Intelligenza artificiale in Comune: il laboratorio a dato zero

In OltreCode non inseguiamo le norme solo quando diventano obbligatorie; le studiamo quando nascono come visione. Da qui nasce il nostro nuovo servizio: il Laboratorio di intelligenza artificiale per la pubblica amministrazione. Un percorso pratico, costruito sui procedimenti reali del tuo ufficio, che si può applicare a ogni settore del Comune.

01L'IA è già nei tuoi uffici

Partiamo da un fatto che pochi dicono ad alta voce. In gran parte degli enti l'IA generativa è già entrata, ma dalla porta di servizio. Un dipendente ha una relazione da chiudere, apre un servizio gratuito in rete, incolla la bozza e chiede di sistemarla. Nessuna istruzione, nessun limite sui dati, nessuna traccia.

Quel testo incollato può contenere dati sulla salute di un cittadino, gli estremi di un verbale, la situazione economica di un richiedente. Il risultato è un trattamento senza base giuridica e senza misure di sicurezza, e atti la cui motivazione diventa difficile da difendere.

Un ente che mette ordine nell'uso dell'IA riduce il rischio più di un ente che prova a vietarla.

Vietare serve a poco: l'uso sommerso continua, solo che nessuno lo vede. Il primo risultato del laboratorio, quindi, non è l'efficienza. È far emergere quello che già accade e dargli regole.

02Un laboratorio, non un corso

Il tuo ente non acquista ore d'aula. Acquista un progetto pilota funzionante: una postazione configurata e messa in sicurezza, strumenti costruiti sulla struttura reale dei procedimenti dell'ufficio, una raccolta di istruzioni verificate, un regolamento interno sull'uso dell'IA e dodici mesi di assistenza.

Al termine il settore lavora in autonomia e l'ente dispone della documentazione che dimostra la correttezza delle scelte fatte.

03Il principio: si lavora solo su dati sintetici

È la scelta che regge l'intero progetto. Il laboratorio non tratta dati personali. Dalla prima esercitazione al collaudo finale si lavora su fascicoli interamente inventati dal gruppo di lavoro: istanze, pratiche, verbali, anagrafiche, quadri economici. Riproducono fedelmente struttura, lessico e complessità degli atti veri, ma non si riferiscono ad alcuna persona esistente.

Questa scelta ha tre vantaggi:

1. Sicurezza. Nessun dato personale esce dall'amministrazione e nessun fornitore accede a informazioni riferibili a cittadini o dipendenti.
2. Libertà di sbagliare. Su dati inventati puoi forzare il sistema fino a vederne i limiti, senza che un errore ricada su una persona o su un procedimento in corso.
3. Semplicità giuridica. Poiché il fornitore non tratta dati personali dell'ente, non si instaura un rapporto di responsabilità del trattamento e non serve la designazione prevista dall'articolo 28 del Regolamento generale sulla protezione dei dati (GDPR).

04Un servizio per ogni settore

Il metodo è lo stesso; cambiano i procedimenti su cui si lavora. All'avvio il gruppo sceglie da tre a cinque tipologie di atto che assorbono più tempo di scrittura. Qualche esempio:

Fonte: elaborazione OltreCode sul programma del laboratorio.

Ogni settore ha i suoi punti delicati, e il laboratorio li tratta per iscritto, nel regolamento e nelle istruzioni di ciascuno strumento.

05Il quadro normativo, senza scorciatoie

Il laboratorio è costruito sulle regole oggi in vigore.

1. Regolamento europeo sull'intelligenza artificiale (AI Act). Il Regolamento (UE) 2024/1689 è stato modificato dal Regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus, pubblicato nella Gazzetta ufficiale dell'Unione europea il 24 luglio 2026 e in vigore dal 27 luglio 2026. Gli obblighi sui sistemi ad alto rischio dell'allegato III slittano al 2 dicembre 2027. Il laboratorio classifica per iscritto ogni caso d'uso e tiene fuori dal proprio perimetro quelli che rientrerebbero in quell'allegato.
2. Legge 23 settembre 2025, n. 132. L'articolo 14 disciplina l'uso dell'IA nella pubblica amministrazione: il funzionamento del sistema deve essere conoscibile, il suo uso tracciabile, e la persona resta l'unica responsabile del provvedimento.
3. Linee guida dell'Agenzia per l'Italia digitale (AgID). Con la determinazione n. 43 del 10 marzo 2026 AgID ha avviato l'iter delle linee guida sullo sviluppo e sull'acquisto di sistemi di IA nella pubblica amministrazione. Il laboratorio ne adotta fin da ora gli strumenti operativi, come le liste di controllo per la classificazione del rischio.
4. Amministrazione digitale e sicurezza. Il GDPR, il Codice dell'amministrazione digitale (CAD) e, per gli enti che vi rientrano, il decreto legislativo 4 settembre 2024, n. 138 di recepimento della direttiva sulla sicurezza delle reti e dei sistemi informativi (NIS2).

