AI nella PA: Guida del Garante su addestramento dei modelli

L’integrazione dell’intelligenza artificiale (AI) nelle attività delle pubbliche amministrazioni è un tema di crescente rilevanza, non solo per l’efficienza operativa, ma anche per le implicazioni sulla protezione dei dati personali.
Un recente parere del Garante per la protezione dei dati personali, reso alla Provincia autonoma di Trento il 7 ottobre 2026, offre una guida fondamentale per tutte le amministrazioni che intendono intraprendere questo percorso.

Le basi normative e le sfide della governance

Il quadro di riferimento è delineato dalla Legge 23 settembre 2025, n. 132, che abilita le amministrazioni a utilizzare l’IA per ottimizzare i servizi e ridurre i tempi dei procedimenti. Tuttavia, l’uso di tali strumenti deve avvenire in funzione strumentale e di supporto, mantenendo l’autonomia e la responsabilità della persona umana.

Il caso della Provincia di Trento è emblematico: l’amministrazione intende addestrare un software basato sul “Protocollo Informatico Trentino” (P.I.Tre), il sistema di protocollazione e gestione documentale. Sebbene la normativa non obblighi a passare preventivamente dal Garante, la scelta di farlo ha generato un parere ricco di indicazioni metodologiche.

Le condizioni per l’addestramento dei modelli

Il Garante ha espresso un parere favorevole, ma ha posto due condizioni essenziali che ogni amministrazione deve rispettare:

1. La fonte di rango adeguato: Non è sufficiente una valutazione d’impatto o una policy interna.
Per addestrare un modello su dati personali, gli elementi essenziali del trattamento (quali dati, quali operazioni, quale interesse pubblico) devono essere fissati in una fonte di rango adeguato.

– Per i dati comuni, può bastare un atto amministrativo generale (delibera o determinazione).

– Le categorie particolari di dati (art. 9 GDPR), richiedono un atto amministrativo che deve essere molto specifico, indicando tipi di dati, operazioni e misure di tutela.

– Trattando i dati relativi a condanne penali e reati, l’atto amministrativo generale non è sufficiente: occorre una norma di legge o di regolamento.

2. L’effettività dei diritti di cancellazione: un problema critico riguarda il “diritto all’oblio“.
Se un cittadino chiede la cancellazione di un dato, l’amministrazione può rimuoverlo dal documento sorgente, ma il modello di IA già addestrato potrebbe aver già “assorbito” quell’informazione nei suoi parametri.

Il Garante richiede che il regolamento preveda misure che rendano certi ed effettivi i diritti di rettifica e cancellazione anche sui parametri del modello già consolidato.

Dalla compliance alla governance dei dati

Il “caso trentino” segna un passaggio fondamentale: dalla semplice conformità documentale alla vera governance dei dati.

Non basta più avere una valutazione d’impatto e una clausola di sorveglianza umana; la fonte del diritto deve diventare un requisito di progettazione.

In sintesi, le amministrazioni devono assicurarsi che chi redige il regolamento comprenda cosa il modello faccia dei dati e che chi progetta il sistema sappia quale fonte autorizzi tale utilizzo.
Solo così si può evitare che le garanzie tecniche siano solide mentre le basi giuridiche restano fragili.

Actainfo sviluppa soluzioni e servizi di intelligenza artificiale in saas private cloud che operano esclusivamente all’interno del perimetro informatico del cliente, garantendo una perfetta aderenza al quadro normativo vigente (GDPR, AI Act).

Per informazioni è possibile contattare lo staff di Actainfo tramite la pagina ufficiale:
https://www.actainfo.it/ai-servizi-intelligenza-artificiale/

Elaborato da intelligenza artificiale ActyAI
https://www.actyai.it/
supervisionato da Redazione Actainfo