

L’adozione dell’intelligenza artificiale nel settore pubblico non può avvenire in modo deregolamentato.

Come è noto il riferimento centrale è l’European AI Act Regolamento UE 2024/1689, che introduce un approccio basato sul rischio.

Alto rischio

Molte delle applicazioni dell’IA nella PA, dalla valutazione delle domande di sussidio alla gestione delle risorse umane, fino all’accesso ai servizi pubblici essenziali e alla giustizia, rientrano nella categoria ad alto rischio.

Ciò impone obblighi stringenti in materia di qualità dei dati, tracciabilità dei processi, documentazione tecnica e human-in-the-loop, la cosiddetta supervisione umana.

Trasparenza e GDPR

L’uso improvvisato di strumenti AI commerciali su server terzi viola frequentemente il GDPR, Regolamento Generale sulla Protezione dei Dati, se in tali prompt vengono inseriti dati personali, sensibili o identificativi dei cittadini.
E se un dipendente pur di raggiungere il risultato di efficacia, efficienza ed economicità, copia e incolla in contenuto di una concessione, di una determinazione senza epurarlo dei dati sensibili e personali, decisamente commette il primo errore di violazione della privacy, sebbene i principali strumenti di AI assicurino di non conservare i dati oltre un certo tempo.

Come affrontano il tema gli altri Paesi?

All’estero, diversi governi hanno compreso che proibire l’IA è inefficace, optando invece per una regolamentazione chiara affiancata dalla fornitura di ambienti protetti.

Stati Uniti

L‘ufficio di gestione e bilancio della Casa Bianca ha definito linee guida vincolanti per tutte le agenzie federali, imponendo la nomina di un Chief AI Officer, un manager dell’intelligenza artificiale.

Il Chief AI Officer supervisiona l’integrazione e l’implementazione dell’intelligenza artificiale all’interno delle aziende, anche pubbliche, e guida l’innovazione digitale e sfruttando i vantaggi degli algoritmi predittivi e del machine learning. Valuta l’adozione di valutazioni d’impatto sui diritti civili e la definizione di linee guida sull’uso consentito dell’IA generativa da parte dei dipendenti pubblici.

Regno Unito

Il Government Digital Service ha emanato linee guida dettagliate sull’uso sicuro dei Large Language Models nel settore pubblico. Inoltre, il Cabinet Office ha sviluppato strumenti interni protetti come Redbox AI per consentire ai funzionari di analizzare ed estrarre informazioni da migliaia di documenti di pubblico dominio in totale sicurezza.

Estonia

Con il progetto Bürokratt, l’Estonia ha creato un ecosistema pubblico integrato basato sull’IA che permette ai cittadini di accedere ai servizi statali tramite un assistente virtuale, fornendo al contempo ai dipendenti pubblici strumenti AI integrati direttamente nelle infrastrutture di Stato.

E in Italia?

Lo abbiamo già detto qui sulle pagine di Digitale popolare, il percorso di integrazione dell’IA nella Pubblica Amministrazione italiana è disciplinato dalla Strategia Nazionale per l’Intelligenza Artificiale, dal Piano Triennale per l’Informatica nella PA (2024-2026) e dal DDL Intelligenza Artificiale che è poi stato approvato come Legge 23 settembre 2025, n. 132.

Un passaggio decisivo è rappresentato dalle Linee Guida AgID per l’adozione dell’IA nella Pubblica Amministrazione.
Le linee guida definiscono principi e requisiti fondamentali per le amministrazioni: tra questi la supervisione umana che vuol dire che nessun procedimento amministrativo o decisione che impatti sulla vita del cittadino può essere interamente delegato ad un algoritmo. L’IA deve agire esclusivamente da supporto decisionale.

Indispensabili security e privacy by design: I dati pubblici e dei cittadini non devono mai alimentare modelli pubblici terzi senza garanzie architetturali di segregazione dei dati.

Fondamentali i provvedimenti interni ed un’adeguata formazione: AgID sollecita gli enti ad adottare Codici di Condotta ed Etica aziendali per l’IA, mappando i profili di rischio prima di consentire l’uso di qualsiasi strumento tecnologico al personale.

Esistono esempi virtuosi in Italia?

Nonostante la carenza diffusa di policy locali e regolamenti nei piccoli comuni o negli enti periferici, esistono Istituzioni pubbliche italiane che stanno mostrando la strada corretta per sfruttare il potenziale dell’IA in maniera etica e sicura.

Tra i grandi enti l’INPS, Istituto Nazionale della Previdenza Sociale ha implementato sistemi avanzati di Machine Learning e Natural Language Processing (NLP) per la classificazione automatica e lo smistamento di milioni di comunicazioni PEC e istanze di prestazione. Il sistema lavora su architetture private e protette, riducendo drasticamente i tempi di lavorazione delle pratiche e lasciando sempre all’operatore umano la convalida finale.

Inps ha emanato la prima direttiva per l’uso dell’AI in INPS l’8 aprile 2024.

Altri esempi sono INAIL e ISTAT che utilizzano modelli di intelligenza artificiale per l’analisi predittiva dei flussi dei dati e l’estrazione semantica di informazioni da banche dati complesse, operando in ambienti chiusi che garantiscono il pieno rispetto del GDPR.

In alcuni Enti Locali e ASL si registrano diversi esprimenti. Esistono amministrazioni comunali e aziende sanitarie locali che stanno avviando sperimentazioni dotando il personale di istanze “sandboxed” (recinti di sabbiA) vale a dire ambienti protetti di modelli open source come Llama (Large Language Model Meta AI) o modelli cloud segregati.

Ciò permette al dipendente pubblico di sintetizzare normative di settore, redigere atti amministrativi o consultare il titolario di classificazione documentale senza alcun rischio di data leakage.

Verso una gestione consapevole

L’uso dell’Intelligenza Artificiale nella PA non si fermerà bannando l’accesso ai siti di AI generativa dai PC d’ufficio.

Per evitare i pericoli della Shadow AI, le amministrazioni pubbliche devono agire al più presto e su due fronti prioritari, da un lato emanare regolamenti e policy interne chiare che definiscano cosa sia consentito fare con gli strumenti AI e cosa sia severamente vietato.

Dall’altro fornire strumenti aziendali e formazione adeguata, abilitando ambienti sicuri che permettano ai funzionari pubblici di utilizzare la tecnologia per migliorare i servizi al cittadino, salvaguardando l’etica e l’integrità dell’ente.

Per approfondire la governance, l’evoluzione normativa e il ruolo delle competenze necessarie nella PA italiana, è utile seguire la discussione ufficiale AgID su L’IA nella Pubblica amministrazione: regole, competenze e prospettive.

L’intervento video dell’Agenzia per l’Italia Digitale che qui vi proponiamo offre una panoramica sulle indicazioni operative e sugli standard istituzionali previsti per governare l’integrazione dell’IA nel settore pubblico.