L’inarrestabile evoluzione tecnologica impone al giurista contemporaneo una riflessione profonda e costante sulle modalità con cui l’intelligenza artificiale sta ridisegnando i confini del diritto amministrativo e dell’azione dei pubblici poteri, partendo da una disamina critica e puntuale delle ricadute dell’AI Act sull’amministrazione pubblica italiana.
Bisogna innanzitutto inquadrare la figura della pubblica amministrazione all’interno della cornice regolamentare europea, qualificandola senza mezzi termini come “deployer”, ovvero come quel soggetto che utilizza un sistema di intelligenza artificiale sotto la propria autorità per assolvere ai propri compiti istituzionali, con la sola esclusione degli utilizzi in ambito strettamente personale e non professionale.
Questa qualificazione giuridica non è un mero esercizio accademico, ma rappresenta il fulcro attorno al quale ruota l’intero impianto di responsabilità e obblighi delineato dal legislatore europeo, un impianto che il testo analizza con una profondità esegetica di rara fattura.
Per comprendere la portata di questa evoluzione è indispensabile chiarire la qualificazione giuridica riservata agli enti pubblici nel sistema delle responsabilità sovranazionali. Il legislatore europeo definisce utilizzatore, o deployer, chiunque impieghi un sistema di intelligenza artificiale sotto la propria autorità, escludendo soltanto l’uso personale e non professionale. Ne consegue che le pubbliche amministrazioni, quando integrano algoritmi per l’assolvimento dei propri compiti istituzionali, rientrano a tutti gli effetti in tale categoria.
Questa precisazione non costituisce un formalismo terminologico, ma rappresenta il fulcro dell’intero impianto di tutela. Mentre sui fabbricanti gravano obblighi legati alla conformità tecnica prima dell’immissione sul mercato, sull’amministrazione utilizzatrice si incardina un articolato statuto di responsabilità operativa, concepito per assicurare che l’inserimento dello strumento tecnologico nel procedimento amministrativo avvenga nel pieno rispetto dei canoni di legalità, imparzialità e buon andamento.
Uno dei quesiti più ricorrenti riguarda la corretta individuazione dei sistemi soggetti alle prescrizioni più severe, spesso oggetto di equivoci concettuali. Nel modello normativo dell’Unione, la classificazione di un sistema nella categoria ad alto rischio prescinde dalla denominazione attribuita dal fornitore privato o dal livello di sofisticazione ingegneristica dell’architettura software. A determinare l’assoggettamento alla massima vigilanza è esclusivamente il contesto d’uso specifico e l’impatto potenziale che l’impiego dello strumento può generare sui diritti fondamentali, sulla salute o sulla sicurezza delle persone.
È dunque la natura dell’interesse pubblico coinvolto e la gravità della possibile lesione della sfera giuridica dell’amministrato a fondare la qualificazione del rischio. Questo approccio impone un mutamento metodologico radicale: l’analisi di rischiosità non può essere delegata ai capitolati tecnici forniti dalle imprese, ma richiede un’autonoma e rigorosa valutazione dell’impatto procedimentale e sociale svolta direttamente dall’amministrazione nell’esercizio dei propri poteri discrezionali.
L’esame delle categorie individuate nell’Allegato III del Regolamento evidenzia quanto il concetto di alto rischio sia pervasivo rispetto alle competenze pubbliche ordinarie. Tra le macro-aree normative, almeno quattro toccano direttamente il cuore dell’azione burocratica. Si pensi innanzitutto ai sistemi biometrici, con la sola esclusione dei meccanismi basilari di verifica d’identità necessari per l’accesso ai servizi. Un ruolo centrale è poi occupato dalle tecnologie applicate alle infrastrutture critiche, nonché dal settore dell’istruzione e della formazione professionale. In quest’ultimo ambito, ricadono nella fascia ad alto rischio i sistemi impiegati per determinare l’accesso o l’ammissione agli istituti, oltre a quelli utilizzati per valutare i risultati formativi e le prestazioni individuali. Altrettanto impattante appare la disciplina applicata all’occupazione e alla gestione delle risorse umane nel settore pubblico, laddove le procedure di reclutamento, le decisioni sulle carriere, le promozioni e il monitoraggio o la valutazione delle prestazioni lavorative vengano assistiti da strumenti algoritmici o predittivi.
