Intelligenza artificiale nei Comuni: come proteggere i dati

Un’istanza di contributo, un esposto sul rumore, una pratica di residenza: in Comune l’assistente di IA fa comodo proprio sui testi più pieni di dati dei cittadini. Lo strumento per gli uffici è descritto nella pagina per i Comuni.

Una circolare che si limita a vietare non la firmerei: chi ha fretta apre l’assistente dal telefono personale, fuori da qualsiasi accordo con l’ente. Serve una regola che dica cosa si può incollare e cosa no, e per scriverla c’è già un modello da cui partire.

Istanze, protocollo e anagrafe: dove l’IA entra in Comune

Secondo IFEL, nel 2024 i dipendenti comunali erano 343.200, il 28,4 per cento in meno rispetto al 2007. Chi resta cerca scorciatoie, e l’assistente di IA è la più vicina: riscrivere una risposta, riassumere un verbale, tradurre un avviso.

Il rischio cambia con l’ufficio, non con lo strumento. Il protocollo è il primo posto dove metterei un paletto: lì passa tutto ciò che arriva, compreso quello che nessuno ha ancora aperto, come il certificato medico allegato a una richiesta di esonero.

Nell’indagine IFEL su 664 dirigenti e funzionari comunali l’interesse per l’IA è forte, mentre competenze, governance e qualità dei dati restano da costruire. Per questo la regola scritta arriva prima dello strumento.

La base giuridica del Comune: articolo 2-ter del Codice privacy

Il cittadino non ha scelto di darti quei dati: una norma glieli chiedeva. Il Comune non lavora sul consenso ma sull’articolo 6, paragrafo 1, lettera e) del GDPR, e in Italia la cornice è l’articolo 2-ter del Codice privacy.

Il comma 1 vuole una norma di legge, di regolamento o un atto amministrativo generale. Il comma 1-bis, introdotto nel 2021, consente il trattamento anche quando è necessario a un compito di interesse pubblico, nel rispetto dell’articolo 6 del GDPR.

Il comma 1-bis, però, non è un lasciapassare. Trento lo aveva invocato, e il Garante ha risposto che non bastava e che comunque non copre le categorie particolari, come la salute o le convinzioni religiose.

Legge 132/2025, articolo 14: tracciabilità e chi firma l’atto

L’Italia ha un articolo scritto apposta per la pubblica amministrazione: il 14 della legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025. L’IA serve a essere più efficienti e rapidi, ma il funzionamento deve essere conoscibile e l’uso tracciabile.

Il comma 2 tiene l’IA in funzione strumentale e di supporto: la persona resta l’unica responsabile del provvedimento. Il comma 3 chiede misure tecniche, organizzative e formative, e il comma 4 precisa che si fa con le risorse già disponibili.

Senza un registro la tracciabilità resta sulla carta. Lo vorrei dentro il fascicolo, accanto all’atto, non in un foglio di calcolo separato che dopo tre mesi nessuno apre. Per i professionisti esterni che lavorano per l’ente vale invece l’articolo 13, spiegato nella guida sull’informativa ai clienti.

Linee guida AgID sull’IA nella PA: perché non sono ancora efficaci

Il 18 febbraio 2025 AgID ha pubblicato le Linee guida per l’adozione dell’IA nella PA, con la Determinazione n. 17/2025; la consultazione si è chiusa il 20 marzo. Al 10 novembre 2026 la pagina dell’Agenzia scrive ancora che l’iter di adozione è in corso.

Cosa manca lo dice l’articolo 71 del Codice dell’amministrazione digitale: dopo la consultazione va sentito il Garante e serve il parere della Conferenza unificata. Diventano efficaci solo con la pubblicazione nell’area dedicata del sito AgID, annunciata in Gazzetta.

Aspettarle prima di scrivere la regola interna è tempo perso: GDPR e legge 132 obbligano già, e ciò che il GDPR chiede a chi usa l’IA vale anche per un Comune.

Servizi sociali e AI Act: quando il sistema è ad alto rischio

L’allegato III, punto 5, lettera a) dell’AI Act classifica ad alto rischio i sistemi con cui un’autorità pubblica valuta chi ha diritto all’assistenza, o la concede, riduce, revoca o recupera. Per un Comune: contributo affitto, buoni spesa, revoca di un sussidio.

Per questi sistemi l’ente pubblico deve fare la valutazione d’impatto sui diritti fondamentali dell’articolo 27, prima del primo uso. Dopo il regolamento (UE) 2026/1744 si applica dal 2 dicembre 2027, e può rinviare alla valutazione d’impatto già fatta per il GDPR.

