Dopo il varo della disciplina avente dimensione europea (Regolamento UE 2024/1689, noto come AI Act ed entrato in vigore il 1° agosto 2024), con l’entrata in vigore della legge 23 settembre 2025, n. 132, recante “disposizioni e deleghe al Governo in materia di intelligenza artificiale”, l’Italia, in anticipo su molti altri Paesi europei, introducendo un quadro normativo dove i principi del cit. AI Act europeo rifluiscono nella specifica realtà ordinamentale italiana, si è dotata della prima legge organica nazionale sull’intelligenza artificiale.

Introducendo un quadro di regole organico volto a disciplinare l’uso dei sistemi di intelligenza artificiale in diversi settori dell’attività umana, con l’obiettivo di garantire un equilibrio tra innovazione tecnologica e tutela dei diritti fondamentali, la legge cit., pubblicata nella Gazzetta Ufficiale n. 223 del 25 settembre 2025, rappresenta il primo intervento sistematico del legislatore nazionale in materia dettato a completamento della disciplina sovranazionale e ad essa integrativa onde definire un insieme coerente di norme e principi.

Fra i protagonisti principali di questo nuovo provvedimento rileva senz’altro la pubblica amministrazione italiana, che subentrando nella nuova dimensione come destinatario d’una nuova era regolativa va incontro ad un vero e proprio cambio di paradigma che, imponendo di ripensare strategia, procedure e competenze, più che subirla in maniera passiva e disorganizzata, si propone di governare l’IA in modo consapevole strutturato e conforme alla legge.

La mappa della nuova legge tra innovazione e responsabilità

L’ambito d’applicazione della legge riguarda l’intero ciclo di vita dei sistemi di IA, fondando il proprio orizzonte su sei principi chiave e cioè la trasparenza, proporzionalità, sicurezza e protezione dei dati, non discriminazione e controllo umano ed effettivo. Una parte significativa dell’impianto normativo, delineando una filo rosso circa l’impiego dei sistemi di intelligenza artificiale nei contesti professionali, amministrativi e giudiziari, introduce tramite gli artt. 13, 14 e 15 una disciplina unitaria, diretta a garantire l’uso responsabile dell’IA quale strumento di supporto all’attività umana, mai sostitutivo della capacità decisionale e valutativa del professionista o del pubblico funzionario.

Con riferimento, invece, l’ambito soggettivo di applicazione, per i minori al di sotto dei 14 anni è necessario il consenso dei genitori per l’uso di tecnologie di IA, mentre tra i 14 ed i 17 anni il consenso può essere autonomo, purché supportato da informazioni comprensibili.

Sotto il profilo economico – strategico, invece, le gare pubbliche potranno privilegiare soluzioni che trattano dati in data center situati in Italia, nel rispetto dei principi di concorrenza e non discriminazione.

L’innovazione, rectius il principio più rilevante e che in un certo senso personalizza l’agire del pubblico funzionario correlandolo al dato costituzionale di cui all’art. 28 sulla responsabilità (appunto) personale dei pubblici impiegati, è quello sancito dall’art. 14, ai sensi del quale l’IA è strumento di supporto e non soggetto decisore sicché in definitiva ogni provvedimento finisce con il rimanere sotto la responsabilità del funzionario pubblico, che deve così motivare le proprie scelte anche quando si avvale di strumenti algoritmici.

Si tratta, pertanto, d’una conferma da parte della normativa italiana sul dato in base al quale i sistemi di intelligenza artificiale utilizzati dai comuni non possono sostituirsi integralmente al decisore umano, ma devono limitarsi a fornire supporto, suggerimenti o analisi che il funzionario comunale valuta e sulla base dei quali adotta la decisione finale, di cui in ultima analisi resta pienamente responsabile.

La legge in questo modo si prefigge di ridurre i tempi dei provvedimenti, migliorando la qualità dei servizi ed ottimizzando le risorse, nonché assicurando trasparenza e tracciabilità. Il principio informativo, inoltre postula che i cittadini dovranno essere informati su quando e come un sistema di intelligenza artificiale è stato impiegato e su quali criteri si fonda il suo intervento. 

In  particolare i principi generali di cui all’art. 4

Dedicato ai principi fondamentali in materia di informazione e di riservatezza dei dati personali, il comma 2 prevede che l’utilizzo di sistemi di intelligenza artificiale garantisca il loro trattamento lecito, corretto e trasparente nonché la compatibilità con le finalità per le quali sono stati raccolti, in conformità al diritto dell’Unione Europea in materia di dati personali e di tutela della riservatezza.

Richiamando espressamente il Regolamento (UE) 2016/679 - c.d. GDPR - si raccomanda alle amministrazioni comunali di verificare che ogni utilizzo di sistemi di intelligenza artificiale rispetti i principi di liceità, correttezza, trasparenza, limitazione delle finalità, minimizzazione dei dati, esattezza, limitazione della conservazione, integrità e riservatezza già prevista dalla normativa europea.