Un’ulteriore fattispecie di elevata delicatezza riguarda i sistemi utilizzati per determinare l’accesso a prestazioni, benefici e servizi essenziali di natura pubblica. Come chiarito nell’impianto interpretativo, rientrano in questo perimetro l’assegnazione di servizi sanitari, la determinazione e l’erogazione di prestazioni di sicurezza e assistenza sociale, la concessione di sostegni abitativi ed edilizia residenziale pubblica, e in generale l’insieme degli interventi di welfare per la popolazione. La portata della norma si estende inoltre alle tecnologie impiegate dalle autorità nell’attività di contrasto ai reati, nel controllo delle frontiere, nella gestione dell’immigrazione e dell’asilo, nell’amministrazione della giustizia e nello svolgimento dei processi democratici. Considerata la struttura della pubblica amministrazione italiana, dagli enti locali centrali agli enti previdenziali, dalle aziende sanitarie agli organi giudiziari, è evidente come la quasi totalità dei progetti di automazione introdotti per snellire la macchina burocratica ricada appieno entro il regime rigoroso riservato ai sistemi ad alto rischio.
Di fronte a questa diffusa riconducibilità, lo statuto dell’utilizzatore pubblico definito dall’articolo 26 fissa un insieme articolato di doveri che condizionano la legittimità dell’impiego della tecnologia. Il primo risiede nell’obbligo di uso conforme: l’amministrazione è tenuta a impiegare il sistema attenendosi scrupolosamente alle istruzioni d’uso predisposte dal fabbricante. Ogni adattamento estemporaneo o utilizzo difforme dalle specifiche tecniche rompe il nesso di conformità e trasferisce sull’ente pubblico la responsabilità per eventuali errori o pregiudizi generati. L’uso conforme costituisce pertanto un presidio essenziale per evitare che l’automazione procedimentale trasfiguri l’azione pubblica in un arbitrio tecnologico privo di giustificazione.
Il secondo pilastro concerne l’effettività della sorveglianza umana, che non può risolversi in una presenza formale o in una ratifica burocratica a posteriori. La supervisione deve essere affidata a persone fisiche dotate di competenze adeguate, di una formazione specifica sul funzionamento dell’algoritmo e dell’autorità organizzativa necessaria per esercitare un controllo reale. Il supervisore deve disporre del tempo e degli strumenti utili a comprendere la logica seguita dal sistema e deve possedere il potere effettivo di disattendere, modificare o sospendere l’output algoritmico in qualsiasi momento. Una sorveglianza umana puramente apparente vizierebbe l’intero procedimento amministrativo per difetto di istruttoria e per violazione delle garanzie partecipative dell’amministrato.
Accanto alla supervisione umana, la disciplina sovranazionale fissa rigidi criteri per il governo dei dati d’ingresso. Nella misura in cui l’amministrazione controlli la selezione dei dati di input, grava su di essa l’obbligo di verificare che tali dati siano pertinenti e sufficientemente rappresentativi rispetto alla finalità prevista. Questa prescrizione mira a prevenire l’introduzione di distorsioni cognitive o pregiudizi sistemici derivanti dall’impiego di banche dati storiche incomplete. L’utilizzo di dati privi dei requisiti di qualità rischia infatti di automatizzare e moltiplicare disparità di trattamento preesistenti, pregiudicando l’imparzialità dell’azione amministrativa. Garantire la rappresentatività dei dati costituisce pertanto un dovere di correttezza e uguaglianza sostanziale.
