Il contesto normativo: AI Act, Regolamento 2026/1744 e legge nazionale

L’applicazione dell’AI Act nei comuni comincia dagli strumenti già usati negli uffici, spesso senza regole condivise. Il rinvio degli obblighi sull’alto rischio lascia agli enti il tempo di organizzarsi, mentre formazione, trasparenza e controllo delle decisioni richiedono interventi immediati.

Lo scorso luglio l’Unione europea ha pubblicato il Regolamento (UE) 2026/1744, noto come “Omnibus digitale sull’IA”, che rinvia di oltre un anno gli obblighi più pesanti dell’AI Act. La norma è stata adottata l’8 luglio 2026 e pubblicata in Gazzetta ufficiale il 24 luglio. Le date chiave sono:

    • Allegato III (sistemi “stand‑alone” ad alto rischio): dal 2 agosto 2026 al 2 dicembre 2027.
    • Allegato I (sistemi integrati in prodotti già regolamentati): dal 2 agosto 2028.

Parallelamente, la legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, dedica all’IA nella pubblica amministrazione l’articolo 14, che prevede tre principi fondamentali: efficienza e trasparenza, funzione strumentale dell’IA (la decisione resta sempre umana) e adozione di misure tecniche, organizzative e formative senza oneri aggiuntivi per la finanza pubblica.

Le sfide operative per i comuni di piccole e medie dimensioni

Un comune di 3 000 abitanti, con un ufficio tecnico di due persone e un segretario comunale che ricopre più ruoli, si trova a dover rispettare obblighi normativi senza risorse dedicate. Il primo paradosso è la mancanza di un modello di attuazione sostenibile: l’articolo 14 rischia di diventare un adempimento formale privo di sostanza.

Le linee guida AgID, messe in consultazione dal 2025 e finalizzate nell’aprile 2026, offrono strumenti pratici: modelli di classificazione del rischio, schede di valutazione d’impatto (DPIA) e un approccio al ciclo di vita del sistema. Tuttavia, attendere la versione definitiva significa perdere tempo prezioso.

Recentemente è stato pubblicato il D.L. 179/2026, che introduce disposizioni specifiche per la PA e per i professionisti della salute e sicurezza sul lavoro. L’articolo 40 ribadisce l’importanza della formazione e attribuisce al Ministro della Pubblica Amministrazione un ruolo di coordinamento per i piani formativi, avvalendosi di soggetti pubblici come SNA, Formez, università, ANCI e UPI.

L’articolo 42 disciplina l’impatto dell’IA in ambito lavorativo, imponendo una valutazione dei rischi per la salute e la sicurezza dei dipendenti.

Domanda frequente: “Abbiamo sistemi ad alto rischio?”

Molti comuni rispondono “probabilmente pochi, ma non lo sappiamo”. L’Allegato III elenca ambiti critici per i servizi comunali (es. gestione anagrafe, assistenza sociale, urbanistica). Spesso questi sistemi non sono etichettati come “IA” ma come moduli “smart” dei gestionali, aggiornamenti di canone o funzionalità integrate.

Checklist operativa: i passi da compiere subito

1. Censimento continuo delle soluzioni IA

    • Creare un inventario digitale dei sistemi in uso, classificandoli per livello di rischio (basso, medio, alto).
    • Assicurarsi che l’inventario sia aggiornato ad ogni nuovo upgrade o aggiunta di funzionalità.
    • Collegare il censimento al piano triennale per l’informatica dell’ente.

2. Integrazione FRIA e DPIA

    • Unire la FRIA (Framework di Valutazione del Rischio IA) con la DPIA (Data Protection Impact Assessment) prevista dal GDPR.
    • Utilizzare un unico processo di valutazione per evitare duplicazioni nel 2027.

3. Definizione di policy e procedure operative

    • Redigere una policy sull’IA che sia pratica, non solo formale: includere ruoli, responsabilità e flusso di approvazione.
    • Stabilire una procedura per la verifica della conformità prima dell’acquisto o dell’aggiornamento di un sistema.

4. Contratti con fornitori

    • Inserire clausole che obbligino il fornitore a fornire documentazione tecnica, certificazione CE e supporto alla valutazione d’impatto.
    • Specificare la responsabilità del comune per la supervisione umana e la registrazione delle decisioni assistite dall’IA.

5. Formazione del personale

    • Attuare percorsi formativi obbligatori su:
      • Principi di funzionamento dell’IA.
      • Obblighi di trasparenza e tracciabilità.
      • Rischi etici e privacy.
    • Utilizzare i canali di formazione indicati dal Ministro (SNA, Formez, ANCI, ecc.).

6. Scelta delle piattaforme tecnologiche

    • Preferire soluzioni con licenza a pagamento che garantiscano che i dati non vengano usati per “allenare” il modello.
    • Valutare piattaforme AI locali, dove i dati rimangono entro l’infrastruttura del comune.
    • Evitare l’uso di chatbot gratuiti su dispositivi personali per compiti istituzionali.

Perché la compliance non è solo “carta”

Un modello scaricato da internet, cambiato di intestazione e approvato in giunta, può dare l’illusione di conformità. In realtà, se nessuno legge la policy e non conosce gli strumenti ammessi, la compliance è solo esercizio di stile. Quando si verifica un incidente, la responsabilità ricade sul funzionario che ha firmato il provvedimento.

Il fornitore ha obblighi pesanti (documentazione tecnica, marcatura CE), ma il comune resta responsabile per la supervisione umana, la registrazione dell’utilizzo e la responsabilità del provvedimento. I contratti devono quindi obbligare il fornitore a collaborare, ma non possono sostituire l’ente.

Implementare la governance dell’IA nel tempo

Un approccio graduale è consigliabile:

    • Fase 1 (0‑3 mesi): avvio del censimento e formazione iniziale del responsabile della sicurezza informatica.
    • Fase 2 (3‑9 mesi): integrazione FRIA/DPIA per i sistemi già identificati come ad alto rischio.
    • Fase 3 (9‑18 mesi): revisione dei contratti con i fornitori e definizione di SLA specifici per la compliance IA.
    • Fase 4 (18‑24 mesi): audit interno e aggiornamento della policy, con eventuale coinvolgimento di consulenti esterni.

Questo cronoprogramma consente di distribuire gli sforzi e di allineare le attività alle scadenze europee (dicembre 2027 per l’Allegato III).

Conclusioni

L’AI Act e il Regolamento 2026/1744 rappresentano una sfida concreta per i comuni, soprattutto quelli di piccole dimensioni. Tuttavia, con un censimento continuo, la fusione di FRIA e DPIA, contratti ben strutturati e una formazione mirata, è possibile trasformare gli obblighi normativi in leva di innovazione. La chiave è agire subito, evitando il rischio di rimandare la compliance a un futuro incerto.