Quando si parla di decisioni pubbliche automatizzate, la mente corre all’Intelligenza Artificiale generativa, ma i casi più istruttivi, quello canadese di Chinook, il supporto informatico per velocizzare l’esame delle domande di visto temporaneo, permesso di studio e permesso di lavoro, e quello italiano sulla mobilità dei docenti neoassunti nell’ambito del piano previsto dalla legge 107/2015, la cosiddetta Buona Scuola, non hanno niente a che fare con reti neurali o modelli linguistici: sono un foglio Excel con macro e un algoritmo di assegnazione punteggio-sede.
È un dettaglio che non sminuisce il problema, anzi lo mette a fuoco meglio. Sia la Directive on Automated Decision-Making canadese del 2019 sia, sette anni dopo, l’articolo 14 della Legge 132/2025 non parlano di “intelligenza artificiale” in senso stretto, ma della categoria più ampia dei sistemi automatizzati di supporto alla decisione, di cui l’IA generativa è solo l’incarnazione più recente e più visibile. Il problema di fondo, cioè come impedire che un algoritmo comprato o sviluppato con soldi pubblici decida della vita delle persone senza che nessuno ne capisca il funzionamento, resta identico che si tratti di un modello linguistico o di un foglio elettronico.
Indice degli argomenti
Canada e Italia davanti agli algoritmi negli appalti pubblici
Il Canada ha percorso la via normativa, con una direttiva che oggi ha più di sette anni di applicazione. L’Italia ha intrapreso inizialmente quella giudiziaria, partendo da un caso che ha fatto scuola (alla lettera) prima ancora che esistesse una legge sull’intelligenza artificiale. Ma il confronto, a guardarlo da vicino, è meno impari di quanto sembri: entrambi i Paesi hanno norme e sentenze di protezione, ed entrambi hanno lo stesso punto cieco, quello della classificazione degli strumenti, che permette alle amministrazioni di restare fuori dal perimetro delle regole più severe.
L’Algorithmic Impact Assessment nel procurement canadese
La Directive on Automated Decision-Making si basa su un principio semplice da enunciare e complicato da applicare: prima di sviluppare o acquistare un sistema automatizzato destinato a supportare decisioni amministrative, l’ente federale deve completare una Algorithmic Impact Assessment (AIA), un questionario strutturato di 65 domande sul rischio e 41 sulla mitigazione, che classifica il sistema su quattro livelli di impatto crescente e determina di conseguenza gli obblighi di trasparenza, revisione paritaria, controllo umano e, per i livelli più alti, audit indipendente.
La parte interessante per chi si occupa di appalti è che l’AIA non è un adempimento a latere della procedura di acquisto, ma è integrata nel ciclo di vita del procurement stesso: il fornitore è contrattualmente obbligato a fornire documentazione dettagliata e dati di monitoraggio, e i risultati della valutazione devono confluire negli atti di gestione del progetto, compresi i capitolati. Il risultato finale va pubblicato online in formato accessibile, e chiunque, non solo il ricorrente in un contenzioso, può oggi consultare le AIA già completate dai ministeri canadesi.
Attenzione, però: la Directive non è una legge del Parlamento, ma una direttiva del Tesoro, e si applica solo agli enti federali. L’AIDA, la Artificial Intelligence and Data Act che avrebbe dovuto fare del Canada uno dei primi Paesi al mondo a dotarsi di una legge organica sull’IA, è morta senza clamore il 6 gennaio 2025, travolta dalla proroga del Parlamento seguita alle dimissioni di Justin Trudeau. Il neo ministro per l’Intelligenza Artificiale e l’Innovazione Digitale, Evan Solomon, ha già chiuso la porta a un ritorno dell’AIDA nella sua forma originaria, promettendo per il futuro una regolamentazione “light, tight, right”, ovvero “leggera, rigorosa e giusta.”
Risultato: il Canada, oggi, naviga a vista tra direttive settoriali (come la Directive per la pubblica amministrazione federale) e iniziative provinciali sparse, mentre il resto del mondo continua a citare il Paese della Foglia d’acero, erroneamente, come modello di un AI Act che non esiste e non è nemmeno in calendario.