Il monitoraggio operativo continuo rappresenta un altro tassello centrale della responsabilità pubblica. L’amministrazione non può disinteressarsi del comportamento del software una volta avviato l’esercizio, ma deve seguirne costantemente le prestazioni. Qualora nell’applicazione pratica l’ente rilevi che l’uso conforme possa ciononostante generare rischi per la salute, la sicurezza o i diritti fondamentali, scatta un dovere immediato di reazione. L’amministrazione è tenuta a informare senza indugio il fornitore o distributore e l’autorità di vigilanza del mercato, disponendo la contestuale sospensione dell’uso della tecnologia. Questo meccanismo di autotutela preventiva impedisce che l’esecutività dell’azione automatizzata continui a produrre effetti dannosi nelle more di un riesame tecnico.
Completano i doveri di base previsti dall’articolo 26 la tracciabilità delle operazioni tramite la conservazione dei log, la trasparenza informativa nei confronti dei soggetti destinatari delle decisioni e la cooperazione con le autorità di controllo. In ambito lavorativo, l’impiego di sistemi ad alto rischio richiede un passaggio informativo preventivo verso le rappresentanze dei lavoratori e il personale interessato. L’insieme di questi presidi assicura che la decisione amministrativa assistita rimanga sempre tracciabile e ricostruibile ex post, preservando le garanzie del giusto procedimento e il diritto di difesa dell’amministrato di fronte al giudice amministrativo.
La novità di maggior portata procedimentale per le pubbliche amministrazioni è indubbiamente l’obbligo stabilito dall’articolo 27 del Regolamento: la valutazione d’impatto sui diritti fondamentali, nota nella prassi internazionale come FRIA. Tale adempimento risponde direttamente alla domanda su come tutelare i principi costituzionali di fronte all’avanzata delle decisioni automatizzate. Prima di mettere in servizio un sistema ad alto rischio, l’utilizzatore pubblico deve condurre un’analisi preventiva e strutturata diretta a vagliare l’impatto concreto della tecnologia sulle garanzie individuali e collettive dei cittadini.
La valutazione d’impatto sui diritti fondamentali non rappresenta una mera formalità documentale, ma costituisce il momento in cui l’amministrazione esplicita le ragioni di proporzionalità e ragionevolezza dell’innovazione. L’ente è tenuto a mappare i specifici processi nei quali il sistema opererà, definire la frequenza e il periodo d’impiego, individuare le categorie di persone e i gruppi vulnerabili incisi, stimare i rischi di pregiudizio e formalizzare le misure organizzative di vigilanza, unitamente ai meccanismi di governance interna. Attraverso la FRIA, l’amministrazione motiva pubblicamente perché ritiene che l’uso del sistema sia equo e legittimo, notificando poi gli esiti dell’analisi all’autorità di vigilanza del mercato.
Sotto il profilo operativo, assume un rilievo centrale il raccordo tra la valutazione d’impatto sui diritti fondamentali e la valutazione d’impatto sulla protezione dei dati regolata dalla normativa sulla privacy. L’articolo 27 chiarisce che laddove taluni obblighi della FRIA risultino già adempiuti nell’ambito della valutazione condotta ai sensi dell’articolo 35 del Regolamento generale sulla protezione dei dati o della disciplina sui trattamenti in ambito giudiziario e di polizia, la valutazione sui diritti fondamentali integra l’analisi esistente senza duplicazioni. Il messaggio per la pubblica amministrazione è chiaro: i due adempimenti vanno sviluppati in modo coordinato. Per gli enti che dispongono di prassi consolidate nella redazione delle valutazioni di impatto sulla privacy, l’estensione alla FRIA rappresenta un prolungamento metodologico sostenibile. Diversamente, per le strutture carenti sul piano della protezione dati, l’obbligo imporrà di edificare da zero una complessa capacità analitica.
