Stampa in PDF

«quale ragione potrebbe opporsi a che la funzione amministrativa sia esercitata nelle forme del processo, che cioè possa intervenire nella formazione dell’atto anche chi, pur non essendo il titolare dell’interesse principale perseguito dall’atto, è tuttavia titolare di un interesse su cui l’atto incide, e vi intervenga appunto per la tutela del suo interesse? Senonché, anche la risposta affermativa resterebbe sterile esercitazione teorica se non fosse dato riscontrare nel diritto positivo l’esistenza di modi di esplicazione della funzione amministrativa che siano dei veri, sia pure più o meno perfetti, processi. Ma io credo che vi siano anche nel diritto amministrativo ipotesi in cui soggetti diversi dall’autore dell’atto partecipano, con atti posti in essere nel proprio interesse e determinativi dell’atto finale, all’esplicazione della funzione amministrativa» ([1])

«il tema della decisione amministrativa robotizzata pone questioni assai rilevanti per il giurista perché giunge a lambire assetti istituzionali che coinvolgono lo spazio rimesso all’amministrazione nell’attuazione delle leggi (specie ove la potestà amministrativa abbia carattere discrezionale) e il rapporto tra amministrazione e giudice» ([2])

  1. L’oggetto della relazione

Desidero preliminarmente ringraziare l’Associazione veneta degli avvocati amministrativisti – e in particolare il suo presidente – per l’invito rivoltomi ad intervenire in questa prestigiosa sede e complimentarmi per il programma del convegno, che affronta un delicatissimo fenomeno, qual è l’intelligenza artificiale (di seguito IA), a 360°, iniziando dalle questioni tecniche e scientifiche, passando per quelle etiche, per finire a quelle giuridiche, che sono di grande interesse anche per l’avvocato amministrativista, chiamato a confrontarsi con il fenomeno da almeno tre punti vista.

Innanzi tutto vi è il punto di vista delle pubbliche amministrazioni – qualificate come deployer ([3]) dal regolamento UE 2024/1689 del 13 giugno 2024, recante il c.d. “Artificial intelligence act” – come tali tenute al rispetto del regolamento stesso. Difatti le “Linee Guida per l’adozione dell’Intelligenza Artificiale nella Pubblica Amministrazione” adottate dall’Agenzia per l’Italia Digitale (di seguito, linee guida AgID), in corso di pubblicazione ([4]), prevedono – tra le figure professionali di cui le pubbliche amministrazioni  devono dotarsi nello sviluppo e gestione di progetti e soluzioni che si basano sull’IA – quella del “giurista informatico” ([5]) e la pubbliche amministrazioni, in mancanza di tali figure professionali al proprio interno, dovranno avvalersi di consulenti esterni.

La consulenza legale in materia di IA rientra nell’oggetto della relazione affidata all’avvocato Alessandro Tudor, assiduo frequentatore della Terza Sezione del T.A.R. del Veneto – che ho l’onore di presiedere – in ragione dei suoi incarichi professionali in materia di autorizzazione delle stazioni radio base per gli impianti di telefonia mobile, materia nella quale l’IA già occupa un ruolo importante, come dimostra, ad esempio, una recente sentenza della Terza Sezione ([6]). Invece io mi occuperò del fenomeno dell’IA ponendomi dal punto di vista delle amministrazioni, chiamate a valutare l’adozione e l’utilizzo di sistemi di IA a fronte di un quadro normativo di ardua lettura e ancora in divenire.

Giova, infatti, evidenziare sin d’ora che tale quadro normativo è caratterizzato: A) da disposizioni programmatiche di carattere generale, come quella dell’art. 3-bis della legge 7 agosto 1990, n. 241, secondo il quale “Per conseguire maggiore efficienza nella loro attività, le amministrazioni pubbliche agiscono mediante strumenti informatici e telematici, nei rapporti interni, tra le diverse amministrazioni e tra queste e i privati”, o quelle contenute nel decreto legislativo 7 marzo 2005, n. 82, prima tra tutte quella dell’art. 41, comma 1, nella parte in cui dispone che “Le pubbliche amministrazioni gestiscono i procedimenti amministrativi utilizzando le tecnologie dell’informazione e della comunicazione” ([7]); B) da disposizioni di settore come l’art. 30 del decreto legislativo 31 marzo 2023, n. 36, secondo il quale “Per migliorare l’efficienza le stazioni appaltanti e gli enti concedenti provvedono, ove possibile, ad automatizzare le proprie attività ricorrendo a soluzioni tecnologiche, ivi incluse l’intelligenza artificiale e le tecnologie di registri distribuiti, nel rispetto delle specifiche disposizioni in materia”, o l’art. 9 del decreto legislativo 12 luglio 2024, n. 103, secondo il quale “Le amministrazioni cui sono attribuite funzioni di controllo, diverse da quelle in materia di controllo fiscale, in attuazione delle disposizioni del decreto legislativo 7 marzo 2005, n. 82, adottano misure volte ad automatizzare progressivamente le proprie attività, nell’ambito delle risorse disponibili a legislazione vigente, ricorrendo a soluzioni tecnologiche, ivi incluse quelle di intelligenza artificiale in coerenza con il principio di proporzionalità al rischio secondo le regole tecniche finalizzate alla realizzazione degli obiettivi dell’Agenda digitale italiana”;  C) dall’approvazione e dalla progressiva entrata in vigore del regolamento UE 2024/1689 ([8]); D) dal perdurante vuoto normativo che si registra nell’ordinamento italiano, palesato dalla presentazione (avvenuta il 20 maggio 2024) di un disegno di legge di iniziativa governativa – classificato come A.S. 1146 e noto come disegno di legge Butti – recante “Disposizioni e delega al Governo in materia di intelligenza artificiale”, che ad oggi risulta approvato soltanto dal Senato della Repubblica nella seduta del 20 marzo 2025; E) da una giurisprudenza pretoria del Consiglio di Stato che solo in parte scioglie i dubbi dell’interprete ed anzi prospetta soluzioni non sempre condivisibili.

Il secondo punto di vista è quello proprio dell’avvocato chiamato ad assistere il destinatario dell’azione amministrativa – dapprima per poter partecipare attivamente al procedimento svolto con l’ausilio di un “sistema di intelligenza artificiale” ([9]) e poi, eventualmente, per adire il giudice amministrativo chiedendo l’annullamento di una “decisione amministrativa algoritmica” ([10]) lesiva della sfera giuridica del suo assistito – e, quindi, a individuare i vizi dell’azione amministrativa.

Anche questo “cono ottico” è ricompreso nell’oggetto della relazione affidata all’avvocato Tudor, mentre nella presente relazione farò cenno ad alcune delle misure che le amministrazioni sono tenute ad adottare – anche alla luce delle linee guida AgID – per prevenire l’adozione di decisioni algoritmiche illegittime e, più in generale, fenomeni di maladministration nell’utilizzo di sistemi di IA.

Il terzo punto di vista concerne l’utilizzo di sistemi di IA da parte del giudice amministrativo e presenta anch’esso aspetti di rilevante interesse per l’avvocato amministrativista, ad esempio se chiamato ad impugnare una sentenza redatta con l’ausilio di un sistema di IA.

Il tema è affrontato nel documento del Servizio per l’informatica del Segretariato generale della Giustizia amministrativa, denominato “Intelligenza artificiale e Giustizia amministrativa: strategie di impiego, metodologie e sicurezza”, nel quale, oltre all’illustrazione delle attività in corso di realizzazione per l’introduzione dei sistemi di IA nella Giustizia amministrativa, si rinviene – come evidenziato dal presidente Leonardo Pasanisi, in occasione della recente inaugurazione dell’anno giudiziario del T.A.R. del Veneto – una netta presa di posizione sui “casi d’uso” consentiti nella Giustizia amministrativa, in quanto non rientranti tra quelli definiti ad “alto rischio” dal regolamento UE 2024/1689. Difatti in tale documento si afferma che “I casi d’uso … non riguardano l’attività decisionale del caso concreto che resta affidata esclusivamente al giudice. Le applicazioni previste mirano a fornire esclusivamente supporto nello svolgimento di attività preparatorie, organizzative o di approfondimento”.

Questo cono ottico rientra nell’oggetto della relazione affidata al collega Nicola Bardino. Tuttavia è innegabile che talune delicate questioni connesse all’utilizzo di sistemi di IA siano comuni all’esercizio della funzione amministrativa e all’amministrazione della giustizia  ([11]). Mi riferisco, in particolare, alla necessità di garantire l’effettività della c.d. “riserva di umanità”, anche attraverso la formazione dei funzionari e dei giudici, e un’adeguata azione di contrasto a nuovi fenomeni come la shadow AI (ossia l’IA ombra), temi sui quali avrò modo di soffermarmi nella presente relazione.

  1. La scelta del titolo della relazione

Come si evince dal titolo della presente relazione e dalle considerazioni finora svolte, mi è stato chiesto di approfondire il fenomeno dell’utilizzo, da parte delle pubbliche amministrazioni, di sistemi di IA nell’esercizio della funzione amministrativa attraverso il procedimento amministrativo.

È noto che la nozione di procedimento amministrativo quale “forma della funzione amministrativa” – testualmente ripresa in una recentemente pronuncia della Terza Sezione del T.A.R. del Veneto ([12]) – risale al professor Feliciano Benvenuti (primo presidente dell’Associazione veneta degli avvocati amministrativisti) e, in particolare, al suo contributo allo studio della funzione amministrativa, esposto nel celebre articolo del 1952 intitolato “Funzione amministrativa, procedimento, processo”, nel quale il celebre studioso, analizzando il fenomeno del procedimento amministrativo e ponendolo a confronto con il processo, valorizza la partecipazione degli interessati all’esercizio della funzione amministrativa, anticipandone il riconoscimento operato dal legislatore con la tipizzazione, nella legge n. 241/1990, degli istituti che, per l’appunto, garantiscono agli interessati la partecipazione al procedimento.

Ebbene, quando l’avvocato Alessandro Veronese mi ha proposto il titolo della mia relazione – “Procedimento amministrativo e algoritmi” – sono stato tentato dall’idea di sostituirlo con il seguente: “La decisione amministrativa algoritmica”, e ciò per due ragioni. Innanzi tutto la nozione di decisone algoritmica è espressamente utilizzata dal legislatore in due importanti norme di settore: l’art. 30 del decreto legislativo n. 36/2023, in materia di contratti pubblici, e l’art. 9 del decreto legislativo n. 103/2024, in materia di controlli amministrativi diversi quelli fiscali. Inoltre ho iniziato ad approfondire il fenomeno dell’IA in occasione della preparazione di seminari (che curo presso la Scuola Nazionale dell’Amministrazione) in materia di misure di prevenzione della corruzione nell’attività ispettiva delle pubbliche amministrazioni, nell’ambito dei quali assume un ruolo centrale l’utilizzo dei sistemi di IA nella formazione delle decisioni algoritmiche che caratterizzano il procedimento ispettivo (a partire dalla programmazione dell’attività ispettiva), e la mia relazione sul tema reca nel titolo un espresso riferimento alla decisione algoritmica

Tuttavia, proprio la circostanza che questo convegno sia dedicato alla memoria del professor Benvenuti, mi ha indotto a non proporre un diverso titolo per la mia relazione, e ciò per le seguenti ragioni. Come accennato il legislatore nel 1990 – recependo le intuizioni di prestigiosi studiosi del diritto amministrativo come il professor Benvenuti – nel disciplinare la funzione amministrativa ha concentrato la propria attenzione non già sul provvedimento conclusivo del procedimento, bensì sulla formazione della decisione amministrativa attraverso il procedimento, plasmando una disciplina ispirata alla c.d. “concezione antropocentrica” del procedimento, come dimostra la centralità che in esso assumono il dialogo ed il confronto tra persone fisiche, palesata da istituti quali il responsabile del procedimento, la partecipazione degli interessati al procedimento, potenzialmente preordinata finanche alla conclusione di un accordo amministrativo, e la conferenza di servizi, che, quantomeno nel caso della c.d.  sincrona, di cui all’art. 14-ter della legge n. 241/1990, si caratterizza per l’indizione di una riunione alla quale partecipano persone fisiche ([13]).

