Agile AI ACT
Comitato Scientifico Agile Hub

IA generativa nelle istituzioni pubbliche: il vero rischio non è tecnologico, ma organizzativo

Chi si assume la responsabilità delle decisioni prese con il supporto di IA generativa?

Il contesto: IA generativa e Istituzioni UE

Gli Orientamenti del GEPD chiariscono che l’uso di strumenti di IA generativa da parte delle istituzioni europee non è vietato, ma è subordinato al rispetto rigoroso dell’EUDPR e dei principi di protezione dei dati.

Il nodo non è lo strumento in sé, ma:

  • la base giuridica del trattamento
  • la minimizzazione dei dati
  • la trasparenza
  • la sicurezza
  • la responsabilità decisionale

Il punto critico: accountability reale, non formale

Dall’analisi sistematica emerge un elemento centrale: la decisione finale deve restare umana e tracciabile.

L’uso di IA generativa:

  • non può sostituire la valutazione del referente compliance o legal;
  • non può diventare un automatismo;
  • non può creare zone grigie di responsabilità.

Il rischio è quello di una “deresponsabilizzazione per delega tecnologica”.

DPIA e valutazione del rischio: non un adempimento, ma un presidio

Gli Orientamenti insistono su:

  • valutazione d’impatto preventiva
  • analisi del flusso dei dati
  • verifica di trasferimenti extra-UE
  • misure tecniche e organizzative adeguate

Questo significa che l’IA generativa deve entrare nei processi di governance, non restare uno strumento usato informalmente dal personale.

Il vero cambio di paradigma

La questione non è “possiamo usare l’IA generativa?”
La domanda corretta è: siamo in grado di governarla senza perdere il controllo delle responsabilità?

Il GEPD, di fatto, non sta disciplinando solo uno strumento tecnologico: sta ridefinendo i confini della responsabilità amministrativa nell’era dell’IA.