IA nella PA: analizzo a caldo i punti chiave delle prime Linee Guida AgID

Allora ragazzi, ieri 18 febbraio 2025 sono entrate in consultazione pubblica le prime linee guida AGID per l'adozione dell'intelligenza artificiale nella pubblica amministrazione. Un documento attesissimo perché nel mondo PA mancava ad oggi un trait d'union fra il regolamento europeo e tutto il mondo della pubblica amministrazione, quindi il settore pubblico. E quello che faremo adesso è andare a commentare a caldo le linee guida, quindi Le vedremo, le scorreremo insieme. È un documento complesso, ovviamente. Io ho già dato un'occhiata, ma mi sono appuntata qualcosa che vorrei condividere con voi. E quello che faremo è cercare di capire i punti più importanti che dovete sottolineare, segnarvi e seguire, perché fino al 20 marzo 2025 è aperta la consultazione pubblica, quindi le linee guida sono consultabili. Quando si dice che le linee guida sono in consultazione pubblica significa che il documento viene reso disponibile per il pubblico affinché chiunque, cittadini, aziende, enti pubblici, professionisti, esperti del settore, possano leggerlo, visionarlo e dare osservazioni o suggerimenti prima che si arrivi ad una versione definitiva. Quindi è il momento dove fare divulgazione su queste tematiche è centrale, viene fatto proprio per questo, per correggere eventuali lacune, criticità, qualcosa che magari all'estensore è potuto sfuggire. Quindi chi dovrà applicare poi le linee guida è bene che se le legga in maniera molto, molto, molto attenta, le capisca e tentino di partecipare attivamente a questa consultazione. Tutte le informazioni le trovate all'interno del sito dell'Agid che è questo qui agid.gov.it, oltretutto il sito è molto bello e anche ben fatto. Trovate proprio tutto quanto il percorso perché queste linee guida ovviamente non cadono dal nulla, ma fanno parte di un percorso all'interno di quella che è la strategia italiana per intelligenza artificiale. L'avrete sentito sicuramente in televisione, ne ha parlato Giorgia Meloni, è un argomento all'ordine del giorno. Sono stati tanti anche gli investimenti che l'Europa ha, diciamo, stanziato, no, per tutte le attività che verranno svolte in ambito intelligenza artificiale. Quindi nell'ambito, no, in questo perimetro vanno a innestarsi queste linee guida. Vedete, 18 febbraio, 20 marzo è il tempo della consultazione pubblica. Ora noi leggeremo velocemente le linee guida. Mi sono già appuntata alcune cose che vi voglio riportare, quindi ci spostiamo direttamente sul PDF perché lo condividiamo e iniziamo a fare una prima analisi insieme. Eccole qua, ecco le linee guida, bozza di linee guida per l'adozione dell'intelligenza artificiale nella pubblica amministrazione. Parliamo di 119 pagine di documento, è un documento molto complesso perché comunque lo potete vedere già dall'indice, ha tutta una serie di paragrafi ben dettagliati, ben definiti, si va da ambito di applicazione, riferimenti, concetto ampio di intelligenza artificiale che riprende un po' quello che già è stato detto all'interno del Regolamento Europeo sull'intelligenza artificiale, che rimane la normativa madre. Modello di adozione dell'intelligenza artificiale, analisi di contesto, obiettivi, casi d'uso, valutazione d'impatto, piano operativo, conformità. Mi piace tantissimo l'utilizzo, quindi questo segnatevelo, del concetto di modello di adozione. Modello di adozione mi fa pensare che non saranno delle linee guida che racconteranno dei principi, che parleranno per massimi sistemi, ma saranno delle linee guida concrete, come poi di fatto sono, perché già poi ci riportano casistica d'uso, quindi esempi, no, di applicazione, e una to-do list di fatto operativa, una prima to-do list operativa per la pubblica amministrazione per mettere in campo tutta una serie di azioni. Notate come si parte sempre, e questa è una cosa abbastanza ovvia ma non scontata, dall'analisi del contesto. Analisi del contesto è caratteristica della pubblica amministrazione e questo vuol dire non partire con progetti, se siamo una pubblica amministrazione piccolina, modesta, progetti che potrebbero per esempio essere calati su comuni un po' più grandi, Roma, Milano, Bologna, ma adattare lo strumento alla realtà e al contesto. Si dovrà partire per ambiti prioritari, quindi non applicazione a casaccio, e seguire tutta una serie di normative. Centrale il tema della valutazione d'impatto, centrale sarà avere un piano operativo, quindi garantire monitoraggio, implementazione, valutazione, miglioramento continuo. Quindi portare l'intelligenza artificiale nella pubblica amministrazione non sarà semplice, perché ci vorrà un'area, detto in parole povere, che dovrà monitorare costantemente l'applicazione e l'evoluzione della tecnologia. Tecnologia. Poi si passa alla conformità, capitolo 5, quindi