Consentitemi allora di ricordare nuovamente le parole del prof. Benvenuti già citate in premessa: «quale ragione potrebbe opporsi a che la funzione amministrativa sia esercitata nelle forme del processo, che cioè possa intervenire nella formazione dell’atto anche chi, pur non essendo il titolare dell’interesse principale perseguito dall’atto, è tuttavia titolare di un interesse su cui l’atto incide, e vi intervenga appunto per la tutela del suo interesse? … io credo che vi siano anche nel diritto amministrativo ipotesi in cui soggetti diversi dall’autore dell’atto partecipano, con atti posti in essere nel proprio interesse e determinativi dell’atto finale, all’esplicazione della funzione amministrativa». Ebbene oggi la partecipazione degli interessati all’esplicazione della funzione amministrativa costituisce uno dei pilastri della legge n. 241/1990, quale corollario del principio del giusto procedimento.

È ben vero che, a livello normativo, la centralità del dialogo nella formazione della decisione amministrativa è stata in qualche misura ridimensionata con la legge n. 15/2005, che – nel disciplinare il provvedimento amministrativo e la sua patologia – ha introdotto il noto meccanismo della c.d. “dequotazione dei vizi formali e procedimentali”, attraverso le previsioni dell’art. 21-octies, comma 2, della legge n. 241/1990. Tuttavia lo stesso legislatore con le recenti novelle dell’art. 10-bis e dello stesso art. 21-octies, comma 2, della legge n. 241/1990 (operate con il decreto legge n. 76/2020, convertito con modificazioni dalla legge n. 120/2020) ha inteso ribadire la centralità della partecipazione al procedimento nella formazione della decisione amministrativa, quantomeno quando l’amministrazione esercita un potere discrezionale.

Per tali ragioni – avuto riguardo anche alle significative aperture del Consiglio di Stato, rinvenibili nelle c.d. sentenze gemelle n. 8472, 8473 e 8474 del 2019 (relative ai provvedimenti conclusivi della procedura di mobilità nazionale avviata in attuazione del Piano straordinario di assunzioni di cui alla legge n. 107/2015), in ordine alla possibilità di utilizzare sistemi di IA anche nella formazione di decisioni che costituiscono espressione di un potere discrezionale ([14]) – non può sottacersi il rischio che l’IA metta definitivamente in crisi l’impostazione antropocentrica del procedimento amministrativo.

Emblematico, a tal riguardo, è il seguente passaggio delle predette sentenze «Non può … ritenersi applicabile in modo indiscriminato … all’attività amministrativa algoritmica tutta la legge sul procedimento amministrativo, concepita in un’epoca nella quale l’amministrazione non era investita dalla rivoluzione tecnologica, né sono condivisibili richiami letterari, pur noti ed apprezzabili, a scenari orwelliani (da considerarsi con cautela perché la materia merita un approccio non emotivo ma capace di delineare un nuovo equilibrio, nel lavoro, fra uomo e macchina differenziato per ogni campo di attività). Il tema dei pericoli connessi allo strumento non è ovviato dalla rigida e meccanica applicazione di tutte le minute regole procedimentali della legge n. 241 del 1990 (quali ad es. la comunicazione di avvio del procedimento sulla quale si appunta buona parte dell’atto di appello o il responsabile del procedimento che, con tutta evidenza, non può essere una macchina in assenza di disposizioni espresse), dovendosi invece ritenere che la fondamentale esigenza di tutela posta dall’utilizzazione dello strumento informatico c.d. algoritmico sia la trasparenza nei termini prima evidenziati riconducibili al principio di motivazione e/o giustificazione della decisione» ([15]).

Secondo questa impostazione, la tutela dell’interessato nei confronti della decisione amministrativa algoritmica – non potendo essere garantita attraverso la partecipazione al procedimento – richiede necessariamente l’intervento del giudice amministrativo, chiamato ad accertare la legittimità della decisione stessa attraverso la sua motivazione, unico strumento per verificare se la decisione stessa sia conforme, o meno, ai tre principi della c.d. “legalità algoritmica”, ossia al principio di “non discriminazione algoritmica” (che comporta l’obbligo di adottare opportune misure per neutralizzare errori e inesattezze dei dati raccolti e utilizzati per la decisione algoritmica) e al principio di “non esclusività della decisione algoritmica” (che si traduce in una “riserva di umanità”, nel senso che il soggetto controllato ha diritto a che la decisione non sia basata unicamente sul processo automatizzato, perché il funzionario deve poter controllare, validare ovvero smentire la decisione stessa), oltre che al principio di “trasparenza della decisione algoritmica” (in forza del quale il destinatario della decisione ha il diritto di conoscere l’esistenza di un processo decisionale automatizzato che lo riguarda e di ricevere informazioni significative sulla logica utilizzata per l’assunzione della decisione).

Così ragionando, viene da chiedersi cosa rimanga della concezione antropocentrica del procedimento amministrativo una volta “sdoganato” l’utilizzo di sistemi di IA nell’esercizio della funzione amministrativa e, comunque, è innegabile l’arretramento della disciplina dei rapporti tra amministrazione e amministrato, in palese contrasto con il principio del giusto procedimento.

Tuttavia la tesi del Consiglio di Stato – secondo la quale non può ritenersi «applicabile in modo indiscriminato … all’attività amministrativa algoritmica tutta la legge sul procedimento amministrativo, concepita in un’epoca nella quale l’amministrazione non era investita dalla rivoluzione tecnologica», perché la fondamentale esigenza di tutela a fronte dell’utilizzo di sistemi di IA è la «trasparenza nei termini … riconducibili al principio di motivazione e/o giustificazione della decisione» – non pare condivisibile. Innanzi tutto tale tesi legittima il progressivo superamento dell’impostazione antropocentrica del procedimento amministrativo senza considerare lo stretto nesso che lega le garanzie procedimentali alla c.d. riserva di umanità, anche se residua il problema di come conciliare l’impostazione antropocentrica con l’utilizzo di sistemi di IA nell’esercizio della funzione amministrativa, posto che, come osservato dal Consiglio di Stato, «il responsabile del procedimento …, con tutta evidenza, non può essere una macchina». Inoltre il Consiglio di Stato ha ritenuto di poter risolvere il problema della legittimità della decisione algoritmica nella verifica del rispetto dei principi della c.d. “legalità algoritmica”, senza affrontare direttamente un delicato problema che si pone a monte, costituito dalla base legale dell’utilizzo di sistemi IA per la cura degli interessi pubblici affidati alla pubblica amministrazione, problema che assume un rilievo centrale alla luce del principio di legalità dell’azione amministrativa.

  1. La concezione antropocentrica del procedimento amministrativo e il principio di non esclusività della decisione amministrativa algoritmica

Senza voler invadere il terreno riservato alla relazione della professoressa Maria Alessandra Sandulli, la tesi del Consiglio di Stato innanzi esposta pare difficilmente conciliabile: A) con l’art. 28 Cost., nella parte in cui dispone che “i funzionari e i dipendenti dello Stato e degli enti pubblici sono direttamente responsabili, secondo le leggi penali, civili e amministrative, degli atti compiuti in violazione di diritti”; B) con l’art. 97, comma 2, Cost., secondo in quale “i pubblici uffici sono organizzati secondo disposizioni di legge, in modo che siano assicurati il buon andamento e l’imparzialità dell’amministrazione”. Difatti già da tali disposizioni pare potersi desumere il principio per cui la competenza ad adottare la decisione che confluisce nel provvedimento finale deve rimanere in capo all’essere umano, individuato “secondo disposizioni di legge, e unico responsabile, “secondo le leggi penali, civili e amministrative”, della decisione stessa. Inoltre, sebbene la Corte Costituzionale con le sentenze n. 234 del 25 ottobre 1985 e n. 151 del 27 giugno 1986 abbia affermato che il principio del giusto procedimento non è desumibile dall’art. 97 Cost., tuttavia la Corte stessa nella successiva sentenza n. 210 del 31 maggio 1995 ha precisato che «il principio del giusto procedimento, pur non potendo definirsi un principio assistito da garanzia giurisdizionale e costituzionale, costituisce tuttavia un criterio di orientamento per il legislatore e per l’interprete, con la conseguenza che il coinvolgimento dei soggetti interessati attraverso l’attivazione di una fase preliminare di informazione e partecipazione, ai sensi dell’art. 7, L. 7 agosto 1990, n. 241, rappresenta un momento indefettibile dei procedimenti».

In ogni caso un insuperabile ostacolo al superamento della concezione antropocentrica del procedimento è costituito, a ben vedere, dal principio di non esclusività della decisione algoritmica – in forza del quale (giova ribadirlo) la decisione stessa non può basarsi unicamente sull’utilizzo di un sistema di IA, perché il responsabile del procedimento deve poter controllare, validare ovvero smentire la decisione stessa – specie se si tiene conto dei rapporti tra tale principio e le disposizioni della legge n. 241/1990 in materia di partecipazione al procedimento, tema sul quale avrò modo di soffermarmi.

Del resto anche nelle predette sentenze del Consiglio di Stato il principio di non esclusività – desunto dall’art. 22 del regolamento UE 2016/679, secondo il quale “L’interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona” – assume pari dignità rispetto ai principi di trasparenza della decisione algoritmica e di non discriminazione algoritmica.  Inoltre la pari dignità tra questi tre principi si desume, de iure condito, dalle già menzionate norme di settore dell’art. 30 del codice dei contratti pubblici ([16]) e dell’art. 9 del decreto legislativo n. 103/2024 sui controlli diversi da quelli fiscali ([17]), che espressamente affermano tali principi.

A ciò si deve aggiungere, de iure condendo, quanto prevedono le disposizioni dell’art. 14 del disegno di legge A.S. 1146 ([18]), mediante le quali il legislatore italiano – sebbene il regolamento UE 2024/1689, quale fonte del diritto sovraordinata a quelle nazionali, sia obbligatorio in tutte le sue parti e direttamente applicabile negli Stati membri, senza che sia necessaria una legge di recepimento ([19]) – prende posizione sull’uso dei sistemi di IA nell’esercizio della funzione amministrativa.

L’art. 14 (rubricato, per l’appunto, “Uso dell’intelligenza artificiale nella pubblica amministrazione”) dispone, al comma 1, che “Le pubbliche amministrazioni utilizzano l’intelligenza artificiale allo scopo di incrementare l’efficienza della propria attività, di ridurre i tempi di definizione dei procedimenti e di aumentare la qualità e la quantità dei servizi erogati ai cittadini e alle imprese, assicurando agli interessati la conoscibilità del suo funzionamento e la tracciabilità del suo utilizzo”.

Tale disposizione effettivamente parrebbe sottintendere un ampio favor del legislatore italiano per l’utilizzo di sistemi di IA nell’attività amministrativa e l’intenzione di affidare la tutela dei destinatari dell’azione amministrativa essenzialmente al rispetto del principio di trasparenza. Tuttavia tale opzione ermeneutica è palesemente smentita dal secondo comma del medesimo art. 14 – secondo il quale “L’utilizzo dell’intelligenza artificiale avviene in funzione strumentale e di supporto all’attività provvedimentale, nel rispetto dell’autonomia e del potere decisionale della persona che resta l’unica responsabile dei provvedimenti e dei procedimenti in cui sia stata utilizzata l’intelligenza artificiale” – per le seguenti ragioni.

