QUADERNI SULL’INTELLIGENZA ARTIFICIALE NELLA PUBBLICA AMMINISTRAZIONE: III. La legge 132/2025, obblighi dal 10 OTTOBRE.
L’articolo 14 della Legge 132/2025: l’intelligenza artificiale entra nel diritto amministrativo italiano
Con la Legge 23 settembre 2025, n. 132, il legislatore italiano compie un passo storico nel processo di integrazione dell’intelligenza artificiale (IA) all’interno della Pubblica Amministrazione.
L’articolo 14 della legge — rubricato “Uso dell’intelligenza artificiale nella pubblica amministrazione” — rappresenta la prima norma generale che disciplina espressamente l’impiego dell’IA da parte delle amministrazioni pubbliche, in coerenza con il Regolamento (UE) 2024/1689 (AI Act).
1. Una norma abilitante ma garantista
L’articolo 14 autorizza le amministrazioni a utilizzare sistemi di IA per migliorare efficienza, rapidità e qualità dei servizi pubblici, ma nel rispetto dei principi di conoscibilità, trasparenza e tracciabilità.
Non introduce un obbligo, bensì un quadro legittimante, entro il quale l’innovazione deve sempre essere compatibile con i principi costituzionali di imparzialità e buon andamento (art. 97 Cost.) e con il diritto europeo alla sorveglianza umana effettiva.
2. L’IA come supporto, non come decisore
Il secondo comma sancisce un principio cardine:
L’intelligenza artificiale è strumento di supporto all’attività provvedimentale; la decisione resta umana e la responsabilità è personale.
L’IA può quindi assistere il funzionario, ma non sostituirne la discrezionalità.
La norma recepisce pienamente il modello dell’AI Act, che impone una sorveglianza umana (human-in-the-loop) su tutti i sistemi a rischio non minimo.
L’output algoritmico non è mai vincolante: il funzionario deve sempre valutarlo, motivarlo e assumerne la paternità giuridica.
3. AI Governance, competenze e AI Literacy
Il terzo comma introduce un obbligo sostanziale di AI Governance interna, articolato su tre pilastri:
- Misure tecniche – registro dei sistemi, log di utilizzo, audit, DPIA/FRIA;
- Misure organizzative – individuazione dei ruoli (RTD, DPO, referente IA, dirigente competente);
- Misure formative, in coerenza con l’articolo 4 dell’AI Act, che promuove la AI Literacy:
la capacità dei funzionari pubblici di comprendere, monitorare e valutare i sistemi di intelligenza artificiale, conoscendone potenzialità, limiti, bias e impatti giuridici.
L’AI Literacy diventa così una nuova competenza amministrativa trasversale, da inserire nei programmi formativi obbligatori del personale, accanto alle competenze digitali e normative previste dal CAD e dal PIAO.
4. Finanziamento e sostenibilità: le economie del PNRR
Pur contenendo la consueta clausola di invarianza finanziaria, la Legge 132/2025 deve essere letta alla luce della Direttiva del Dipartimento per la Trasformazione Digitale del 23 gennaio 2025, che consente alle amministrazioni di riutilizzare le economie residue dei progetti PNRR – Missione 1, Componente 1 (“Digitalizzazione della PA”) per iniziative legate all’intelligenza artificiale.
Questo apre la strada a:
- sperimentazioni di sistemi di IA ad uso pubblico certificati o a basso rischio;
- percorsi di formazione specifica in AI Literacy;
- audit e valutazioni di conformità (FRIA e DPIA);
- sviluppo di prompt policy e protocolli etici per l’uso interno dei modelli generativi.
L’innovazione, dunque, non grava sul bilancio ordinario, ma si innesta su fondi già stanziati, promuovendo una sostenibilità economica e ambientale della trasformazione digitale.
5. Verso una cultura pubblica dell’intelligenza artificiale
L’articolo 14 non è solo una norma di principio: è un invito a costruire una cultura pubblica dell’IA, fondata su competenza, responsabilità e trasparenza.
L’IA deve essere uno strumento al servizio della decisione pubblica, non un sostituto del discernimento umano.
