Piano triennale per l’informatica nella PA, tra AI e cyber security: principi, ruoli, monitoraggio

Il nuovo Piano triennale per l’informatica nella Pubblica Amministrazione 2024-2026, formulato dall’Agenzia per l’Italia Digitale (AgID) e ratificato tramite Decreto del Presidente del Consiglio dei Ministri nel gennaio 2024, costituisce un passaggio importante nella spinta alla trasformazione digitale del nostro Paese.

La strategia delineata dal Piano 2024-2026 conferma l’azione a tendere verso una completa informatizzazione dei processi, ponendo un’enfasi particolare sulla loro condivisione, l’accessibilità e la sostenibilità.

Il Piano è indirizzato a favorire la diffusione delle nuove tecnologie digitali nel panorama produttivo italiano, promuovendo la standardizzazione, l’innovazione e la sperimentazione nei servizi pubblici; la logica sottesa è quella di uno sviluppo sostenibile, etico ed inclusivo, mediante l’adozione di soluzioni innovative e digitali che servano le persone, le comunità e i territori nel rispetto dell’ambiente.

Ne emergerà una maggiore efficacia, efficienza e sicurezza dei processi e un fattore leva per la capacità di crescita del Paese.

I principi del Piano triennale per l’informatica

Alla base della strategia che impronta il Piano vi sono 11 principi, in linea con quelli di precedenti versioni del documento:

1. Digitale e mobile come prima opzione (digital & mobile first).
2. Cloud come prima opzione (cloud first).
3. Interoperabilità by design e by default (API-first).
4. Accesso esclusivo mediante identità digitale (digital identity only).
5. Servizi inclusivi, accessibili e centrati sull’utente (user-centric).
6. Dati pubblici un bene comune (open data by design e by default).
7. Concepito per la sicurezza e la protezione dei dati personali (data protection by design e by default).
8. Once only e concepito come transfrontaliero[in argomento, allorché andrà a regime la Piattaforma digitale nazionale dei dati – PDND , unitamente al nuovo identificativo personale ID ANPR si sarà fatto un gran passo avanti].
9. Apertura come prima opzione (openness).
10. Sostenibilità digitale.
11. Sussidiarietà, proporzionalità e appropriatezza della digitalizzazione.

Va da sé che la realizzazione di un “ecosistema amministrativo digitale”, alla cui base ci siano piattaforme organizzative e tecnologiche, che generi valore pubblico (in forma di output e di outcome) per cittadini, imprese e operatori pubblici non può che trovare impulso dalle iniziative di digitalizzazione perseguite dall’Unione europea.

In tal senso va citata la recente approvazione da parte del Parlamento UE della modifica al Regolamento europeo 910/2014 noto come eIDAS che, dopo il finale avallo del Consiglio UE consentirà l’introduzione di un c.d. portafoglio europeo di identità digitale (European Digital Identity Wallet).

L’AI nel Piano triennale per l’informatica

L’attenzione al futuro attuale del nuovo Piano è avvalorata dall’inclusione di una nuova e in rapida diffusione tematica con cui anche la PA si deve confrontare: quella dell’intelligenza artificiale.

L’approccio che la pubblica amministrazione deve adottare è stato sintetizzato in dieci principi che andranno declinati in fase di applicazione tenendo in considerazione la veloce evoluzione dello scenario:

1. Miglioramento dei servizi e riduzione dei costi (tramite l’apporto dell’AI per una maggiore automatizzazione dei processi e recupero di risorse da destinare al miglioramento della qualità dei servizi).
2. Analisi del rischio (tramite cui analizzare e gestire i rischi dell’AI – secondo la classificazione dell’AI ACT – per evitare violazioni dei diritti fondamentali della persona o altri danni rilevanti.
3. Trasparenza, responsabilità e informazione (il Piano richiama l’attenzione delle PA sulla trasparenza e alla interpretabilità dei modelli di AI, a fini di accountability per le decisioni adottate con tale tecnologia)
4. Inclusività e accessibilità (occorre assicurare che vengano rispettati i principi di equità, trasparenza e non discriminazione).
5. Privacy e sicurezza (necessità di adottare elevati standard di sicurezza cibernetica e protezione della privacy per garantire che i dati dei cittadini siano gestiti in modo sicuro e responsabile).
6. Formazione e sviluppo delle competenze (importanza dell’investimento nella formazione e nello sviluppo delle competenze necessarie per gestire e applicare efficacemente l’AI)
7. Standardizzazione (vanno tenute presenti le attività di normazione tecnica in corso a livello internazionale e a livello europeo, con particolare riferimento ai requisiti definiti dall’AI Act).
8. Sostenibilità (occorre valutare gli impatti ambientali ed energetici legati all’utilizzo dell’IA, adottando soluzioni sostenibili dal punto di vista ambientale).
9. Foundation Models – Sistemi AI “ad alto impatto”  ( prima di adottare foundation models “ad alto impatto”, occorre adottare misure di trasparenza che chiariscono l’attribuzione delle responsabilità e dei ruoli, in particolare dei fornitori e degli utenti del sistema di IA; come precisato nel Piano, il riferimento è ai sistemi di grandi dimensioni in grado di svolgere un’ampia gamma di compiti specifici, come la generazione di video, testi, immagini, la conversazione in linguaggio naturale, l’elaborazione o la generazione di codice informatico. L’AI Act definisce inoltre come foundation models “ad alto impatto” i modelli addestrati con una grande quantità di dati e con complessità, capacità e prestazioni (L’utilizzo di tale definizione viene fatta risalire al report  “On the Opportunities and Risks of Foundation Models” redatto nel 2021 da un gruppo di ricercatori dell’Università di Stanford).
10. Dati (nell’acquisizione di servizi di AI tramite Application Programming Interface – API, occorre porre attenzione a modalità e condizioni con le quali il fornitore del servizio gestisce i dati forniti dalla PA, con particolare riferimento alla proprietà dei dati e alla conformità alla privacy).

I ruoli per l’attuazione del piano triennale per l’informatica

Il percorso di digitalizzazione fa perno anche su alcune figure specialistiche chiamate a presidiarne snodi essenziali.

In primis, il Responsabile per la transizione digitale (ove realizzato, a capo dell’Ufficio per la transizione digitale) previsto dall’art. 17 del Codice dell’amministrazione digitale, ruolo cardine per il perseguimento della trasformazione informatica di ogni pubblica amministrazione, dotato di poteri di impulso e coordinamento nel percorso di ammodernamento digitale delle PA.

A inquadrare meglio tale Responsabile e sull’esigenza che le PA se ne dotino è poi intervenuto il Ministero per la Pubblica Amministrazione con la Circolare 3/2018 che, fra l’altro, ne prevede l’indicazione nominativa nell’Indice delle pubbliche amministrazioni (IPA).

A presiedere poi alla digitalizzazione delle attività documentali sono posti i Responsabili per la gestione documentale e il Responsabile per la relativa conservazione che, in linea con le previsioni del Testo unico sulla documentazione amministrativa (DPR 445/2000), del CAD e dalle connesse Linee guida dell’ AGID sulla formazione, gestione e conservazione dei documenti informatici (2021), sono chiamati a provvedere per la informatizzazione della gestione documentale, lungo l’intero ciclo di vita, a supporto dei processi delle PA.

Per tali Responsabili (ma gli incarichi potrebbero essere assegnati a una medesima persona), l’AGID dispone nel nuovo Piano che vengano pubblicati nella sezione “Amministrazione trasparente” delle singole PA le relative nomine e i Manuali: entro giugno 2025, con riguardo alla gestione documentale, ed entro giugno 2026 con riguardo alla conservazione (per i Manuali la pubblicazione è già ora prevista dalle citate Linee guida).

Il Piano prevede altresì che l’ACN si adoperi, fra giugno e settembre 2024 per definite Linee guida per un modello di governance della cybersicurezza e relative linee implementative per le PA che dovranno procedere entro dicembre 2024 alla nomina di un Responsabile della cyber sicurezza (figura questa prevista nel disegno di legge in materia di cybersicurezza e reati informatici attualmente all’esame del Parlamento).