In primo luogo – quanto all’evidente limitazione dell’ambito applicativo dei sistemi di IA da parte delle pubbliche amministrazioni, derivante dalla disposizione per cui l’utilizzo di tali sistemi è consentito solo “in funzione strumentale e di supporto all’attività provvedimentale” – giova evidenziare che il regolamento UE 2024/1689 (al quale sono dedicati gli approfondimenti della professoressa Barbara Marchetti) presenta una struttura complessa, che si fonda su una classificazione dei sistemi di IA a seconda del livello di rischio ([20]), e classifica gran parte delle attività svolte dalla pubblica amministrazione – ad eccezione di quelle rientranti nei settori esclusi di cui all’art. 2 del regolamento stesso (ad esempio, i sistemi utilizzati per scopi militari o di sicurezza nazionale) – tra i c.d. casi d’uso a “rischio alto”. Tanto si desume dall’allegato III, cui rinvia l’art. 6, par. 2, del regolamento, recante l’elenco delle attività classificate, per l’appunto, a “rischio alto”, tra le quali sono comprese – ad esempio – la gestione e il funzionamento delle infrastrutture digitali critiche, l’accesso ai servizi pubblici essenziali, le c.d. “attività di contrasto” ([21]), la gestione dei fenomeni migratori e il controllo delle frontiere.

Tuttavia, secondo l’art. 6, par. 3, primo comma, del regolamento, “In deroga al paragrafo 2, un sistema di IA di cui all’allegato III non è considerato ad alto rischio se non presenta un rischio significativo di danno per la salute, la sicurezza o i diritti fondamentali delle persone fisiche, anche nel senso di non influenzare materialmente il risultato del processo decisionale”. Inoltre, ai sensi dell’art. 6, par. 3, secondo comma, del Regolamento, “Il primo comma si applica quando è soddisfatta almeno una qualsiasi delle condizioni seguenti: a) il sistema di IA è destinato a eseguire un compito procedurale limitato; b) il sistema di IA è destinato a migliorare il risultato di un’attività umana precedentemente completata; c) il sistema di IA è destinato a rilevare schemi decisionali o deviazioni da schemi decisionali precedenti e non è finalizzato a sostituire o influenzare la valutazione umana precedentemente completata senza un’adeguata revisione umana; o d) il sistema di IA è destinato a eseguire un compito preparatorio per una valutazione pertinente ai fini dei casi d’uso elencati nell’allegato III”.

Dunque – mentre da tali disposizioni del regolamento UE 2016/679 si desume che il legislatore europeo non esclude l’utilizzo da parte delle pubbliche amministrazioni di sistemi di IA considerati ad alto rischio – invece il secondo comma del predetto art. 14, nella parte in cui consente l’utilizzo di sistemi di IA solo “in funzione strumentale e di supporto all’attività provvedimentale”, pare da intendere nel senso che il legislatore italiano miri a limitare fortemente l’adozione e l’utilizzo di sistemi di IA nell’esercizio della funzione amministrativa, consentendolo soltanto nei casi che l’art. 6, par. 3, comma 2, del regolamento UE 2024/1689 non considera ad alto rischio.

Secondo l’impostazione prescelta dal legislatore italiano, i sistemi di IA sarebbero, quindi, utilizzabili nel procedimento amministrativo solo come strumenti istruttori per elaborare dati relativi ad una situazione di fatto complessa e, al più, per fornire valutazioni tecniche propedeutiche alla decisione finale, che però rimane riservata al funzionario; ma allora, così ragionando, non sarebbe affatto impossibile garantire la partecipazione degli interessati al procedimento amministrativo, come si avrà modo di evidenziare.

Se questa opzione ermeneutica si rivelasse corretta, dovrebbe comunque prendersi atto della specialità di disposizioni di settore come quelle: A) del già citato art. 30 del decreto legislativo n. 36/2023, il quale prevede, senza limitazioni di sorta, che “le stazioni appaltanti e gli enti concedenti provvedono, ove possibile, ad automatizzare le proprie attività ricorrendo a soluzioni tecnologiche, ivi incluse l’intelligenza artificiale e le tecnologie di registri distribuiti”; B) dell’art. 2, comma 1, del decreto legislativo 12 febbraio 2024, n. 13, il quale, nel disciplinare “l’analisi del rischio in materia tributaria”, alla lett. f), ammette espressamente il ricorso alla “analisi probabilistica”, intesa come  “insieme dei modelli e delle tecniche di analisi che, sfruttando soluzioni di intelligenza artificiale ovvero di statistica inferenziale, consentono di isolare rischi fiscali, anche non noti a priori, che, una volta individuati, possono essere utilizzati per l’elaborazione di autonomi criteri selettivi, ovvero permettono di attribuire una determinata probabilità di accadimento a un rischio fiscale noto”; C) del già citato art. 9, comma 1, del decreto legislativo n. 103/2024, il quale prevede, anch’esso senza limitazioni di sorta, che le amministrazioni cui sono attribuite funzioni di controllo, diverse da quelle in materia di controllo fiscale, “adottano misure volte ad automatizzare progressivamente le proprie attività … ricorrendo a soluzioni tecnologiche, ivi incluse quelle di intelligenza artificiale”.  Detto in altri termini, tali disposizioni sembrano riservare alla decisione amministrativa algoritmica ambiti applicativi ben più ampi (ossia non limitati alla “funzione strumentale e di supporto all’attività provvedimentale”) di quelli che, de iure condendo, saranno consentiti dalla disposizione generale dell’art. 14, comma 2, del disegno di legge A.S. 1146.

In secondo luogo, l’art. 14,  comma 2, del disegno di legge A.S. 1146 – nella parte in cui dispone che l’utilizzo da parte delle pubbliche amministrazioni di sistemi di IA è consentito “nel rispetto dell’autonomia e del potere decisionale della persona che resta l’unica responsabile dei provvedimenti e dei procedimenti in cui sia stata utilizzata l’intelligenza artificiale” – assume un particolare rilievo in quanto si riferisce all’utilizzo di sistemi di IA che non sono ad alto rischio. Invece, l’art. 14 del regolamento UE 2024/1689 – nel sancire il principio di non esclusività della decisione amministrativa algoritmica (definito come principio della “sorveglianza umana”) – ne delimita l’ambito applicativo circoscrivendolo ai soli sistemi di IA ad alto rischio, così classificati nell’Allegato III (e sempreché essi restino classificati come tali anche dopo la valutazione del rischio in concreto che l’Amministrazione deve svolgere ai sensi dell’art. 27 del Regolamento).

Depongono in tal senso  – oltre alla lettera dell’art. 14 del regolamento ([22]) – anche la sua collocazione sistematica nel capo III del regolamento stesso, rubricato “Sistemi di IA ad alto rischio”, ed il considerando n. 66,  che include la “sorveglianza umana” tra  i principi da applicare “ai sistemi di IA ad alto rischio per quanto concerne la gestione dei rischi”, nonché il considerando n. 73, secondo il quale “I sistemi di IA ad alto rischio dovrebbero essere progettati e sviluppati in modo da consentire alle persone fisiche di sorvegliarne il funzionamento, garantire che siano utilizzati come previsto e che i loro impatti siano affrontati durante il ciclo di vita del sistema …”.

In definitiva, de iure condendo, dal combinato disposto delle due condizioni poste dall’art. 14, comma 2, del disegno di legge A.S. 1146 – quella per cui l’utilizzo dei sistemi di IA “avviene in funzione strumentale e di sup­porto all’attività provvedimentale” e quella per cui  l’utilizzo di tali sistemi è consentito “nel ri­spetto dell’autonomia e del potere decisio­nale della persona che resta l’unica respon­sabile dei provvedimenti e dei procedimenti” – si desume che il legislatore italiano intende ridimensionare notevolmente il favor per la decisione algoritmica, quantomeno in ambiti diversi da quello dei controlli amministrativi e da quello dei contratti della pubblica amministrazione, non solo ribadendo l’imprescindibilità della  “sorveglianza umana”, ma anche sbarrando la strada all’utilizzo dei sistemi di IA nella fase decisoria del procedimento, per relegarla alla fase istruttoria.

In ogni caso non può sottacersi che neppure nell’art. 14 del disegno di legge A.S. 1146 si rinviene una disciplina organica del “procedimento amministrativo algoritmico”, ragion per cui – dovendosi (almeno astrattamente) ritenere applicabili anche a tale procedimento le regole generali fissate dalla legge n. 241/1990, ivi comprese quelle relative al responsabile del procedimento e in materia di partecipazione al procedimento – si pone il diverso problema di stabilire come tali regole generali possano trovare applicazione nel procedimento algoritmico, in modo da preservare l’impostazione antropocentrica del procedimento, ossia il dialogo tra il responsabile del procedimento e i destinatari dell’azione amministrativa.

Anticipando le considerazioni che saranno svolte nei seguenti paragrafi, ritengo che le soluzioni ai problemi innanzi evidenziati possano rinvenirsi sia nell’adozione di misure organizzative e di prevenzione della corruzione nell’adozione della decisione algoritmica, prima tra tutte la formazione del personale (e, in particolare, di coloro ai quali sono attribuiti i compiti del responsabile del procedimento), sia nella valorizzazione di modalità di formazione della decisione amministrativa già previste dalla legge n. 241/1990, come la c.d. decisione su proposta, o comunque già validate dalla giurisprudenza, come la progressiva riduzione della discrezionalità amministrativa attraverso i c.d. autovincoli amministrativi.

  1. Il problema della base legale dell’utilizzo di sistemi IA da parte delle pubbliche amministrazioni

Ancor prima di analizzare le predette soluzioni, credo non sia possibile eludere la delicata questione della base legale dell’utilizzo di sistemi IA per la cura degli interessi pubblici affidati pubbliche amministrazioni, e, più in particolare, della base legale del potere dell’Amministrazione di delegare a un algoritmo non già compiti meramente istruttori, bensì la decisione che confluisce nel provvedimento (sempreché si ammetta che ciò è consentito dall’ordinamento).

È noto che l’attività amministrativa diretta a produrre effetti su soggetti terzi è soggetta al principio di legalità, in base al quale il potere amministrativo deve trovare fondamento nella legge ed essere orientato a perseguire il fine prefissato dalla legge. Si ha un riconoscimento del principio di legalità all’art. 19 del Trattato sull’Unione europea (TUE) e all’art. 262 del Trattato sul funzionamento dell’Unione europea (TFUE), mentre nell’ordinamento interno il principio stesso, desumibile dagli artt. 23, 24, 97, 103 e 113 Cost., è espressamente affermato nella disposizione generale dell’art. 1, comma 1, della legge n. 241/1990, secondo la quale “L’attività amministrativa persegue i fini determinati dalla legge ed è retta da criteri di economicità, di efficacia, di imparzialità, di pubblicità e di trasparenza secondo le modalità previste dalla presente legge e dalle altre disposizioni che disciplinano singoli procedimenti, nonché dai principi dell’ordinamento comunitario”.

Ebbene l’art. 1, comma 1, della legge n. 241/1990 – recando un espresso riferimento alle “modalità” di legge per l’esercizio dell’attività amministrativa – si presta ad essere letto nel senso che una peculiare modalità di esercizio dell’attività amministrativa, qual è quella che comporta l’uso di un sistema di IA, dev’essere espressamente prevista dalla legge. Pertanto il c.d. principio di “legalità algoritmica”, correttamente inteso, implica non soltanto il rispetto dei tre principi innanzi illustrati e delle regole che governano l’esercizio della funzione amministrativa, ma prim’ancora che la possibilità di adottare una decisione algoritmica sia espressamente prevista dalla legge.

Ciò posto, la possibilità di demandare al soggetto esterno che sviluppa il sistema di IA o allo stesso algoritmo – specie  se si tratta di «un sistema di apprendimento automatico (machine learning)» o di «un algoritmo di analisi predittiva» (per utilizzare la terminologia delle linee guida AgID) – anche solo l’interpretazione del quadro normativo di riferimento in base al quale motivare un provvedimento amministrativo equivale a delegare una parte essenziale della decisione amministrativa, e quindi richiederebbe, in ossequio al principio di legalità come sopra interpretato, un’espressa previsione normativa.

