La transizione verso l’intelligenza artificiale nella pubblica amministrazione unisce regole, diritti sui dati, scelte infrastrutturali e capacità tecnica. Questo articolo spiega come il Regolamento (UE) 2024/1689 e la legge 132/2025 influenzino l’azione pubblica. L’articolo mostra inoltre l’impatto delle leggi regionali toscane e delle pratiche di cloud sull’efficacia dell’azione pubblica. Racconto i nodi concreti: certificazione, accesso ai dati, dipendenza dai fornitori e governance dei sistemi predittivi nei trasporti.
La transizione verso l’intelligenza artificiale nella pubblica amministrazione unisce regole, diritti sui dati, scelte infrastrutturali e capacità tecnica.
Regole a velocità differenziata obbligano scelte contrattuali
Il Regolamento (UE) 2024/1689 introduce un modello basato sul rischio per i sistemi di intelligenza artificiale che cambia progettazione e controllo. La conformità non è unica: procedure e controlli cambiano secondo il sistema. Alcuni sistemi richiedono autovalutazione; altri richiedono organismi notificati e certificazioni esterne. La norma impone inoltre requisiti su gestione del rischio, governance dei dati, tracciabilità e sicurezza informatica. La norma si collega alla legge nazionale 132/2025 che vincola l’uso dell’IA nella Pubblica Amministrazione alla tracciabilità e alla strumentalità delle decisioni.
Questa differenziazione impatta direttamente il procurement: i contratti pubblici devono stabilire chi conserva codice, log e diritti sui dati già nella fase di gara. Un’amministrazione senza accesso ai log non può esercitare controllo effettivo sui sistemi. Se il contratto non contempla esportazione immediata e API aperte, la verifica indipendente diventa impraticabile. > La certificazione a più velocità aumenta la complessità gestionale delle amministrazioni locali. > Per i sistemi ad alto rischio, la scelta di provider e clausole contrattuali diventa parte integrante della sicurezza.
Cloud, repatriation e la vera misura della modernizzazione
La migrazione al cloud spesso avviene con la logica del lift and shift, cioè spostare il software così com’è senza rifattorizzarlo. IDC descrive il fenomeno del cloud repatriation: molte organizzazioni riportano workload on premise quando il cloud non produce agibilità reale. Un lift and shift senza refactoring vanifica la promessa di agilità del cloud. Nei capitolati pubblici la differenza tra migrare e modernizzare è spesso perduta. Il risultato è che il comune paga un canone cloud senza ottenere interoperabilità reale.
Il nodo cruciale è la raggiungibilità del dato. Se il gestionale è del fornitore e i dati non sono esposti tramite API aperte e documentate, il dato è formalmente del comune. In realtà il dato rimane imprigionato presso il fornitore. Un dato senza API è un dato prigioniero anche se è backuppato su infrastrutture. Questo impedisce di collegare quei dati a strumenti di intelligenza artificiale esterni, a piattaforme di analisi o a nuovi servizi digitali. La mancata negoziazione di diritti di esportazione e formati si traduce in costi nascosti e perdita di autonomia operativa.
Quando l’intelligenza artificiale entra nei trasporti serve governance chiara
I trasporti stanno passando dall’interoperabilità dei formati all’uso di modelli predittivi per pianificazione, manutenzione e scheduling. Una revisione di 87 studi sull’AI nel trasporto pubblico mostra che le applicazioni prevalenti riguardano previsione e supporto decisionale, mentre l’automazione totale è residuale. I sistemi predittivi nei trasporti operano spesso come strumenti di supporto decisionale. Questo cambia le pratiche organizzative e la distribuzione della discrezionalità tra amministrazioni, gestori e fornitori.
Il Regolamento (UE) 2024/1689 definisce come ad alto rischio i sistemi di IA. Il Regolamento stabilisce che il malfunzionamento di tali sistemi può mettere in pericolo la vita o interrompere attività sociali ed economiche. Le amministrazioni devono conservare competenze tecniche per validare performance e accedere ai log. Le norme italiane, e l’articolo 30 del decreto legislativo 36/2023, impongono la disponibilità del codice sorgente e della documentazione nei contratti pubblici. Senza queste garanzie, le asimmetrie informative impediscono verifiche indipendenti e riducono la responsabilità amministrativa.
Strategie territoriali, interessi e il prossimo passo operativo
La Regione Toscana ha approvato la legge regionale 57/2024 sull’innovazione digitale e la legge 15/2026 sull’uso responsabile dell’intelligenza artificiale. La Regione ha disegnato un modello territoriale che integra IA, cittadinanza digitale e agenda digitale regionale. Le Regioni possono definire strumenti concreti come network, sistemi informativi e sandbox regolamentari. Questo approccio rafforza capacità locali ma apre anche il problema della frammentazione normativa se manca un coordinamento nazionale coerente.
Gli interessi sono divergenti. I fornitori guadagnano centralità quando i dati restano accessibili solo tramite le loro interfacce; le amministrazioni e i cittadini perdono autonomia e trasparenza. Chi trae vantaggio politico dalle norme scritte velocemente rischia di lasciare in eredità procedure non attuabili. La priorità pratica è chiara: inserire nei bandi clausole su API, esportazione dati, accesso a codice e log. Prevedere organismi terzi per la verifica dei sistemi critici; e investire in refactoring e formazione interna. Senza coordinamento e risorse le leggi rischiano di restare esercizi formali, non strumenti operativi.
Il cambiamento successivo non sarà solo tecnologico. Sarà amministrativo e contrattuale. Le prossime gare pubbliche determineranno se l’intelligenza artificiale potrà davvero ampliare i servizi alla cittadinanza o se rimarrà un’infrastruttura controllata da fornitori esterni. La domanda aperta è se le istituzioni riusciranno a trasformare le regole in capacità concreta di governo.
Fonti:
- AI Act, certificazione a più velocità: quando serve un organismo terzo | agendadigitale.eu
- IA nella PA: la Toscana anticipa tutti, ma ora serve un… | agendadigitale.eu
- Cloud repatriation nella PA: rischi e strategie per i Comuni | agendadigitale.eu
- Sistemi predittivi nei trasporti: serve una PA capace di governarli | agendadigitale.eu
Punti chiave
Da ricordare
- Il Regolamento (UE) 2024/1689 impone certificazioni variabili a seconda del rischio.
- Un lift and shift senza refactoring genera cloud repatriation e limita i benefici.
- Un dato prigioniero senza API impedisce l'integrazione con strumenti di intelligenza artificiale.
- Le regioni possono sperimentare soluzioni concrete, ma serve coordinamento nazionale.
- I contratti pubblici devono garantire accesso a codice, log e esportazione dei dati.