L’Italia, con questa norma e con il collegamento operativo al PNRR, diventa uno dei primi Paesi dell’Unione a integrare le disposizioni dell’AI Act in chiave amministrativa, delineando un modello di intelligenza pubblica aumentata.
Conclusione
L’articolo 14 della Legge 132/2025 rappresenta la soglia d’ingresso dell’intelligenza artificiale nel diritto amministrativo.
Esso fissa tre pilastri di compatibilità tra innovazione e legalità:
- centralità della persona nella decisione;
- formazione e AI literacy come garanzia di controllo consapevole;
- uso virtuoso delle risorse PNRR per consolidare una governance responsabile.
L’amministrazione del futuro sarà quella capace di coniugare tecnologia e diritto,
facendo dell’intelligenza artificiale non una scorciatoia, ma un alleato per un’amministrazione più equa, efficiente e trasparente.
Ora vi lascio una PROMPT POLICY
Prompt Policy per l’utilizzo dei sistemi di Intelligenza Artificiale nella Pubblica Amministrazione
1. Premessa e finalità
La presente Prompt Policy disciplina le modalità di utilizzo dei sistemi di Intelligenza Artificiale (IA) da parte del personale dell’Amministrazione, ai sensi dell’articolo 14 della Legge 23 settembre 2025, n. 132 e del Regolamento (UE) 2024/1689 (AI Act).
Essa mira a garantire che l’impiego di strumenti di IA avvenga in modo trasparente, sicuro, tracciabile e umano-centrico, nel rispetto dei principi di legalità, imparzialità, responsabilità e protezione dei dati personali.
La policy si applica a:
- dipendenti e collaboratori dell’amministrazione;
- dirigenti e funzionari titolari di procedimento;
- fornitori e partner tecnologici coinvolti nell’erogazione di servizi IA.
2. Obiettivi specifici
- Promuovere l’uso consapevole e controllato dei sistemi di IA nei processi amministrativi.
- Prevenire rischi di uso improprio, discriminazione o bias.
- Garantire la sorveglianza umana effettiva (Human Oversight) su ogni decisione supportata da IA.
- Contribuire allo sviluppo della AI Literacy, in coerenza con l’articolo 4 dell’AI Act.
- Allineare la gestione dei sistemi IA agli standard di trasparenza e responsabilità pubblica previsti dal CAD e dal GDPR.
3. Ambito di applicazione
La presente policy si applica a:
- tutti i sistemi di IA (proprietari o di terzi) adottati o sperimentati dall’amministrazione;
- strumenti generativi (es. chatbot, assistenti virtuali, modelli linguistici), predittivi, classificatori, riconoscimento immagini, RPA+AI, e simili;
- le interazioni (“prompt”) effettuate da operatori umani attraverso tali strumenti.
Sono esclusi dal campo di applicazione i sistemi che non implicano autonomia cognitiva o elaborazione algoritmica, come semplici automazioni di processo o macro di calcolo statiche.
4. Definizioni operative
- Prompt: input o istruzione fornita da un utente a un sistema di IA per ottenere un output.
- Output: testo, immagine, audio o decisione generata dall’IA in risposta a un prompt.
- Prompt sensibile: prompt che contiene o può produrre dati personali, informazioni riservate o elementi rilevanti per un procedimento amministrativo.
- Sorveglianza umana (Human Oversight): attività di controllo, validazione e supervisione esercitata da un operatore umano sulle operazioni dell’IA.
- FRIA (Fascicolo di Rischio IA): documento interno che valuta il rischio del sistema IA secondo l’art. 9 dell’AI Act e le Linee Guida AGID 2025.
5. Principi generali di utilizzo
- Legalità e finalità – ogni utilizzo dell’IA deve perseguire un obiettivo istituzionale legittimo e rientrare nei procedimenti di competenza dell’amministrazione.
- Responsabilità umana – il funzionario o dirigente mantiene sempre la responsabilità giuridica e amministrativa del procedimento in cui è impiegata l’IA.
- Trasparenza e tracciabilità – ogni interazione con il sistema IA deve essere registrata, conservata e accessibile per audit o controlli interni.
- Proporzionalità – l’uso dell’IA deve essere adeguato al livello di rischio e complessità del procedimento.