A tutela della cittadinanza, il CAD ha previsto anche l’istituzione, presso l’AGID, del Difensore civico per il digitale, competente in materia di presunte violazioni del CAD e delle altre norme in materia di digitalizzazione ed innovazione nonché in materia di accessibilità.

Piano triennale per l’informatica e tutela della privacy

Per quanto più in particolare attiene alla privacy – e in maniera trasversale alle competenze degli altri Responsabili sopra citati – vi è poi il DPO tenuto, presso ogni PA, a un’attenta azione di consulenza e sorveglianza nel perseguimento delle iniziative del Piano, con riguardo agli aspetti afferenti alla privacy.

Una breve notazione in materia di trasparenza, attese le competenze articolate dei sei soggetti sopra citati, perché non procedere ad una piena trasparenza, prevedendo la pubblicazione nominativa per tutti? Per quanto attiene al DPO è appena il caso di notare che alcune PA provvedono già a pubblicare il nominativo del proprio Responsabile pur in assenza di una specifica disposizione applicativa del GDPR, che non si esprime in argomento.

La nuova edizione del Piano prevede anche una sezione, la terza, dedicata agli strumenti che le amministrazioni possono prendere a riferimento come modelli di supporto, esempi di buone pratiche, check-list per pianificare i propri interventi. Tale sezione che verrà aggiornata nel continuo sulle pagine dedicate del sito dell’AgID.

Nel Piano è anche prefigurata una azione di monitoraggio da parte di tale Agenzia in coerenza con l’art. 18-bis del CAD (norma che prevede anche aspetti sanzionatori su violazioni alle previsioni dello stesso CAD, delle Linee guida, del Piano triennale nonché di altre norme in materia di innovazione tecnologica e di innovazione).

La cyber security nel Piano triennale per l’informatica

Un cenno va anche fatto al capitolo 7 sulla sicurezza informatica, declinato anche in chiave di cyber security e realizzato in collaborazione con l’Agenzia per la cybersicurezza nazionale.

Il Piano evidenzia l’importanza fondamentale dei profili di sicurezza e resilienza delle reti e dei sistemi su cui poggiano le moderne tecnologie tramite cui la PA può perseguire una azione più efficace, efficiente ed economica.

Al riguardo, è prefigurato che l’AgID metta a disposizione, tramite il proprio CERT (Computer Emergency Response Team), una serie di piattaforme e servizi finalizzati alla conoscenza e al contrasto dei rischi cyber legati al patrimonio ICT della PA.

Le iniziative illustrate nell’ambito del Piano triennale, possono avvalersi, come precisato in una  nota di indirizzo interpretativo del citato capitolo,  di un  quadro di collaborazione e in una prospettiva di stretta sinergia tra i due Enti, che valorizzi il disposto normativo secondo cui ACN può operare con l’ausilio di AGID.

Conclusione

Il Piano triennale per l’informatica nella Pubblica Amministrazione 2024-2026 rappresenta un importante passo avanti nella modernizzazione della Pubblica Amministrazione italiana.

Affinché abbia successo, è necessario affrontare alcuni rischi per la sua attuazione, tra cui la sicurezza dei dati, la resistenza al cambiamento, i vincoli normativi e regolamentari e la mancanza di risorse e competenze: altrimenti più che un programma vasto rischieremmo, rifacendoci al Generale De Gaulle, di trovarci di fronte a un “Vaste programme”.

Sarà quindi importante che:

1. da parte di ciascun soggetto coinvolto impegnarsi, per quanto di competenza, e da parte dell’AgID monitorare l’attuazione del piano e affrontare eventuali sfide e ostacoli lungo il percorso;
2. essenziale realizzare una collaborazione efficace tra tutte le parti interessate, istituzioni pubbliche, organizzazioni private e la società civile, per massimizzare gli impatti positivi della trasformazione digitale della Pubblica Amministrazione italiana e, di riflesso del nostro Paese.

Le opinioni espresse sono a titolo esclusivamente personale e non coinvolgono ad alcun titolo l’Istituto pubblico ove l’Autore presta servizio.