La regola è semplice e urgente: amministrazioni e imprese devono decidere ora come trattare i dati, come scrivere i capitolati e come provare la conformità. Questo articolo parla esplicitamente dell’intelligenza artificiale e delle ricadute pratiche che arrivano dalla nuova disciplina francese sul telemarketing, dall’iniziativa Reg4IA, dalle linee guida AgID per gli appalti, dalle scadenze NIS2 e dal dibattito sui diritti umani legati ai sistemi generativi. Chi legge troverà indicazioni concrete su cosa cambia subito per governance, contratti e controlli. Le amministrazioni devono decidere ora.
La regola è semplice e urgente: amministrazioni e imprese devono decidere ora come trattare i dati, come scrivere i capitolati e come provare la conformità.
Il consenso che ridefinisce il dato utile per l’intelligenza artificiale
La Francia ha cambiato la regola del contatto commerciale: la loi n° 2025-594 del 30 giugno 2025, applicata dall’11 agosto 2026, vieta il démarchage téléphonique senza consenso preventivo espresso del consumatore. Il capitolo del Code de la consommation che prima si chiamava “Opposition au démarchage téléphonique” è rimodellato in “Consentement au démarchage téléphonique”, cioè si passa da opt-out a opt-in. Il decreto applicativo del 23 luglio 2026 definisce il nuovo regime come modello di opt-in che sostituisce Bloctel, la lista di opposizione.
Questo spostamento ha impatto diretto sull’uso dei dati per modelli di intelligenza artificiale. Se il contatto telefonico necessita di consenso, quella stessa base giuridica condiziona quali numeri e quali registrazioni possono alimentare dataset per addestramento. In Italia esiste il Registro pubblico delle opposizioni e il Garante ha chiarito che per alcune chiamate con operatore può ancora valere un meccanismo di opt-out. Il nuovo modello francese mostra però che una lettura rigorosa del consenso riduce i dati disponibili. Pertanto è necessario imporre misure di tracciatura del consenso già in fase di raccolta. Il consenso rigoroso riduce i dati disponibili.
Progettare gare che non lascino la conformità al fornitore
Le linee guida AgID adottate in bozza con la determinazione 43 del 10 marzo 2026 spingono a portare la conformità dentro l’oggetto dell’affidamento. Un capitolato che recita genericamente “fornitura di un sistema di intelligenza artificiale” trasferisce scelte all’offerente e priva l’amministrazione di leve contrattuali. Il consiglio operativo è definire attività automatizzate, grado di autonomia del sistema e indicatori misurabili sin dalla fase di programmazione, perché molte responsabilità previste dall’AI Act e dalla legge 132/2025 sono determinate proprio da quei parametri.
Sui dati il disciplinare deve specificare provenienza, qualità e aggiornamento dei dataset usati per addestramento, validazione e funzionamento. Occorre indicare anche i diritti di accesso, conservazione e restituzione. Serve una clausola che imponga la notifica preventiva al committente di qualsiasi modifica ai dataset o al modello. Un sistema basato su modelli linguistici può cambiare comportamento durante il contratto. La notifica preventiva evita di scoprire variazioni critiche solo attraverso i reclami. Il disciplinare deve richiedere notifiche preventive.
Le gare devono estendersi oltre il codice prodotto e considerare infrastrutture, subfornitori e dipendenze esterne. La proposta di revisione del Cybersecurity Act e la direttiva NIS2 collegano appalti e resilienza operativa. Il capitolato deve prevedere localizzazione delle infrastrutture, accesso ai dati da parte di terzi e diritti di audit sul cloud e sulle catene di fornitura. Chi non lo fa rischia di non poter dimostrare conformità quando servirà. I capitolati devono includere criteri di resilienza operativa.
Collegare PDND, E015 e Reg4IA per accesso e sovranità dei dati
Reg4IA è l’iniziativa del Dipartimento per la trasformazione digitale, promossa con le Regioni e Province autonome, per sperimentare soluzioni di intelligenza artificiale in ambiti come salute, turismo, ambiente e mobilità. La Piattaforma Digitale Nazionale Dati, PDND, è pensata come layer istituzionale per interoperabilità e realizza il principio once only tramite accesso all’Anagrafe Nazionale della Popolazione Residente, ANPR. PDND è quindi strumento centrale per progetti pubblici che richiedono dati affidabili e aggiornati.