monitoraggio, misura di sorveglianza dell'algoritmo, no, che viene addestrato, che cambia, che si evolve, eccetera eccetera. Auditing, conservazione della documentazione, governance, etica, comunicazione. E qui rientra tutto il parterre degli obblighi legati alla trasparenza, all'informativa nei confronti del cittadino, alla spiegabilità dell'algoritmo, tutti i concetti che sono ben espressi all'interno del regolamento europeo. Formazione e sviluppo competenze viene messo al capitolo 8, ma io forse l'avrei messo fra i primi capitoli. Vedremo che sono introdotte delle nuove figure che vengono calate anche all'interno del perimetro della pubblica amministrazione, ruoli tipicamente, tipici, scusate il gioco di parole, del mondo enterprise, quindi del mondo aziendale, delle imprese, delle realtà private, vengono applicati all'ambito pubblica amministrazione. E anche questo è interessante perché ci sono dei parallelismi ismi che non sono del tutto scontati fra mondo pubblico e mondo privato. C'è poi tutto il tema della gestione qualità dei dati, tipologia, caratteristiche, processi, sicurezza cibernetica. Questo è molto interessante perché raramente in un documento di questo tipo vengono affrontate anche questioni legate proprio alla sicurezza dei dati, agli attacchi. Fanno anche esempi, no, di tassonomia di attacco e via dicendo. C'è tutta una casistica, gestione del rischio, asset, minacce, obiettivi di sicurezza. E poi Ci sono degli allegati che sono un bel po', sono 1, 2, 3, 4, 5, 6, 7, 8, 9 allegati, ciascuno dei quali viene chiamato strumento, cioè contengono degli strumenti operativi. Finalmente, mi viene da dire, soprattutto per questo qua che mi piace tantissimo, questi due, Allegato B e Allegato C, valutazione del rischio centrale. Sapete che tutta la normativa che negli ultimi anni proviene dall'Europa, è una normativa rischiocentrica, cioè viene valutato tutto partendo proprio da una valutazione del rischio legato ai diritti degli interessati, che con il GDPR, Regolamento Europeo sulla Protezione dei Dati Personali, abbiamo associato appunto a questioni come la privacy e la protezione, la sicurezza dei dati. Con il Regolamento sull'intelligenza artificiale rientrano invece, ricadono tutti quei diritti della CEDU, quindi diritti primari dell'essere umano naturali e via dicendo. Quindi sono tutti dei diritti che sono potenzialmente a rischio. Ecco perché il regolamento sull'intelligenza artificiale rispetto al Regolamento Europeo sulla Protezione dei Dati sarà molto più impattante. Allora, scorriamo al volo perché vorrei proprio darvi un po' il peso della, della, di queste linee guida. Passiamo a questa parte qui che ve la potete leggere. Qui danno delle linee di elemento per la lettura, deve sono obblighi, no, quindi non è un suggerimento, dovrebbero invece sono delle raccomandazioni e via dicendo, ma non ci interessa relativamente. Interessante, con riferimento agli allegati, qui danno una spiegazione sulla struttura, no, perché usano gli allegati. E beh, perché la tecnologia alla base è dinamica, evolve, e quindi per evitare di rimaneggiare 500.000 volte il documento madre, le linee guida, andranno piuttosto a modificarne gli allegati. In questo modo sarà più semplice garantire un aggiornamento costante delle prassi, degli strumenti che appunto vengono contenuti, inglobati all'interno di questi allegati. Riferimenti normativi a IOSA, guardate qua, e a IACT, richiamato proprio fra i primi, Data Act, il DGA, la Direttiva Open Data, la NIS2, GDPR ovviamente, poi ci sono altri regolamenti, Codice Privacy, che è la normativa italiana, mi raccomando non confondetevi, che è cala un po', no, il regolamento europeo nell'ambito di quello che è l'ecosistema italiano, dopo tutta una serie di adattamenti fatti con una serie di decreti legislativi che a cascata sono intervenuti dopo l'introduzione del regolamento europeo. C'è il CAD, c'è il piano triennale, quindi si passa adesso normativa interna e via dicendo. Codice dei contratti, la 90 del 2024, importante anche questa, disposizioni in materia di rafforzamento della cybersicurezza nazionale, reati informatici, strategia IA, eccetera eccetera. Ciascun documentino, se non erro, esatto, è cliccabile, quindi è comodo perché potete cliccare sopra e vi porta alla pagina per approfondirlo. Qui c'è tutta una serie di nomenclatura, di lettura, gli acronimi non ci interessano. O allora entriamo nel vivo, articolo 3. Parte con una definizione di intelligenza artificiale. Richiama la stessa definizione contenuta all'interno dell'AI Act, quindi sistema automatizzato progettato per funzionare con livelli di autonomia variabili, che può presentare adattabilità dopo la diffusione, che per obiettivi espliciti o impliciti deduce dagli input che riceve come generare output, qualità, previsioni, contenuti, raccomandazioni, decisioni che