Linee guida AgID sull'intelligenza artificiale: stato, legge 132/2025 e AI Act

Linee guida AgID sull'intelligenza artificiale: cosa è adottato e cosa no

Le linee guida AgID sono spesso citate come se fossero già vincolanti. Lo stato, secondo la pagina AgID sull'intelligenza artificiale, è questo.

Le linee guida AgID sull'intelligenza artificiale per l'adozione nella PA

Sono state in consultazione pubblica dal 18 febbraio al 20 marzo 2025 (determinazione AgID n. 17/2025). AgID indica che l'iter di adozione è in corso.

Sviluppo e procurement: le bozze del 2026

Le linee guida per lo sviluppo di sistemi di IA nella PA e quelle per il procurement di IA nella PA sono bozze, in consultazione pubblica dal 12 marzo all'11 aprile 2026.

Finché l'adozione non è completata, questi documenti sono un riferimento di buona pratica utile per organizzare l'uso dell'IA nell'ente, ma conviene verificarne lo stato sul sito AgID prima di richiamarli in un atto. Le regole vincolanti, oggi, sono quelle della legge 132/2025 e dell'AI Act, spiegate qui sotto.

Legge 132/2025, art. 14: nella PA l'intelligenza artificiale supporta, la persona decide

La legge 23 settembre 2025, n. 132, pubblicata nella Gazzetta Ufficiale n. 223 del 25 settembre 2025 e in vigore dal 10 ottobre 2025, è la legge italiana sull'intelligenza artificiale e contiene una norma dedicata alla pubblica amministrazione. La legge 132/2025, art. 14, si articola in quattro commi:

1. le pubbliche amministrazioni usano l'intelligenza artificiale per incrementare l'efficienza, ridurre i tempi di definizione dei procedimenti e aumentare qualità e quantità dei servizi, assicurando agli interessati la conoscibilità del suo funzionamento e la tracciabilità del suo utilizzo;
2. l'utilizzo avviene «in funzione strumentale e di supporto all'attività provvedimentale», nel rispetto dell'autonomia e del potere decisionale della persona, che resta l'unica responsabile dei provvedimenti e dei procedimenti in cui l'IA è stata usata;
3. le amministrazioni adottano misure tecniche, organizzative e formative per un utilizzo responsabile e per sviluppare le capacità trasversali di chi usa questi strumenti;
4. gli adempimenti si attuano con le risorse disponibili, senza nuovi oneri.

Tradotto per un ufficio: l'IA può cercare norme, sintetizzare documenti, proporre bozze. Non può essere il luogo in cui si forma la decisione. La motivazione deve restare riferibile al funzionario e al dirigente che firmano, come richiede da sempre l'art. 3 della legge 241/1990.

La stessa legge designa all'art. 20 l'Agenzia per l'Italia digitale (AgID) e l'Agenzia per la cybersicurezza nazionale (ACN) come Autorità nazionali per l'intelligenza artificiale: AgID promuove l'innovazione e gestisce le procedure di notifica e accreditamento, ACN vigila sui sistemi di IA, anche con poteri ispettivi e sanzionatori. L'art. 4, infine, chiede che il trattamento di dati personali con sistemi di IA sia lecito, corretto e trasparente e che le informazioni agli interessati siano rese con linguaggio chiaro e semplice.

AI Act e pubblica amministrazione: cosa chiede agli enti

Il Regolamento (UE) 2024/1689 distingue chi sviluppa un sistema di IA (fornitore) da chi lo utilizza sotto la propria autorità (deployer). Un comune o un ministero che usa uno strumento di IA nel proprio lavoro è un deployer pubblico: la definizione dell'art. 3, punto 4, comprende espressamente le autorità pubbliche.

L'art. 4 chiede inoltre a fornitori e deployer di adottare misure per l'alfabetizzazione in materia di IA del personale che usa i sistemi. Il Regolamento (UE) 2026/1744, detto Digital Omnibus sull'IA, ha attenuato la formulazione, che ora parla di misure a sostegno dello sviluppo di queste competenze. Per una PA la formazione resta comunque un obbligo autonomo, previsto dall'art. 14, comma 3, della legge 132/2025.

Pratiche vietate

Dal 2 febbraio 2025 si applicano i divieti dell'art. 5: tecniche manipolative o ingannevoli, punteggio sociale con trattamenti pregiudizievoli, categorizzazione biometrica per dedurre dati sensibili, riconoscimento delle emozioni sul luogo di lavoro e negli istituti di istruzione, salvo ragioni mediche o di sicurezza. Un ente deve poter escludere che i sistemi che usa rientrino in queste pratiche.