Accanto a PDND opera E015, uno spazio pubblico-privato con un Technical Management Board che fa onboarding, validazione API e gestione delle richieste d’uso. E015 funziona come un mercato di dati leggero. Il sistema può attirare partecipazione privata senza infrastrutture complesse. La complementarità consente alla Pubblica Amministrazione di usare PDND per interoperabilità istituzionale e E015 per trovare rapidamente API private utili all’innovazione, preservando la sovranità dei dati dei soggetti privati. PDND e E015 vanno indicati chiaramente nei bandi.
Per le amministrazioni il passo pratico è chiaro: nei bandi indicare se l’accesso ai dati passa per PDND o per API E015. Le amministrazioni devono definire permessi tecnici e governance delle interfacce. Devono anche stabilire KPI per qualità e frequenza degli aggiornamenti. Collegare questi spazi evita ritardi. Collegare PDND ed E015 riduce il rischio che le PA non trovino in tempo le API private necessarie ai progetti Reg4IA.
Sicurezza, diritti umani e la scadenza che apre le ispezioni
I sistemi generativi e agentici producono informazione da informazione con ampia autonomia apparente. Questi sistemi creano problemi di opacità e di diritto alla spiegazione che toccano norme come il GDPR e l’AI Act. L’assenza di “scatole di sabbia”, limiti d’uso e verifiche misurate può avere effetti sociali pesanti. Possibili effetti includono perdita di competenze, impatti occupazionali e dipendenza economica da pochi attori. Chi trae vantaggio ora sono piattaforme e chi digitalizza rapidamente servizi. Chi resta indietro sono lavoratori non riqualificati e cittadini privi di strumenti di tutela. Senza limiti l’adozione può aumentare le disuguaglianze.
Sulla sicurezza operativa la direttiva NIS2 cambia la prospettiva temporale. Il 31 ottobre 2026 non è la scadenza per mettersi in regola ma il giorno da cui l’Agenzia per la Cybersicurezza Nazionale, ACN, può cominciare a verificare che le misure siano già operative. Le imprese devono dunque avere evidence continue che i processi funzionano da tempo. Questo implica piani di audit, test di resilienza e registri di incidenti che siano pronti prima di quella data. > Le verifiche iniziano dal 31 ottobre 2026, perciò le misure devono essere già in funzione.
Cosa cambia ora è concreto: inserire clausole di notifica del model drift nei capitolati, stabilire diritti di audit sulle API collegate a PDND ed E015, predisporre piani di governance che bilancino tutela dei diritti e innovazione. Senza questi elementi la tecnologia resterà una promessa che la legge e le ispezioni possono trasformare in rischio per amministrazioni, imprese e cittadini. > Inserire diritti di audit e notifiche di model drift è indispensabile.
Fonti:
- Telemarketing, la Francia sceglie l’opt-in: il confronto con l’Italia | agendadigitale.eu
- Reg4IA: il percorso italiano per governare i dati dell’AI | agendadigitale.eu
- Appalti PA, cosa scrivere nel capitolato di gara per l’AI prima di… | agendadigitale.eu
- NIS2, la vera scadenza è prima del 31 ottobre | agendadigitale.eu
- Il diritto dell’uomo nell’intelligenza artificiale è ancora nell’ombra | agendadigitale.eu
Punti chiave
Da ricordare
- Tracciare il consenso sin dalla raccolta e aggiornare i dataset in base alle regole di opt-in.
- Specificare nei capitolati attività, autonomia del sistema, indicatori misurabili e clausole di notifica preventiva del model drift.
- Includere nei bandi requisiti su provenienza, qualità, aggiornamento dei dati e diritti di accesso e restituzione.
- Prevedere criteri di resilienza operativa, localizzazione infrastrutture, gestione subfornitori e diritti di audit.
- Indicare chiaramente l’uso di PDND o E015 nei bandi e stabilire KPI tecnici per interoperabilità e aggiornamenti.