possono influenzare ambienti fisici o virtuali. Perfetto. C'è una nota a piedi pagina, fra l'altro, e infatti AI definitione. Ok, però non entriamo troppo nei tecnicismi, giusto per darvi un'idea. Qui ci sono, mi piace perché sono delle linee guida, contengono questi disegnini, graficamente sono molto gradevoli perché spiegano un po' il concetto. E quindi vedete, qui c'è un tentativo di spiegare che cosa vuol dire sistema di intelligence artificiale. Mi raccomando, non confondervi, non è un modello ma è un sistema, cioè, no, che contiene anche ovviamente il modello, l'algoritmo, ma che è calato all'interno di quello che può essere un device, un software che ospita quindi il modello di intelligenza artificiale. E ovviamente tutto l'ecosistema che viene protetto, non solo il modello, non solo il device o il software. Quindi vi lascio immaginare questo che cosa può voler dire a livello di obblighi, adempimenti e cose da andare ad attenzionare. Quindi si parte con una definizione, qui ci ricorda un po' quelle che sono le classificazioni del rischio all'interno del regolamento europeo, no, sull'intelligenza artificiale. Con il concetto di bias, bias algoritmo, bias umano. Queste sono tutte definizioni che all'articolo 3 dell'AI Act potete trovare. Ciclo di vita, interessante anche questo, cioè bisognerà adottare tutta una serie di regole, requisiti che riguardano l'intero ciclo di vita, non soltanto l'attivazione on oppure lo spegnimento on/off, ma l'intero ciclo di vita, dalla pianificazione e il design fino al ritiro e alla disattivazione di quel sistema. Quindi poi qui l'Agit ci spiega che cosa vuol dire attivazione, messa a disposizione, operatività. C'è poi tutta una disamina sui ruoli, e quindi anche qui sono quelli richiamati dall'IA Act: fornitore, soggetto che sviluppa un sistema di intelligenza artificiale o di intelligenza artificiale con finalità generali, i classici chatbot per intenderci. I deployer, che sono gli utilizzatori, quindi qui in questa categoria rientrano i comuni, le pubbliche amministrazioni, tutti coloro che saranno fruitori, no, di queste tecnologie. Qui c'è un altro disegnino, quindi provider, fornitore, è quello che un po', no, rientra nelle categorie di fornitore di modelli OpenAI, per esempio, fornitore di infrastrutture, fornitore di applicazioni. Quindi va a coprire tutta la filiera. Gli utilizzatori sono poi i deployer. Quindi qui c'è tutta la spiegazione, classificazione del rischio per come viene spiegata all'interno dell'AI Act. Quindi vedete, rischio inaccettabile. Queste disposizioni sono entrate in vigore il 2 di febbraio del 2025, quindi i primi 5 articoli hanno visto la piena applicazione. I prossimi avranno piena efficacia a partire da agosto di quest'anno, e poi si passa al 2026 con tutti quelli che sono gli altri, a cascata, gli altri effetti. Se vi siete persi il video sull'analisi dell'AI Act, vi consiglio di recuperarlo perché ne abbiamo parlato, fra l'altro, se non ricordo male, facendolo analizzare da Claude. Quindi abbiamo analizzato il regolamento sull'intelligenza artificiale da un'intelligenza artificiale, o meglio, con un'intelligenza artificiale. E ne abbiamo parlato tanto anche all'interno della community di Gladiatori Digitali, quindi trovate un sacco di materiale che potete recuperare, potete leggere. Sto sorvolo sulla tipologia dei rischi perché lo abbiamo visto. Allora, principi, principi. Allora, questo è molto interessante perché principi per l'adozione dell'intelligenza artificiale nella pubblica amministrazione. Le PIA adottano l'IA al fine di— ci dà 3 finalità che potremmo quasi dire sono 3 finalità che si sposano bene con la logica del GDPR, no, che richiede che ci sia una base giuridica connessa, coerente con quelli che sono le finalità di utilizzo. E quali sono? Ce ne dà 3: automatizzare attività semplici e ripetitive di ricerca, aumentare le capacità predittive migliorando il processo decisionale basato sui dati. 4, scusate, supportare la personalizzazione la personalizzazione dei servizi incentrata sull'utente aumentando l'efficacia e promuovere l'innovazione dei servizi pubblici e dei processi amministrativi. Quindi se io fossi consulente di una pubblica amministrazione direi: ragazzi, sappiate che prudenzialmente se vogliamo portarci in casa un'intelligenza artificiale, un sistema di intelligenza artificiale, un modello, dobbiamo muoverci all'interno di queste 4 finalità. Quindi queste ricordatevele, sono 4, quindi automatizzare la ricerca, competiti— ripetitivi, aumentare le capacità predittive, supportare la personalizzazione dei servizi, quindi lato cittadino utente, e promuovere l'innovazione dei servizi pubblici. Non ci inventiamo altre cose perché in questa fase non lo possiamo fare. Vado avanti, quindi qui poi c'è tutta una serie di elenchi di quelli che possono essere degli