IA negli enti pubblici: privacy, sicurezza e responsabilità
Cosa un dipendente pubblico può fare con l'IA generativa e cosa deve evitare: protezione dei dati personali, sicurezza, trasparenza, responsabilità dell'atto e buone pratiche.
Alessandro Carenza · 8 min di lettura · aggiornata a giugno 2026
In sintesi
- Anche quando si usa l'IA, i dati personali trattati dalla PA restano soggetti al GDPR.
- Dell'atto rispondono sempre il funzionario e l'ente.
- Dati personali o riservati non vanno mai inseriti in strumenti non autorizzati.
- Prima di adottare lo strumento spesso serve una valutazione d'impatto (DPIA).
L'IA generativa può dare una mano al lavoro pubblico, ma deve rispettare regole precise: protezione dei dati, trasparenza, sicurezza e responsabilità umana. Qui riassumo cosa si può fare, cosa va evitato e quali principi vanno rispettati.
Nota: contenuto informativo, non sostituisce un parere legale o del DPO.
I quattro principi da rispettare
Protezione dei dati (GDPR)
I dati personali trattati dalla PA restano soggetti al GDPR anche quando si usa l'IA. Si applicano minimizzazione, base giuridica e misure di sicurezza. In molti casi, prima di introdurre lo strumento, è opportuna una valutazione d'impatto (DPIA).
Trasparenza
Il cittadino ha diritto a un'azione amministrativa comprensibile. L'IA non deve rendere opaco il procedimento: l'atto resta motivato e verificabile, e l'uso dello strumento deve essere tracciabile.
Responsabilità umana
Dell'atto rispondono sempre il funzionario e l'ente. L'IA è un supporto: non decide e non firma. Il principio di riferimento è il controllo umano significativo sull'output.
Sicurezza informatica
Bisogna valutare dove finiscono i dati inseriti, se vengono usati per addestrare i modelli e quali garanzie dà il fornitore. Sono da preferire strumenti con sede e trattamento conformi e con contratti chiari.
Cosa si può fare e cosa evitare
Da fare
- Usare l'IA per bozze, sintesi e riformulazioni, verificando poi sempre l'output.
- Anonimizzare o pseudonimizzare i dati prima di qualsiasi elaborazione.
- Usare solo strumenti approvati dall'ente, dopo averne verificato le condizioni d'uso.
- Documentare quando e come l'IA è stata usata in un procedimento.
- Controllare sulle fonti ufficiali ogni riferimento normativo e ogni dato.
Da evitare
- Inserire dati personali, sensibili o riservati in strumenti pubblici non autorizzati.
- Trattare l'output dell'IA come definitivo o giuridicamente certo.
- Affidare all'IA la decisione amministrativa o la firma dell'atto.
- Caricare interi fascicoli o documenti protetti su servizi non conformi.
Domande frequenti
- Un dipendente pubblico può usare ChatGPT per il lavoro?
- Sì, per attività di supporto come bozze, sintesi e riformulazioni. Non deve però inserire dati personali o riservati in strumenti non autorizzati e deve sempre verificare l'output. L'ente dovrebbe stabilire regole e strumenti ammessi.
- Si possono inserire dati personali dei cittadini nell'IA?
- No, non in strumenti pubblici non autorizzati. I dati personali si trattano solo con soluzioni conformi al GDPR, riducendo i dati al minimo e applicando misure di sicurezza adeguate.
- Chi è responsabile di un atto redatto con l'aiuto dell'IA?
- Il funzionario e l'ente. L'IA fornisce bozze o un supporto, ma la responsabilità della motivazione, della correttezza e della firma dell'atto resta sempre umana.
- Serve una valutazione d'impatto (DPIA) per usare l'IA nella PA?
- Spesso sì, quando il trattamento di dati personali presenta rischi elevati. La DPIA va valutata prima di introdurre lo strumento, insieme al Responsabile della protezione dei dati (DPO).
Questa guida riprende, in forma personale, quella pubblicata su IA Prompt Consulting: leggi la versione originale.