Qui non comprerei nulla che proponga una graduatoria senza sapere chi è il fornitore per l’AI Act e cosa ha documentato. Gli obblighi di chi usa il sistema sono nella guida su AI Act e deployer.

Il Comune di Trento e il Garante: l’anonimizzazione che non regge

Con il provvedimento dell’11 gennaio 2024 il Garante ha sanzionato il Comune di Trento per 50.000 euro e ha ordinato di cancellare i dati di due progetti europei, Marvel e Protector: telecamere, microfoni sulla pubblica via e messaggi d’odio sui social, analizzati con l’IA.

Il Comune sosteneva di anonimizzare. Il Garante ha risposto che sostituire la voce di chi parla non basta, perché resta quello che dice, e che oscurare volti e targhe non basta, perché corporatura, abiti e spostamenti fra telecamere riportano alla persona.

Quella frase sulla voce sostituita la appenderei in ogni ufficio: un testo con il nome cambiato, se racconta una circostanza riconoscibile, resta un dato personale. Contestate anche informative incomplete, valutazione d’impatto non dimostrata e dati condivisi con i partner.

ChatGPT, Copilot o Gemini in Comune: account, contratto e fornitore

Lo stesso assistente cambia natura con l’account. Con quello personale il fornitore detta le sue condizioni e l’ente non ha alcun accordo: per il Codice, il testo finisce a un terzo. Le impostazioni dell’account sono spiegate nella scheda su ChatGPT.

Una clausola che pretenderei in ogni capitolato: chi cancella cosa a fine contratto, entro quando, con quale prova. Se un testo è già uscito senza accordo, l’ente deve valutare la violazione e documentarla.

Se l’ente ha applicazioni proprie che chiamano un modello, anche i log di quel passaggio finiscono nel registro dei trattamenti. Se invece nulla deve uscire, resta un modello sui server dell’ente, con costi in macchine e persone.

Una risposta all’istanza senza i dati del cittadino

Per un’istanza ordinaria la strada più corta è riscrivere il caso in tre righe: cosa chiede la persona, cosa ha deciso l’ufficio, quale termine dare. Nome e protocollo all’assistente non servono. Per gli allegati c’è una guida per formato, a partire da come anonimizzare un documento Word.

Quando il testo va incollato intero, come una relazione lunga, Nonimo copre sul computer dell’ufficio nomi, codici fiscali, IBAN e indirizzi prima che partano verso l’assistente, e li rimette nella risposta.

Con molti uffici e un personale che cambia spesso partirei dalla pagina per le organizzazioni, non dal singolo computer: lo strumento si sceglie una volta, per tutto l’ente.

Anche con le etichette il dato resta personale per il GDPR, e la responsabilità resta dell’ente: lo strumento è una misura da documentare, non un certificato di conformità. Sui casi dubbi decide il responsabile della protezione dei dati del Comune.

Fonti

• Legge 23 settembre 2025, n. 132, Gazzetta Ufficiale: art. 14 sull’IA nella pubblica amministrazione, art. 20 su AgID, ACN e poteri del Garante; in vigore dal 10 ottobre 2025.
• Codice in materia di protezione dei dati personali, art. 2-ter, Normattiva: base giuridica, comma 1-bis e definizione di comunicazione.
• Codice dell’amministrazione digitale, art. 71, Normattiva: consultazione, pareri ed efficacia delle linee guida AgID.
• AgID, area Intelligenza artificiale: Determinazione n. 17/2025, iter in corso, bozze su sviluppo e procurement.
• Garante privacy, comunicato del 25 gennaio 2024 sul Comune di Trento: progetti Marvel e Protector, 50.000 euro.
• Garante privacy, provvedimento n. 5 dell’11 gennaio 2024: voce sostituita, volti oscurati, comma 1-bis non sufficiente.
• Regolamento (UE) 2024/1689, testo consolidato al 27 luglio 2026, EUR-Lex: artt. 4, 5, 27, 50, 111 e 113, allegato III, punto 5.
• Regolamento (UE) 2016/679, EUR-Lex: artt. 6, 9, 10 e 28.
• IFEL Fondazione ANCI, «Il personale dei Comuni italiani», edizione 2026: 343.200 dipendenti nel 2024, meno 28,4 per cento dal 2007.
• IFEL Fondazione ANCI, «Intelligenza artificiale nei Comuni italiani», 11 giugno 2026: indagine su 664 dirigenti e funzionari, competenze e governance da rafforzare.

Consultate il 10 novembre 2026.