IA negli enti pubblici: privacy, sicurezza e responsabilità
L'IA generativa può aiutare il lavoro pubblico, ma resta soggetta a regole precise: protezione dei dati, trasparenza, sicurezza e responsabilità umana. Ecco cosa si può fare, cosa evitare e i principi da rispettare.
A cura di Alessandro Carenza, consulente e formatore di IA per la PA.
Nota: contenuto informativo, non sostituisce un parere legale o del DPO.
In sintesi
- I dati personali trattati dalla PA restano soggetti al GDPR anche usando l'IA.
- La responsabilità dell'atto resta sempre del funzionario e dell'ente.
- Mai inserire dati personali o riservati in strumenti non autorizzati.
- Spesso serve una valutazione d'impatto (DPIA) prima di adottare lo strumento.
I quattro principi da rispettare
Protezione dei dati (GDPR)
I dati personali trattati dalla PA restano soggetti al GDPR anche quando si usa l'IA. Vanno applicati minimizzazione, base giuridica e misure di sicurezza. In molti casi è opportuna una valutazione d'impatto (DPIA) prima di introdurre lo strumento.
Trasparenza
Il cittadino ha diritto a un'azione amministrativa comprensibile. L'uso dell'IA non deve rendere opaco il procedimento: l'atto deve restare motivato e verificabile, e l'uso dello strumento tracciabile.
Responsabilità umana
La responsabilità dell'atto resta sempre del funzionario e dell'ente. L'IA è un supporto: non decide e non firma. Il principio è quello del controllo umano significativo sull'output.
Sicurezza informatica
Vanno valutati dove finiscono i dati inseriti, se vengono usati per addestrare i modelli e quali garanzie offre il fornitore. Meglio strumenti con sede e trattamento conformi e contratti chiari.
Cosa si può fare e cosa evitare
Da fare
- Usare l'IA per bozze, sintesi e riformulazioni, poi verificare sempre l'output.
- Anonimizzare o pseudonimizzare i dati prima di qualsiasi elaborazione.
- Usare solo strumenti approvati dall'ente, con condizioni d'uso verificate.
- Documentare quando e come l'IA è stata usata in un procedimento.
- Verificare ogni riferimento normativo e dato sulle fonti ufficiali.
Da evitare
- Inserire dati personali, sensibili o riservati in strumenti pubblici non autorizzati.
- Considerare l'output dell'IA come definitivo o giuridicamente certo.
- Delegare all'IA la decisione amministrativa o la firma dell'atto.
- Caricare interi fascicoli o documenti protetti su servizi non conformi.
Domande frequenti
Un dipendente pubblico può usare ChatGPT per il lavoro?
Può usarlo per attività di supporto come bozze, sintesi e riformulazioni, ma senza inserire dati personali o riservati in strumenti non autorizzati, e verificando sempre l'output. L'ente dovrebbe definire regole e strumenti ammessi.
Si possono inserire dati personali dei cittadini nell'IA?
No, non in strumenti pubblici non autorizzati. I dati personali vanno trattati solo con soluzioni conformi al GDPR, minimizzando i dati e applicando misure di sicurezza adeguate.
Chi è responsabile di un atto redatto con l'aiuto dell'IA?
Il funzionario e l'ente. L'IA produce bozze o supporto, ma la responsabilità della motivazione, della correttezza e della firma dell'atto resta sempre umana.
Serve una valutazione d'impatto (DPIA) per usare l'IA nella PA?
Spesso sì, quando il trattamento di dati personali presenta rischi elevati. La DPIA va valutata prima di introdurre lo strumento, insieme al Responsabile della protezione dei dati (DPO).
Vuoi adottare l'IA nel tuo ente in modo sicuro e conforme?
Aiuto le amministrazioni a introdurre l'IA con regole chiare su privacy, sicurezza e responsabilità.
Prenota una consulenza gratuita