L’attuazione della legge 132/2025: governance e formazione nella pubblica amministrazione

Il decreto legislativo 179/2026, pubblicato nella Gazzetta Ufficiale dell’8 ottobre 2026 e in vigore dal 23 ottobre 2026, definisce l’assetto di governance nazionale in materia di IA. L’Agenzia per l’Italia digitale (AgID) è l’autorità di notifica e l’Agenzia per la cybersicurezza nazionale (ACN) è l’autorità di vigilanza del mercato. Banca d’Italia, Commissione nazionale per le società e la borsa (Consob) e Istituto per la vigilanza sulle assicurazioni (IVASS) vigilano sui sistemi ad alto rischio collegati alla fornitura di servizi finanziari, mentre il Garante per la protezione dei dati personali è competente sui sistemi impiegati nelle attività di contrasto della criminalità, nella gestione delle frontiere, nell’amministrazione della giustizia e nei processi democratici. Il quadro sanzionatorio è graduato e proporzionato, con limiti massimi inferiori a quelli del Regolamento (UE) 2024/1689 e con la possibilità di misure non pecuniarie per le violazioni di scarsa offensività.

In particolare, le disposizioni attuative prevedono che le amministrazioni utilizzino sistemi di IA a supporto delle attività di reclutamento, formazione e innovazione organizzativa, con l’obiettivo di semplificare l’azione amministrativa e accelerare i procedimenti.

Nel quadro delineato, la formazione del personale pubblico assume un ruolo chiave. Deve infatti mettere i dipendenti nelle condizioni di comprendere il funzionamento dei sistemi, interpretarne correttamente i risultati, riconoscerne limiti ed errori, proteggere dati e sicurezza e garantire una sorveglianza umana effettiva. L’IA può solo assistere l’azione amministrativa, mentre la responsabilità della decisione resta chiara, verificabile e imputabile alla persona.

Tutto ciò comporta l’attivazione di:

• percorsi di alfabetizzazione di base per tutti i dipendenti pubblici, per diffondere consapevolezza su opportunità, rischi, trasparenza, protezione dei dati e uso corretto degli strumenti;

• percorsi di riqualificazione specialistica per chi opera nei procedimenti amministrativi, nei servizi al cittadino, nella gestione documentale, nel reclutamento e nell’analisi dei dati;

• percorsi di alta formazione per dirigenti, responsabili della transizione digitale, responsabili degli uffici del personale e figure chiamate a governare il cambiamento organizzativo e a misurarne l’impatto sul valore pubblico.

In applicazione del decreto, l’obbligo di adottare misure per sostenere l’alfabetizzazione in materia di IA, previsto dall’art. 4 dell’AI Act per fornitori e deployer, riguarda anche le pubbliche amministrazioni in quanto deployer. Tema centrale del decreto è la responsabilità umana sull’IA, che resta insostituibile ed è in linea con la sorveglianza umana prevista dall’AI Act. A questa responsabilità corrisponde la necessità di una competenza adeguata, da cui discende l’esigenza di formazione.

Nuovo programma formativo online disponibile su “Syllabus” – Dipartimento della Funzione Pubblica

Nel decreto attuativo concernente “l’Adeguamento della normativa nazionale alle disposizioni del Regolamento del Parlamento europeo e del Consiglio in materia di poteri delle Autorità nazionali e di utilizzo dell’intelligenza artificiale nella formazione”, viene specificato che i percorsi formativi per i dipendenti pubblici non mirano solo a insegnare l’uso di un software, ma a fornire la capacità di interpretare i rischi, i pregiudizi algoritmici e la trasparenza dei dati.

Al fine di consentire l’attuazione di quanto disposto, a giugno 2026 il Dipartimento della Funzione Pubblica ha lanciato su Syllabus un nuovo programma di alfabetizzazione all’IA strutturato su tre livelli di padronanza per i dipendenti (base, intermedio e avanzato). Detto programma, già online e disponibile nel catalogo Syllabus nell’ambito tematico Transizione digitale, mira di fatto a sviluppare la capacità di utilizzare gli strumenti di intelligenza artificiale (IA) per supportare attività di ricerca, gestione e valorizzazione dei dati e delle informazioni, attraverso il ricorso ad indicazioni pratiche ed esempi con registrazioni a schermo su casi tipici del lavoro della Pubblica Amministrazione.