Un ulteriore tassello per la trasparenza pubblica è rappresentato dall’obbligo di registrazione nella banca dati dell’Unione Europea previsto dall’articolo 49 del Regolamento. Prima di mettere in servizio o utilizzare un sistema di intelligenza artificiale ad alto rischio, le autorità e gli enti pubblici, o i soggetti che agiscono per loro conto, sono tenuti a iscrivere il sistema nel registro centrale europeo. Questa misura assicura un controllo pubblico diffuso, permettendo alla collettività e agli organi di vigilanza di conoscere in modo trasparente quali algoritmi siano impiegati nelle funzioni pubbliche e con quali garanzie.
Nel quadro delle condizioni di validità dell’azione amministrativa algoritmica merita un’attenzione centrale il dovere di alfabetizzazione in materia di intelligenza artificiale disciplinato dall’articolo 4. Anche alla luce delle recenti evoluzioni normative volte a razionalizzare gli oneri burocratici, la regola conferma la sua fermezza per i sistemi ad alto rischio: garantire un livello di alfabetizzazione adeguato per il personale operativo costituisce un obbligo preciso per gli enti utilizzatori. Per la pubblica amministrazione, la formazione del personale che adopera, supervisiona o interagisce con sistemi algoritmici ad alto rischio non è una misura accessoria, ma si configura come una vera e propria condizione di legittimità dell’uso della tecnologia. L’investimento conoscitivo deve essere commisurato alla complessità del sistema e alla gravità dell’impatto che le decisioni assistite possono produrre sui destinatari.
Alla luce di questo quadro articolato, l’amministrazione pubblica che intenda programmare l’adozione di sistemi di intelligenza artificiale in ambiti di attività sensibili deve strutturare immediatamente quattro cantieri operativi paralleli. Il primo cantiere consiste nella mappatura completa dei sistemi in uso e nella corretta classificazione del rischio. Il secondo cantiere riguarda la definizione della metodologia per la valutazione d’impatto sui diritti fondamentali in stretto raccordo con la valutazione d’impatto sulla protezione dati. Il terzo cantiere impone la riorganizzazione strutturale della sorveglianza umana effettiva. Il quarto cantiere, infine, richiede la progettazione di piani formativi continui per tutto il personale interessato.
L’avvio di questi cantieri operativi richiede mesi di lavoro interdisciplinare e non può essere ridotto a adempimenti formali dell’ultimo minuto. Le scadenze europee fissate al 2 dicembre 2027 per i sistemi di intelligenza artificiale autonomi e al 2 agosto 2028 per quelli incorporati in prodotti, individuate anche nel contesto degli accordi sul quadro normativo europeo dell’innovazione digitale, evidenziano che il tempo a disposizione deve essere utilizzato con la massima urgenza. Solo un’azione programmata ed esaustiva consentirà alle pubbliche amministrazioni di cogliere le opportunità della transizione digitale garantendo al contempo la piena tutela delle garanzie democratiche e dei diritti dei cittadini.
𝘼 𝙘𝙪𝙧𝙖 𝙙𝙚𝙡𝙡’𝘼𝙫𝙫. 𝘼𝙡𝙛𝙤𝙣𝙨𝙤 𝙎𝙘𝙖𝙛𝙪𝙧𝙤
𝑅𝑒𝑠𝑝𝑜𝑛𝑠𝑎𝑏𝑖𝑙𝑒 𝐴𝑟𝑒𝑎 𝐼𝑛𝑛𝑜𝑣𝑎𝑧𝑖𝑜𝑛𝑒, 𝐷𝑖𝑔𝑖𝑡𝑎𝑙𝑖𝑧𝑧𝑎𝑧𝑖𝑜𝑛𝑒 𝑒 𝐼𝑛𝑡𝑒𝑙𝑙𝑖𝑔𝑒𝑛𝑧𝑎 𝐴𝑟𝑡𝑖𝑓𝑖𝑐𝑖𝑎𝑙𝑒 𝑑𝑖 𝐹𝑖𝑠𝑎𝑝𝑖
