Dal 2 agosto 2026 gli enti pubblici italiani devono adeguarsi agli obblighi dell’AI Act (Reg. UE 2024/1689) per i sistemi di intelligenza artificiale ad alto rischio. Chi assiste PA locali, enti strumentali o fornitori tecnologici deve già oggi mappare i sistemi AI in uso e verificare la conformità ai requisiti di trasparenza, supervisione umana e registrazione. L’inadempimento espone l’ente a sanzioni amministrative e, per i fornitori privati, a responsabilità contrattuale verso la stazione appaltante.
Punti chiave
- Punto 1 — Dal 2 agosto 2026 scattano gli obblighi AI Act per sistemi ad alto rischio usati dalla PA.
- Punto 2 — I fornitori privati di AI alla PA devono garantire conformità al Reg. UE 2024/1689 già in fase di gara.
- Punto 3 — La mancata supervisione umana sui sistemi AI ad alto rischio configura violazione diretta del Regolamento.
Chi assiste enti pubblici o aziende che forniscono tecnologia alla PA ha una scadenza da segnare subito: il 2 agosto 2026. Da quella data diventano pienamente applicabili gli obblighi dell’AI Act per i sistemi di intelligenza artificiale classificati ad alto rischio, categoria che include gran parte degli strumenti decisionali già oggi usati da Comuni, ASL, agenzie fiscali e forze dell’ordine. Il tempo per strutturare contratti, policy interne e compliance è adesso.
Lo segnala un’analisi pubblicata da Diritto.it, che ricostruisce il calendario applicativo del Regolamento UE 2024/1689 (AI Act) e le ricadute specifiche sul settore pubblico italiano. Il Regolamento è in vigore dal 1° agosto 2024 con entrata in applicazione progressiva per categorie di rischio.
Il contesto normativo
Il Regolamento UE 2024/1689 — il cosiddetto AI Act — è il primo quadro normativo vincolante sull’intelligenza artificiale a livello europeo. L’art. 6 individua i sistemi AI ad alto rischio, tra cui quelli usati per valutare l’accesso a prestazioni pubbliche, per il controllo delle frontiere, per la gestione delle infrastrutture critiche e per l’amministrazione della giustizia. L’art. 26 impone agli utilizzatori di sistemi ad alto rischio — categoria in cui rientra la PA quando usa AI di terzi — obblighi di supervisione umana, controllo dei log e segnalazione degli incidenti.
Sul piano interno, il d.lgs. 13 dicembre 2017, n. 217 (Codice dell’Amministrazione Digitale aggiornato) e le Linee guida AgID sull’acquisizione di software già prevedono criteri di valutazione tecnica applicabili anche agli strumenti AI. La sovrapposizione tra disciplina eurounitaria e normativa nazionale sui contratti pubblici (d.lgs. 36/2023, artt. 108 e ss. sul partenariato per l’innovazione) è il terreno su cui si giocano oggi le contestazioni nei rapporti PA-fornitore.
Cosa cambia per lo studio
- Revisione dei contratti di fornitura IT alla PA. I capitolati in corso di redazione o rinnovo devono includere clausole di conformità all’AI Act, con obbligo del fornitore di documentare la classificazione del sistema e fornire la documentazione tecnica richiesta dall’art. 11 Reg. UE 2024/1689.
- Due diligence per gli enti pubblici assistiti. La PA che acquista o già usa sistemi AI ad alto rischio deve effettuare una mappatura interna entro agosto 2026. Lo studio può strutturare questo servizio come audit di conformità, con verbale e piano di adeguamento.
- Supervisione umana come obbligo giuridico. L’art. 26 AI Act impone che ogni decisione ad alto impatto generata da un sistema AI sia soggetta a controllo umano effettivo. In caso di contenzioso amministrativo su provvedimenti adottati con supporto AI, l’assenza di questa supervisione documentata diventa motivo di impugnazione.
- Registrazione nel database UE. I sistemi AI ad alto rischio usati dalla PA devono essere registrati nella banca dati europea prevista dall’art. 71 AI Act. Chi segue appalti tecnologici deve verificare che il fornitore abbia già effettuato questa registrazione prima della firma del contratto.
- Responsabilità del deployer pubblico. La PA che usa un sistema AI non conforme risponde in solido con il fornitore per le violazioni del Regolamento: questo cambia il profilo di rischio nelle gare e impone clausole di manleva negoziate con attenzione.
Attenzione a
Non confondere la data del 2 agosto 2026 con l’unica scadenza rilevante. L’AI Act ha un calendario articolato: i divieti assoluti (art. 5) sono applicabili dal 2 febbraio 2025, gli obblighi per i sistemi di uso generale (GPAI) dal 2 agosto 2025. Chi attende il 2026 per iniziare l’analisi rischia di trovarsi già inadempiente su obblighi già scattati.
Attenzione alla qualificazione del sistema AI. Molti strumenti di scoring, profilazione utenti o supporto alla decisione amministrativa rientrano nell’alto rischio senza che l’ente lo sappia. Classificare erroneamente un sistema come basso rischio — e quindi non applicare i presidi dell’art. 26 — espone l’ente a sanzioni fino a 15 milioni di euro o al 3% del fatturato annuo mondiale del fornitore, oltre all’impugnabilità degli atti adottati.
Domande frequenti
Quali sistemi AI usati dalla PA rientrano nell’alto rischio secondo l’AI Act?
L’art. 6 e l’Allegato III del Reg. UE 2024/1689 elencano le categorie ad alto rischio: sistemi per l’accesso a prestazioni pubbliche, gestione delle infrastrutture critiche, controllo delle frontiere, amministrazione della giustizia e valutazione del merito creditizio. Molti strumenti di scoring già usati da Comuni e ASL rientrano in queste categorie anche se non etichettati esplicitamente come AI.
Un provvedimento amministrativo adottato con supporto AI può essere impugnato per violazione dell’AI Act?
Sì. Se il sistema AI usato è classificato ad alto rischio e manca la supervisione umana documentata richiesta dall’art. 26 AI Act, il vizio del procedimento è eccepibile davanti al TAR. La giurisprudenza amministrativa sul principio di trasparenza algoritmica — già tracciata dal Consiglio di Stato — offre una base solida per questo tipo di ricorso.
Come si struttura una clausola di conformità AI Act in un contratto di fornitura software alla PA?
La clausola deve obbligare il fornitore a: dichiarare la classificazione del sistema AI secondo il Reg. UE 2024/1689; consegnare la documentazione tecnica ex art. 11; garantire la registrazione nel database UE ex art. 71; notificare tempestivamente qualsiasi incidente. Va inserita una penale specifica e una clausola risolutiva espressa in caso di perdita della conformità certificata.
Fonte di riferimento: Diritto.it