La trasparenza dei contenuti AI e gli obblighi per le PA alla luce del nuovo Digital Omnibus

Dal 2 agosto 2026 diventano applicabili, tra gli altri, numerosi obblighi di trasparenza previsti dal Regolamento Ue 2024/1689 (art. 50), salvo una parte di esse posticipata dal recente Digital Omnibus. La fase transitoria fino al 2 dicembre 2026 riguarda specificamente l’adeguamento tecnico degli output di sistemi generativi immessi sul mercato prima del 2 agosto 2026.

Quest’ultimo ha posticipato solo i requisiti tecnici e di marcatura automatica per specifici casi, lasciando intatti i doveri generali di comunicazione al pubblico e rimanendo quindi pienamente applicabili gli obblighi di trasparenza dell'articolo 50.

Le disposizioni dell’AI Act divenute applicabili riguardano non solo chi sviluppa sistemi di AI (fornitori/ provider), ma anche imprese, professionisti, enti e Pubbliche Amministrazioni che utilizzano queste tecnologie (deployer). Le PA, nella maggioranza dei casi rientrano nella categoria dei deployer (utilizzatori), e seppur questo le fa rientrare più appropriatamente tra gli ultimi due casi previsti dall’art. 50 dell’AI Act, ciò non le esime né dal valutare qualità e affidabilità dei fornitori né dal mappare i processi.

Pertanto, gli Enti Pubblici saranno chiamati a valutare sistemi e processi in uso per distinguere i casi soggetti a disclosure da quelli esclusi grazie al controllo umano e alla responsabilità editoriale. Per la Pubblica Amministrazione e per le organizzazioni che operano al servizio dei territori, la trasparenza dell’AI rappresenta di fatto una componente essenziale della qualità e dell’affidabilità dei servizi digitali.

Le disposizioni del Digital Omnibus mirano a rendere più riconoscibile l’impiego dell’AI e a garantire che cittadini e utenti siano informati quando interagiscono con sistemi automatizzati o accedono a contenuti generati artificialmente. In particolare, i sistemi progettati per dialogare direttamente con le persone dovranno informare chiaramente gli utenti della natura automatizzata dell’interazione. La regola interessa chatbot di assistenza, agenti virtuali, avatar digitali e strumenti conversazionali integrati nei siti web o nei servizi online. Detta informazione, salvo i casi in cui sia già evidente che l’utente sta dialogando con una macchina, dovrà essere fornita fin dal primo contatto.

Per quanto concerne l’impatto e la responsabilità in capo alla Pubblica Amministrazione e alle Imprese, i fornitori di sistemi capaci di generare o modificare testi, immagini, audio e video dovranno rendere gli output identificabili come artificiali, così come pure, nei casi previsti dalla normativa, anche chi pubblica o diffonde tali contenuti dovrà fornire alle persone un’informazione chiara e comprensibile. Inoltre, le disposizioni impongono particolare attenzione ai deepfake e ai testi prodotti o modificati mediante AI nel caso siano destinati a informare il pubblico su argomenti di interesse generale.

Tutto ciò premesso, l’adeguamento non potrà limitarsi a un adempimento puramente formale, ma richiederà un modello organizzativo capace di integrare tecnologia, governance, sicurezza e comunicazione. La violazione potrà comportare cospicue sanzioni secondo il quadro sanzionatorio europeo e nazionale e in relazione alla specifica violazione.

Rimangono comunque salde in capo agli Enti Pubblici una serie di norme coordinate che definiscono obblighi, responsabilità e forme di trasparenza così come pure la L.241/1990 sul procedimento amministrativo e il Dlgs.33/2013 sulla trasparenza.

Ultimo aggiornamento: 15 ottobre 2026