La pubblica amministrazione italiana è davanti a una transizione che unisce intelligenza artificiale, infrastrutture cloud-native, sicurezza e comunicazione. L’articolo spiega come la Legge 132/2025 e le linee guida che AgID, l’Agenzia per l’Italia Digitale, sta fissando nella Determinazione n. 43/2026 cambino il modo in cui servizi, persone e narrazioni pubbliche devono adattarsi. Racconto qui le conseguenze pratiche per funzionari, tecnici e comunicatori, indicando scelte operative e rischi reali che non si risolvono solo comprando tecnologia.
Quando l’intelligenza artificiale richiede organizzazione oltre la prova
La Legge 132/2025 stabilisce obblighi e principi per l’uso dell’intelligenza artificiale nella pubblica amministrazione. AgID è l’agenzia che coordina la trasformazione digitale nazionale e la Determinazione n. 43/2026 definisce linee guida per lo sviluppo e il procurement che diventeranno vincolanti per tutte le amministrazioni. Gartner ha inserito le AI Native Development Platform come tendenza strategica alla fine del 2025. Per chiarire, si tratta di piattaforme progettate nativamente per costruire, distribuire e gestire modelli e servizi di intelligenza artificiale in produzione. Queste piattaforme non servono solo per esperimenti in laboratorio.
Questo cambiamento spinge la PA a uscire dai pilot e a progettare sistemi pensati per l’uso operativo quotidiano. Il salto non è solo tecnologico, infatti richiede ruoli nuovi come product owner per servizi pubblici digitali. Serve anche personale devops che integri sicurezza e osservabilità. Occorrono figure di governance per l’algoritmo che misurino l’impatto sul cittadino. Senza piani di formazione strutturati e metriche che valutino il valore pubblico, i progetti rischiano di restare sperimentali. In quel caso rimangono frammentati rispetto alle richieste degli utenti.
Le amministrazioni devono trasformare i pilot in servizi operativi.
Cloud-native come infrastruttura abilitante, non come fine
La strategia Cloud Italia considera il cloud il paradigma tecnologico di riferimento per l’ICT pubblico. Dopo la migrazione delle macchine virtuali promossa dal Piano Nazionale di Ripresa e Resilienza, il passo successivo richiede l’adozione di architetture container-based. In queste architetture i container isolano solo ciò che serve all’applicazione. Gli orchestratori come Kubernetes automatizzano scalabilità e disponibilità. Il Polo Strategico Nazionale è il modello pubblico che offre ambienti qualificati per eseguire applicazioni che devono rispettare requisiti di interoperabilità e continuità.
La containerizzazione porta benefici concreti, come scalabilità automatica, rapidità di rilascio e portabilità tra cloud pubblici qualificati e on-premise. Questo riduce il rischio di lock-in. Tuttavia la transizione richiede classificazione del patrimonio applicativo e una roadmap di rifattorizzazione. L’integrazione con pratiche DevSecOps è fondamentale per automatizzare scansioni delle immagini container e controlli sulla supply chain software. Senza questi controlli, la modernizzazione resta delega ai fornitori. In quel caso la competenza non entra nell’organizzazione.
La containerizzazione migliora scalabilità, rilascio e portabilità.
Il nuovo perimetro della cybersecurity è il comportamento delle persone
La cyber-difesa non è più solo tecnologia, oggi è la combinazione di strumenti e comportamenti. Applicazioni cloud, smart working e strumenti di intelligenza artificiale generativa spingono i dipendenti a scegliere produttività over compliance. Una ricerca condotta nell’aprile 2026 su 684 dipendenti segnala che il 64% usa strumenti di intelligenza artificiale non autorizzati. Quindi quasi due persone su tre usano tool non approvati. Inoltre il 76% riutilizza password e il 70% si connette a reti Wi-Fi pubbliche. Metà degli intervistati accede alle risorse aziendali senza VPN. Questi numeri mostrano che il rischio emerge dalle pratiche quotidiane, non da malevole intenzioni.
Per ridurre il gap serve progettare misure che rendano la scelta sicura anche la più comoda. Bisogna distribuire password manager a tutti gli utenti e abilitare l’autenticazione multifattore di default. È necessario offrire strumenti di intelligenza artificiale aziendali approvati. Le dashboard di sicurezza devono integrare indicatori comportamentali come presenza di Shadow AI e adozione di password manager, accanto alle metriche tecniche. Solo così si traduce resilienza in capacità di adattare controlli e governance ai comportamenti reali.
Le misure di sicurezza devono rendere la scelta sicura anche semplice.
Raccontare la trasformazione: comunicazione come relazione e leva di fiducia
La legge 150 del 2000 ha istituito la comunicazione pubblica come funzione strutturale, distinguendo informazione e comunicazione. Ventisei anni dopo resta aperta l’asimmetria tra la logica dell’adempimento, che misura il successo sull’atto prodotto, e la logica relazionale, che misura il successo sul feedback del cittadino. La PA è un arcipelago di migliaia di enti; serve un’architettura narrativa condivisa che ogni amministrazione declini secondo il proprio pubblico senza imporre un brand unico.
Questa comunicazione è cruciale per sicurezza e adozione. Spiegare cosa cambia, perché e quali diritti proteggono i cittadini riduce incomprensioni. Le incomprensioni possono trasformarsi in rifiuto dei servizi o in incidenti operativi. Le metriche di performance devono includere la qualità della relazione con i cittadini. Devono misurare anche la diffusione delle pratiche di cyber hygiene e l’adozione di tool autorizzati. Chi trae vantaggio da norme e piattaforme sono i cittadini che ricevono servizi più affidabili. Chi rischia di restare indietro sono strutture senza competenze interne e amministrazioni locali con scarse risorse per formare il personale.
La finestra per trasformare pilot in servizi è stretta. Le regole come la Determinazione n. 43/2026, la Direttiva NIS2 recepita con il Decreto Legislativo n. 138/2024 e la spinta verso piattaforme AI-native creano obblighi chiari. Il risultato dipenderà però da governance, investimenti in competenze e da una comunicazione che ripristini relazione e fiducia. Le prossime mosse dovranno tradurre queste scelte in timeline operative, ruoli da assumere e indicatori di impatto sul cittadino. Solo così l’intelligenza artificiale potrà essere davvero uno strumento al servizio del pubblico.
Fonti:
- L’AI nella PA oltre i pilot: la trasformazione parte dalle persone | agendadigitale.eu
- La PA è migrata sul cloud. Adesso arriva la sfida più difficile | agendadigitale.eu
- Cybersecurity, il nuovo perimetro è il comportamento delle persone | agendadigitale.eu
- PA e cittadini, la comunicazione pubblica deve tornare relazione | agendadigitale.eu
Punti chiave
Da ricordare
- Trasformare pilot in servizi con roadmap, ruoli dedicati e metriche di impatto sul cittadino.
- Adottare architetture cloud-native e container per scalabilità, portabilità e riduzione del lock-in.
- Integrare DevSecOps: scansioni automatiche, controllo supply chain e formazione tecnica interna.
- Mitigare rischi comportamentali con MFA, password manager aziendali e tool AI approvati.
- Usare la comunicazione istituzionale per spiegare cambiamenti, diritti e migliorare fiducia e adozione.