Il Canada, quindi, ad oggi, ha solo una direttiva amministrativa settoriale, per quanto matura, e nient’altro. Lo stesso questionario dell’AIA, per inciso, avverte i funzionari che la compilano di verificare preventivamente eventuali clausole di segreto industriale nei contratti di fornitura, perché queste possono limitare la capacità del dipartimento di accedere e testare i sistemi proprietari dei fornitori privati.
È un’ammissione scomoda, ma onesta: anche nel modello canadese, il diritto del pubblico a sapere come funziona un algoritmo si scontra con la proprietà intellettuale di chi lo ha venduto.
Chinook e il confine tra decisioni algoritmiche e mero supporto
Torniamo alla storia, istruttiva, di Chinook, il foglio di calcolo Excel sviluppato internamente da Immigration, Refugees and Citizenship Canada (IRCC), a partire dal 2018, per velocizzare l’esame delle domande di visto temporaneo, permesso di studio e permesso di lavoro.
Il foglio elettronico aggrega dati già presenti nel sistema informativo dell’immigrazione, il GCMS (Global Case Management System) dell’IRCC, e li presenta in forma sintetica, permettendo a un funzionario di esaminare centinaia di pratiche nello stesso turno di lavoro.
Secondo la Canadian Immigration Lawyers Association, un singolo funzionario che utilizza Chinook può arrivare a trattare fino a mille domande contemporaneamente.
Il punto è che l’agenzia ha classificato Chinook come un semplice strumento “per semplificare la rappresentazione visiva delle informazioni del cliente”, senza “algoritmi di decisione integrati” e quindi non come un sistema che partecipa alla decisione. È la stessa distinzione, sistema decisionale contro strumento di mero supporto, che ritroveremo identica nella giurisprudenza italiana.
Rifiuti standardizzati e ricorsi alla Corte federale
Sottratto alla valutazione di impatto algoritmico, Chinook è diventato un problema anche per l’opinione pubblica quando, tra il 2020 e il 2021, giuristi e giornalisti hanno notato un’impennata anomala dei rifiuti tra i richiedenti visto africani francofoni, con motivazioni standardizzate che in diversi casi non reggevano al confronto con la documentazione in atti.
La TV pubblica canadese CBC ha raccolto la testimonianza di una ex funzionaria dell’immigrazione, oggi consulente, che descrive un rifiuto di permesso di lavoro motivato dalla presunta mancanza di documentazione sul rapporto di impiego, quando in realtà l’incartamento ne conteneva diversi. Da allora la Corte federale canadese è stata investita di un flusso crescente di ricorsi.
In un caso, il giudice ha ammesso agli atti una perizia di 1.105 pagine sul funzionamento tecnico di Chinook, e ha stabilito che la presunzione secondo cui il funzionario ha esaminato tutte le prove non può essere superata, in un procedimento gestito con Chinook, senza prova contraria.
In un altro caso, la Corte federale ha annullato un rifiuto perché il funzionario aveva liquidato come “insufficiente” una documentazione finanziaria dettagliata senza spiegare il perché, un difetto di motivazione tipico del linguaggio precompilato che Chinook mette a disposizione degli ufficiali.
Nonostante la marea di ricorsi, però, il problema non è stato risolto, ma solo parzialmente mitigato.
Le correzioni dell’IRCC e la sostituzione di Chinook
Dal 2025 IRCC allega alle lettere di rifiuto le note dell’ufficiale che motivano la decisione, informazione che prima era accessibile solo tramite richiesta di accesso all’informazione o in sede di contenzioso. L’agenzia ha inoltre commissionato ad Accenture lo sviluppo di un nuovo strumento su piattaforma cloud, per circa 1,8 milioni di dollari canadesi, destinato a sostituire il foglio Excel. La transizione però non è completata, e i ricorsi in Corte federale sono continuati ad arrivare anche nel 2025 e nel 2026.
