L’entrata in vigore dell’AI Act europeo e della Legge 132/2025 impone a pubbliche amministrazioni e imprese un adeguamento normativo stringente per la gestione dell’intelligenza artificiale. Per evitare che un uso improprio o privo di regole degli strumenti generativi comporti la diffusione incontrollata di dati sensibili, è necessaria l’adozione di un modello organizzativo chiaro.
Tale modello si concretizza nell’approvazione di linee guida e regolamenti interni volti a mitigare i rischi operational e privacy, mappando i sistemi in uso, definendo le responsabilità ed escludendo l’impiego non autorizzato di piattaforme commerciali non conformi. La conformità non si limita all’attesa delle scadenze europee, ma richiede un’azione immediata da parte degli enti locali sul piano della formazione e delle garanzie contrattuali.
La realtà dei Comuni e l’impatto della transizione in Sicilia
Nel contesto italiano, e in modo ancor più marcato nella realtà degli enti locali siciliani, l’attuazione delle direttive sulla transizione digitale si inserisce in un quadro complesso e ricco di contraddizioni. Negli ultimi mesi, la spinta impressa dalle scadenze del PNRR e dagli adempimenti previsti dall’aggiornamento 2026 del Piano Triennale per l’Informatica nella Pubblica Amministrazione ha costretto i Comuni dell’isola ad accelerare un processo di riorganizzazione tecnologica che spesso contrasta con la frammentazione strutturale del territorio.
La Sicilia rappresenta un osservatorio privilegiato per comprendere i limiti pratici dell’innovazione calata dall’alto. Da un lato, l’accesso alle risorse europee destinate alla digitalizzazione dei servizi pubblici — dalla migrazione delle banche dati al cloud fino all’adozione delle piattaforme abilitanti come SPID, CIE e PagoPA — ha consentito anche ai piccoli centri urbani e ai Comuni montani di dotarsi di infrastrutture software avanzate. Dall’altro lato, la fase attuativa più recente ha fatto emergere con chiarezza una criticità di fondo: la sostenibilità organizzativa ed economica nel lungo periodo.
Molte amministrazioni comunali siciliane, afflitte da vincoli di bilancio, carenza di personale qualificato e una progressiva riduzione degli organici tecnici, si trovano a dover gestire un’eredità tecnologica complessa. Gli adempimenti richiesti dalle autorità di vigilanza, tra cui le rilevazioni periodiche promosse dall’AgID per monitorare lo stato di avanzamento dei progetti, restituiscono l’immagine di un sistema a macchia di leopardo.
Esistono virtuose eccezioni locali in cui gli uffici per la transizione digitale sono riusciti a integrare con successo i nuovi applicativi nei flussi di lavoro quotidiani; tuttavia, in un numero significativo di enti si registra un marcato scollamento tra l’attivazione formale delle piattaforme e il loro effettivo utilizzo da parte della cittadinanza e degli stessi dipendenti.
La questione più dibattuta nell’ultimo periodo riguarda proprio il mantenimento in esercizio dei sistemi già finanziati. Esaurita la fase di contribuzione iniziale a fondo perduto prevista dalle misure PNRR, i Comuni si trovano ora di fronte alla necessità di iscrivere nei propri bilanci di previsione le somme destinate ai canoni di licenza, ai servizi cloud e alla manutenzione software per gli anni a venire.
Si tratta di impegni finanziari pluriennali che rischiano di incidere sui bilanci comunali, specialmente in quegli enti che hanno attivato piattaforme standardizzate per servizi dei quali non fruiscono o per funzioni che non corrispondono alla propria reale struttura demografica o socio-economica.
In questo scenario si innesta, infine, la pressante questione dell’Intelligenza Artificiale. Nell’ultimo anno, la diffusione capillare e informale degli strumenti di IA generativa ha anticipato la capacità regolatoria delle amministrazioni. In assenza di direttive chiare e di un piano strategico integrato nei Piani Triennali locali, la tentazione di ricorrere a soluzioni estemporanee per sopperire alla mancanza di risorse umane è diventata una prassi diffusa, esponendo le amministrazioni siciliane a rilevanti vulnerabilità in materia di tutela dei dati personali, riservatezza dei procedimenti e certezza del diritto.
La necessità di passare da un’adozione passiva dell’innovazione a una vera e propria governance del cambiamento rappresenta oggi il principale snodo per il futuro della PA sul territorio.
Abbiamo intervistato in merito Marco La Diega esperto nel settore, ad ora Data Protection Officer di diversi enti, tra cui il Comune di Siracusa, è docente al Master Executive dell’Università di Palermo e autore di libri sul ruolo del DPO e sulla cultura digitale, tra cui “The Switcher” e fondatore di una società di consulenza su GDPR, cybersicurezza e trasformazione digitale per la pubblica amministrazione.
