Dal 2 agosto 2026, gli enti pubblici italiani devono rispettare gli obblighi di trasparenza previsti dall’AI Act (Reg. UE 2024/1689) per i sistemi di intelligenza artificiale che producono contenuti rivolti ai cittadini. Chi assiste PA deve verificare subito se i sistemi in uso rientrano nelle esenzioni per controllo umano o responsabilità editoriale. La mancata disclosure espone l’ente a responsabilità e l’avvocato consulente a un rischio di omessa due diligence normativa.
Punti chiave
- Punto 1 — Dal 2 agosto 2026 scattano gli obblighi di trasparenza AI per le pubbliche amministrazioni italiane.
- Punto 2 — L’esenzione dalla disclosure vale solo se esiste un effettivo controllo umano o responsabilità editoriale documentata.
- Punto 3 — Chi assiste enti pubblici deve condurre ora una mappatura dei sistemi AI in uso per classificarne il regime.
Se assisti un ente pubblico o un’amministrazione locale, hai meno di quattordici mesi per completare la mappatura dei sistemi AI in uso e stabilire quali siano soggetti a obbligo di disclosure verso i cittadini. Il confine tra ciò che va dichiarato e ciò che è escluso dipende da due variabili concrete: la presenza di un controllo umano effettivo e l’esistenza di una responsabilità editoriale riconoscibile.
Dal 2 agosto 2026 diventano applicabili gli obblighi di trasparenza previsti dal Regolamento UE 2024/1689 (AI Act) per i contenuti generati o manipolati da sistemi di intelligenza artificiale. Agenda Digitale ha analizzato le implicazioni specifiche per le PA italiane, evidenziando come la distinzione tra sistemi soggetti e sistemi esclusi richieda una valutazione caso per caso.
Il contesto normativo
Il riferimento centrale è l’art. 50 del Reg. UE 2024/1689 (AI Act), che impone obblighi di trasparenza a carico di chiunque utilizzi sistemi AI che interagiscono con persone fisiche o generano contenuti sintetici — testo, audio, video, immagini — suscettibili di essere scambiati per reali. Per le pubbliche amministrazioni, questo si traduce nell’obbligo di informare i destinatari quando un atto, una comunicazione o un documento è stato prodotto o significativamente elaborato da un sistema AI, salvo che ricorra una delle esenzioni espressamente previste.
L’art. 50, par. 4, AI Act esclude dall’obbligo i contenuti soggetti a «supervisione umana» e quelli coperti da «responsabilità editoriale». Entrambe le esenzioni sono condizionate: non basta che un funzionario abbia letto il testo, occorre che l’intervento umano sia sostanziale e tracciabile. Sul piano interno, il d.lgs. 13 dicembre 2017, n. 217 (Codice del Terzo Settore, qui non pertinente) lascia spazio al Codice dell’Amministrazione Digitale — d.lgs. 82/2005 — che già disciplina la formazione e la validità degli atti informatici della PA, con cui le nuove regole AI devono coordinarsi.
Cosa cambia per lo studio
- Mappatura immediata dei sistemi AI in uso. Ogni ente cliente deve censire gli strumenti AI adottati — chatbot istituzionali, redazione automatizzata di atti, sistemi di risposta al pubblico — e classificarli in base al rischio di interazione con i cittadini.
- Verifica delle condizioni di esenzione. Per ogni sistema, occorre documentare se esiste un controllo umano sostanziale (chi controlla, con quale frequenza, con quale tracciabilità) o una responsabilità editoriale formalmente attribuita a un soggetto identificato.
- Predisposizione delle informative. Dove l’esenzione non regge, la PA deve adottare modalità di disclosure chiare verso i destinatari: etichette, avvisi, note a piè di documento. La forma non è ancora standardizzata a livello nazionale, ma il testo dell’art. 50 AI Act richiede che sia «chiara e distinguibile».
- Adeguamento dei contratti di fornitura AI. Se l’ente ha acquistato sistemi AI da fornitori privati, i contratti devono essere verificati per accertare chi assume la responsabilità della compliance: il fornitore come «deployer» o l’ente come utilizzatore finale.
- Coordinamento con il DPO e il responsabile per la transizione digitale. La trasparenza AI interseca la normativa GDPR (Reg. UE 2016/679, art. 13-14 sull’informativa) e le linee guida AgID: il consulente legale deve lavorare in raccordo con entrambe le figure.
Attenzione a
Non confondere la soglia di esenzione con una scappatoia generica. Il controllo umano «formale» — un funzionario che firma senza leggere il contenuto AI — non integra l’esenzione dell’art. 50, par. 4. Se il client subisce un accertamento, l’assenza di traccia documentale della supervisione effettiva espone l’ente alla contestazione dell’obbligo di disclosure come se non fosse mai stato adempiuto.
Attenzione ai tempi: agosto 2026 non è lontano. La mappatura, la stesura delle informative e la rinegoziazione dei contratti di fornitura richiedono almeno sei-otto mesi se l’ente non è partito. Avviare l’analisi dopo gennaio 2026 significa operare in condizioni di rischio concreto di inadempimento alla data di applicazione.
Domande frequenti
Quali sistemi AI delle PA sono soggetti all’obbligo di trasparenza dal 2 agosto 2026?
Sono soggetti all’art. 50 AI Act tutti i sistemi che generano o manipolano contenuti — testo, audio, immagini, video — destinati ai cittadini e potenzialmente scambiabili per produzione umana. Rientrano tipicamente i chatbot istituzionali, i sistemi di redazione automatica di comunicazioni e le risposte generate da AI nei portali pubblici. Sono esclusi solo se sussiste un controllo umano sostanziale documentato o una responsabilità editoriale formalmente attribuita.
Cosa significa controllo umano per l’esenzione dalla disclosure AI nella PA?
Il controllo umano rilevante ai fini dell’art. 50, par. 4, AI Act non è la mera firma dell’atto, ma una supervisione sostanziale e tracciabile del contenuto generato dal sistema AI. Il funzionario deve avere letto, valutato e — se necessario — modificato il testo prima della sua diffusione. L’ente deve conservare evidenza di questo processo: log, metadati, note di revisione. Un’approvazione automatica o pro forma non regge a un controllo.
Chi risponde se una PA non rispetta gli obblighi di trasparenza AI dal 2026?
La responsabilità primaria ricade sull’ente pubblico come «deployer» del sistema AI. Se però il contratto di fornitura attribuisce obblighi di compliance al fornitore, quest’ultimo può essere chiamato in causa in via contrattuale. Il consulente legale che non ha segnalato il rischio e non ha avviato la mappatura per tempo potrebbe rispondere per omessa diligenza professionale nei confronti del cliente-ente.
Fonte di riferimento: AgendaDigitale