06Come si svolge il percorso

Il laboratorio dura dodici mesi e si articola in dieci giornate con cadenza mensile, alternate fra presenza nella sede dell'ente e collegamento da remoto. La giornata in presenza apre una fase di lavoro, quella da remoto la consolida e ne verifica i risultati.

Il gruppo è chiuso: da 1 a 4 persone, limite che non si deroga. Non è formazione frontale, è affiancamento sul campo con revisione puntuale di ogni elaborato. Di norma partecipano il responsabile del settore e fino a tre collaboratori. Il Responsabile per la transizione al digitale (RTD) e il Responsabile della protezione dei dati (RPD) intervengono nelle giornate chiave: il materiale sintetico va validato con loro e il regolamento finale deve passare dal loro esame.

Le tappe principali:

1. Mappatura e punto di partenza. Si individuano gli atti più ricorrenti e se ne misura il tempo medio di lavorazione. Senza questo dato non esiste rendicontazione credibile del risultato.
2. Configurazione e sicurezza. La postazione viene messa in sicurezza (cifratura del disco, autenticazione a più fattori, profili separati, copie di sicurezza cifrate) e si verifica per iscritto che i contenuti immessi non vengano usati per addestrare i modelli.
3. Costruzione del materiale sintetico. Il gruppo crea i fascicoli inventati, che l'RPD valida prima di qualsiasi uso.
4. Istruzioni e flussi ripetitivi. Si costruisce una raccolta di istruzioni verificate per gli atti del settore, partendo dai modelli già in uso nell'ente.
5. Assistenti dedicati. Si realizzano strumenti per compiti specifici: redazione su traccia, controllo di completezza, sintesi, comunicazioni al cittadino.
6. Taratura e verifica degli errori. Si impara a riconoscere le citazioni normative inesistenti o fuori luogo e si fissano i punti obbligatori di revisione umana.
7. Collaudo e misurazione. Si confrontano i tempi con quelli di partenza, con una relazione sottoscritta.
8. Regolamento e chiusura. Si redige la bozza di regolamento sull'uso dell'IA, adottabile per il singolo settore o estendibile a tutto l'ente.

07Dove l'IA si ferma

È il punto che conta di più. Il laboratorio lavora sulla forma del documento, non sulla decisione. L'IA aiuta a scrivere meglio e più in fretta ciò che il funzionario ha già deciso, e a non dimenticare nulla nell'istruttoria.

Nessun atto esce dall'ufficio senza una validazione umana documentata. Il limite è scritto nel regolamento e nelle istruzioni di ciascuno strumento.

08Cosa resta al tuo ente

Al termine dei dodici mesi l'ente dispone di beni e documenti che può richiamare negli atti amministrativi:

1. La postazione configurata e collaudata, con la relazione sull'assetto di sicurezza e protezione dei dati.
2. Il materiale sintetico di settore, validato dall'RPD e riutilizzabile.
3. La raccolta di istruzioni e gli strumenti costruiti sui procedimenti dell'ufficio.
4. Il registro degli usi dell'IA, già collaudato, per rispondere all'obbligo di tracciabilità della legge 132/2025.
5. La classificazione motivata dei casi d'uso secondo l'AI Act.
6. L'istruttoria per la valutazione d'impatto sulla protezione dei dati (DPIA), da completare prima del passaggio ai fascicoli reali.
7. La bozza di regolamento sull'uso dell'IA e la relazione finale di sperimentazione.
8. Gli attestati di partecipazione per il personale coinvolto.

09Come si acquista

Il servizio si colloca ampiamente al di sotto della soglia per l'affidamento diretto prevista dall'articolo 50, comma 1, lettera b), del decreto legislativo 31 marzo 2023, n. 36. È acquistabile anche tramite trattativa diretta sul Mercato elettronico della pubblica amministrazione (MePA).

Il laboratorio può essere esteso in un secondo momento ad altri settori dell'ente, riutilizzando il metodo, il regolamento e il materiale già prodotto.

10La morale

L'IA nei tuoi uffici non è una scelta futura: è già lì, senza regole. La vera scelta è se continuare a ignorarla o governarla. Il laboratorio a dato zero ti permette di farlo nel modo più prudente possibile: prima si impara su casi inventati, poi si scrivono le regole, solo dopo si passa al lavoro vero. E in ogni momento, a decidere, resta una persona.

Prima di partire, verifica nel tuo ente:

• Sai se e come i dipendenti usano già servizi di IA gratuiti in rete
• Hai individuato il settore con più atti ripetitivi da cui partire
• RTD e RPD sono pronti a validare materiale e regolamento
• Hai un modo per misurare i tempi di lavorazione prima e dopo
• Hai deciso chi firma e risponde di ogni atto prodotto con l'IA

OltreCode: Oltre la norma, verso la cultura del dato.