Gli studi legali che assistono enti pubblici devono oggi verificare se i contratti di fornitura software includono clausole di conformità all’AI Act e alle linee guida AgID. La governance dei sistemi AI nella PA non attende il completamento del quadro normativo: censimento dei sistemi, aggiornamento dei contratti e attribuzione delle responsabilità sono adempimenti esigibili ora. Chi redige o rivede atti per RTD, CIO o CISO di una PA deve conoscere i limiti di responsabilità già operanti sotto il d.lgs. 36/2023 e il Regolamento UE 2024/1689.
Punti chiave
- Punto 1 — Le PA devono censire i sistemi AI in uso prima ancora che le linee guida AgID siano definitivamente adottate.
- Punto 2 — I contratti di fornitura ICT della PA vanno aggiornati con clausole specifiche sull’AI Act (Reg. UE 2024/1689).
- Punto 3 — RTD, CIO e CISO rispondono già oggi di scelte governance AI sotto il Codice dei contratti pubblici d.lgs. 36/2023.
Se assisti un ente pubblico o redigi contratti ICT per la PA, non puoi aspettare che AgID finalizzi le linee guida sull’intelligenza artificiale. La governance AI nelle amministrazioni è già esigibile: censimento dei sistemi attivi, clausole contrattuali aggiornate, responsabilità formalmente attribuite a RTD, CIO e CISO. Il vuoto normativo non sospende la responsabilità dirigenziale, né libera il fornitore da obblighi derivanti dal diritto vigente.
AgID ha pubblicato una bozza di linee guida che definisce architettura tecnica, criteri di procurement e ciclo di vita dei sistemi AI nella PA. Come segnala Agenda Digitale, il paradosso è evidente: molte amministrazioni hanno già adottato strumenti AI senza attendere un quadro regolatorio completo, e ora devono fare i conti con obblighi di governance che maturano indipendentemente dallo stato di avanzamento delle linee guida stesse.
Il contesto normativo
Il Regolamento UE 2024/1689 (AI Act) è in vigore dal 1° agosto 2024 con applicazione progressiva: i divieti assoluti si applicano dal 2 febbraio 2025, gli obblighi per i sistemi ad alto rischio dal 2 agosto 2026. Per la PA rileva in particolare l’art. 10 AI Act, che impone requisiti stringenti sui dati di addestramento per i sistemi ad alto rischio, categoria in cui rientrano molti strumenti usati nelle procedure amministrative. Sul fronte interno, il d.lgs. 36/2023 (Codice dei contratti pubblici) disciplina all’art. 19 i principi di digitalizzazione degli appalti e impone alla stazione appaltante di verificare la conformità tecnica e giuridica delle soluzioni acquisite. Il combinato disposto obbliga oggi il RUP e il RTD a documentare le scelte tecnologiche con riferimento esplicito ai requisiti AI Act, pena responsabilità erariale e amministrativa.
Cosa cambia per lo studio
- Nei contratti di fornitura software per enti pubblici, inserisci clausole che obblighino il fornitore a dichiarare la categoria di rischio del sistema AI ai sensi dell’Allegato III AI Act e a fornire la documentazione tecnica prevista dall’art. 11.
- Verifica se il tuo cliente PA ha completato il censimento dei sistemi AI in uso: l’assenza di un inventario aggiornato espone il dirigente responsabile a contestazioni in sede di controllo da parte della Corte dei conti.
- Nei pareri a RTD e CIO, chiarisci che la delega di funzioni non esonera il vertice amministrativo dalla responsabilità di indirizzo: serve un atto formale di attribuzione con indicazione esplicita dei poteri e dei limiti.
- Aggiorna le clausole di SLA nei contratti già in essere: i livelli di servizio devono oggi includere obblighi di monitoraggio continuo e reporting sugli incidenti AI, coerenti con quanto previsto dall’art. 73 AI Act per i sistemi ad alto rischio.
- Se assisti enti locali di piccole dimensioni, considera che le linee guida AgID prevedono soluzioni centralizzate tramite Polo Strategico Nazionale: verifica se il contratto vigente è compatibile o richiede rinegoziazione.
Attenzione a
Il principale rischio è trattare le linee guida AgID come condizione sospensiva degli obblighi: non lo sono. L’AI Act è direttamente applicabile e i suoi obblighi per i sistemi ad alto rischio scattano nel 2026 indipendentemente da qualsiasi documento nazionale. Un contratto firmato oggi senza clausole AI-compliant espone la PA a inadempimento futuro e il professionista che lo ha redatto a responsabilità professionale.
Secondo rischio: confondere il ruolo del CISO con quello del DPO in materia AI. Sono figure distinte con responsabilità non sovrapponibili. Il CISO risponde della sicurezza del sistema AI come infrastruttura; il DPO risponde del trattamento dei dati personali eventualmente coinvolti. Un atto amministrativo che attribuisce entrambe le funzioni alla stessa persona senza separazione formale dei compiti è contestabile e indebolisce la catena di responsabilità in caso di incidente.
Domande frequenti
Un ente pubblico che usa già un chatbot AI deve adeguarsi all’AI Act prima del 2026?
Dipende dalla categoria di rischio. I divieti assoluti dell’AI Act si applicano dal 2 febbraio 2025 e valgono subito. Se il chatbot rientra in un sistema ad alto rischio secondo l’Allegato III, gli obblighi di conformità scattano dal 2 agosto 2026, ma la PA deve avviare oggi il processo di valutazione e documentazione per rispettare quella scadenza.
Chi risponde se un sistema AI usato da una PA causa un danno a un privato?
La responsabilità segue le regole generali della responsabilità della PA ex art. 2043 c.c. e art. 28 Cost., integrate dagli obblighi specifici dell’AI Act. Il fornitore risponde contrattualmente se il sistema non era conforme alle specifiche dichiarate. Il dirigente che ha autorizzato l’uso senza adeguata istruttoria tecnica può rispondere anche in sede erariale davanti alla Corte dei conti.
Le linee guida AgID sull’AI sono vincolanti per le PA o hanno valore di raccomandazione?
Le linee guida AgID adottate ai sensi del Codice dell’Amministrazione Digitale (d.lgs. 82/2005, art. 71) hanno valore vincolante per le pubbliche amministrazioni una volta pubblicate in Gazzetta Ufficiale. Prima della pubblicazione definitiva restano in consultazione e non sono formalmente esigibili, ma ignorarle nella fase di progettazione espone la PA a rilievi in sede di audit e controllo.
Fonte di riferimento: AgendaDigitale