Il problema dei dati della PA italiana non è più solo che mancano. È che spesso ci sono, ma pubblicati per un utente che naviga e non per un sistema che li interroga. Con gli agenti AI questa distanza diventa un costo. E aprire le API senza governarle rischia di spostare il problema, non di risolverlo.
C’è un dato pubblico. Lo vedi benissimo: una mappa colorata, una tabella che scorre, un filtro per anno e uno per territorio. Cerchi il tasto “Scarica”. Non c’è.
A quel punto le strade sono due. La prima è ricopiare a mano. La seconda è aprire gli strumenti per sviluppatori del browser e cercare, nel traffico di rete, la chiamata nascosta che alimenta la pagina. Chi lavora con i dati pubblici italiani conosce bene la seconda strada. Le community civic tech, come onData, ci hanno costruito sopra anni di lavoro: scraping, API non documentate scovate dietro le interfacce, dataset “liberati” e ripubblicati in formato riusabile.
Attenzione però: non stiamo parlando dell’ente che i dati non li pubblica. Quello è un altro problema, con altre cause. Qui parliamo del caso più frequente e più subdolo: l’ente che i dati li pubblica, ma li pubblica male.
Indice degli argomenti
Open data PA: dati visibili, ma difficili da riutilizzare
Negli ultimi anni molte amministrazioni hanno investito in sistemi di pubblicazione pensati per un utente umano: entra nel sito, naviga la piattaforma, clicca, visualizza. Dashboard, mappe interattive, tabelle filtrabili. Strumenti spesso belli, a volte anche utili.
Il limite è nel presupposto. Questi sistemi danno per scontato che il destinatario del dato sia una persona davanti a uno schermo. Ma chi riusa davvero i dati pubblici, un’impresa che costruisce un servizio, un ricercatore, un giornalista, un altro ente, raramente vuole guardare. Vuole interrogare, incrociare, aggiornare in automatico. Vuole che il dato arrivi nel suo sistema senza passare dalle sue mani.
Quando questo non è possibile, il riuso non si ferma: diventa artigianale, fragile e costoso. Lo scraper funziona finché qualcuno non cambia il layout della pagina. L’API nascosta funziona finché qualcuno non la sposta. E l’ente, nel frattempo, non sa nemmeno di avere degli utenti.
I cinque livelli di maturità degli open data PA
Per uscire dalla logica del “c’è o non c’è” serve una lente diversa. Proviamo a mettere in fila i modi in cui una PA rende disponibili i propri dati, dal meno al più maturo.
- Livello 1, visibile ma non scaricabile. Dashboard e mappe senza export. Il dato si guarda, non si usa.
- Livello 2, portale alimentato a mano. Esiste un portale open data, ma i dataset sono stati caricati una tantum, magari durante un progetto. Invecchiano subito e mantenerli costa più che averli pubblicati.
- Livello 3, portale alimentato dai sistemi. Il portale è la destinazione naturale dei processi che producono il dato. Si aggiorna perché i gestionali sono collegati, non perché qualcuno si ricorda di farlo.
- Livello 4, API pubbliche documentate. Il dato si interroga machine-to-machine, con una documentazione che permette a chiunque di usarlo senza fare reverse engineering.
- Livello 5, API governate. Le API hanno regole di accesso, limiti d’uso, monitoraggio del carico, versioning e un’organizzazione che le presidia nel tempo.
Il salto più importante non è tra il livello 1 e il 2, come spesso si pensa. È tra il 2 e il 3. Lì si capisce se l’ente ha un’organizzazione interna e una progettualità sui dati, oppure ha fatto un adempimento. Un portale alimentato a mano non è un sistema: è una fotografia che sbiadisce.
Dati di elevato valore: API e download nelle norme europee
Su questo punto il quadro normativo è più avanti di molte prassi. Le Linee guida AgID sull’apertura dei dati e il riutilizzo dell’informazione del settore pubblico, adottate con la Determinazione n. 183/2023, danno indicazioni su formati, modalità di pubblicazione, metadati e licenze, ma anche su organizzazione e qualità dei dati.
E poi ci sono i dati di elevato valore, introdotti dalla Direttiva (UE) 2019/1024 e puntualmente individuati dal Regolamento di esecuzione (UE) 2023/138: dati geospaziali, ambientali, meteorologici, statistici, sulle imprese e sulla mobilità. Dal 9 giugno 2024 devono essere disponibili gratuitamente come dati aperti, attraverso API e download in blocco.
Il legislatore europeo, insomma, ha già risposto alla domanda “per chi pubblichiamo?”. Per le macchine, oltre che per le persone. Il problema è che l’attuazione procede a velocità molto diverse tra Paesi e tra enti, e la stessa Commissione riconosce che non tutti hanno l’infrastruttura tecnica per farlo davvero.
Governance delle API: accessi, limiti e monitoraggio
Ed eccoci al punto meno raccontato. Aprire un accesso machine-to-machine non è come pubblicare un file. Un file scaricato una volta è servito. Un’API viene chiamata migliaia di volte, da sistemi che non conosci, con picchi che non prevedi.
Un ente che apre le proprie API deve quindi essere pronto a gestirle. Significa avere un’infrastruttura adeguata, la capacità di monitorare il carico sui server e le richieste, e soprattutto politiche di accesso chiare: registrazione degli utenti, token, limiti per singolo utilizzatore. Non per chiudere, ma per sapere chi usa cosa e quanto.
