La conformità dei sistemi informativi territoriali non si gioca più esclusivamente sul terreno del GDPR. L’entrata in applicazione progressiva del regolamento europeo sull’intelligenza artificiale, combinata con il inasprimento delle richieste della CNIL sul diritto all’oblio e la tracciabilità dei trattamenti, ridisegna gli obblighi delle collettività che implementano servizi telematici, portali cittadini o componenti di IA nei loro software aziendali.
Norma ISO/IEC 42001 e governance dell’IA territoriale
La norma ISO/IEC 42001, pubblicata a dicembre 2023, rimane sotto-utilizzata dalle direzioni dei sistemi informativi (DSI) territoriali. Essa fornisce tuttavia un quadro di gestione direttamente operativo per qualsiasi ente che sviluppa o utilizza sistemi di intelligenza artificiale.
La sua architettura si basa su una logica di miglioramento continuo: analisi dei rischi e degli impatti, documentazione dei modelli, monitoraggio in produzione, trasparenza nei confronti delle persone interessate e controllo della qualità dei dati di addestramento. Per un’intercomunalità che integra un motore di smistamento automatico delle richieste degli utenti o uno strumento predittivo di manutenzione degli edifici, questa norma struttura ciò che spesso rientra in iniziative isolate all’interno delle direzioni aziendali.
La CNIL la mette in evidenza come leva di preparazione alle future norme armonizzate del regolamento europeo sull’IA. Raccomandiamo alle collettività impegnate in progetti di IA di mappare fin da ora i loro trattamenti algoritmici e di confrontarli con i requisiti dell’ISO/IEC 42001, prima che la pressione normativa trasformi questa buona pratica in un obbligo di fatto.
Per seguire l’evoluzione di questi temi nel corso dei mesi, le novità di Collectivité Numérique costituiscono un punto di accesso regolare sulle evoluzioni normative e tecniche che riguardano i territori.
Diritto all’oblio nelle architetture multi-software delle collettività
Il diritto all’oblio non è un tema teorico per le collettività che interconnettono diversi software aziendali. La tracciabilità dei dati personali attraverso tutta la catena applicativa diventa un criterio di audit a pieno titolo.
La CNIL ha ricordato nel 2026, nel contesto di una sanzione legata al mancato rispetto di questo diritto, che gli enti devono essere in grado di trattare effettivamente le richieste delle persone e di garantirne la tracciabilità. Il problema, in una collettività di dimensioni intermedie, è la dispersione dei dati tra il software di gestione delle relazioni con i cittadini (GRC), la piattaforma di dematerializzazione dei contratti, il sistema informativo geografico (SIG) e i possibili strumenti di IA implementati come sovrastruttura.
Un agente che riceve una richiesta di cancellazione deve identificare tutti i sistemi coinvolti, verificare le basi legali di conservazione proprie a ciascun trattamento, quindi documentare l’esecuzione o il rifiuto motivato. Senza una mappatura aggiornata dei flussi di dati e senza una procedura formalizzata, la collettività si espone a un rischio di sanzione crescente.
- Mantenere un registro dei trattamenti che identifichi esplicitamente le interconnessioni tra software e i fornitori coinvolti in ciascun flusso di dati personali.
- Definire un circuito di trattamento delle richieste di esercizio dei diritti con scadenze interne inferiori al termine regolamentare, per assorbire la complessità tecnica senza superare il mese legale.
- Testare la procedura di cancellazione almeno una volta all’anno su un caso fittizio, verificando che ciascuna componente applicativa abbia effettivamente eliminato o anonimizzato i dati interessati.
Sicurezza dei servizi telematici e portali cittadini: integrare la protezione fin dalla progettazione
La sicurezza by design non è più una raccomandazione, è un’esigenza operativa. La pressione normativa sulla sicurezza dei dati si intensifica, e le collettività che implementano portali cittadini o servizi telematici devono integrare la tracciabilità e la protezione fin dalla fase di progettazione.
Concretamente, ciò significa che il capitolato di un portale famiglia o di una piattaforma di segnalazione deve includere requisiti di crittografia dei dati in transito e a riposo, di registrazione degli accessi e di isolamento degli ambienti di produzione e di test. Troppe collettività scoprono queste restrizioni dopo la messa in servizio, quando il fornitore ha consegnato una soluzione la cui architettura rende costoso implementare l’isolamento.
Verifiche da richiedere durante la scelta di un fornitore
Osserviamo che le collettività spesso sottovalutano la fase di selezione del fornitore a favore della negoziazione dei prezzi. I seguenti punti meritano particolare attenzione durante la redazione del capitolato:
- La capacità del fornitore di fornire un piano di risposta agli incidenti documentato, con impegni di notifica in termini compatibili con gli obblighi GDPR.
- L’esistenza di audit di sicurezza indipendenti sulla soluzione e la possibilità per la collettività di incaricare il proprio audit.
- La portabilità dei dati in caso di cambio di fornitore, inclusi i formati di esportazione e i termini di restituzione contrattuali.
- La localizzazione dei dati e il regime giuridico applicabile, in particolare per le soluzioni basate su infrastrutture cloud extra-europee.
Conformità IA oltre il GDPR: documentazione e trasparenza
La CNIL raccomanda ora di documentare gli impatti e i rischi dei sistemi di IA, di informare le persone interessate e di prevedere modalità adeguate per l’esercizio dei loro diritti. La conformità di un progetto di IA territoriale si gioca su tre registri simultanei: il GDPR per i dati personali, il regolamento europeo sull’IA per la classificazione dei rischi e gli obblighi di trasparenza, e il diritto amministrativo per la motivazione delle decisioni individuali.
Per una collettività che utilizza un algoritmo di supporto decisionale (attribuzione di posti in asilo nido, priorizzazione delle richieste di alloggio sociale), la documentazione del modello e dei suoi potenziali bias deve essere accessibile non solo agli agenti ma anche ai cittadini. L’assenza di questa documentazione indebolisce giuridicamente qualsiasi decisione contestata.
Il quadro normativo evolve rapidamente. Le collettività che aspettano la pubblicazione di testi definitivi per agire accumulano un debito di conformità che sarà più costoso da sanare che da prevenire. Anticipare la messa in conformità riduce il costo complessivo del progetto di IA e garantisce gli usi già implementati.