Per capire la scala del problema, vale la pena ricordare i volumi in gioco. Il Canada gestisce ogni anno milioni di pratiche di immigrazione: solo tra gennaio e ottobre 2023 l’IRCC ne ha processate oltre 6,2 milioni tra residenza permanente, residenza temporanea e cittadinanza, e l’inventario in coda supera stabilmente i 2 milioni di fascicoli.
Chinook interviene sulla fetta più consistente di questo flusso, ovvero le domande di residenza temporanea. Chi, come chi scrive, è arrivato in Canada prima del marzo 2018, quando Chinook è stato distribuito per la prima volta, ha attraversato un sistema diverso: la propria pratica è passata interamente attraverso il GCMS, esaminata schermata per schermata da un funzionario, senza lo strumento di visualizzazione aggregata e senza il generatore di note precompilate per i rifiuti.
L’Italia e gli algoritmi negli appalti pubblici: dai giudici alla legge
L’Italia non aveva, fino all’autunno scorso, una legge organica sull’IA. Aveva però un precedente giurisprudenziale che, con il senno di poi, anticipava quasi tutti i principi che oggi si discutono a livello europeo, e aveva anche, va detto, un obbligo di valutazione preventiva che raramente viene associato al tema: la Data Protection Impact Assessment (DPIA) prevista dall’articolo 35 del GDPR, in vigore in tutta l’Unione europea dal 2018.
La norma impone al titolare del trattamento di svolgere una valutazione d’impatto, prima di avviare il trattamento, ogni volta che un sistema basato su elaborazione automatizzata, compresa la profilazione, fonda decisioni con effetti giuridici sulle persone fisiche. È un obbligo generale di privacy, non specifico per gli appalti pubblici né per l’IA, ma è comunque una valutazione ex ante, vigilata dal Garante per la protezione dei dati personali, che l’Italia (come ogni Stato membro) ha da prima ancora che il Canada varasse la propria direttiva.
La mobilità dei docenti e il precedente della Buona Scuola
Il precedente giurisprudenziale vero e proprio nasce nel 2016, quando il Ministero dell’Istruzione, dell’Università e della Ricerca, come ricordato, affidò a un algoritmo l’intera procedura di mobilità nazionale straordinaria dei docenti neoassunti nell’ambito del piano previsto dalla legge sulla Buona Scuola. L’algoritmo assegnò le sedi ignorando in molti casi le preferenze espresse, spedendo insegnanti a centinaia di chilometri da casa mentre colleghi con punteggio inferiore ottenevano sedi più vicine, senza alcuna motivazione accessibile.
A far emergere il problema fu anche la pressione sindacale, che costrinse il ministero a rendere conto del “disservizio”.
Già nel 2017, il TAR Lazio ordinava la pubblicazione dell’algoritmo, e nel 2018 definiva la delega automatizzata totale un “metodo orwelliano” contrario alla Costituzione e alla Convenzione Europea per i Diritti dell’Uomo.
Visione confermata dal Consiglio di Stato, secondo il quale mancava nella fattispecie “una vera e propria attività amministrativa”, essendosi demandato a un algoritmo impersonale lo svolgimento dell’intera procedura.
Nel 2019, i giudici di Palazzo Spada fissarono in modo compiuto i criteri che oggi orientano tutta la materia: strumentalità del ricorso al mezzo informatico rispetto all’attività amministrativa, conoscibilità e comprensibilità dell’algoritmo, imputabilità della decisione a un soggetto responsabile e divieto di discriminazione algoritmica.
Codice sorgente e trasparenza dell’algoritmo
Anche qui, con un caveat: il diritto alla piena conoscibilità dell’algoritmo, incluso l’accesso al codice sorgente, non è affatto pacifico nella giurisprudenza italiana, ed è soggetto esattamente allo stesso gioco di classificazione visto con Chinook.
In un caso relativo al software usato per un concorso pubblico per dirigenti scolastici e sviluppato dal CINECA (il Consorzio interuniversitario che fornisce servizi informatici al ministero), il Consiglio di Stato, nel 2020, ha negato l’accesso integrale al codice sorgente, perché avrebbe arrecato un grave pregiudizio sia alla riservatezza della procedura concorsuale, sia al diritto di proprietà intellettuale del produttore del software.