C’è un effetto di secondo ordine che vale la pena guardare in faccia. Un’API pubblicata senza governance funziona benissimo finché nessuno la usa. Il giorno in cui qualcuno la usa sul serio, il successo diventa il problema: il server rallenta, il servizio degrada anche per gli utenti umani, e la reazione istintiva dell’ente è la peggiore possibile, cioè restringere o spegnere. È come aprire una strada senza semafori e senza vigili, e poi stupirsi del traffico.
Pubblicare API ignorando che qualcuno, prima o poi, vorrà usarle non è apertura. È un rischio rimandato.
PDND e open data: il modello di accesso che manca
La buona notizia è che in Italia un modello di API governate esiste già, ed è in produzione. È la Piattaforma Digitale Nazionale Dati, nella sua componente di interoperabilità.
Il meccanismo è noto a chi lavora negli enti. L’erogatore pubblica un e-service nel catalogo, il fruitore chiede di usarlo, e l’accesso avviene tramite un voucher che vale per quel singolo fruitore, per quello specifico e-service e per un tempo limitato. L’erogatore, poi, imposta soglie massime di carico: se la stima di utilizzo supera la capacità della sua infrastruttura, serve la sua approvazione prima che il fruitore possa procedere.
Identità del chiamante, tracciamento, controllo del carico. È esattamente l’organizzazione che manca a tante API open data. Con una differenza sostanziale: la PDND è un sistema chiuso, pensato per lo scambio tra amministrazioni. Il cittadino, l’impresa, la startup, il ricercatore restano fuori.
Qui sta il vero vuoto del mondo dati della PA. Abbiamo un modello governato ma chiuso, per l’interoperabilità, e un modello aperto ma spesso non governato, per gli open data. Manca il pezzo in mezzo: un accesso aperto e gratuito, ma con regole minime. Per esempio un accesso anonimo con limiti bassi per chi prova, e un token gratuito con limiti più alti per chi costruisce servizi.
Il trade-off è reale, perché ogni registrazione è una piccola barriera. Ma è una barriera molto più bassa di uno scraper da riscrivere ogni tre mesi.
Agenti AI e MCP: come cambia il riuso dei dati pubblici
C’è un’ultima ragione per cui questo tema non può più aspettare. Fino a ieri il riusatore tipico era uno sviluppatore che scriveva codice per interrogare un’API. Oggi sempre più spesso è un agente AI che, attraverso protocolli come MCP, interroga le fonti dati per conto di una persona che ha fatto una domanda in linguaggio naturale.
Lavorando con i Comuni lo vedo ogni giorno: quando i dati sono raggiungibili in modo strutturato, come accade con esperienze come Cruscotto Italia, che espone via MCP indicatori su quasi ottomila comuni, un funzionario può ottenere in pochi minuti un quadro che prima richiedeva giorni di ricerca tra portali diversi. Il portale, in questo scenario, diventa secondario. Il vero prodotto è l’API.
Ma gli agenti hanno anche un’altra caratteristica: sono instancabili. Una domanda di una persona può tradursi in decine di chiamate. Moltiplicate per migliaia di utenti e capite perché la governance delle API non è un dettaglio tecnico da lasciare al fornitore. È una scelta strategica sul futuro della diffusione dei dati pubblici.
Open data PA: le azioni concrete per gli enti
Non serve un piano triennale per iniziare. Servono alcune domande oneste e qualche scelta concreta.
- Capire a che livello si è davvero. Prendere i dieci dataset più richiesti e collocarli sulla scala. Spesso la sorpresa è scoprire di essere al livello 1 proprio sui dati che interessano di più.
- Collegare il portale ai sistemi sorgente. Ogni dataset aggiornato a mano è un debito che cresce. Meglio pochi dati alimentati in automatico che molti dati fermi al giorno della pubblicazione.
- Mettere un export dietro ogni dashboard. Se un dato è abbastanza importante da essere visualizzato, è abbastanza importante da essere scaricabile.
- Partire dai dati di elevato valore. Sono già un obbligo e già richiedono API e download in blocco. Sono il banco di prova naturale.
- Decidere le regole prima che servano. Registrazione, token, limiti d’uso, monitoraggio. Da scrivere quando le API sono ancora tranquille, non quando il server è già in difficoltà.
- Ascoltare chi già riusa. Le community che fanno scraping dei vostri dati vi stanno dicendo, gratis, quali dati servono e in che forma. Conviene parlarci prima che il loro scraper si rompa.
Dalla pubblicazione al riuso: come valutare i dati pubblici
Per anni la domanda è stata: “abbiamo pubblicato i dati?”. È una domanda da adempimento, e a molte amministrazioni basta una pagina web per rispondere di sì.
La domanda che serve oggi è un’altra: chi può usare i nostri dati senza chiederci il permesso, quanti lo stanno facendo, e siamo pronti a reggerlo? Chi sa rispondere a queste tre cose ha un sistema di diffusione dei dati. Chi non sa rispondere ha una vetrina.
Le vetrine erano sufficienti quando l’utente era una persona che passava a guardare. Adesso l’utente è sempre più spesso una macchina che entra, interroga e torna mille volte. Conviene accorgersene prima che sia lei a bussare alla porta sbagliata.
Partecipa alla community