esempi, no, per ogni punto. Quindi vi consiglio di andare a leggervelo. Modello di adozione: le PA dovrebbero adottare un sistema strutturato— torna ancora questa parola, no— strutturato di processi, politiche, risorse, strumenti per— guardate quanti adempimenti— governare, implementare, monitorare e migliorare l'utilizzo dei sistemi di IA durante il loro ciclo di vita. Quindi insomma, oneri e onori, perché aumenta la reputability in caso di implementazione di un sistema di questo tipo, perché lo mettiamo sul sito del comune, dell'amministrazione, è bello vedere che c'è questa spinta verso l'innovazione. E però attenzione, perché bisognerà poi governare, implementare, monitorare— sono 4— e migliorare l'utilizzo dei sistemi. E poi ovviamente le PA dovrebbero implementare un modello, anche qui torna la parola, di adozione in grado di rispondere ai cambiamenti del contesto normativo e tecnologico. Auguri, perché abbiamo detto che è una normativa in continua evoluzione. Qui c'è un bel disegnino su quello che può essere un processo, no, di implementazione: pianificazione, implementazione, monitoraggio e valutazione. Io questo me lo prenderei pari pari e lo andrai a mettere all'interno della documentazione di valutazione che poi i consulenti faranno e che raccoglieranno all'interno dei faldoni per documentare in ottica accountability i lavori preparatori proprio di studio e analisi che devono anticipare l'implementazione. Strategia è un'altra parola che mi piace tantissimo perché presuppone, ci fa pensare che prima di andare a innestare un'intelligenza artificiale bisogna avere un progetto strategico, e quindi bisognerà capire chi siamo, dove vogliamo andare, qual è il contesto, quali sono le risorse, quali sono le finalità, e poi, no, andare a definire una roadmap di implementazione. Quindi si passerà da un'analisi del contesto e delle caratteristiche, quello che vi dicevo all'inizio, obiettivi prioritari prioritari. Questa è bella. Attenzione, pubblica amministrazione, non dovrai adottare a caso, no? Non è che attiviamo le utenze su ChatGPT, su Copilot, soltanto perché va di moda, no? Non ci portiamo dentro dei device con algoritmi superpotenti soltanto perché lo stanno facendo tutti, no? Bisognerà muoversi per ambiti prioritari di applicazione. Quindi quello dice chiaro: le PA devono— e vi ricordate all'inizio, no, quella nomenclatura? I devono sono degli obblighi. Devono adottare le tecnologie di intelligenza artificiale identificando in via preliminare gli obiettivi e gli ambiti prioritari di applicazione sulla base del proprio contesto, pur potendo l'APA condurre sperimentazioni di uso in ambiti non prioritari e meno soggetti a rischi. Perché dice questo? Cioè, puoi sperimentare, ma lo devi fare sempre in ambiti non soggetti a rischi, perché già la sperimentazione, qui l'AI Act lo ribadisce, comporta la messa in campo e l'attivazione di una serie di cautele. Non è che sperimentare vuol dire via libera a tutti, posso fare quello che mi pare. Bisogna iniziare prima, semplicemente. Gli ambiti prioritari sono, li abbiamo visti prima, sono un po' inerenti alle finalità: miglioramento dell'efficienza operativa, supporto, ottimizzazione, eccetera eccetera eccetera. Quindi anche qua c'è un bell'elenco che si potrebbe andare a calare nelle valutazioni del rischio, nelle valutazioni di impatto. Norme tecniche che saranno sicuramente da seguire, tenere in considerazione, ce ne cita qualcuna. Casi d'uso, allora qui interessante perché c'è una bella analisi di quelli che sono qualche caso d'uso che viene individuato, quindi possono essere per esempio legati a funzionalità di sistemi che implementano i casi d'uso stessi, di cognizione su progetti, sperimentazione a livello nazionale e via dicendo. Quindi qui ci fa un elenco molto interessante. Governance: gli organi direttivi della pubblica amministrazione approvano la strategia per intelligenza artificiale dell'ente. Guardate quante volte sta tornando la parola strategia, strategia, strategia, strategia, pianificazione, modello di implementazione, progettazione. Quindi bisognerà far ricadere tutto questo baradam progettuale all'interno all'interno, per esempio, del piano triennale per l'informatica nella pubblica amministrazione, del PIAO, e di tutti i documenti a supporto. Sulla gestione del rischio ci sarebbe da aprire un capitolo infinito. Valutazione di impatto. Allora, qui è interessante perché l'AI Act definisce requisiti rigorosi per la valutazione di impatto dei sistemi di IA ad alto rischio, quelli che vengono applicati, banalizzo per semplificarvelo, negli ambiti elencati nell'Allegato 3 del Regolamento sull'intelligenza artificiale. L'Allegato 3 contiene tutta una serie di ambiti, 8-9 ambiti se non vado, se non ricordo male. Se il modello, il sistema viene introdotto, no, all'interno di quegli ambiti, scatta la