Con la Determinazione n. 169 del 9 Novembre 2026, l’Agenzia per l’Italia Digitale (AgID) ha adottato le Linee Guida definitive per l’adozione dell’intelligenza artificiale nella Pubblica Amministrazione, emanate secondo la procedura prevista dall’articolo 71 del Codice dell’Amministrazione Digitale e nell’ambito del Piano Triennale per l’Informatica nella PA 2024-2026.

Il documento introduce un quadro organico di prescrizioni organizzative, tecniche e di conformità normativa che le amministrazioni devono considerare nell’introduzione e nell’utilizzo dei sistemi di IA, anche quando acquisiti da fornitori esterni.

Le Linee Guida richiedono innanzitutto alle amministrazioni di definire una strategia per l’IA, coerente con le proprie funzioni istituzionali, con il Piano integrato di attività e organizzazione (PIAO) e con la strategia di governo dei dati. La strategia deve individuare obiettivi, ambiti di applicazione, risorse e misure di trasparenza. Ogni progetto deve inoltre essere accompagnato dall’identificazione dei requisiti, dalla valutazione dei rischi e dalla definizione di indicatori per misurare efficacia, affidabilità e impatto organizzativo dei sistemi. L’impostazione segue un modello di miglioramento continuo, ispirato al ciclo Plan-Do-Check-Act e allo standard ISO/IEC 42001, da applicare in modo proporzionato alle caratteristiche e alla complessità delle soluzioni adottate.

Sul piano delle responsabilità, il coordinamento della governance dell’IA è affidato al Responsabile per la Transizione Digitale (RTD) e al relativo Ufficio, con il coinvolgimento del Responsabile della protezione dei dati (RPD) e dei referenti per la cybersicurezza. Le amministrazioni caratterizzate da un utilizzo particolarmente intenso dell’IA possono inoltre individuare un Responsabile dell’Intelligenza Artificiale dedicato. È richiesta l’adozione di procedure per disciplinare lo sviluppo, l’impiego e il monitoraggio dei sistemi, mentre la predisposizione di uno specifico codice etico e di condotta costituisce una misura facoltativa, sebbene raccomandata.

Particolare rilievo assumono gli adempimenti in materia di protezione dei dati personali, sicurezza informatica e tutela dei diritti fondamentali. Le amministrazioni devono verificare la liceità dei trattamenti, la qualità e la provenienza dei dati, le modalità di utilizzo delle informazioni personali e gli eventuali trasferimenti verso Paesi terzi. Devono inoltre effettuare le valutazioni d’impatto richieste dal GDPR e, nei casi previsti dall’AI Act, quelle sui diritti fondamentali, assicurando adeguati meccanismi di sorveglianza umana. La sicurezza deve comprendere anche i rischi specifici dell’IA, quali la manipolazione dei dati di addestramento, gli attacchi ai modelli e l’estrazione non autorizzata di informazioni.

Le implicazioni operative riguardano direttamente anche le imprese che sviluppano o forniscono sistemi di IA alle pubbliche amministrazioni. Gli enti dovranno poter acquisire e verificare la documentazione tecnica, le caratteristiche di sicurezza, le modalità di funzionamento e le evidenze necessarie a dimostrare la conformità delle soluzioni, anche attraverso controlli successivi alla loro introduzione. Per amministrazioni e fornitori diventa quindi essenziale definire con chiarezza responsabilità, requisiti di sicurezza, modalità di sorveglianza, obblighi informativi e strumenti di verifica lungo l’intero ciclo di vita dei sistemi.

Le Linee Guida distinguono espressamente tra requisiti obbligatori, divieti e raccomandazioni. La loro adozione rappresenta pertanto un passaggio rilevante verso una governance dell’IA nella PA strutturata, documentabile e sottoposta a verifiche continuative, destinata a incidere tanto sull’organizzazione interna quanto sulle modalità di acquisizione e gestione delle tecnologie.