Dal 23 ottobre 2026 Comuni, Province e Unioni hanno nuove regole sull’intelligenza artificiale.

Riguardano chi forma il personale, come si decide sui dipendenti e chi vigila. Il decreto legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre, completa l’attuazione italiana dell’AI Act europeo. Su 54 articoli, uno è dedicato espressamente alla PA (art. 40). Molti altri toccano gli enti locali come datori di lavoro, partner della formazione e soggetti della sperimentazione.

Ecco cosa serve sapere.

Competenze IA per tutto il personale pubblico

Arriverà un quadro minimo di competenze sull’IA valido per tutti i dipendenti pubblici, compresi quelli degli enti locali (art. 40):

• Il Ministro per la PA indirizza e coordina reclutamento, formazione di base e continua, riqualificazione e alta formazione sull’IA.

L’obiettivo dichiarato è innovazione organizzativa, semplificazione e procedimenti più rapidi.

• Il quadro minimo sarà fissato con linee guida del Ministro, sentiti AgID e ACN e previa intesa in Conferenza Stato-Regioni. Il decreto non indica una scadenza.
• La formazione passa da SNA, Formez PA, università, enti di ricerca e istituzioni AFAM; ANCI, UPI e Conferenza delle Regioni possono essere coinvolte con apposite convenzioni: è il canale con cui le esigenze dei Comuni entrano nei programmi.

L’ente come datore di lavoro: decide sempre una persona

Nessuna decisione sul dipendente può essere presa solo da un algoritmo. L’art. 41 parla di “datore di lavoro” senza distinguere tra pubblico e privato, quindi vale anche per l’ente locale.

• Cosa copre. Assunzione, modifica e cessazione del rapporto, provvedimenti disciplinari e valutazione delle prestazioni. La decisione finale spetta a una persona fisica con potere effettivo e autonomo.
• Cosa resta fuori. La ricerca e lo screening delle candidature non contano come decisione finale. È un punto da tenere presente nelle procedure selettive.
• Il consenso non basta. Il dipendente non può rinunciare all’intervento umano.
• Prima di avviare il sistema va data l’informativa prevista dall’art. 1-bis del d.lgs. 152/1997. Il dipendente può chiedere una motivazione comprensibile, data da una persona, con il peso avuto dall’IA e i parametri usati.
• Le decisioni prese in violazione sono nulle.

C’è poi la sicurezza (art. 42). Se un sistema di IA incide su organizzazione, ritmi di lavoro o processi rilevanti per la sicurezza, va inserito nel documento di valutazione dei rischi (art. 28 del d.lgs. 81/2008). Il personale va informato e formato sui rischi specifici.

I territori hanno voce e spazi di sperimentazione

Il decreto dà agli enti locali un ruolo attivo, non solo di destinatari.

• Informazione preventiva. Gli accordi tra AgID e le autorità di vigilanza che incidono sulle amministrazioni territoriali vanno comunicati a Conferenza delle Regioni, ANCI e UPI prima di essere adottati (art. 7).
• Sandbox locali. Accanto allo Spazio di sperimentazione nazionale gestito da AgID e ACN, si potranno istituire spazi regionali o locali con DPCM, sentita la Conferenza Unificata (art. 30). I loro risultati confluiscono nelle relazioni all’Ufficio europeo per l’IA (art. 31).
• Lo Stato può valorizzare le esperienze territoriali e il riuso delle soluzioni già sviluppate (art. 35). Chi ha un progetto IA funzionante ha un argomento in più per farlo adottare altrove.
• Educazione degli adulti. I CPIA possono attivare corsi di alfabetizzazione IA anche in convenzione con gli enti locali (art. 39).
• Servizi per il lavoro. Le amministrazioni competenti e i soggetti accreditati possono usare l’IA per orientamento, incontro tra domanda e offerta e inserimento lavorativo, con supervisione umana e trasparenza (art. 48).

Chi vigila e cosa si rischia

Per un ente locale che usa sistemi di IA, l’interlocutore principale è l’Agenzia per la cybersicurezza nazionale (ACN). È l’autorità generale di vigilanza del mercato e il punto di contatto unico (artt. 5-6). AgID è l’autorità di notifica degli organismi che certificano la conformità (art. 4).

• ACN può fare controlli a distanza o sul posto, anche senza preavviso (art. 15). I controlli possono partire da un incidente grave, da un reclamo, da una segnalazione o d’ufficio (art. 16).
• Partecipate e servizi a rete. I sistemi ad alto rischio usati nelle infrastrutture critiche (acqua, gas, elettricità, riscaldamento, traffico) vanno registrati presso ACN (art. 14). Le modalità saranno definite con decreto del direttore generale ACN, d’intesa con AgID.
• Per le violazioni lievi l’autorità può ordinare di eliminare l’infrazione. Per gli obblighi di chi usa il sistema (il “deployer”) le sanzioni arrivano a 15 milioni o al 3% del fatturato. Per la valutazione d’impatto sui diritti fondamentali e il diritto alla spiegazione arrivano a 1 milione o allo 0,5% (artt. 22-23).

 Un nodo aperto. L’AI Act (art. 99, par. 8) lascia agli Stati decidere se e quanto sanzionare le autorità e gli organismi pubblici. Nel testo esaminato non abbiamo trovato una disciplina specifica su questo punto: la questione andrà chiarita.

Nessun fondo nuovo, molte norme già operative

Gli enti attuano il decreto con le risorse che hanno: l’art. 54 contiene la clausola di invarianza finanziaria. L’unico stanziamento riguarda la scuola, con fino a 100 milioni dal PN Scuola e Competenze per il piano docenti (art. 37).

Cosa fare subito

Per segretari, dirigenti e responsabili per la transizione digitale, le priorità sono quattro.

• Censire i sistemi di IA già in uso nell’ente e nelle partecipate, compresi quelli dentro software acquistati.
• Verificare che nessuna decisione su assunzioni, valutazioni o procedimenti disciplinari dipenda solo da un sistema automatizzato, e predisporre l’informativa ai dipendenti.
• Aggiornare il documento di valutazione dei rischi dove l’IA incide su organizzazione o ritmi di lavoro.
• Rilevare i fabbisogni formativi in vista delle linee guida ministeriali, anche tramite ANCI, UPI o l’università del territorio.