AI Act nei Comuni, divieti e obblighi già operativi per la PA

Immaginate la telecamera all’ingresso della ZTL del vostro comune. Non si limita a fotografare le targhe: le confronta in tempo reale con banche dati, decide chi può entrare, genera automaticamente la proposta di verbale. È un sistema di intelligenza artificiale e dal 1 agosto 2024 è soggetto al Regolamento (UE) 2024/1689, meglio noto come AI Act.

Lo stesso vale per il software che aiuta i servizi sociali a stabilire la priorità degli interventi sulle famiglie in difficoltà per il chatbot del portale comunale che risponde alle domande dei cittadini, per il sistema che ottimizza i turni della raccolta rifiuti in base ai dati storici. Tutte queste applicazioni – spesso acquistate come parte di pacchetti software più ampi, senza che nessuno in Comune abbia mai pronunciato la parola “intelligenza artificiale” – sono oggi regolate da una delle leggi più importanti mai prodotte dall’Unione Europea in materia digitale.

Eppure, secondo i dati dell’Osservatorio Smart City del Politecnico di Milano, solo il 7% dei Comuni italiani ha consapevolezza di stare usando sistemi AI. Gli altri li usano, ma non lo sanno. Ed è proprio questo il primo problema.

AI Act Comuni, i quattro livelli di rischio

L’AI Act non vieta l’intelligenza artificiale. La regolamenta in base al rischio che comporta; lo schema è semplice: più il sistema AI può danneggiare i diritti fondamentali delle persone, più stringenti sono le regole a cui deve sottostare.

Il Regolamento distingue quattro categorie: i sistemi a rischio minimo (come i filtri antispam) sono praticamente liberi; i sistemi soggetti a obblighi di trasparenza (come i chatbot) devono dichiarare di essere AI; i sistemi ad alto rischio – quelli usati in settori critici come i servizi sociali, l’istruzione o la videosorveglianza – devono rispettare un insieme articolato di requisiti tecnici e organizzativi; infine, alcune pratiche sono semplicemente vietate, senza eccezioni.

Per un Comune, le categorie che contano davvero sono la seconda e la quarta, in quanto investono molti sw già in uso, mentre alcuni obblighi di trasparenza e i divieti assoluti, sono già in vigore.

Cosa è già vietato dal 2 febbraio 2025

I divieti assoluti dell’AI Act sono operativi dal 2 febbraio 2025. Non ci sono proroghe, non ci sono eccezioni per gli enti pubblici. Chi viola queste norme rischia sanzioni fino a 35 milioni di euro o al 7% del fatturato mondiale annuo dell’operatore coinvolto.

I divieti più rilevanti per un Comune sono tre.

Scoring sociale e classificazione dei cittadini

Il primo riguarda i sistemi di scoring sociale: è vietato usare l’AI per assegnare punteggi ai cittadini in base al loro comportamento generale, per poi trattarli in modo deteriore in contesti non correlati. L’esempio tipico è il sistema cinese di “credito sociale”, ma il principio si applica a qualsiasi sistema che classifichi le persone su base reputazionale.

Categorizzazione biometrica e dati sensibili

Il secondo divieto, forse meno intuitivo, riguarda i sistemi di categorizzazione biometrica: non si possono usare algoritmi per classificare le persone in base a caratteristiche sensibili come la razza, le opinioni politiche o la religione, nemmeno per finalità apparentemente neutre come il monitoraggio demografico.

Riconoscimento facciale negli spazi pubblici

Il terzo – e più delicato per i Comuni che hanno investito in videosorveglianza intelligente – riguarda il riconoscimento facciale in tempo reale negli spazi pubblici a fini di sicurezza. Telecamere che identificano le persone in diretta, confrontandone i volti con banche dati di sospettati, sono vietate. Il decreto italiano attuativo della legge 132/2025, approvato in via preliminare dal Consiglio dei Ministri il 10 giugno 2026 ed attualmente all’esame del Senato (atto del Governo n. 418), prevede eccezioni molto limitate (ricerca di minori scomparsi, prevenzione di attacchi terroristici imminenti), ma richiede in ogni caso un’autorizzazione del giudice, con area delimitata e durata massima di 15 giorni; il decreto inoltre introduce un nuovo reato penale per l’omessa adozione di misure di sicurezza adeguate nell’uso di sistemi AI ad alto rischio.