campanella dell'alto rischio e quindi ci sono delle cose da fare, no? Fra cui la valutazione di impatto sui diritti fondamentali, Fundamental Right Impact Assessment, e la valutazione di impatto sulla protezione dei dati personali, la cosiddetta DPA, Data Protection Impact Assessment. Quello che però qua vi voglio sottolineare è questa congiunzioncina qui, e no, FRIA e di Pia, non e/o, ma sono due cose differenti. Scioglie un pochino di dubbi perché il dubbio un po' omelettico era: ma la di Pia può contenere la Fria o la Fria può contenere la di Pia? Devono essere uno stesso documento? Separati? Da questa prima indicazione presumibilmente devono essere documenti separati, no? Quindi fra i requisiti, no, valutazione di impatto e valutazione di impatto sulla protezione dei dati. Quindi devono essere documenti che sono ben distinti, allegati magari, ma comunque ben distinti, ben perimetrati. Anche perché vi ricordo che la DPA è calata su diritti come privacy, protezione dei dati. Qui parliamo di diritti fondamentali. Quindi c'è tutto il parterre che va coperto. Piano operativo, e torna ancora la parola approccio sistematico, vedete, per il raggiungimento degli obiettivi la PA deve adottare un approccio sistematico, definire l'attività, indicare le risorse, definire i tempi, assegnare responsabilità specifiche— questo non piacerà a tanti— stabilire criteri di valutazione e monitoraggio dei risultati. Quindi qua ci sono un po' di cosette che si dovranno mettere in fila all'interno di un progetto strategico. Risorse, va bene. Competenze, implementazione, monitoraggio continuo, conformità, monitoraggio del ciclo di vita. Quindi qui bisognerà cercare di guardare anche quando il sistema di intelligenza artificiale viene attivato, e quindi nel corso del tempo andare a probabilmente, anzi senza probabilmente, instaurare, no, dei tavoli tecnici con i referenti del gruppo indicato, poi fra poco ci arriveremo, che dovranno comporre questi tavoli tecnici, nuove funzioni, nuove personalità all'interno del mondo della pubblica amministrazione. Che cosa dovranno fare? E beh, fare una sorta di punto e a capo, valutazione di quello che è stato il rischio, per esempio, no, l'evoluzione del rischio, l'evoluzione della tecnologia, l'evoluzione normativa, e andare a modi proprio, no, taglia e cuci fare le modifiche del caso per avere quel bilanciamento che gli consente poi di continuare l'applicazione dell'intelligenza artificiale. Quindi qui c'è tutta una spiegazione. Misura di sorveglianza, e quindi qui spiega che ci deve essere un controllo costante, audit sul sistema implementato, conservazione della documentazione, ovviamente mi sembra anche abbastanza scontato, governance etica Quindi qui c'è tutto il discorso legato proprio ai codici etici di comportamento. Fra l'altro, negli allegati c'è proprio un modello di codice etico che può essere implementato. Vado veloce. Misure di trasparenza. Allora, questa è centrale ed è importantissima. Misure di trasparenza viste da vari punti di vista. I più importanti sono la spiegabilità dell'algoritmo, quindi bisognerà comunicare al cittadino, all'interessato, come funziona il cervello dell'intelligenza artificiale, qual è l'algoritmo, come la tecnologia funziona, come è stata addestrata, come evolve, come raccoglie i dati, come vengono trattati. E poi ovviamente trasparenza lato cittadino, cioè bisognerà dire ai cittadini: guarda che qui dietro c'è un'intelligenza artificiale. Guarda che stai parlando con un chatbot, guarda che non c'è un essere umano dall'altra parte. Quindi le misure sulla trasparenza saranno importantissime, perché è centrale il tema anche nell'AI Act. E quindi qui spiega quali informazioni dare, indicazioni sui contenuti generati artificialmente, no? Qualcosa abbiamo visto, questo genere di contenuto generato con l'intelligenza artificiale. Anche quello è una misura che garantisce la trasparenza. Documentazione tecnica a IOSA. I fornitori soprattutto dei sistemi, soprattutto, vedete, lo dice, quelli considerati ad alto rischio, e qui ci fa un breve elenco: riconoscimento biometrico, valutazione per l'accesso a servizi essenziali, eccetera eccetera, allegato 3, vi ricordo, devono mantenere una documentazione tecnica che descrive il funzionamento del sistema Tale documentazione dovrà essere messa a disposizione delle autorità competenti in caso di necessità. Obblighi per i sistemi ad alto rischio e via dicendo. Informativa, qui ci dà anche una, ci apre un po' tutto il capitolo, no, dell'informativa che dovrà essere data nel rispetto del GDPR e ci dicono che cosa dovremo andare a inserire. Descrizione del sistema e delle finalità, quindi le nostre informative ex articolo 13-14 del GDPR dovranno contenere Oltre alle classiche, no, titolare, chi è il DPO, la base giuridica, tutto quello che abbiamo imparato a conoscere nel