Intervista a Marco La Diega
-Quali criticità stanno emergendo dall’analisi della piattaforma PA Digitale 2026 e quali costi imprevisti stanno affrontando i Comuni?
“Attraverso la piattaforma PA Digitale 2026, ovvero la piattaforma PNRR gestita dall’Agenzia per l’Italia Digitale, i Comuni italiani sono in questo istante alle prese con un questionario che li obbliga a rispondere sull’attuazione e a fornire una sorta di fotografia su come stanno gestendo la digitalizzazione, alla luce anche dei finanziamenti già presi, erogati e messi in esercizio.
In questo senso vedo due scenari molto diversi. Ci sono Comuni attenti alle spese, che hanno speso solo il necessario dei fondi PNRR e hanno fatto scorta dei residui per poterli utilizzare per i canoni di manutenzione: va ricordato che la digitalizzazione non è gratis, perché i sistemi installati vanno mantenuti, aggiornati e messi in sicurezza anche dopo la fine dei finanziamenti.
Altri Comuni invece non l’hanno fatto: hanno speso tutto e hanno installato sistemi che non vengono utilizzati. Faccio l’esempio del pagamento della mensa scolastica: è stato finanziato e attivato, ma poi il Comune la mensa scolastica non ce l’ha. Eppure c’è un vincolo di 5 anni per tenere in piedi questi sistemi, e li tieni in piedi solo se paghi i canoni del cloud. In questi casi l’ignoranza informatica sta producendo gravi danni economici”.
-Perché l’uso personale dell’IA da parte dei dipendenti pubblici rappresenta un rischio e come dovrebbero muoversi i sindaci per governarla?
“L’intelligenza artificiale in questo momento la stiamo subendo anziché governarla. Se i sindaci non assumono la regia del processo dando incarichi specifici all’interno della struttura, l’uso dello strumento sfugge di mano. Attualmente si assiste all’uso improprio di account personali (come ChatGPT), con il conseguente rischio di fuga di dati e documenti riservati.
Serve invece un progetto responsabile: si acquista la licenza d’uso e si sottoscrive il contratto con il cloud provider o con il fornitore di ChatGPT (perché è possibile farlo), assumendosi le responsabilità previste dall’art. 28 del GDPR. In questo modo il fornitore diventa a tutti gli effetti un data processor. Non va utilizzata in modo improvvisato: al più per completare una frase o per alcuni casi specifici.
Quindi, prima di tutto ci vuole la governance: il sindaco deve decidere chi se ne occupa, che può essere il RTD o un altro membro scelto tra figure tecniche di elevata qualifica, secondo un regolamento comportamentale approvato dalla Giunta. Poi c’è la parte esecutiva, con la mappatura dei sistemi già in uso, perché integrati nel sistema informativo, e di quelli adottati come ChatGPT, o Cloud di Anthropic che devono essere in una versione idonea al GDPR, cioè a pagamento e con contratto di data processor.
Infine ci vogliono la formazione e il monitoraggio: va definito come avviene il controllo e vanno preparate le modalità di disattivazione dei sistemi nel caso in cui emergano problemi seri, come le ‘allucinazioni’. Non lo dico solo io, lo dicono anche le leggi e l’AI Act, che sono ancora poco conosciute, ma entro l’anno o si prendono provvedimenti oppure ci si trova impreparati”
-Quali sono i pericoli principali legati a un uso massivo e incontrollato dell’IA nella Pubblica Amministrazione?
“Inserire strumenti di IA senza un’adeguata preparazione, in un contesto di dipendenti già sovraccarichi, porta a un uso massivo ma superficiale. Esiste il rischio concreto che vengano generati testi formalmente impeccabili ma ricchi di errori o allucinazioni (come le notizie o le sentenze inventate già viste in ambito legale).
Il pericolo principale riguarda la tutela dei cittadini: un’IA utilizzata male potrebbe portare a risposte errate, fino a negare un diritto a un cittadino che ne avrebbe invece titolo. Pensiamo a un contributo, a un’agevolazione o a un servizio negato perché così ha deciso un algoritmo e nessuno ha controllato. L’articolo 22 del GDPR dice in modo chiaro che nessuno può essere sottoposto a una decisione presa solo da una macchina, quando questa incide in modo importante sulla sua vita: dietro ogni decisione ci deve essere una persona che verifica e se ne assume la responsabilità. Se la risposta dell’IA viene copiata e firmata senza controllo, quel principio viene violato. Rischi analoghi riguardano il trattamento improprio di dati sensibili, come quelli sanitari”.