Invece, secondo l’opinione prevalente, la scelta di adottare ed utilizzare sistemi di IA nell’esercizio della funzione amministrativa rientrerebbe nella potestà di autorganizzazione dell’amministrazione e sarebbe comunque consentita da norme generali, a carattere programmatico, come quelle, già menzionate, dell’art. 3-bis della legge n. 241/1990 e dell’art. 41, comma 1, del decreto legislativo n. 82/2025. Altra parte della dottrina ha invocato, come base legale per la decisione algoritmica, i principi di economicità, efficienza ed efficacia dell’attività amministrativa, affermati dell’art. 1, comma 1, della legge n. 241/1990.

È però innegabile che – rispetto all’epoca in cui le suddette norme generali della legge n. 241/1990 e del decreto legislativo n. 82/2005 sono state introdotte nell’ordinamento – gli “strumenti informatici e telematici” hanno raggiunto livelli altamente sofisticati e imprevedibili proprio grazie all’IA, ragion per cui il legislatore è intervenuto con norme di settore che recano espliciti riferimenti alla possibilità di ricorrere a “soluzioni tecnologiche, ivi incluse quelle di intelligenza artificiale” (si vedano le già citate disposizioni dell’art. 30, comma 1, del decreto legislativo n. 36/2023 e dell’art. 9, comma 1, del decreto legislativo n. 103/2024 in materia di controlli amministrativi), oppure alla possibilità di “sfruttare soluzioni di intelligenza artificiale ovvero di statistica inferenziale” (si veda l’art. 2, comma 1, del decreto legislativo n. 13/2024, in materia di controlli fiscali, nel quale però non sono richiamati i tre principi della legalità algoritmica). Una rigida applicazione del principio di legalità dell’azione amministrativa – avvalorata da queste norme di settore – potrebbe quindi indurre a dubitare della possibilità di rinvenire il fondamento normativo della decisione algoritmica nella potestà di autorganizzazione dell’amministrazione o nelle norme della legge n. 241/1990 e del decreto legislativo n. 82/2005.

Del resto lo stesso regolamento UE 2024/1689 non pare interpretabile come la “base legale minima” per l’adozione di decisioni algoritmiche. Difatti si limita a fissare le regole che devono essere rispettate da tutti i deployer, ivi comprese le pubbliche amministrazioni, nell’adozione di decisioni della specie, in funzione del livello di rischio che caratterizza le decisioni stesse.

Eppure il Consiglio di Stato nelle suddette sentenze del 2019 ha affermato che «il ricorso all’algoritmo va correttamente inquadrato in termini di modulo organizzativo, di strumento procedimentale ed istruttorio, soggetto alle verifiche tipiche di ogni procedimento amministrativo, il quale resta il modus operandi della scelta autoritativa», e che non «vi sono ragioni di principio, ovvero concrete, per limitare l’utilizzo [dei sistemi di IA] all’attività amministrativa vincolata piuttosto che discrezionale, … in specie tecnica», a condizione che siano rispettati i principi della legalità algoritmica innanzi richiamati, peraltro valorizzando la già menzionata disposizione dell’art. 22 del regolamento UE 2016/679, che si occupa della «decisione basata unicamente sul trattamento automatizzato».

Rimane a questo punto soltanto da evidenziare che la delicata questione della base legale dell’utilizzo di sistemi IA non è affrontata nelle linee guida AgID, nelle quali si legge solamente che le pubbliche amministrazioni adottano i sistemi di IA: A) «al fine di: automatizzare attività semplici e ripetitive di ricerca e analisi delle informazioni, liberando tempo di lavoro per attività a maggior valore; aumentare le capacità predittive, migliorando il processo decisionale basato sui dati; supportare la personalizzazione dei servizi incentrata sull’utente, aumentando l’efficacia, l’efficienza e la tempestività dei servizi pubblici anche attraverso meccanismi di proattività; promuovere l’innovazione dei servizi pubblici e dei processi amministrativi»; B) «nel pieno rispetto delle normative nazionali e dell’Unione Europea, assicurando l’aderenza al quadro legislativo vigente»;  C) «monitorano l’evoluzione normativa e aggiornano costantemente i propri sistemi per assicurarne la conformità alle disposizioni vigenti».

Peraltro tale prudente approccio alla questione si giustifica agevolmente considerando che la definitiva approvazione dell’art. 14, comma 2, del disegno di legge A.S. 1146 comporterebbe – in controtendenza con le disposizioni dell’art. 30, comma 1, del decreto legislativo n. 36/2023, dell’art. 2, comma 1, del decreto legislativo n. 13/2024 e dell’art. 9, comma 1, del decreto legislativo n. 103/2024 in materia di controlli amministrativi – significativi limiti dell’utilizzo di sistemi IA da parte delle pubbliche amministrazioni, per le ragioni innanzi illustrate.

  1. Il principio di non esclusività della decisione amministrativa algoritmica e la formazione del personale della pubblica amministrazione

La figura del responsabile del procedimento rappresenta uno dei pilastri dell’impostazione antropocentrica del procedimento amministrativo, che ispira la legge n. 241/1990, e alla luce della riserva di umanità assume un indiscutibile rilievo anche nell’adozione della decisione algoritmica, come si desume dalle misure organizzative e di prevenzione della corruzione che le pubbliche amministrazioni sono tenute ad adottare in materia di formazione del personale che utilizza sistemi di IA.

A tal proposito ho già avuto modo di evidenziare in altre sedi che i moderni sistemi di IA presentano caratteristiche che ben si prestano a soddisfare le esigenze della pubblica amministrazione ([23]), ma l’utilizzo di tali sistemi è fonte di nuovi “rischi di corruzione”, che richiedono l’adozione di misure “ulteriori e specifiche” di prevenzione, secondo il modello organizzativo delineato dalla legge 6 novembre 2012, n. 190 (c.d. legge Severino). Questa è la ragione per cui nelle linee guida AgID viene posto in rilievo che la strategia dell’amministrazione per l’IA dev’essere coerente con quella definita nel Piano integrato di attività e organizzazione (documento di programmazione che ai sensi dall’art. 6 del decreto legge n. 80/2021, convertito dalla legge n. 113/2021, ricomprende anche il Piano triennale di prevenzione della corruzione e della trasparenza di cui all’art. 1, commi 8 e 9, della legge n. 190/2012) e che, tra le misure di prevenzione della corruzione, particolare rilievo assume la formazione dei dipendenti delle pubbliche amministrazioni, mirata innanzi tutto a prevenire il rischio che il dipendente (e, in particolare, il responsabile del procedimento) riponga un’eccessiva fiducia nel supporto offerto dai sistemi di IA utilizzati, anche in caso di errori evidenti.

Trattasi di un rischio che può essere indotto dalla c.d. “pigrizia cognitiva”, che può portare il dipendente ad appiattirsi sulla decisione elaborata dal sistema per evitare le complesse attività di valutazione e/o le difficili scelte che spesso richiede la decisione amministrativa. Difatti l’amministrazione potrebbe risultare a rischio di automation bias ([24]) ad esempio in ragione dell’età media elevata dei propri dipendenti, oppure a causa dell’insufficiente presenza di figure professionali in grado di gestire l’utilizzo delle nuove tecnologie ([25]), oppure ancora a causa dell’oggettiva complessità dei processi di adozione, acquisto, sviluppo e gestione di sistemi di IA nelle pubbliche amministrazioni, complessità che emerge da una semplice lettura delle linee guida AgID o di norme del regolamento UE 2024/1689 come quelle dell’allegato IV al regolamento stesso, recante l’elenco delle informazioni minime che, ai sensi dell’art. 11, paragrafo 1, deve includere la  documentazione tecnica relativa ad un sistema di IA.

Ulteriori rischi sono connessi, oltre che all’uso distorto, anche all’uso non autorizzato di sistemi di IA. In particolare desta allarme il fenomeno (già menzionato) della shadow AI, da intendersi come l’uso non ufficiale, da parte di un dipendente di una pubblica amministrazione, di sistemi di IA – come, ad esempio, i sistemi denominati “large language models” (di seguito, LLM), che rappresentano l’avanguardia dell’IA, come dimostra la diffusione del chatbot ([26]) denominato ChatGPT ([27]) – in violazione della normativa sull’attività dell’amministrazione di appartenenza o comunque in contrasto con le linee guida adottate in materia dall’amministrazione stessa.

Può, infatti, accadere che un dipendente utilizzi di propria iniziativa sistemi di IA (eventualmente sperimentati con soddisfazione per fini privati), ad esempio per migliorare la propria attività lavorativa, ma senza che ciò sia consentito dall’amministrazione di appartenenza o addirittura in presenza di un divieto espresso o comunque desumibili dall’ordinamento. Questo comportamento potrebbe anche comportare benefici per l’ufficio in cui opera il dipendente, ma è comunque fonte di rischi per l’amministrazione. Può trattarsi innanzi tutto di rischi per la sicurezza, perché il sistema di IA utilizzato potrebbe non essere conforme agli standard di sicurezza dell’amministrazione e/o comportare la violazione di segreti o della privacy. Inoltre, posto che l’utilizzo non autorizzato avviene al di fuori della supervisione del responsabile dell’ufficio, aumenta il rischio di incidenti e complicazioni nella governance dell’unità stessa.

Questi rischi sono stati diffusamente illustrati dall’AgID già nel Piano triennale per l’informatica nella pubblica Amministrazione per il triennio 2024-2026 e sono oggetto di particolare attenzione nelle linee guida AgID, ove si legge che: «I dipendenti pubblici hanno necessità di riconoscere le caratteristiche essenziali delle applicazioni di IA sviluppate ad hoc o integrate nelle nuove release dei sistemi gestionali e di automazione di ufficio messe a disposizione dalla propria organizzazione, al fine di comprenderne le opportunità e le modalità di utilizzo e sfruttarne al meglio le potenzialità per rendere più veloce, efficiente, sicuro e consapevole il proprio lavoro. Al contempo, hanno necessità di acquisire consapevolezza rispetto alle implicazioni nella trasposizione nel contesto lavorativo delle modalità di interazione con applicazioni di IA ricorrenti nella vita privata … . I dipendenti pubblici necessitano di essere formati anche sui principi etici legati all’uso dell’IA, inclusa la trasparenza nell’ambito di decisioni prese in maniera automatizzata e devono, altresì, sviluppare le competenze necessarie ad analizzare e gestire i rischi di sicurezza cui sono esposte le attività supportate dai sistemi di IA e i dati da essi utilizzati».

Del resto tali indicazioni conseguono a specifiche disposizioni del regolamento UE 2024/1689, prima tra tutte quella dell’art. 4, secondo il quale “I fornitori e i deployer dei sistemi di IA adottano misure per garantire nella misura del possibile un livello sufficiente di alfabetizzazione in materia di IA del loro personale nonché di qualsiasi altra persona che si occupa del funzionamento e dell’utilizzo dei sistemi di IA per loro conto, prendendo in considerazione le loro conoscenze tecniche, la loro esperienza, istruzione e formazione, nonché il contesto in cui i sistemi di IA devono essere utilizzati, e tenendo conto delle persone o dei gruppi di persone su cui i sistemi di IA devono essere utilizzati”.

Inoltre nel regolamento il tema della formazione assume uno specifico rilievo laddove siano adottati sistemi di IA ad alto rischio – come dimostra il secondo paragrafo dell’art. 26, secondo il quale “I deployer affidano la sorveglianza umana a persone fisiche che dispongono della competenza, della formazione e dell’autorità necessarie nonché del sostegno necessario” – in modo da garantire che la sorveglianza umana, affermata dall’art. 14, paragrafo 1, non sia vanificata dall’incompetenza o dalla mancata formazione dell’agente.