La giurisprudenza successiva ha chiarito che il principio di piena conoscibilità si applica con rigore solo alla “decisione amministrativa algoritmica” in senso stretto, cioè quando l’algoritmo sostituisce integralmente la valutazione umana, mentre le decisioni che si avvalgono di un “algoritmo di mero supporto” restano ancorate al fattore umano e godono di garanzie di trasparenza più deboli. È la stessa linea di confine, decisione contro supporto, che ha permesso a Chinook di restare fuori dal perimetro della direttiva canadese: cambia il continente, cambia la lingua, ma la scappatoia amministrativa è identica.
Dalla giurisprudenza alla Legge 132/2025
Sono comunque questi principi, quelli enunciati dal Consiglio di Stato tra il 2018 e il 2019, che ritroviamo quasi parola per parola nell’articolo 14 della Legge 132/2025, la prima normativa organica italiana sull’IA, entrata in vigore il 10 ottobre 2025.
La norma stabilisce che l’uso dell’IA nella pubblica amministrazione deve avvenire “in funzione strumentale e di supporto all’attività provvedimentale, nel rispetto dell’autonomia e del potere decisionale della persona che resta l’unica responsabile dei provvedimenti”, e impone alle amministrazioni di adottare misure tecniche, organizzative e formative per garantirne un utilizzo responsabile. È, in sostanza, la codificazione a posteriori di una giurisprudenza nata da un caso di scuola, quello della mobilità docenti, diventato paradigma, ma senza (almeno per ora) un equivalente della Algorithmic Impact Assessment canadese specificamente calibrato sugli appalti pubblici.
AI Act e appalti pubblici: le regole europee sugli algoritmi
Il confronto tra i due Paesi non sarebbe, poi, completo senza considerare l’AI Act, che si applica in Italia indipendentemente dalla Legge 132/2025 e che quest’ultima esplicitamente non sostituisce, ma integra.
L’AI Act considera “ad alto rischio” i sistemi di IA destinati a essere usati dalle autorità pubbliche nel contesto della migrazione, dell’asilo e della gestione delle frontiere, oltre a quelli utilizzati per l’accesso a servizi pubblici essenziali e prestazioni sociali. Per questi sistemi, l’AI Act impone obblighi ben più stringenti di quelli della sola legge nazionale: un sistema di gestione del rischio, la governance dei dati, documentazione tecnica dettagliata, sorveglianza umana effettiva, registrazione in una banca dati europea pubblica e monitoraggio successivo all’immissione sul mercato.
È una cornice sovranazionale che il Canada, non facendo parte dell’Unione europea e senza aver approvato l’AIDA, semplicemente non ha, ed è anche il motivo per cui, paradossalmente, un ipotetico “Chinook italiano” per la gestione delle domande di asilo o permesso di soggiorno sarebbe oggi soggetto a una disciplina più severa di quella riservata al suo omologo canadese, sempre ammesso che anche in Italia non si tenti la stessa scappatoia della classificazione a basso rischio.
Decisioni algoritmiche pubbliche oltre Canada e Italia
Il Canada e l’Italia non sono casi isolati, e vale la pena ricordarlo perché il problema non è né una specificità nordamericana né un difetto tutto italiano.
Nei Paesi Bassi, il sistema System Risico Indicatie (SyRI), usato dal governo per incrociare dati di più amministrazioni e individuare potenziali frodi nei sussidi sociali nei quartieri più poveri, è stato dichiarato illegittimo nel febbraio 2020 dal tribunale distrettuale dell’Aia per violazione dell’articolo 8 della Convenzione europea dei diritti dell’uomo, che garantisce il diritto al rispetto della vita privata: la corte non è nemmeno riuscita a stabilire con certezza come funzionasse il modello di rischio, perché il governo non lo aveva reso pubblico né lo aveva prodotto in giudizio.
Robodebt e Ofqual: gli automatismi che hanno penalizzato i cittadini
In Australia, lo schema Robodebt, attivo dal 2015 al 2019, usava un algoritmo di incrocio dati fiscali e previdenziali per calcolare automaticamente presunti debiti dei percettori di sussidi ed emettere richieste di rimborso, spesso basate su medie di reddito statisticamente insostenibili.