- Sicurezza e protezione dei dati – è vietato inserire o trattare dati personali non necessari; ogni trattamento deve avvenire nel rispetto del GDPR e del principio di minimizzazione.
6. Linee guida sui prompt
6.1 Prompt consentiti
I prompt devono essere:
- formulati in modo chiaro, neutrale e non discriminatorio;
- coerenti con la finalità istituzionale del sistema;
- privi di dati personali, salvo nei casi coperti da DPIA/FRIA e con autorizzazione formale;
- documentabili e ripetibili, ove necessario, per garantire la tracciabilità delle decisioni.
6.2 Prompt vietati o sensibili
È vietato inserire nei prompt:
- dati identificativi di persone fisiche (es. nome, codice fiscale, indirizzo, PEC), salvo necessità prevista dal procedimento;
- dati particolari o giudiziari ai sensi degli articoli 9 e 10 del GDPR;
- informazioni coperte da segreto d’ufficio o industriale;
- istruzioni discriminatorie, manipolative o che inducano a conclusioni predefinite;
- richieste di generazione di testi, immagini o output che possano ledere la dignità delle persone o diffondere informazioni false.
6.3 Prompt di addestramento o fine-tuning
L’amministrazione non può utilizzare dati personali o documenti amministrativi per attività di addestramento dei modelli senza specifica autorizzazione e previa FRIA.
Ogni operazione di fine-tuning deve avvenire su ambienti separati, tracciati e protetti da misure tecniche idonee.
7. Validazione degli output e responsabilità
- Gli output generati da sistemi IA non producono effetti giuridici diretti.
- Prima dell’uso esterno (es. comunicazione, pubblicazione o decisione), l’output deve essere verificato, corretto e validato da un operatore umano competente.
- Gli output destinati a istruttoria o decisione devono essere archiviati nel fascicolo elettronico con indicazione del sistema IA utilizzato, data e utente generante.
- È vietato firmare digitalmente o protocollare documenti generati da IA senza previa validazione umana.
8. Logging, sicurezza e conservazione
- Tutte le interazioni (prompt e output) devono essere registrate in log protetti, conservati per un periodo coerente con la scheda strumenti IA (minimo 180 giorni).
- I log devono contenere: data, utente, sistema, finalità, livello di rischio, output sintetico.
- I sistemi IA devono prevedere autenticazione forte (SPID/CIE o SSO interno) e cifratura dei dati in transito e a riposo.
- È vietato esportare i dati dei prompt su piattaforme non autorizzate o archiviazioni personali.
- Gli incidenti di sicurezza, i malfunzionamenti e i bias devono essere segnalati al Referente IA, al RTD e al DPOtramite il canale incident@ente.it.
9. Formazione, AI Literacy e aggiornamento
In attuazione dell’articolo 4 dell’AI Act, l’Amministrazione promuove programmi periodici di AI Literacy, comprendenti:
- conoscenza di base sul funzionamento dei sistemi di IA e dei modelli linguistici;
- rischi di bias, falsi positivi e hallucinations;
- obblighi legali e principi etici dell’uso pubblico dell’IA;
- simulazioni pratiche di utilizzo controllato di chatbot e assistenti documentali;
- formazione mirata per dirigenti, RTD, DPO, RUP e personale tecnico.
Le attività formative possono essere finanziate con le economie PNRR secondo quanto previsto dalla Direttiva DTD del 23 gennaio 2025, Missione 1, Componente 1, “Servizi digitali e IA per la PA”.
10. Revisione, audit e governance
- La presente Policy è soggetta a revisione annuale o in caso di introduzione di nuovi sistemi IA.
- Ogni sistema deve essere incluso nel Registro degli strumenti IA e corredato di FRIA e DPIA, ove applicabili.
- Il Referente IA e il RTD garantiscono il monitoraggio e l’aggiornamento periodico.
- Le verifiche di conformità sono effettuate almeno una volta l’anno e possono includere test di bias, accuratezza e robustezza.
- La Policy è approvata con determinazione dirigenziale ed è pubblicata nella sezione “Amministrazione trasparente – Uso dell’intelligenza artificiale”.
Vi lascio anche una APP per l implementazione del registro.
Sappiate che è cambiato tutto, per essere conformi prendete un appuntamento o richiedete preventivi con i soliti canali.