corso dell'ultimo periodo, descrizione del sistema di IA, delle sue funzionalità, ed è un obbligo, tipo di IA impiegata, machine learning, algoritmi predittivi, eccetera, finalità del sistema. Queste due casistiche, no, indicate chiaramente. Quindi sono quelle 4 finalità indicate al paragrafo iniziale. Ci fa proprio l'esempio, per cui sono diciamo delle subfinalità che si andranno ad innestare all'interno del capitolo delle finalità del trattamento. Quindi noi potremmo anche avere per esempio come finalità, non lo so, il legittimo interesse, fra l'altro avallato anche dal Board Europeo, il tavolo tecnico dei garanti europei, che dice che Il legittimo interesse può essere considerato una base giuridica valida, fatte le dovute considerazioni, beh, però vedo come subfinalità poi l'indicazione di quelle che abbiamo visto poc'anzi, quindi per esempio miglioramento dei servizi, automazione dei processi e altre finalità legate proprio all'efficienza. Cosa deve contenere ancora questa informativa? Criteri di decisione in pari impatto sui soggetti interessati. Quindi spiegare bene la modalità di funzionamento, i possibili impatti delle decisioni automatizzate, spiegare le decisioni automatizzate. I cittadini devono essere informati della propria facoltà di ottenere una spiegazione comprensibile riguardo alle decisioni adottate tramite sistemi di intelligenza artificiale. E quindi trasparenza del processo decisionale, vedete, fornire su richiesta richiesta. Qui si amplia il parterre dei diritti dedicati agli interessati, quelli che dagli articoli 15 all'articolo 22 del Regolamento Europeo avevamo imparato a conoscere: accesso ai dati, portabilità, richiesta di informazioni, eccetera eccetera. Poi ci sono i criteri. Questo è interessante: diritto di opposizione, intervento umano nel processo decisionale. È fondamentale che la pubblica amministrazione informi informino i propri utenti della possibilità di opporsi a decisioni automatizzate, quindi posso dire no, non voglio essere sottoposto a decisioni automatizzate, richiedere l'intervento umano nel processo decisionale e quindi ovviamente bisognerà dirlo, no, che c'è questa possibilità. Comunicazione istituzionale, quindi formalità, siti web responsive, trasparenti, chiari, lineari, consiglierei, mi viene già da dare questo suggerimento, sezioni dedicate all'intelligenza artificiale dove si vanno a mettere in un cassettino, una dashboard, le informative e tutti i documenti che andranno a comporre il nostro kit, no, documentale. E questo ovviamente garantirà anche quell'aumento, no, in termini di trasparenza che dovremo essere bravi poi a rendicontare. Interessante come I chatbot vengono inseriti nel paragrafo 7.3, no, quasi confinati proprio alla sola comunicazione istituzionale, ai centralini, eccetera eccetera, quando in realtà potrebbero avere un impatto ben più ampio. Sappiamo che rientrano i chatbot come ChatGPT, Copilot, eccetera eccetera, all'interno dei modelli di intelligenza artificiale a finalità generale, proprio perché possono essere destinati a vari utilizzi. Quindi paradossalmente potrebbero anche essere dei modelli ad alto rischio. Quindi gli avrei forse dedicato un approfondimento ulteriore, però va bene, ce lo facciamo bastare. Oh, questo è bello: sviluppo delle competenze e formazione. Allora, formare il personale, ovviamente, no, formare i dipendenti, sensibilizzarli. Ma mi interessava, ecco, questa parte qua. Questi sono le nuove figure professionali che saranno da ricercare: Data Engineer, Machine Learning Engineer, Prompt Engineer. Questa è stupenda. Sono mesi, forse un anno, che vado predicando che la capacità di fare prompting sarà cruciale. Quindi ci vorrà in questi tavoli un esperto che istruisce l'intelligenza artificiale generativa alla produzione di output efficaci secondo le indicazioni ricevute. Deep learning, uh, engineer, data scientist, AI engineer, AI architect o AI strategist, quindi un esperto in grado di valutare, progettare l'architettura dei sistemi secondo quelle che vengono chiamate logiche AI first, cioè collocare l'intelligenza artificiale al centro e andare a costruire attorno i processi. Quindi lavorare con l'intelligenza artificiale, non per l'intelligenza artificiale. È un'ottica completamente da ribaltare, no, rispetto a quell'utilizzo: prendo, attivo, metto in campo, poi non so come funziona, non so i rischi, non so i pericoli. Esperto di cyber security, ovviamente esperto di etica Intelligenza Artificiale. Giurista informatico, questa è bella, è una, una nomenclatura nuova che non avevo mai sentito. Un esperto in grado di combinare competenze legali e informatiche per fornire consulenze legali relative all'utilizzo di tecnologie informatiche che possono impattare su temi come la protezione dei dati, la sicurezza, la proprietà intellettuale. Quindi una figura