Per gli enti locali, questo comporta che l’implementazione di qualsiasi sistema di intelligenza artificiale dovrà essere preceduta da una valutazione accurata della conformità al GDPR, considerando che molti servizi comunali comportano il trattamento di dati appartenenti alle categorie particolari previste dall’art. 9 del reg. europeo.

Ulteriore implicazione prudenziale dotata di particolare rilevanza per gli enti locali è quella prevista dal comma 3 del cit. art. 4, dove si stabilisce che le informazioni e le comunicazioni relative al trattamento dei dati connesse all’utilizzo di sistemi di intelligenza artificiale, risultano rese con linguaggio chiaro e semplice, così da garantire all’utente la conoscibilità dei relativi rischi ed il diritto di opporsi ai trattamenti autorizzati dai propri dati personali.

La peculiarità della disposizione in questione è la raccomandazione ai comuni di adottare un approccio comunicativo trasparente ed accessibile, evitando tecnicismi e formulazioni di difficile discernimento, tali da impedire ai cittadini di comprendere effettivamente come i loro dati vengono trattati attraverso sistemi di intelligenza artificiale.

La linea operativa di siffatta disposizione, richiede un attento vaglio anche per gli utenti non esperti di tecnologia, sicché i comuni dovranno predisporre informative specifiche idonee a spiegare in termini semplici il funzionamento dei sistemi di intelligenza artificiale utilizzati, i dati trattati, le logiche decisionali sottostanti ed i rischi relativi potenziali, onde poter garantire al contempo l’esercizio effettivo del relativo diritto d’opposizione.

Infine il comma 4 del cit. art. 4 si occupa dei servizi erogati per i minori da parte dei Comuni, prevedendo che l’accesso alle tecnologie di intelligenza artificiale da parte dei minori di anni 14, nonché il conseguente trattamento dei dati personali, richiedono il consenso di chi esercita la responsabilità genitoriale, nel rispetto di quanto previso sia dal regolamento (UE) 2016/679, che dal Codice in materia di protezione dei dati personali.

Inoltre, il minore di anni 18, ma infraquattordicenne, viene abilitato ad esprimere il proprio consenso per il trattamento dei dati personali connessi all’utilizzo di sistemi di intelligenza artificiale, purché le informazioni e le comunicazioni risultino agevolmente accessibili e comprensibili.

Si tratta di una disposizione dall’indubbia rilevanza per i comuni che gestiscono servizi educativi, ludici, culturali e sportivi rivolti ai minori e che intendano utilizzare in siffatti contesti, sistemi di intelligenza artificiale. A tal fine, sarà pertanto necessario predisporre procedure specifiche onde acquisire il consenso dei genitori per i minori di quattordici anni e per garantire che i minori tra i 14 ed i18 anni prima di esprimere utilmente il proprio consenso, possano comprendere effettivamente le informazioni fornite. 

I principi generali sull’uso dell’intelligenza artificiale nella p.a. (art. 14)

Riguarda da vicino il rapporto fra IA ed enti pubblici soprattutto l’art. 14 della l. n. 132/2025, che disciplina l’uso dell’intelligenza artificiale nella p.a.

Anche la norma in questione presuppone una lettura congiunta con la normativa sulla protezione dei dati personali; lo si deduce tacitamente nel comma 1 dove si prevede che le pubbliche amministrazioni utilizzano l’intelligenza artificiale per incrementare l’efficienza, ridurre i tempi dei procedimenti ed aumentare la qualità dei servizi, imponendo contestualmente di assicurare agli interessati la conoscibilità del funzionamento e la tracciabilità dell’utilizzo dei sistemi.

L’attuazione di questa normativa, soprattutto per quanto riguarda gli enti locali, significa che l’adozione di sistemi di intelligenza artificiale debba essere accompagnata dalla predisposizione di registri dettagliati che documentino quando, come e per quali finalità tali sistemi sono stati impiegati nel trattamento dei dati personali dei cittadini. Si tratta nello specifico di una tracciabilità diretta a costituire un elemento essenziale sia per garantire la trasparenza nei confronti degli interessati, sia per consentire al Garante la protezione dei dati personali di verificare il rispetto della normativa in caso di controlli o reclami.

La permanenza (e persistenza) dell’antropocentrismo ricorre nel comma 2 del cit. art. 14, dove il principio della supervisione umana trasmuta l’utilizzo dell’intelligenza artificiale in funzione strumentale e di supporto, mantenendo la responsabilità decisionale in capo alla persona. Il suddetto principio di matrice nazionale, inoltre, risulta coerente con il quadro europeo di protezione dei dati; in quest’ultimo, in particolare, l’art. 22 GDPR rappresenta uno dei riferimenti rilevanti quando l’uso dell’IA comporti decisioni automatizzate con effetti giuridici od analogamente significativi.

