Le linee guida AgID sul procurement di sistemi di intelligenza artificiale nella PA introducono obblighi specifici di governance, controllo algoritmico e protezione dei dati che incidono direttamente sulla struttura dei contratti pubblici ICT. Chi assiste enti appaltanti o fornitori tecnologici deve verificare che i capitolati riflettano questi requisiti, pena l’esposizione a contestazioni in fase di esecuzione o collaudo. La exit strategy, ora espressamente richiesta, diventa una clausola contrattuale da negoziare sin dalla fase di programmazione.
Punti chiave
- Punto 1 — Le linee guida AgID rendono la governance algoritmica un requisito contrattuale, non una best practice facoltativa.
- Punto 2 — La exit strategy IA deve essere pianificata e inserita nel capitolato già dalla fase di programmazione dell’acquisto.
- Punto 3 — Il trattamento dati nei sistemi IA va disciplinato in coerenza con il GDPR e il Regolamento UE sull’IA (AI Act).
Se assisti un ente pubblico nella predisposizione di un bando ICT, o un fornitore che risponde a una gara per sistemi di intelligenza artificiale, le nuove linee guida AgID cambiano il perimetro dei tuoi adempimenti. Non si tratta di indicazioni programmatiche: definiscono un modello strutturato che va dal piano di fabbisogni alla dismissione del sistema, con ricadute dirette sulle clausole contrattuali, sulla ripartizione dei rischi e sulla gestione dei dati.
AgID ha pubblicato le Linee guida sul procurement dei sistemi di intelligenza artificiale nella Pubblica Amministrazione, fissando uno schema che trasforma l’acquisto di soluzioni IA da semplice fornitura tecnologica a processo continuo e governato. Il documento è disponibile sul sito istituzionale AgID e analizzato in dettaglio su Agenda Digitale.
Il contesto normativo
Il quadro di riferimento si articola su più livelli. Il Regolamento UE 2024/1689 (AI Act), applicabile progressivamente fino al 2027, classifica i sistemi IA per livello di rischio e impone requisiti di trasparenza e supervisione umana che le stazioni appaltanti devono tradurre in specifiche tecniche ai sensi dell’art. 79 del d.lgs. 36/2023 (Codice dei contratti pubblici). Sul versante della protezione dei dati, l’art. 28 del GDPR (Reg. UE 2016/679) disciplina il rapporto tra titolare e responsabile del trattamento, figura che il fornitore IA quasi sempre assume. Il Garante per la protezione dei dati personali ha già richiamato questi obblighi in più provvedimenti, tra cui il provvedimento n. 9950835 del 30 novembre 2023 su sistemi automatizzati nella PA. Le linee guida AgID si inseriscono in questo reticolo normativo e lo rendono operativo per la fase di acquisto.
Cosa cambia per lo studio
- Capitolati da riscrivere. I capitolati tecnici devono ora includere requisiti espliciti di spiegabilità algoritmica, supervisione umana e log degli output del sistema. Chi predispone atti di gara per enti pubblici deve integrare queste specifiche o esporre il cliente a contestazioni in fase di collaudo.
- Exit strategy come clausola contrattuale. Le linee guida richiedono la pianificazione della dismissione del sistema sin dalla fase di programmazione. Tradotto in contratto: portabilità dei dati, formati aperti, tempi di transizione e penali per mancato supporto alla migrazione vanno negoziati prima della firma.
- DPA rafforzato. Il Data Processing Agreement con il fornitore IA deve coprire scenari specifici: addestramento su dati della PA, retention post-contratto, cancellazione certificata. Un DPA standard non è sufficiente.
- Governance interna dell’ente. Le linee guida prevedono che l’ente appaltante mantenga un controllo attivo sul sistema durante tutta la vita contrattuale. Per chi assiste enti, questo si traduce in atti organizzativi interni (regolamenti, nomine di referenti IA) che vanno affiancati al contratto.
- Sostenibilità come criterio di aggiudicazione. Il documento AgID indica la sostenibilità ambientale dei sistemi IA tra i parametri valutabili. Chi redige criteri di valutazione deve considerare questo elemento per evitare impugnazioni da parte di concorrenti esclusi.
Attenzione a
Contratti già in esecuzione. Le stazioni appaltanti con forniture IA attive potrebbero trovarsi in una zona grigia: il sistema è operativo ma non rispetta i nuovi standard di governance. Verifica se il contratto prevede clausole di adeguamento normativo o se occorre un atto aggiuntivo. L’inerzia espone l’ente a responsabilità in caso di decisioni automatizzate contestate dall’utente finale.
Confusione tra AI Act e linee guida AgID. Le due fonti hanno natura e forza diversa: il Regolamento UE è vincolante e prevale sulla normativa nazionale; le linee guida AgID sono atti di indirizzo amministrativo. Nei contratti, cita entrambe ma distingui gli obblighi cogenti dalle raccomandazioni, altrimenti rischi di rendere azionabili clausole che non avrebbero quella forza.
Domande frequenti
Le linee guida AgID sull’IA sono vincolanti per le stazioni appaltanti?
Le linee guida AgID hanno natura di atti di indirizzo amministrativo e non sono norme primarie. Le stazioni appaltanti sono tenute a conformarsi in quanto emanate dall’autorità competente per la trasformazione digitale della PA, ma la loro violazione non produce gli stessi effetti dell’inadempimento a una norma di legge. Restano vincolanti gli obblighi derivanti dall’AI Act UE 2024/1689 e dal d.lgs. 36/2023.
Cosa deve contenere la exit strategy IA in un contratto pubblico?
La exit strategy deve disciplinare almeno: portabilità dei dati in formato aperto, cancellazione certificata dei dati residui, periodo di supporto alla migrazione con tempi definiti, e penali per inadempimento. Va inserita già nel capitolato speciale, non rinviata a un atto successivo. L’assenza di queste clausole espone l’ente a dipendenza tecnologica dal fornitore uscente.
Come si redige un DPA adeguato per un fornitore di sistemi IA alla PA?
Il DPA deve andare oltre lo schema base dell’art. 28 GDPR e coprire: finalità e basi giuridiche dell’addestramento su dati pubblici, divieto di riuso dei dati per scopi commerciali del fornitore, modalità e tempi di cancellazione post-contratto con certificazione scritta, e procedure di notifica in caso di data breach coinvolgente output del modello IA.
Fonte di riferimento: AgendaDigitale