  1. Il principio di non esclusività della decisione amministrativa algoritmica e la partecipazione al procedimento algoritmico

Un’ulteriore riflessione sull’impostazione antropocentrica del procedimento amministrativo, che dev’essere garantita anche nel procedimento algoritmico, concerne i rapporti tra il principio di non esclusività della decisione algoritmica e la partecipazione degli interessati alla formazione di tale decisione.

Un attento giudice amministrativo – il presidente Nicola Durante – in occasione di un recente convegno si è chiesto se il predetto principio implichi «che il pubblico funzionario eserciti un controllo interamente sostitutivo sull’istruttoria e sui vari profili di discrezionalità e di opportunità di cui il provvedimento è portatore?», aggiungendo a tale quesito le seguenti ulteriori domande: «dopo l’esito somministrato dall’algoritmo, l’esame della pratica deve essere rinnovato dall’uomo? E, se così fosse, non verrebbero azzerati, o comunque fortemente menomati, i vantaggi, in termini di celerità ed efficienza, perseguiti dalla scelta di automatizzare una procedura che, se non affidata alla macchina, comporterebbe la spendita molte energie umane e di molto tempo?». A tali quesiti il collega ha dato le seguenti risposte: «Forse allora – e più plausibilmente – tutto quel che può richiedersi al funzionario è di valutare la non manifesta illegittimità della decisione proposta della macchina, evitando che ciò si traduca in atteggiamenti di recepimento passivo ed acritico. Nondimeno, ritengo che il funzionario sarà tenuto a rinnovare personalmente la valutazione, in tutti i casi in cui, ad una proposta di provvedimento negativo emessa dalla macchina, facciano seguito le controdeduzioni di cui all’art. 10-bis della legge n. 241/1990, venendo in rilievo l’obbligo di motivazione rafforzata» ([28]).

Tale conclusione è condivisibile nella misura in cui individua una sorta di “nocciolo duro” delle garanzie procedimentali, costituito dalla necessità che l’interessato sia posto in condizione di stimolare il responsabile del procedimento a controllare, validare ovvero smentire la decisione frutto del processo automatizzato, ma richiede alcune precisazioni, alla luce della disciplina generale del procedimento amministrativo.

Innanzi tutto la possibilità di configurare la decisione amministrativa algoritmica come una mera “proposta di provvedimento” è conforme al meccanismo di formazione della decisione amministrativa delineato: A) dall’art. 5, comma 1, della legge n. 241/1990, nella parte in cui dispone che il dirigente dell’unità organizzativa può assegnare ad altro dipendente addetto all’unità stessa la responsabilità della istruttoria e di ogni altro adempimento inerente il singolo procedimento, conservando per sé la competenza ad adottare il provvedimento finale; B) dall’art. 6 della medesima legge, nella parte in cui dispone che l’organo competente per l’adozione del provvedimento finale, “ove diverso dal responsabile del procedimento, non può discostarsi dalle risultanze dell’istruttoria condotta dal responsabile del procedimento se non indicandone la motivazione nel provvedimento finale”.

In questa prospettiva, al fine di garantire il rispetto dei principi generali dell’azione amministrativa nel procedimento algoritmico, si prospetta la possibilità di non far coincidere la decisione assunta dal sistema di IA con la determinazione conclusiva del procedimento (ossia il provvedimento finale), ma di sottoporla ad ulteriore verifica da parte del responsabile del procedimento o, comunque, da parte dell’organo competente ad adottare il provvedimento finale (come imposto dal principio di non esclusività della decisione algoritmica) dopo che siano state acquisite le osservazioni degli interessati. In questo modo non solo il responsabile del procedimento o l’organo competente ad adottare il provvedimento finale, pur avvalendosi del sistema di IA, mantengono il controllo della decisione – che è irrinunciabile, a meno di non volere modificare le regole in tema di competenza e di responsabilità nell’adozione del provvedimento ([29]) – ma si consente altresì  agli interessati di partecipare alla “sorveglianza umana” della soluzione prospettata dal sistema di IA.

In altri termini, la “proposta di provvedimento” elaborata dal sistema di IA, se condivisa dal responsabile del procedimento o dall’organo competente all’adozione del provvedimento finale, potrebbe essere comunicata al destinatario del provvedimento stesso, in modo da consentirgli di partecipare al procedimento mediante la presentazione di osservazioni sulla proposta stessa, chiedendone un riesame, ad esempio, in caso di errore nei presupposti di fatto o di diritto. In particolare l’amministrazione procedente, contestualmente alla comunicazione dell’avvio del procedimento, potrebbe rappresentare all’interessato che la procedura è svolta in modo automatizzato e, all’esito dell’istruttoria automatizzata, potrebbe comunicare all’interessato la proposta di provvedimento, nonché gli eventuali motivi ostativi all’accoglimento dell’istanza ex art. 10-bis della legge n. 241/1990 (se il procedimento è avviato su istanza di parte), assegnando un termine per presentare osservazioni prima che il provvedimento divenga definitivo.

Inoltre può ipotizzarsi che, specie in caso di attività amministrativa vincolata, l’amministrazione proceda a comunicare all’interessato, insieme al nominativo del responsabile del procedimento, anche il provvedimento finale, sospendendone l’efficacia per consentire la presentazione di osservazioni. Così operando, sarebbe garantito il contradditorio procedimentale sulla “proposta di provvedimento” elaborata dal sistema di IA, prima che la stessa divenga efficace.

  1. Procedimento amministrativo, algoritmi e intelligenza artificiale

Come già evidenziato, la legge n. 241/1990 non è stata scritta tenendo conto della digitalizzazione che, in particolar modo nell’ultimo decennio, ha interessato anche le pubbliche amministrazioni: difatti tale legge è frutto di una concezione antropocentrica dell’attività amministrativa e di una “prospettiva essenzialmente analogica”. Tuttavia ciò non stupisce se si considera che la legge stessa risale ad un’epoca pre-digitale, nella quale non era immaginabile l’impatto che l’innovazione tecnologica avrebbe prodotto anche sulle pubbliche amministrazioni.

Si è evidenziato, altresì, che l’impostazione antropocentrica della legge n. 241/1990 si è tradotta – oltre che nella valorizzazione della figura del responsabile del procedimento, funzionale a garantire il confronto e la collaborazione tra l’amministrazione e i destinatari della sua azione – nella tipizzazione degli istituti volti a garantire la partecipazione degli interessati all’esercizio della funzione amministrativa, attraverso i quali viene superata la concezione di un’amministrazione che agisce solo attraverso strumenti autoritativi, e che tale impostazione non è stata messa in discussione dall’introduzione di disposizioni come l’art. 3-bis della legge n. 241/1990 o l’art. 41, comma 1, nel decreto legislativo n. 82/2005, ma è entrata in crisi con l’avvento dell’IA e con l’avallo, da parte della giurisprudenza del Consiglio di Stato, dell’utilizzo di sistemi di IA nell’esercizio della funzione amministrativa.

Residua però la necessità di porre in evidenza, anche avuto riguardo alla grande diffusione dei sistemi di IA, le ragioni della refrattarietà del legislatore italiano (palesata dall’art. 14, comma 2, del disegno di legge A.S. 1146) a consentire un ampio uso di tali sistemi di IA nel procedimento amministrativo – specie se si tratta di «sistemi di apprendimento automatico» o di «un algoritmo di analisi predittiva» (per utilizzare la terminologia delle linee guida AgID) – refrattarietà frutto della diffidenza di buona parte degli studiosi della materia nei confronti dell’affidabilità dei sistemi di apprendimento automatico.

Come prima approssimazione, può dirsi che la struttura del procedimento amministrativo richiama quella di un algoritmo (definibile come sequenza ordinata di passaggi per giungere a un risultato). Il procedimento, avviato dall’autorità titolare del potere, d’ufficio, su istanza di parte o su richiesta di altra amministrazione, prosegue con una fase di accertamento e valutazione dei fatti rilevanti e degli interessi coinvolti, alla luce di principi generali, di norme puntuali, di legge o di regolamento, e di autovincoli amministrativi ([30]) – e si conclude con l’adozione di un provvedimento, favorevole o sfavorevole per l’interessato. L’algoritmo, a sua volta, è uno schema o procedimento matematico di calcolo che prende le mosse da alcuni dati che vengono inseriti nel sistema (gli input), prosegue con l’elaborazione degli stessi alla luce delle indicazioni impartite al sistema (le istruzioni), e termina con una elaborazione finale (gli output). Per tali ragioni, coincidendo la struttura del procedimento amministrativo con quella dell’algoritmo, quest’ultimo potrebbe essere agevolmente ricompreso tra le “modalità” di esercizio dell’attività amministrativa (cui si riferisce l’art. 1, comma 1, della legge n. 241/1990) in base a una mera scelta di carattere organizzativo dell’amministrazione.

Tuttavia – pur essendo la decisione amministrativa algoritmica una decisione adottata all’esito di un procedimento amministrativo svolto con l’ausilio di un sistema di IA, rispetto al quale la persona fisica svolge quantomeno un ruolo “a monte”, in sede di costruzione della regola tecnica applicata dal sistema e di inserimento dei dati nel sistema stesso, ed un ruolo “a valle”, di controllo del risultato raggiunto dal sistema ([31]) – si registrano significative differenze a seconda del tipo di algoritmo utilizzato dal sistema.

In particolare la giurisprudenza ([32]) ha precisato che: A) mentre la nozione comune di algoritmo si riferisce ad «una sequenza finita di istruzioni, ben definite e non ambigue, così da poter essere eseguite meccanicamente e tali da produrre un determinato risultato», invece la nozione stessa, «quando è applicata a sistemi tecnologici, è ineludibilmente collegata al concetto di automazione ossia a sistemi di azione e controllo idonei a ridurre l’intervento umano. Il grado e la frequenza dell’intervento umano dipendono dalla complessità e dall’accuratezza dell’algoritmo che la macchina è chiamata a processare»; B) l’algoritmo è comunque «cosa diversa» dall’IA, perché in questo caso «l’algoritmo contempla meccanismi di machine learning e crea un sistema che non si limita solo ad applicare le regole software e i parametri preimpostati (come fa invece l’algoritmo “tradizionale”) ma, al contrario, elabora costantemente nuovi criteri di inferenza tra dati e assume decisioni efficienti sulla base di tali elaborazioni, secondo un processo di apprendimento automatico» ([33]).

Tanto premesso – senza voler ripetere quanto già chiarito dalla professoressa Silvia Crafa nella sua relazione – può dirsi che esistono due diversi approcci all’IA, che sottendono distinte tecnologie e metodologie, il primo dei quali è costituito dalla c.d. “intelligenza artificiale basata sui modelli” (model based AI). In questo caso si realizza un modello di un fenomeno, lo si traspone sul computer e poi si utilizzano strumenti dedicati ad analizzare il modello, ad esempio per generare soluzioni che permettano al sistema di risolvere un problema, oppure di raggiungere in modo automatico un determinato obiettivo.

I vantaggi di tale approccio sono costituiti dalla possibilità di dare una spiegazione (explainability) e dall’affidabilità (trustworthiness) del sistema di IA. A tali vantaggi si affianca, però, lo svantaggio che consiste nello sforzo necessario per costruire modelli di fenomeni complessi; del resto rappresentare tutta la conoscenza che abbiamo dei fenomeni è praticamente impossibile.