professionale in grado anche di redigere e revisionare contratti relativi a software, licenze, assicurando che siano conformi alle normative. Quindi qui c'è una bellissima fusione, no, di queste due esperienze, di queste due competenze: il giurista e l'informatico, che vengono proprio calate all'interno di questo ruolo. Quindi gli avvocati dovranno sempre più aprirsi a queste tecnologie, gli informatici dovranno sempre più aprirsi alla parte legal, che diventerà importantissima. Esperto di protezione dei dati personali, ovviamente. Change manager, figura in grado di valutare gli impatti. Esperti umanisti, anche questo è molto interessante, figure professionali umanistiche che collaborano con esperti di tecnologia informatica per trattare questioni etiche, sociali, culturali, filosofiche, che inevitabilmente verranno coinvolte nell'uso di questi strumenti. Ci sono poi altri ruoli che non sono stati richiamati. Il DPO, ruolo che in realtà è già presente ed entrato in vigore con il Regolamento Europeo sulla Protezione dei Dati, ma sicuramente ad un tavolo operativo il DPO ce lo vedo, ci deve essere e dovrà essere sempre più formato su questi temi. Siamo arrivati quasi alla fine, abbiamo gestione e qualità dei dati. Va bene, qui c'è tutto un approfondimento sui dati, molto importante, meriterebbe un focus a parte. Leggetevelo perché, vedete, fa proprio la— riprende un po' tutto, anche le definizioni dell'articolo 3 dell'AI Act, e le spiega un pochino più nel dettaglio, spiegando che cos'è un dato di input, che cos'è un dato di output, cosa si intende per dati del sistema. Quindi è molto interessante perché se non ve ne intendete vi fate una bella idea. Caratteristiche dei dati, va bene. Scorriamo in fondo. Processi e governance, ovviamente. Quindi tutta l'ultima parte è dedicata ai dati. Quindi ciclo di vita che viene qui, eccolo qua, riportato. Bellissima questa rappresentazione. Identificazione, analisi, preparazione. Parola chiave: arricchimento, validazione, utilizzazione, monitoraggio. Braccio. Questo è un modello di processo di gestione dei dati all'interno di un sistema di intelligenza artificiale. Quindi poi c'è una descrizione di tutte le fasi, protezione dei dati personali, ovviamente sicurezza cibernetica, quello che vi dicevo all'inizio, obiettivi di sicurezza. Quindi questo è un bel focus, un bell'approfondimento. E qui veniamo agli allegati. Allora, gli allegati sono molto interessanti. Eccolo qui, il Maturity Model. Volevo arrivare proprio qua. Allora, questo modello, no, modello di valutazione del livello di maturità nell'adozione di intelligenza artificiale, è uno strumento, ci dicono le linee guida, per la valutazione del livello di maturità tecnica e organizzativa di una PA ai fini dell'adozione dell'intelligenza Intelligenza Artificiale. Allora, dovete sapere che il Maturity Model è uno strumento molto efficace, no, perché dà proprio questo, questa capacità rispondendo a tutta una serie di domande, no. Quindi è un'autovalutazione sostanzialmente soggettiva che la pubblica amministrazione dovrà fare, permetterà alla stessa pubblica amministrazione di collocarsi su una scala con un punteggio di consapevolezza che va da 1 a 10, supponiamo. È una metrica operativa che solitamente appartiene al mondo dei privati, delle imprese, delle società. Il fatto di vederla calare, calata anche all'interno della pubblica amministrazione, fa riflettere ed è molto importante perché il messaggio di fondo qual è? Che questa tecnologia è una tecnologia che non fa distinzione, è una tecnologia impattante sia per il settore pubblico che per il settore privato e quindi sottolinea proprio questo, cioè come l'intelligenza artificiale non faccia distinzioni di tipo, di impatto tecnologico, di natura giuridica, di ecosistema e via dicendo. Ed è molto interessante. Qui c'è poi un modello di maturità, quindi una volta aver risposto a tutta una serie di domande, l'APA andrà a disegnare, eccolo quello che è il suo modello applicativo. E qui è interessante, poi magari su questo dedicherò un video ad hoc su come andare a collocarsi all'interno del maturity model. Ci sono vari esempi, la parola chiave anche qua è flessibilità, cioè io questo giochino lo dovrò ripetere perché il modello di maturità varierà nel tempo presumibilmente. E quindi ci sono una serie di esempi. Valutazione del rischio. Questo è molto importante, dovrà essere il capitolo che precede le valutazioni di impatto. Quindi qua ci spiega come fare tutta la valutazione del rischio, no? Si partirà dallo studio del dominio, cioè l'ecosistema, l'ambito di business o la funzione organizzativa beneficiaria di quello strumento. Vi ricordate, abbiamo parlato di casi d'uso e certi pilota. Quindi la PA dovrà andare ad identificare le aree di destinazione: settore, che ne so, anagrafe, settore relazioni con il pubblico, settore