Trasparenza

Dal 2 agosto 2026 si applicano gli obblighi dell'art. 50: le persone che interagiscono con un sistema di IA, per esempio un assistente virtuale sul sito dell'ente, devono esserne informate; alcuni contenuti generati o manipolati devono essere riconoscibili come tali. Per i testi di interesse pubblico generati con l'IA l'obbligo non si applica quando una persona li ha rivisti e se ne assume la responsabilità editoriale.

Sistemi ad alto rischio

L'Allegato III elenca usi ad alto rischio che riguardano da vicino la PA: per esempio i sistemi usati per valutare l'ammissibilità a prestazioni e servizi pubblici di assistenza, quelli per la selezione del personale e quelli usati nell'istruzione per ammissioni e valutazioni. Per questi sistemi il deployer deve usarli secondo le istruzioni, affidarne la sorveglianza a persone competenti e monitorarne il funzionamento (art. 26); gli organismi di diritto pubblico devono svolgere prima dell'uso una valutazione d'impatto sui diritti fondamentali (art. 27). Dopo il Regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026, questi obblighi si applicano dal 2 dicembre 2027.

IA e motivazione degli atti amministrativi: cosa dice la giurisprudenza

Il tema dell'IA negli atti amministrativi non è più teorico. Con la sentenza n. 956 pubblicata il 3 agosto 2026, il TAR Puglia, sede di Bari, sezione III, ha esaminato un annullamento in autotutela di titoli edilizi la cui motivazione, secondo il ricorrente, era stata redatta anche con strumenti di IA e conteneva riferimenti giurisprudenziali inesistenti o non pertinenti. Secondo quanto riportato da LentePubblica, il TAR ha affermato che:

• l'IA può aiutare nella fase preparatoria, ma non può essere l'autore della decisione;
• serve un ruolo umano effettivo nel processo decisionale: non basta firmare un testo prodotto altrove;
• conta la solidità della motivazione nel suo complesso e la sua riferibilità all'organo competente, non l'origine delle singole frasi;
• l'errore dell'IA non si scarica sul software: resta imputabile all'amministrazione e a chi sottoscrive l'atto.

Nel caso concreto il provvedimento ha retto perché il nucleo della motivazione si fondava su accertamenti autonomi. La lezione per gli uffici è chiara: ogni riferimento suggerito da uno strumento di IA va verificato sulla fonte prima della firma.

Se il sistema tratta dati personali, entrano in gioco anche il GDPR, in particolare l'art. 22 sulle decisioni basate unicamente su un trattamento automatizzato, e i principi che il Garante privacy ha sintetizzato nel decalogo del 2023 sull'IA nei servizi sanitari: conoscibilità della logica, non esclusività della decisione algoritmica, non discriminazione.

Checklist per l'ufficio in attesa delle linee guida AgID sull'intelligenza artificiale

1. Mappa gli usi. Elenca gli strumenti di IA in uso e per quali attività: ricerca, sintesi, redazione, servizi al pubblico.
2. Classifica. Verifica che nessun uso rientri nelle pratiche vietate e individua quelli che potrebbero ricadere nell'Allegato III.
3. Dati personali. Coinvolgi il DPO, applica la minimizzazione e valuta se serve una valutazione d'impatto ai sensi dell'art. 35 del GDPR.
4. Regole interne. Definisci chi può usare cosa, con quali dati e con quale verifica umana, come chiede l'art. 14, comma 3, della legge 132/2025.
5. Tracciabilità. Conserva traccia di come l'IA è stata usata nell'istruttoria, per assicurare la conoscibilità richiesta dall'art. 14, comma 1.
6. Fornitori. Verifica ruolo del fornitore, luogo del trattamento dei dati, certificazioni di sicurezza e uso dei dati per l'addestramento.
7. Formazione. Prevedi una formazione pratica sui limiti degli strumenti, a partire dal rischio di riferimenti inesistenti.

Come può aiutarti Next-OS

Next-OS è il sistema operativo AI di Aptus.AI per chi lavora con il diritto. Risponde citando le fonti, verificabili con un clic, e questo rende più semplice la verifica umana che la legge e la giurisprudenza chiedono. Aptus.AI dichiara che Next-OS non è un sistema di AI per finalità generali e non rientra tra i sistemi ad alto rischio dell'AI Act; non addestra i modelli sui dati dei clienti, usa server in Irlanda ed è certificata ISO/IEC 27001:2022.

Per vedere come si inserisce nel lavoro di un ufficio, parti dalla pagina sull'AI per la pubblica amministrazione o dal caso d'uso sulla motivazione secondo l'art. 3 legge 241/90. Se l'IA ti serve per un acquisto, la guida al Codice dei contratti pubblici riassume le regole sotto soglia.