Il secondo approccio, assai più complesso, è costituito dalla c.d. “intelligenza artificiale basata sull’apprendimento automatico” (machine learning AI). In questo caso il modello di un fenomeno viene costruito a partire dai dati, ad esempio dai dati disponibili sul web, oppure dai numerosi sensori presenti nelle città, oppure ancora da sensori indossabili (si pensi ai dati sulla salute raccolti dai sensori presenti in uno smart watch), dando al sistema una serie di esempi dai quali il sistema stesso impara. In particolare secondo l’approccio denominato “apprendimento supervisionato” (supervised learning) – che costituisce una specifica tecnica di machine learning – i dati servono ad addestrare il modello prima di poterlo utilizzare. In questa fase (per l’appunto denominata training) i dati fungono da esempi e per ogni esempio si dice al sistema come deve comportarsi e quale risultato deve dare. Dunque la macchina non viene programmata, bensì addestrata, e non c’è la fase di modellazione del fenomeno da parte di un esperto. Per ottenere questo risultato si possono usare diverse tecniche, una delle quali comporta l’utilizzo delle c.d. reti neurali artificiali (artificial neural networks). In questo caso si parla di “apprendimento profondo” (deep learning) se si utilizza una rete neurale a più strati: difatti l’aggettivo “profondo” sta ad indicare che il sistema di IA opera a più strati.

Anche l’approccio basato sul machine learning presenta vantaggi e svantaggi. Il modello è ottenuto in modo più semplice, ma si caratterizza, per quanto più interessa in questa sede, per l’opacità del processo decisionale e per la difficoltà di assicurare la prevedibilità della decisione. Si parla al riguardo di effetto scatola nera (black box) e di mancanza di una spiegazione (lack of explainability).

Ad esempio, i sistemi di IA definiti LLM elaborano e producono contenuti in linguaggio naturale basandosi su calcoli probabilistici complessi, sostanzialmente impossibili da decifrare ex post, ragion per cui presentano l’effetto black box. In altri termini, tali sistemi sono in grado di produrre parole, frasi e interi testi linguistici predicendo quale sarebbe, parola dopo parola, quella più adeguata al contesto di riferimento, ossia alla domanda inizialmente formulata dall’interlocutore. La predizione avviene a velocità incomparabili con quelle della mente umana, ma – essendo il valore semantico delle parole desunto dal contesto linguistico in cui le parole stesse sono inserite – tali sistemi non hanno una comprensione della realtà (che è cosa diversa dai dati), né dei nessi causali sottostanti alle informazioni che i sistemi stessi elaborano. Operando su base statistica, tali sistemi sono stati definiti “pappagalli stocastici”, perché bravissimi a dire “cosa”, ma non “perché”.

Ulteriori problemi relativi al machine learning ed al deep learning sono i rischi connessi ai bias nell’assunzione delle decisioni e nella formulazione dei giudizi, nonché i rischi connessi alla possibilità che il sistema commetta errori, o venga utilizzato per la profilazione di determinate categorie di soggetti, e i rischi di violazione della privacy.

Ciononostante, una chiara indicazione del legislatore in merito alla possibilità di utilizzare il secondo approccio nell’adozione di una decisione amministrativa può rinvenirsi nella già menzionata disposizione dell’art. 2, comma 1, del decreto legislativo n. 13/2024, in materia di analisi del rischio fiscale, inteso come “il rischio di operare, colposamente o dolosamente, in violazione di norme di natura tributaria, ovvero in contrasto con i principi o con le finalità dell’ordinamento tributario” ([34]). Difatti, con particolare riferimento ai sistemi di IA utilizzabili per l’analisi del rischio fiscale, lo stesso art. 2, comma 1, del decreto legislativo n. 13/2024 distingue tra: A) “analisi deterministica”, intesa come “insieme dei modelli e delle tecniche di analisi basati sul raffronto e sull’elaborazione di dati, riferiti a uno o più contribuenti ovvero a uno o più periodi di imposta, volti a verificare, tramite criteri selettivi fondati su relazioni non probabilistiche, l’avveramento di un rischio fiscale, in tutto o in parte definibile prima dell’avvio dell’analisi” e B) “analisi probabilistica”,  intesa come “insieme dei modelli e delle tecniche di analisi che, sfruttando soluzioni di intelligenza artificiale ovvero di statistica inferenziale, consentono di isolare rischi fiscali, anche non noti a priori, che, una volta individuati, possono essere utilizzati per l’elaborazione di autonomi criteri selettivi, ovvero permettono di attribuire una determinata probabilità di accadimento a un rischio fiscale noto”, consentendo entrambi i tipi di analisi.

  1. Il procedimento amministrativo algoritmico, tra attività vincolata e attività discrezionale

L’amministrazione, come noto, è titolare di poteri autoritativi, attribuiti da una norma di legge, che consentono di incidere unilateralmente (in senso ampliativo, modificativo o riduttivo) sulle situazioni giuridiche soggettive di terzi, in vista del perseguimento di un interesse pubblico, anch’esso individuato dalla legge. A tal riguardo si parla di discrezionalità pura quando l’amministrazione nell’esercizio del potere è chiamata a scegliere, tra più soluzioni astrattamente legittime, quella più rispondente alla tutela dell’interesse pubblico e di discrezionalità tecnica quando la scelta si fonda sull’applicazione delle regole che presidiano il settore interessato (ingegneristica, architettura, sanità, didattica, ecc.). La distinzione non è di poco conto in quanto la discrezionalità pura implica una ponderazione comparativa degli interessi coinvolti, mentre la discrezionalità tecnica attiene alla valutazione dei c.d. fatti complessi. Se invece la decisione consentita dalla norma è una soltanto si parla di attività vincolata.

Una delle principali questioni sulle quali si è concentrata finora l’attenzione della dottrina e della giurisprudenza è quella relativa al tipo di attività delegabile al sistema di IA, questione che implica due distinti piani di analisi: A) quello inerente la possibilità che un sistema di IA tecnicamente riesca a riprodurre valutazioni e ponderazioni discrezionali; B) quello giuridico, inerente la compatibilità di un tale sistema con i principi e le regole della legge n. 241/1990, ivi comprese quelle relative alla partecipazione al procedimento.

Quanto al primo piano di analisi, considerati i limiti della presente relazione, può solo accennarsi alla possibilità che il  sistema di IA – anche nel caso in cui residuino margini di discrezionalità, pura o tecnica – sia progettato per operare la scelta tra più soluzioni alternative, tutte conformi al paradigma normativo e ai principi di logicità e ragionevolezza, non potendosi escludere a priori che l’algoritmo sia in grado di adottare soluzioni razionali (e forse anche migliori di quelle che potrebbe adottare la persona fisica), quantomeno nei casi in cui si ammettono un numero limitato di possibili alternative, comunque prevedibili. Residuano, però, i problemi innanzi illustrati nel caso del sistema di IA sviluppato con tecnologie di machine learning.

Quanto al secondo piano di analisi, il Consiglio di Stato – come già evidenziato – ha ammesso la possibilità di utilizzare sistemi di IA sia in caso di attività vincolate, sia in caso di attività discrezionali, purché la decisione algoritmica non si ponga in contrasto con i principi della legalità algoritmica. Peraltro la decisione algoritmica presenta minori criticità in caso di attività vincolate, specie se si tratta di procedure altamente standardizzate o seriali: difatti in questi casi il software si limita ad applicare al caso specifico quanto già puntualmente previsto dalla legge e trasfuso nell’algoritmo, peraltro secondo l’interpretazione della legge sposata dall’amministrazione in sede di individuazione delle regole tradotte nella formula algoritmica. Più complesso si presenta, invece, il caso dell’attività discrezionale, anche perché – come pure si è evidenziato – lo stesso legislatore con le novelle del 2020 agli articoli 10-bis e 21-octies, comma 2, della legge n. 241/1990 ha inteso ribadire il ruolo centrale che la partecipazione al procedimento assume nella formazione della decisone amministrativa, quantomeno con riferimento all’attività discrezionale.

Resta fermo che l’amministrazione ben potrebbe predeterminare i criteri da osservare nell’adozione della decisione algoritmica, così da autolimitare le possibili soluzioni cui potrebbe giungere l’algoritmo. In tal modo la discrezionalità amministrativa si esaurirebbe al momento dell’individuazione dei parametri, ulteriori rispetto al dato normativo, da inserire anch’essi nell’algoritmo. Tale modus operandi – che si traduce nell’adozione di veri e propri autovincoli amministrativi – determina una potenziale estensione dell’ambito di applicazione della decisione algoritmica, non più circoscritta alle ipotesi di attività vincolata.

Ciò spiega perché parte della dottrina ipotizzi, come soluzione ai problemi legati all’impiego dei sistemi di IA da parte della pubblica amministrazione, la conversione della decisione discrezionale in una decisione vincolata, tramite un processo di erosione della discrezionalità per fasi progressive. Secondo tale impostazione, il ricorso alla decisione algoritmica sarebbe ammesso a condizione che l’amministrazione stabilisca preventivamente tutte le condizioni di esercizio del potere, per l’appunto autolimitandosi, di talché l’attività delegata al sistema di IA sarebbe comunque vincolata, sebbene non dalla legge, bensì da quanto prestabilito dalla stessa amministrazione. Inoltre, così operando, neppure si porrebbe il problema della partecipazione al procedimento, che potrebbe essere garantita nella fase della predeterminazione dei criteri da osservare nell’adozione della decisione algoritmica: difatti l’art. 13 della legge n. 241/1990 non impone, ma neppure vieta, l’applicazione delle disposizioni della legge stessa in materia di partecipazione al procedimento nel caso di attività della pubblica amministrazione dirette all’emanazione di atti amministrativi generali.

Tali considerazioni inducono: A) da un lato, a concludere che l’esercizio del potere discrezionale, di norma, può essere affidato alla macchina, soltanto se la scelta discrezionale è effettuata “a monte” dall’uomo, al momento della formulazione della regola tecnica che governa il sistema; B) dall’altro, a chiedersi di quale discrezionalità si tratti laddove la definizione dell’algoritmo, come momento di determinazione in via preventiva ed astratta del peso da attribuirsi a diversi fatti ed interessi, costituisce solo una forma di anticipazione della scelta discrezionale.

Pragmaticamente può dirsi che una scelta discrezionale operata “a monte”, in funzione di una procedura automatizzata e, in particolare, in funzione dell’adozione di una decisione algoritmica, in parte mantiene le caratteristiche proprie della discrezionalità amministrativa, in altra parte assume una connotazione tecnica, che presenta profili di novità. Difatti in questo caso la discrezionalità amministrativa presenta anche i caratteri tipici della discrezionalità tecnica – con inevitabili riflessi sul sindacato giurisdizionale – perché la fase di costruzione della regola tecnica implica dapprima l’acquisizione e il bilanciamento degli interessi (discrezionalità amministrativa), che poi si traduce nella formula algoritmica e nella sua applicazione (discrezionalità tecnica). Verrebbe così a configurarsi quel particolare tipo di discrezionalità che dottrina e giurisprudenza definiscono “mista”, perché caratterizzata, al contempo, da profili di discrezionalità amministrativa e da profili di discrezionalità tecnica.

A tal riguardo si deve, però, precisare che, quando ci si riferisce alla c.d. discrezionalità mista, si ha riguardo ai casi nei quali, una volta esaurita la fase dell’accertamento dei fatti (complessi) sulla base di cognizioni tecniche, la legge affida all’amministrazione anche il compito di individuare il provvedimento più opportuno per il perseguimento dell’interesse pubblico. Invece, nel caso della decisione algoritmica, i termini della questione sono capovolti: difatti all’esercizio della discrezionalità amministrativa, allocato “a monte”, segue l’esercizio della discrezionalità tecnica, nella fase di formulazione dell’algoritmo e del suo utilizzo. Inoltre anche nel caso in esame non si configura un tipo di discrezionalità a sé stante, bensì una situazione contingente in cui l’amministrazione dispone di entrambi i poteri che rimangono, però, logicamente distinti tra loro.

