Il Garante chiede basi giuridiche precise e diritti effettivi anche dopo l’addestramento.
Di Michele Mavino
L’impiego dell’intelligenza artificiale nell’attività amministrativa richiede una disciplina capace di governare l’intero ciclo di vita dei sistemi, dalla selezione dei dati all’addestramento, fino al loro concreto utilizzo. È questa la prospettiva del parere n. 760 del 7 ottobre 2026, con il quale il Garante per la protezione dei dati personali si è pronunciato sullo schema di regolamento della Provincia autonoma di Trento, esprimendo un giudizio favorevole subordinato a specifiche modifiche.
Il provvedimento è interessante per tutti gli enti locali che intendono introdurre strumenti di IA nella gestione documentale e nei procedimenti amministrativi. Pur riguardando una disciplina provinciale, affronta questioni trasversali: l’adeguatezza delle fonti che regolano i trattamenti, il controllo umano e la possibilità di esercitare i diritti sui dati già utilizzati per addestrare un modello.
Il primo punto critico riguarda il ricorso a schede applicative approvate dalle singole strutture amministrative. Lo schema affidava a questi documenti la definizione di alcuni elementi essenziali dei trattamenti di categorie particolari di dati e di informazioni relative a condanne penali e reati. Il Garante considera insufficiente questa soluzione rispetto alle garanzie richieste dagli articoli 2-sexies e 2-octies del Codice privacy.
La distinzione è sostanziale. Una scheda interna può descrivere e rendere operativa una disciplina già compiutamente definita, ma non può assumere il ruolo della fonte chiamata a stabilire quali dati siano trattabili, per quali finalità e con quali garanzie. Per gli aspetti contestati, l’Autorità richiede una fonte di rango almeno regolamentare oppure, limitatamente alle categorie particolari di dati, un atto amministrativo generale della Provincia.
Per le amministrazioni emerge quindi un’indicazione precisa: la disponibilità di un archivio e l’utilità organizzativa di un progetto non consentono, da sole, di destinare i dati all’addestramento. Occorre verificare preventivamente il fondamento giuridico dell’operazione e delimitare il trattamento con il livello di specificità richiesto dalla natura delle informazioni coinvolte.
Il secondo rilievo affronta un problema tipico dell’intelligenza artificiale, cioè correggere o cancellare il dato originario potrebbe non incidere sul modello che lo ha già utilizzato. La valutazione d’impatto relativa al sistema di protocollazione e gestione documentale P.I.Tre evidenziava proprio questa possibile discontinuità. La modifica del documento alla fonte avrebbe potuto produrre effetti sui successivi cicli di addestramento, lasciando però invariati i parametri del modello già strutturato.
Il Garante ritiene necessario superare tale criticità, garantendo l’effettività dei diritti di rettifica e cancellazione e degli ulteriori diritti previsti dagli articoli 15-22 del GDPR. Il problema, dunque, deve essere affrontato nella progettazione del sistema. L’amministrazione deve poter dare seguito alle richieste degli interessati anche dopo l’addestramento, nei presupposti e nei limiti previsti dalla disciplina applicabile.
Questo passaggio ha conseguenze concrete anche sulla scelta dei fornitori. In termini operativi, è opportuno verificare già nella fase di acquisizione quali strumenti tecnici consentano di gestire rettifiche, cancellazioni e altre richieste, come siano documentati gli interventi e quali responsabilità spettino ai soggetti coinvolti. Il parere non impone una particolare soluzione tecnologica, ma richiede che il risultato di tutela sia effettivamente raggiungibile.
La valutazione d’impatto assume, in questa prospettiva, una funzione decisiva. Se individua un ostacolo strutturale all’esercizio dei diritti, deve orientare le modifiche del progetto e delle relative garanzie. La semplice descrizione del limite tecnico non risolve la criticità giuridica che ne deriva.
Un ulteriore elemento riguarda la supervisione umana. Lo schema esaminato colloca l’IA in una funzione di supporto ed esclude decisioni amministrative fondate unicamente su trattamenti automatizzati, in coerenza con il quadro richiamato dal Garante e con l’articolo 14 della legge n. 132/2025. Sul piano organizzativo, ciò richiede personale formato e in grado di verificare gli esiti, riconoscere errori e intervenire sul processo decisionale. La validazione del funzionario deve quindi esprimere una valutazione consapevole.
Il valore del provvedimento risiede nell’aver collegato l’innovazione alla capacità dell’amministrazione di mantenerne il governo. L’efficienza dell’IA deve accompagnarsi alla conoscenza dei dati utilizzati, alla verificabilità degli esiti e alla possibilità di intervenire quando un trattamento risulti inesatto o debba essere modificato. Sono queste condizioni a rendere sostenibile l’impiego della tecnologia nell’esercizio delle funzioni pubbliche.