Una commissione d’inchiesta lo ha definito “un meccanismo crudele e rozzo, né equo né legale”, collegandolo anche a casi di suicidio. Con l’ultimo accordo transattivo approvato dalla Corte federale australiana nel giugno 2026, il costo complessivo per lo Stato tra rimborsi e risarcimenti ha superato i 2,4 miliardi di dollari australiani.
Nel Regno Unito, l’algoritmo che nell’agosto 2020 l’ente regolatore Ofqual utilizzò per calcolare i voti di maturità al posto degli esami cancellati per la pandemia penalizzò sistematicamente gli studenti delle scuole pubbliche rispetto a quelli delle scuole private, per un difetto statistico legato alle classi più piccole (più comuni nel settore privato).
La protesta pubblica costrinse il governo a un clamoroso dietrofront in pochi giorni, con il primo ministro Boris Johnson pronto a bollare il sistema come un “algoritmo mutante”.
Post Office Horizon ed EVAAS: il peso del software proprietario
Sempre nel Regno Unito, ma su un piano diverso, lo scandalo Post Office Horizon dimostra che il problema non riguarda nemmeno solo l’IA o gli algoritmi decisionali in senso proprio: un banale software di contabilità sviluppato da Fujitsu per gli uffici postali, afflitto da bug noti all’azienda, portò tra il 1999 e il 2015 alla condanna ingiusta di oltre 900 direttori di ufficio postale per furto e falso in bilancio, sulla sola base di ammanchi di cassa che il software segnalava erroneamente.
È il caso più estremo di fiducia cieca in un output informatico, ed è avvenuto senza che ci fosse alcuna IA di mezzo.
Negli Stati Uniti, infine, il caso Houston Federation of Teachers c. Houston Independent School District, nel 2017, riguardava l’EVAAS, un modello proprietario sviluppato dall’azienda SAS per valutare le performance dei docenti sulla base dei punteggi degli studenti nei test standardizzati, usato per decidere licenziamenti e bonus. La corte federale del Texas stabilì che l’impossibilità per gli insegnanti di verificare o contestare il calcolo dei propri punteggi, protetti da segreto industriale, violava il diritto al giusto processo garantito dal Quattordicesimo Emendamento. Il distretto scolastico, di fronte alla causa, scelse di chiudere il contratto con il fornitore e abbandonare il sistema.
Algoritmi negli appalti pubblici: classificazione e proprietà intellettuale
Analizzati cumulativamente, questi casi non raccontano una gara tra Paesi virtuosi e Paesi in ritardo.
Raccontano due punti deboli strutturali che si ripresentano ovunque, a prescindere dalla tradizione giuridica e dal livello di maturità normativa.
Il primo è il gioco della classificazione: ogni amministrazione, quando può, definisce il proprio strumento come “mero supporto” o “strumento di visualizzazione” piuttosto che come sistema decisionale, per restare fuori dal perimetro delle regole più severe.
Il secondo è il conflitto irrisolto tra la conoscibilità dell’algoritmo, necessaria per contestarne le decisioni in giudizio, e la proprietà intellettuale del fornitore privato che lo ha sviluppato.
Né la Legge 132/2025 né la Directive canadese hanno, da sole, risolto questi due nodi.
Certo, l’Italia ha il GDPR dal 2018 e una giurisprudenza amministrativa robusta dal 2018-2019, oltre all’ombrello, oggi, dell’AI Act europeo per gli usi ad alto rischio; il Canada ha una direttiva di comparto più matura, ma nessuna legge organica sull’intelligenza artificiale dopo il naufragio dell’AIDA.
Il problema degli appalti pubblici che comprano algoritmi, in definitiva, non si misura tanto in anni di anticipo normativo, quanto nella capacità, che nessuno dei due Paesi ha ancora pienamente dimostrato, di impedire che un fornitore privato e un’amministrazione pubblica si accordino, anche solo implicitamente, su come chiamare lo strumento che stanno acquistando.
Partecipa alla community