Carlo Polidori

 

*Il testo riprende e sviluppa l’intervento tenuto al XXXV° Convegno annuale dell’Associazione Veneta degli Avvocati Amministrativisti di Cortina d’Ampezzo dal titolo “Intelligenza artificiale tra diritto, scienza ed etica” tenutosi il 7 giugno 2025.

 

[1] Feliciano Benvenuti, “Funzione amministrativa, procedimento, processo”; Rivista Trimestrale di Diritto Pubblico, 1952, 118.

[2] Filippo Patroni Griffi, “La decisione robotica e il giudice amministrativo”, intervento al Convegno “Decisione robotica”, organizzato nell’ambito dei Seminari ‘Leibniz’ per la teoria e la logica del diritto; Roma, Accademia dei Lincei, 5 luglio 2018.

[3] Ai sensi dell’art. 3, paragrafo 1, n. 4), del regolamento UE 2024/1689, per “deployer” s’intende “una persona fisica o giuridica, un’autorità pubblica, un’agenzia o un altro organismo che utilizza un sistema di IA sotto la propria autorità, tranne nel caso in cui il sistema di IA sia utilizzato nel corso di un’attività personale non professionale”.

[4] Le linee guida sono state adottate, con la determinazione n. 17/2025, ai sensi dell’art. 71 del decreto legislativo n. 82/2025, secondo il quale “L’AgID, previa consultazione pubblica da svolgersi entro il termine di trenta giorni, sentiti le amministrazioni competenti e il Garante per la protezione dei dati personali nelle materie di competenza, nonché acquisito il parere della Conferenza unificata, adotta Linee guida contenenti le regole tecniche e di indirizzo per l’attuazione del presente Codice. Le Linee guida divengono efficaci dopo la loro pubblicazione nell’apposita area del sito Internet istituzionale dell’AgID e di essa ne è data notizia nella Gazzetta Ufficiale della Repubblica italiana. …”.

[5] Nelle linee guida AgID il “giurista informatico” è definito come «un esperto in grado di combinare competenze legali e informatiche per fornire consulenze legali relative all’uso delle tecnologie informatiche che possano impattare su temi come la protezione dei dati personali, la sicurezza informatica e la proprietà intellettuale. Una figura professionale in grado anche di redigere e revisionare contratti relativi a software, licenze ecc., assicurando che siano conformi alle normative vigenti senza dimenticare le tematiche legate alla compliance, alla gestione delle controversie e all’analisi e la valutazione dei rischi derivanti dall’uso di una tecnologia come l’intelligenza artificiale».

[6] T.A.R. Veneto, Sez. III, 23 dicembre 2024, n. 3029, ove è stato affermato che i principi relativi alla c.d. decisione algoritmica, codificati nell’art. 9 del decreto legislativo n. 103/2024 in materia di controlli sulle imprese, si applicano anche ai controlli che l’Agenzia regionale per l’ambiente della Regione Veneto è chiamata a svolgere nell’ambito del procedimento di cui all’art. 44 del decreto legislativo n. 259/2003, ossia i “controlli, di cui all’articolo 14 della legge 22 febbraio 2001, n. 36, della compatibilità del progetto con i limiti di esposizione, i valori di attenzione e gli obiettivi di qualità, stabiliti uniformemente a livello nazionale in relazione al disposto della citata legge 22 febbraio 2001, n. 36”.

[7] Si vedano, altresì, i seguenti articoli del decreto legislativo n. 82/2005: A) l’art. 12, comma 1, secondo il quale “Le pubbliche amministrazioni nell’organizzare autonomamente la propria attività utilizzano le tecnologie dell’informazione e della comunicazione per la realizzazione degli obiettivi di efficienza, efficacia, economicità, imparzialità, trasparenza, semplificazione e partecipazione nel rispetto dei principi di uguaglianza e di non discriminazione, nonché per ‘effettivo riconoscimento dei diritti dei cittadini e delle imprese di cui al presente Codice in conformità agli obiettivi indicati nel Piano triennale per l’informatica nella pubblica amministrazione…”; B) l’art. 15, comma 1, secondo il quale “La riorganizzazione strutturale e gestionale delle pubbliche ammi­nistrazioni volta al perseguimento degli obiettivi di cui all’articolo 12, comma 1, avviene anche attraverso il migliore e più esteso utilizzo delle tecnologie dell’informazione e della comunicazione nell’ambito di una coordinata strategia che garantisca il coerente sviluppo del processo di digitalizzazione”.

[8] Il regolamento UE 2024/1689 del 13 giugno 2024 – approvato in via definitiva dal Parlamento europeo il 13 marzo 2024 e dal Consiglio il 21 maggio 2024, con pubblicazione nella Gazzetta Ufficiale dell’Unione europea avvenuta in data 12 luglio 2024 – disciplina i presupposti e le modalità di utilizzo dei sistemi di intelligenza artificiale tanto per i soggetti privati, quanto per la pubblica amministrazione, al fine di garantire che tali software siano utilizzati in maniera etica e nel rispetto dei principi e dei diritti fondamentali dell’Unione europea. Ai sensi dell’art. 1, scopo del regolamento – composto da ben 113 articoli, suddivisi in 13 Capi, e da 13 allegati – è “migliorare il funzionamento del mercato interno e promuovere la diffusione di un’intelligenza artificiale (IA) antropocentrica e affidabile, garantendo nel contempo un livello elevato di protezione della salute, della sicurezza e dei diritti fondamentali sanciti dalla Carta dei diritti fondamentali dell’Unione europea, compresi la democrazia, lo Stato di diritto e la protezione dell’ambiente, contro gli effetti nocivi dei sistemi di IA nell’Unione, e promuovendo l’innovazione”. Il regolamento è entrato in vigore al ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea e si applicherà integralmente a decorrere dal 2 agosto 2026, seguendo un cronoprogramma per l’operatività e per la regolarizzazione dei sistemi di intelligenza artificiale già in uso, articolato in base ai singoli capi del regolamento stesso. La prima fase è collocata decorsi 6 mesi dall’entrata in vigore. La seconda fase è collocata decorsi 12 mesi. La terza fase è collocata decorsi 24 mesi dall’entrata in vigore e segna l’integrale entrata a regime del regolamento. In particolare, i  capi I e II (definizioni e pratiche vietate) si applicano a decorrere dal 2 febbraio 2025; il capo III, sezione 4 (autorità di notifica designate dagli stati membri), il capo V (modelli di IA per finalità generali), il capo VII (banca dati UE per i sistemi ad alto rischio), il capo XII (sanzioni) e l’art. 78 (riservatezza dei dati trattati in conformità al regolamento) si applicano a decorrere dal 2 agosto 2025, ad eccezione dell’art. 101 (sanzioni pecuniarie per i fornitori di modelli di IA per finalità generali); l’art. 6, paragrafo 1 (classificazione dei sistemi ad alto rischio), e i corrispondenti obblighi di cui al regolamento, si applicano a decorrere dal 2 agosto 2027.

[9] La definizione giuridicamente rilevante di un “sistema di intelligenza artificiale” si rinviene nell’art. 3 del regolamento UE 2024/1689, secondo il quale, ai fini dell’applicazione del regolamento stesso, si definisce “sistema di IA” un “sistema automatizzato progettato per funzionare con livelli di autonomia variabili e che può presentare adattabilità dopo la diffusione e che, per obiettivi espliciti o impliciti, deduce dall’input che riceve come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici virtuali”. Tale definizione è pedissequamente ripresa nell’art. 2, comma 1, lett. c), del disegno di legge d’iniziativa governativa A.S. 1146, recante “Disposizioni e delega al Governo in materia di intelligenza artificiale”.

[10] La nozione di “decisione algoritmica” – utilizzata dal legislatore italiano nell’art. 9 del decreto legislativo n. 103/2024 e, ancor prima, nell’art. 30 del decreto legislativo n. 36/2023 – coincide sostanzialmente con quella di atto amministrativo “ad elaborazione elettronica”, ossia l’atto il cui contenuto dispositivo è determinato, in misura più o meno ampia, da sistema di IA.

[11] La definizione normativa di “amministrazione della giustizia”, contenuta nell’Allegato III al Regolamento UE 2024/1689 è incentrata sull’attività del giudice e su quella (assimilata) dell’arbitro; pertanto l’amministrazione della giustizia è intesa come sinonimo di “attività giurisdizionale”.

[12] T.A.R. del Veneto, Sez. III, 8 aprile 2025, n. 512, nella quale è stata esaminata il controverso tema della c.d. “dequotazione dei vizi formali e procedimentali”, con particolare riferimento al tema dell’integrazione postuma della motivazione del provvedimento impugnato.

[13] Ai sensi dell’art. 14-ter, comma 3, della legge n. 241/1990 “Ciascun ente o amministrazione convocato alla riunione è rappresentato da un unico soggetto abilitato ad esprimere definitivamente e in modo univoco e vincolante la posizione dell’amministrazione stessa su tutte le decisioni di competenza della conferenza, anche indicando le modifiche progettuali eventualmente necessarie ai fini dell’assenso”.

[14] Nella sentenza del Consiglio di Stato, Sez. VI, 13 dicembre 2019, n. 8472, si legge che non «vi sono ragioni di principio, ovvero concrete, per limitare l’utilizzo all’attività amministrativa vincolata piuttosto che discrezionale, entrambe espressione di attività autoritativa svolta nel perseguimento del pubblico interesse. In disparte la stessa sostenibilità a monte dell’attualità di una tale distinzione, atteso che ogni attività autoritativa comporta una fase quantomeno di accertamento e di verifica della scelta ai fini attribuiti dalla legge, se il ricorso agli strumenti informatici può apparire di più semplice utilizzo in relazione alla c.d. attività vincolata, nulla vieta che i medesimi fini predetti, perseguiti con il ricorso all’algoritmo informatico, possano perseguirsi anche in relazione ad attività connotata da ambiti di discrezionalità. Piuttosto, se nel caso dell’attività vincolata ben più rilevante, sia in termini quantitativi che qualitativi, potrà essere il ricorso a strumenti di automazione della raccolta e valutazione dei dati, anche l’esercizio di attività discrezionale, in specie tecnica, può in astratto beneficiare delle efficienze e, più in generale, dei vantaggi offerti dagli strumenti stessi».

[15] Consiglio di Stato, Sez. VI, 13 dicembre 2019, n. 8472, cit..

[16] L’art. 30 del codice dei contratti pubblici dispone: A) al comma 2, che “Nell’acquisto o sviluppo delle soluzioni di cui al comma 1 le stazioni appaltanti e gli enti concedenti: a) assicurano la disponibilità del codice sorgente, della relativa documentazione, nonché di ogni altro elemento utile a comprenderne le logiche di funzionamento; b) introducono negli atti di indizione delle gare clausole volte ad assicurare le prestazioni di assistenza e manutenzione necessarie alla correzione degli errori e degli effetti indesiderati derivanti dall’automazione”; B) al comma 3, che “Le decisioni assunte mediante automazione rispettano i principi di: a) conoscibilità e comprensibilità, per cui ogni operatore economico ha diritto a conoscere l’esistenza di processi decisionali automatizzati che lo riguardino e, in tal caso, a ricevere informazioni significative sulla logica utilizzata; b) non esclusività della decisione algoritmica, per cui comunque esiste nel processo decisionale un contributo umano capace di controllare, validare ovvero smentire la decisione automatizzata; c) non discriminazione algoritmica, per cui il titolare mette in atto misure tecniche e organizzative adeguate al fine di impedire effetti discriminatori nei confronti degli operatori economici”.

