// TOM'S HARDWARE ITALIA — INTELLIGENZA ARTIFICIALE
Se vendete IA ad alto rischio alla PA italiana, la conformità passa sotto il Garante
Per i fornitori che vendono intelligenza artificiale alla PA italiana, il nuovo assetto di controllo non si fermerà ad AgID e ACN. Il Garante per la protezione dei dati personali è destinato a vigilare sui sistemi di IA ad alto rischio impiegati in giustizia, attività di contrasto, immigrazione, frontiere e processi democratici. Classificazione del sistema, provenienza dei dati e supervisione umana diventano quindi elementi da affrontare prima della gara, non dopo l’aggiudicazione.
Il 14 luglio 2026 l’Autorità ha adottato due pareri favorevoli con condizioni sugli schemi di decreto che attuano l’AI Act in Italia, esercitando le deleghe previste dalla legge 132/2025. Come ricostruito nell’analisi sul doppio parere, il via libera riguarda sia la governance nazionale sia l’uso dell’IA da parte delle Forze di polizia, ma è accompagnato da richieste puntuali su poteri, sanzioni, conformità e dati biometrici.
Lo schema generale, composto da 51 articoli, distribuisce le competenze tra più soggetti. AgID assume il ruolo di autorità nazionale di notifica, con funzioni sulle procedure di valutazione, designazione e controllo degli organismi notificati. ACN è indicata come autorità di vigilanza del mercato a carattere generale, mentre Banca d’Italia, Consob e IVASS mantengono competenze settoriali sui sistemi ad alto rischio impiegati nei servizi finanziari e assicurativi.
Il Garante entra nel sistema entro il perimetro dell’articolo 74, paragrafo 8, come conferma il parere sulla governance nazionale. In questi ambiti l’Autorità non svolge soltanto una funzione consultiva sul GDPR: è designata autorità di vigilanza del mercato. Il testo europeo assegna infatti alle autorità competenti per la protezione dei dati il controllo sui sistemi ad alto rischio utilizzati per contrasto, frontiere, giustizia e democrazia.
Per fornitori e deployer la prima decisione operativa riguarda lo scopo per cui il sistema viene offerto e utilizzato. Una piattaforma non ricade sotto un’autorità soltanto perché contiene un modello di IA: contano la funzione prevista, il contesto d’impiego e la classificazione stabilita dal regolamento. Il perimetro è descritto nell’articolo 74 del regolamento europeo, che distingue anche le competenze sui prodotti regolamentati e sugli operatori finanziari.
Il Garante chiede che al ruolo di vigilanza corrispondano strumenti espliciti. Lo schema dovrebbe attribuirgli il potere di adottare linee guida, raccomandazioni e buone pratiche, come previsto per le altre autorità competenti. Per le imprese, questi atti potranno incidere sulla documentazione richiesta, sull’interpretazione delle misure di protezione dei dati e sui controlli esercitati durante l’intero ciclo di vita dei sistemi.
Un secondo nodo riguarda le sanzioni. L’Autorità domanda che il decreto rinvii espressamente all’articolo 166 del Codice privacy, compresa la disciplina sulla destinazione dei proventi. Il punto non anticipa una multa né modifica da solo gli importi dell’AI Act: serve a identificare con precisione il procedimento sanzionatorio applicabile quando la competenza appartiene al Garante.
Resta inoltre da chiarire la responsabilità dello Stato nella valutazione della conformità dei sistemi ricadenti nelle attribuzioni del Garante. L’Autorità domanda quale opzione prevista dal regolamento sarà adottata e sollecita la propria partecipazione allo Spazio di sperimentazione italiano per l’IA quando i progetti comportano trattamenti di dati personali. La richiesta richiama l’articolo 57, paragrafo 10, dell’AI Act.
La clausola di invarianza finanziaria è un altro punto contestato. Il Garante considera gli stanziamenti attuali insufficienti rispetto alle nuove funzioni e chiede una revisione organica delle risorse finanziarie. Per il mercato, la capacità amministrativa dell’Autorità incide sui tempi con cui potranno essere prodotti indirizzi, gestite sperimentazioni e svolte verifiche sui sistemi ad alto rischio.
Il secondo decreto esaminato disciplina ri