appalti. Benissimo, quali sono i rischi legati all'utilizzo in quel settore? E si dovrà fare un'analisi finalità, quindi applicazione, tecnologia, cioè qual è il modello di intelligenza artificiale utilizzato, destinatario, no, l'utenza, i volumi potenziali e via dicendo. E quindi anche qua molto interessante perché ci fa proprio degli esempi che poi possono essere presi come modello, internalizzati e copiati. Vedete, valutazione caso per caso. Qui c'è proprio una matrice all'interno della quale poi si andrà a collocare, no, in base alle risultanze, alle risposte alle domande, all'analisi, no, quello che è la casistica, il rischio, e sulla base del quale poi si andrà a svolgere la valutazione di impatto. Valutazione di impatto che è proprio contenuta nell'allegato C. Allegato C che va per domande, quindi è una griglia, è una griglia che ci riportano all'interno di un altro allegato che vi farò vedere, dove dovremo poi dare una risposta, no, a domande generali con una serie di domande introduttive: scopo del sistema, impatto del sistema, diritti fondamentali, stakeholder, no, robustezza tecnologica, governance dei dati. Quindi si dovrà rispondere ad una serie di domande organizzate in tabella e poi ovviamente lo scopo sarà quello di di andare a collocarsi, no, fare una valutazione di impatto, una valutazione del rischio che dica alla fine che il rischio di impatto, no, legato proprio all'utilizzo di dati, informazioni con modelli di intelligenza artificiale, è portato ad una soglia vicina al controllo. Quindi non esiste il rischio zero, ma si ragiona in termini di monitoraggio, controllabilità del rischio e soprattutto possibilità di gestirlo. Allegato D, codice etico, quindi c'è uno schema anche qua interessante come vi dicevo prima. E poi abbiamo Allegato E, le norme tecniche, e quindi qua ci fanno la cortesia di farci questo bellissimo elenco di normativa tecnica da andare a darsi. Casi d'uso: di seguito riportato lo schema descrittivo dei casi d'uso introdotto al paragrafo 4.5. Quindi anche questo è molto— vedete che sono delle linee guida molto pratiche alla fine della partita, perché rispetto al regolamento sull'intelligenza artificiale, che era rimasto un pochino, no, molto in overview, ovviamente mi viene anche da dire, perché comunque era una normativa di perimetro, no, che serve a dare un testo, qui entriamo proprio nel verticale. Quindi qua ci danno anche dei casi d'uso che potremmo andare ad applicare. Funzionalità dell'IA, il documento presenta, ecco, una classificazione di quelle che sono le principali funzioni. Anche questo proprio dato come, come esempio, no? Analisi e classificazione del testo, analisi di contenuti non testuali, analisi non linguistica di audio. Qui ci sono, rientrano i famosi tool, no? A seconda di quella che è la finalità del modello di intelligenza artificiale, si andrà a ricadere poi all'interno di queste casistiche. E poi dovremmo essere all'ultimo, penultimo allegato: procedure di governance strategico, operativo, tattico, con degli esempi, ricca di esempi queste linee guida. Pratiche strutturali, va benissimo. Indicatori di prestazione, KPI, quindi il documento riporta i principali indicatori di prestazione raccomandati nel ciclo di adozione con l'obiettivo di fornire uno strumento operativo nella misurazione, valutazione e monitoraggio delle prestazioni. Quindi qui ci danno delle chiavi di lettura che la pubblica amministrazione potrà andare a utilizzare per vagliare, no, per valutare, per dare un valore, no, in termini di performance, continuità, validazione a quelli che sono i sistemi che ha implementato. E quindi qui c'è tutto l'esempio. Chiude quindi, le linee guida chiudono proprio con questo allegato. Quindi come vedete, un documento molto interessante, molto complesso. Mi riserverò di leggerlo in maniera approfondita perché merita. Ricordatevi quindi comunque parola chiave strategia, parola chiave procedura, parola chiave monitoraggio. Quindi vedremo adesso in base anche a quello che verrà proposto, no, a livello di miglioramento, rettifica, da qui fino al 20 di marzo 2025. E poi dedicheremo magari degli approfondimenti ulteriori. Noi seguiremo tutti gli sviluppi e commenteremo poi magari con dei video dedicati, o all'interno anche della newsletter di Graduatori Digitali, tutte le fasi dell'implementazione di questo importantissimo documento. Per ogni domanda, quesito, dubbio, richiesta, scrivetemi via mail o tramite i canali ufficiali o tramite i social. Condividiamo le prime impressioni. Facciamo rete, facciamo community e diffondiamo questo messaggio importante, divulghiamo proprio questo importante documento che merita veramente di essere letto, di essere compreso e poi ovviamente applicato. Grazie per essere stati con me in questa velocissima analisi e noi ci vediamo in un prossimo video. Buona lettura!