[17] L’art. 9 del decreto legislativo n. 103/2024 sostanzialmente ricalca le disposizioni dell’art. 30, comma 3, del codice dei contratti pubblici, affermando che “Le decisioni concernenti la conformità agli obblighi e adempimenti imposti alle imprese controllate assunte mediante soluzioni tecnologiche rispettano le disposizioni di cui all’articolo 22 del regolamento (UE) 2016/679, nonché i principi di: a) comprensibilità, conoscibilità, significatività e rilevanza delle informazioni che devono essere fornite, per cui ogni soggetto controllato ha diritto a conoscere l’esistenza di processi decisionali automatizzati che lo riguardano e, in tal caso, a ricevere informazioni sulla logica utilizzata; b) non esclusività della decisione algoritmica, per cui comunque esiste nel processo decisionale un contributo umano capace di controllare, validare ovvero smentire la decisione automatizzata, con diritto del soggetto controllato di esprimere la propria opinione e contestare la decisione assunta, secondo quanto previsto dall’articolo 22 del regolamento (UE) 2016/679; c) non discriminazione algoritmica, per cui le amministrazioni mettono in atto misure tecniche e organizzative adeguate al fine di impedire effetti discriminatori nei confronti dei soggetti controllati; d) efficace ed efficiente gestione dei dati, da attuarsi con apposita regolamentazione riguardante le fasi che attengono alla loro formazione, raccolta, accesso sicuro, monitoraggio, aggiornamento, riutilizzo, conservazione e comunicazione”.

[18] I riferimenti nel testo alle disposizioni del disegno di legge A.S. 1146 tengono conto delle modifiche apportate dal Senato della Repubblica al testo originario del disegno di legge stesso.

 [19] La scelta del regolamento non è casuale. Difatti alcuni Stati membri dell’UE avevano iniziato ad adottare normative in materia di IA, mentre in Stati come l’Italia è stato lasciato alla giurisprudenza l’arduo compito di stabilire i principi della materia. I diversi interventi dei legislatori e della giurisprudenza dei singoli Stati membri, tuttavia, non erano armonizzati tra loro e ciò avrebbe potuto creare un quadro giuridico di riferimento pericolosamente frammentato. Con l’utilizzo di una fonte del diritto come il Regolamento il legislatore europeo ha evitato tale frammentazione, garantendo un quadro normativo europeo uniforme.

[20] Il regolamento individua quattro categorie di rischio: A) “rischio inaccettabile”, vi rientrano i sistemi che costituiscono una minaccia per la sicurezza e i diritti delle persone (ad esempio, i sistemi che utilizzano “tecniche subliminali che agiscono senza che una persona ne sia consapevole o tecniche volutamente manipolative o ingannevoli aventi lo scopo o l’effetto di distorcere materialmente il comportamento di una persona o di un gruppo di persone”) e quindi sono vietati dall’art. 5 del regolamento; B) “rischio alto”, vi rientrano i sistemi che comportano elevati rischi in caso di malfunzionamento, stante la potenziale elevata compromissione di interessi pubblici e diritti fondamentali, e quindi richiedono la conformità a requisiti rigorosi in termini di trasparenza, affidabilità e supervisione/controllo umano; C) “rischio limitato”, vi rientrano i sistemi che si contraddistinguono per una potenziale dannosità limitata, con un impatto limitato su interessi pubblici e diritti fondamentali, e quindi necessitano, principalmente, di obblighi di trasparenza specifici, come l’informazione agli utenti; D) “rischio minimo”, vi rientrano i sistemi che si contraddistinguono per una dannosità molto limitata, potendo avere un impatto del tutto trascurabile su interessi pubblici e diritti fondamentali, e per i quali sono previsti obblighi di conformità ridotti.

[21] Ai sensi dell’art. 3, paragrafo 1, n. 45), del regolamento UE 2024/1689, si definiscono “attività di contrasto”, ai fini dell’applicazione del Regolamento stesso, “le attività svolte dalle autorità di contrasto o per loro conto a fini di prevenzione, indagine, accertamento o perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia contro le minacce alla sicurezza pubblica e la prevenzione delle stesse”.

[22] Ai sensi dell’art. 14, paragrafo 1, del regolamento, “I sistemi di IA ad alto rischio sono progettati e sviluppati, anche con strumenti di interfaccia uomo-macchina adeguati, in modo tale da poter essere efficacemente supervisionati da persone fisiche durante il periodo in cui sono in uso”.

[23] Trattasi, delle straordinarie capacità di calcolo, dell’oggettività nell’istruzione dei procedimenti amministrativi, della maggiore tracciabilità dei processi decisionali, della maggiore prevedibilità delle decisioni e dell’idoneità a prevenire fenomeni di maladministration. La decisione algoritmica presenta, infatti, il vantaggio derivante dalla neutralità del funzionamento dell’algoritmo, che consente di escludere le distorsioni ed i pregiudizi (c.d. bias) inevitabilmente espressi dall’animo dell’essere umano. A ciò si aggiungono i vantaggi in termini di semplificazione dell’azione amministrativa, che se affidata ad una macchina è più rapida e efficiente di quella affidata alla persona fisica, avuto riguardo alla capacità della macchina di esaminare ed elaborare la documentazione di riferimento in maniera incommensurabilmente più rapida ed efficiente di qualsiasi persona fisica.

[24] Con la locuzione “automation bias” s’intende, per l’appunto, la tendenza da parte dell’essere umano, coinvolto nell’interazione con la macchina, ad affidarsi ai suoi output, fino a trascurare o ignorare altre informazioni che derivano da fonti diverse. Un espresso riferimento a tale forma di “pigrizia cognitiva” si rinviene nell’art. 14, paragrafo 4, lettera b), del regolamento UE 2024/1689, secondo il quale le persone preposte alla “sorveglianza umana” del sistema di IA devono essere consapevoli “della possibile tendenza a fare automaticamente affidamento o a fare eccessivo affidamento sull’output prodotto da un sistema di IA ad alto rischio («distorsione dell’automazione»), in particolare in relazione ai sistemi di IA ad alto rischio utilizzati per fornire informazioni o raccomandazioni per le decisioni che devono essere prese da persone fisiche”.

[25] Linee guida AgID recano un dettagliato elenco dei variegati profili professionali – dei quali dovrebebro dotarsi le pubbliche amministrazioni – coinvolti nello sviluppo e gestione di sistemi di: data engineer, machine learning engineer, prompt engineer, deep learning engineer, data scientist, AI engineer, AI architect, esperto di cybersecurity, AI ethicist e giurista informatico.

[26] Si definiscono large language models i sistemi di IA progettati e sviluppati per comprendere il linguaggio naturale con un alto grado di coerenza e complessità e generare testi in linguaggio naturale. L’enciclopedia Treccani definisce il chatbot come un programma informatico capace di interagire vocalmente con l’utente

[27] ChatGPT è un chatbot – disponibile nella sua ultima versione, a pagamento e con interfaccia web – basato su un LLM denominato GPT (Generative Pre-trained Transformer). Il modello GPT è stato sviluppato da OpenAI e progettato per generare testi in linguaggio naturale in modo coerente e contestualizzato, quale sistema avanzato di elaborazione del linguaggio naturale, addestrato su vasti insiemi di dati testuali per comprendere e rispondere a domande, generare contenuti, riassumere informazioni e interagire con gli utenti in modo conversazionale. Il primo modello è GPT-1 e risale al 2018, con 117 milioni di parametri. Nel 2020 è stato sviluppato il modello GPT- 3, con 175 miliardi di parametri e la sua versione ottimizzata (GPT 3.5) è stata alla base di ChatGPT, lanciato sul mercato il 30 novembre 2022. L’attuale modello in uso è GPT 4, capace di analizzare immagini oltre al testo.

[28] Ai sensi dell’art. 10-bis della legge n. 241/1990, “Qualora gli istanti abbiano presentato osservazioni, del loro eventuale mancato accoglimento il responsabile del procedimento o l’autorità competente sono tenuti a dare ragione nella motivazione del provvedimento finale di diniego indicando, se ve ne sono, i soli motivi ostativi ulteriori che sono conseguenza delle osservazioni”.

[29] Giova ribadire che la decisione amministrativa fosse integralmente delegata al sistema di IA, ritendo l’algoritmo tecnicamente idoneo a sostituire tout court l’organo competente per legge, comunque risulterebbe ridotta la sfera di competenza dell’organo stesso e, quindi, si renderebbe necessaria una norma ad hoc per sottrarre all’organo il potere di adottare il provvedimento finale.

[30]  Secondo una costante giurisprudenza (ex multis, Consiglio di Stato, Sez. V, 17 luglio 2017, n. 3502), vige nell’ordinamento il principio per il quale «quando l’Amministrazione, nell’esercizio del proprio potere discrezionale decide di autovincolarsi, stabilendo le regole poste a presidio del futuro espletamento di una determinata potestà, la stessa è tenuta all’osservanza di quelle prescrizioni, con la duplice conseguenza che: a) è impedita la successiva disapplicazione; b) la violazione dell’autovincolo determina l’illegittimità delle successive determinazioni». Dunque l’autovincolo «costituisce un limite al successivo esercizio della discrezionalità, che l’amministrazione pone a se medesima in forza di una determinazione frutto dello stesso potere che si appresta ad esercitare, e che si traduce nell’individuazione anticipata di criteri e modalità, in guisa da evitare che la complessità e rilevanza degli interessi possa, in fase decisionale, complice l’ampia e impregiudicata discrezionalità, favorire in executivis l’utilizzo di criteri decisionali non imparziali» (in questi termini, Cons. Stato, Sez. III, 30 settembre 2022, n. 8432).

[31] Come già accennato, la nozione di “decisione amministrativa algoritmica” coincide quindi con quella di atto amministrativo “ad elaborazione elettronica”. Occorre, infatti, distinguere tra l’atto amministrativo “in forma elettronica”, creato dall’uomo tramite supporto informatico e valido a prescindere da una sua trasposizione cartacea, e l’atto amministrativo “ad elaborazione elettronica”, il cui contenuto è determinato dalla macchina grazie alle sue capacità analisi dei dati che le vengono messi a disposizione.

[32] Consiglio di Stato, Sez. III, 25 novembre 2021, n. 7891.

[33] La distinzione tra l’algoritmo è l’IA è valorizzata anche nelle linee guida AgID, ove si pone in rilievo quanto segue: «Una caratteristica distintiva dei sistemi di IA è la capacità inferenziale della sua componente principale, il modello di IA; tale componente, addestrata su grandi quantità di dati, consente al sistema di generare output quali previsioni, contenuti, raccomandazioni o decisioni a partire dai dati ricevuti in input. Questa capacità va oltre l’elaborazione semplice o meccanica dei dati, permettendo al sistema di: apprendere dai dati: utilizzare tecniche di apprendimento automatico (machine learning) per identificare modelli nei dati, acquisire conoscenze e raggiungere obiettivi specifici; ragionare e dedurre: applicare approcci basati sulla logica e sulla conoscenza, che permettono al sistema di trarre inferenze utilizzando regole predefinite, rappresentazioni simboliche o conoscenze codificate; modellizzare: creare rappresentazioni astratte del problema o del contesto per supportare processi decisionali complessi o fornire soluzioni innovative».

[34] Secondo l’art. 2, comma 1, del decreto legislativo n. 13/2024, l’analisi del rischio fiscale consiste nel “processo, composto da una o più fasi, che, al fine di massimizzare l’efficacia delle attività di prevenzione e contrasto all’evasione fiscale, alla frode fiscale e all’abuso del diritto in materia tributaria, nonché di quelle volte a stimolare l’adempimento spontaneo, tramite modelli e tecniche di analisi deterministica ovvero probabilistica, nel rispetto della normativa in materia di trattamento di dati personali, utilizza, anche attraverso la loro interconnessione, le informazioni presenti nelle basi dati dell’Amministrazione finanziaria, ovvero pubblicamente disponibili, per associare, coerentemente a uno o più criteri selettivi, ovvero a uno o più indicatori di rischio desunti o derivati, la probabilità di accadimento a un determinato rischio fiscale, effettuando, ove possibile, anche una previsione sulle conseguenze che possono generarsi dal suo determinarsi”.