Infine una disposizione dalle potenzialità critiche per i comuni è rappresentata dalla clausola di c.d. invarianza finanziaria di cui all’art. 14, comma 4° e nell’art. 27 della cit. l. 132/2025, che impongono alle pubbliche amministrazioni di dare seguito agli adempimenti con le risorse umane, strumentali e finanziarie disponibili a legislazione vigente.

Con tale previsione si potrebbe limitare in maniera significativa la capacità degli enti locali, soprattutto dei comuni di piccole e medie dimensioni, di implementare sistemi di intelligenza artificiale conformi alla normativa sulla protezione dei dati personali.

L’adozione di tali sistemi, richiedendo investimenti in tecnologie sicure, formazione del personale, consulenza specialistica, valutazioni d’impatto sulla protezione dei dati ed implementazione di misure di sicurezza adeguate, in assenza di risorse dedicate, il rischio è che molti enti locali (soprattutto Comuni) rinuncino all’innovazione tecnologica, o peggio, adottino soluzioni non conformi alla normativa, esponendosi così a sanzioni del Garante per la protezione dei dati personali ed a possibili contenziosi con i cittadini.

A loro volta, gli artt. 19 e 20 della cit. l. 132/2025 sottendono rilevanti implicazioni per la protezione dei dati personali negli enti locali correlati al sistema di governance nazionale dell’IA.

L’art. 20, comma 4, anzitutto stabilisce che restano fermi le competenze, i compiti ed i poteri del Garante per la protezione dei dati personali, confermando che l’Autorità di controllo mantiene intatte le proprie prerogative anche con riferimento ai sistemi di intelligenza artificiale utilizzati dalle pubbliche amministrazioni.

Ne consegue che i comuni, nell’assimilare i sistemi di intelligenza artificiale, devono considerare non soltanto la conformità al Regolamento UE (2024/1689) sull’ IA nonché alla cit. l. 132/2025, ma anche e soprattutto il rispetto della normativa sulla protezione dei dati personali e delle linee guida emanate dal Garante. Ricorrendo trattamenti tali da comportare un rischio elevato per i diritti e le libertà delle persone fisiche, i comuni sono tenuti ad effettuare una valutazione d’impatto sulla protezione dei dati ex. art. 35 del GDPR, prima di procedere al trattamento.

L’art. 20, comma 3, coordinando le diverse autorità competente, istituisce un omonimo comitato (di coordinamento) presso la Presidenza del Consiglio dei Ministri, garantendo così un approccio coerente nella regolamentazione dell’intelligenza artificiale che tenga conto anche delle esigenze di protezione dei dati personali.

Sennonché, considerando che sulla base del principio di sussidiarietà verticale, i comuni rappresentano il livello amministrativo più prossimo ai cittadini e gestiscono quotidianamente una molteplicità di dati personali nell’erogazione di servizi essenziali, la complessità del quadro normativo può incappare in significative difficoltà ricettive. Pertanto, gli enti locali dovranno contemperare le disposizioni della legge sull’intelligenza artificiale con quelle de GDPR, del Codice della privacy italiano, delle linee guida del Garante e del regolamento europeo sull’intelligenza artificiale, all’interno di un contesto in cui la sovrapposizione di norme e l’incertezza interpretativa possono degenerare in difficoltà operative.

Conclusioni

L’ingresso dell’intelligenza artificiale nella pubblica amministrazione non soltanto apre un tema di innovazione tecnologica, ma impone una rilettura concreta di responsabilità, trasparenza, tracciabilità, protezione dei dati ed organizzazione dei processi decisionali. Per gli enti pubblici, ed in particolare per gli enti territoriali, la vera sfida non è adottare l’IA in astratto, ma governare l’impiego entro un’architettura giuridica e operativa coerente con l’AI Act, con la legge italiana e con il quadro privacy. P&S Legal assiste amministrazioni, operatori economici e soggetti istituzionali nell’analisi dei rischi regolatori, nella qualificazione dei modelli di utilizzo dell’IA e nella costruzione di soluzioni di governance capaci di coniugare innovazione, accountability e tutela dei diritti.

Per amministrazioni pubbliche, enti locali, società tecnologiche e operatori economici che lavorano con il settore pubblico, l’adozione dell’intelligenza artificiale non può essere affrontata come una semplice scelta tecnologica, richiede invece una valutazione integrata di AI Act, legge italiana sull’intelligenza artificiale, protezione dei dati personali, governance dell’IA nella pubblica amministrazione, tracciabilità dei processi, responsabilità del funzionario e gestione del rischio regolatorio.

P&S Legal assiste enti pubblici, imprese e soggetti istituzionali nella costruzione di modelli conformi e sostenibili di utilizzo dell’intelligenza artificiale nella PA, nella definizione di procedure interne, informative, valutazioni d’impatto e architetture di governance coerenti con il quadro europeo e nazionale. 

Per una consulenza su IA nella pubblica amministrazione, compliance AI Act per enti locali, GDPR e sistemi di intelligenza artificiale o governance legale dell’innovazione digitale, è possibile contattare lo Studio per una valutazione preliminare del caso.