Legge 132/2025 e decreti di giugno 2026

Accanto al Regolamento europeo, i Comuni devono fare i conti anche con la normativa nazionale. L’Italia è stata la prima grande nazione europea a dotarsi di una legge organica sull’AI: la legge 23 settembre 2025, n. 132, in vigore dal 12 ottobre 2025.

Per le pubbliche amministrazioni, la legge fissa un principio fondamentale: l’AI deve restare uno strumento a supporto del funzionario, il quale resta l’unico responsabile dei provvedimenti e dei procedimenti in cui sia stata utilizzata l’intelligenza artificiale. In altri termini, il Comune non può nascondersi dietro l’algoritmo: se un sistema AI produce una decisione sbagliata o discriminatoria, la responsabilità ricade comunque sul funzionario che l’ha adottata senza esercitare un controllo critico.

Il 10 giugno 2026, il Consiglio dei Ministri ha approvato in via preliminare non solo il decreto attuativo della legge 132/2025 l’uso dell’AI nella pubblica sicurezza – con le regole sul riconoscimento facciale menzionate sopra -, ma anche il decreto che definisce le autorità nazionali competenti: l’Agenzia per la Cybersicurezza Nazionale (ACN) come autorità di vigilanza del mercato, e AgID come autorità di notifica.

Scadenze AI Act per i Comuni

Una delle fonti di maggiore confusione sul tema è la sovrapposizione di scadenze diverse. Ecco il calendario sintetico che ogni Comune dovrebbe tenere sul tavolo.

• 2 febbraio 2025 (già in vigore): divieti assoluti dell’art. 5 e obblighi di formazione del personale sull’AI (art. 4). Nessuna proroga.
• 2 agosto 2025 (già in vigore): regole per i grandi modelli AI (come ChatGPT o Gemini) e regime sanzionatorio europeo.
• Ottobre 2025 (già in vigore): legge italiana 132/2025, con obblighi di trasparenza e tracciabilità per le PA.
• Obblighi di trasparenza dell’articolo 50 dell’AI Act, operativi dal 2 agosto 2026, data di applicazione generale del regolamento 2024/1689 prevista dall’art. 113.
• 2 dicembre 2027 (nuova scadenza dopo Digital Omnibus): obblighi per i sistemi AI ad alto rischio di cui all’Allegato III del Regolamento. È la scadenza più importante per la maggior parte dei Comuni.

Quest’ultima data – il 2 dicembre 2027 – merita un chiarimento. L’accordo provvisorio del 7 maggio 2026 tra Parlamento e Consiglio europeo, noto come Digital Omnibus, ha spostato in avanti di circa 16 mesi la scadenza originaria del 2 agosto 2026. Non è una sanatoria: è tempo per adeguarsi. Chi usa questi 16 mesi per non fare nulla rischia di arrivare alla scadenza impreparato, con sistemi non conformi che nel frattempo avranno già prodotto decisioni potenzialmente illegittime.

Trasparenza dei contenuti generati dall’AI

Con riferimento agli obblighi di trasparenza che entreranno in vigore a breve, la Commissione europea ha pubblicato il 10 giugno 2026 un codice di condotta sulla trasparenza dei contenuti generati dall’AI, il codice è volontario e propone una serie di icone utili da adottare per i deployer, tra cui anche la PA.

Si tratta di icone messe a disposizione del pubblico affinché tutti possano utilizzarle liberamente, senza che sia necessario attribuirle alla Commissione o all’ufficio per l’IA, la cui diffusione ed il cui uso uniforme certamente potranno portare chiarezza nell’utilizzo dell’intelligenza artificiale anche nel settore pubblico

Riferimenti normativi: Reg. (UE) 2024/1689 (AI Act), artt. 5, 4, 113; L. 23 settembre 2025, n. 132; Decreti attuativi CdM 10 giugno 2026; Accordo provvisorio Digital Omnibus, 7 maggio 2026.