Avvia una prova

Note operative Scenari

IA per la legalità: che cosa serve perché un’analisi automatica regga

6 min di lettura

Registro contabile cartaceo aperto su due pagine, colonne prestampate e annotazioni a mano, in bianco e nero
Un registro vale quanto la riga che si può rileggere: chi ha scritto che cosa, quando, e su quale documento.

Il 27 luglio 2026 è stato sottoscritto a Roma un protocollo d’intesa fra Ministero dell’Interno, Regione Marche, Autorità Nazionale Anticorruzione e Consiglio Nazionale delle Ricerche. Lo annunciano, con testi in larga parte sovrapponibili, il comunicato dell’ANAC e quello della Regione. Rinnova e amplia un’intesa del 2023 fra Interno, Marche e ANAC; la novità dichiarata è l’ingresso del CNR. Il comunicato dell’Autorità precisa che il testo è composto da undici articoli.

Prima di tutto il resto, una precisazione che serve a chi legge per lavoro: l’articolato non risulta pubblicato. Alla data di questo articolo nessuna delle due pagine allega il documento. Sappiamo che cosa i firmatari dichiarano di volerci fare; non sappiamo che cosa dispongano quegli undici articoli. Nei comunicati non compaiono la durata dell’accordo, un organo che lo governi, un calendario né alcun importo. Quel che segue tiene perciò separati due piani: ciò che risulta già in esercizio e ciò che è intenzione dichiarata.

Che cosa risulta già operativo

Una cosa sola, ma reale. TrasparenzAI è un portale open source sviluppato dal CNR e — scrivono entrambi i comunicati — «già utilizzato da Anac per l’analisi automatizzata e il monitoraggio degli obblighi di trasparenza», in grado di analizzare le sezioni «Amministrazione trasparente» di oltre 23.000 amministrazioni. Il perimetro normativo è quello del D.lgs. 14 marzo 2013, n. 33: la piattaforma verifica che le sezioni che i siti pubblici devono pubblicare ci siano.

Il codice si può leggere. I componenti stanno su GitHub sotto l’organizzazione TrasparenzAI, architettura a microservizi, e quelli pubblicati portano la licenza GNU AGPL v3. Un dettaglio vale più di molti annunci: il componente che integra la parte di IA è descritto nella propria documentazione come servizio di interfacciamento con Ollama, cioè con un motore che esegue i modelli in locale e non con un servizio remoto. Chi si occupa di sovranità del dato sa quanto pesa quella differenza.

Che cosa è invece intenzione dichiarata

Il resto è al futuro, e i comunicati lo scrivono al futuro: «la sperimentazione di strumenti di intelligenza artificiale per migliorare l’accessibilità, l’interoperabilità e il riutilizzo delle informazioni». In particolare CLARA, indicato come il sistema di IA integrato in TrasparenzAI, «sarà testato su casi amministrativi concreti» per consentire ai cittadini di interrogare documenti complessi con domande semplici, «partendo dallo stato dei lavori pubblici programmati, progettati ed in esecuzione».

Va detto con precisione, perché i titoli hanno fatto in fretta: quello descritto è un aiuto alla consultazione di atti già pubblici, non un motore che individua illeciti. L’ambito applicativo dichiarato sono i contratti pubblici — cultura dell’integrità, prevenzione dei fenomeni corruttivi, supporto alle amministrazioni nelle procedure di gara e nell’uso delle banche dati nazionali, fase di esecuzione, qualificazione delle stazioni appaltanti, investimenti del PNRR. Nella dichiarazione riportata dal comunicato regionale il Sottosegretario di Stato all’Interno colloca il modello nel contesto della ricostruzione del centro Italia, «circa 8mila chilometri quadrati» di cratere e «oltre 16.000 cantieri tra pubblici e privati». Quanto ai dati che verrebbero trattati, i comunicati non ne elencano alcuno oltre a quelli che le amministrazioni già pubblicano. Su questo non si deduce: si aspetta il testo.

Un’indicazione non è un accertamento

Qui comincia la parte che riguarda chi, in un ente o in un’impresa, dovrà far funzionare — o subire — un sistema del genere. Un’analisi automatica ordina, confronta, evidenzia uno scostamento. Non prova nulla. Produce un’indicazione: un elemento che qualcuno dovrà guardare, e che nella grande maggioranza dei casi si spiegherà da sé. Fra «il sistema ha segnalato» e «è stato accertato» ci sono un’istruttoria, un contraddittorio e una firma. Non è una cautela di cortesia: è la differenza fra uno strumento utilizzabile e uno che alla prima contestazione non tiene.

Da lì discendono quattro requisiti. Non descrivono nessuna delle amministrazioni citate: sono uno schema ricorrente, dichiarato per tale.

  • Provenienza del dato, campo per campo. Una rilevazione automatica su siti web misura lo stato di una pagina in un momento dato. È esattamente ciò che serve per monitorare gli obblighi di pubblicazione; non è una misura della condotta di un ente. Una sezione che manca può essere un obbligo non assolto, una migrazione di CMS o un collegamento rotto. Per ogni campo vanno registrati origine, data e metodo di raccolta, e devono restare leggibili a valle.
  • La soglia si delibera prima. Stabilire quando uno scostamento diventa segnalazione è una scelta amministrativa travestita da parametro tecnico: decide quanti casi arrivano sul tavolo e quale quota di falsi positivi l’ufficio accetta di lavorare. Va scritta, motivata e datata prima dell’avvio, non tarata a posteriori sui risultati che convincono di più.
  • Tracciabilità dell’indicazione. Da quale documento, con quale regola, con quale versione del modello. Se a valle c’è un modello generativo, la stessa domanda dà risposte diverse fra due versioni: il registro deve dire quale girava quel giorno. Un’indicazione non riproducibile non è verificabile, e ciò che non è verificabile non si porta in un procedimento.
  • Chi risponde. La firma resta a una persona. Perché quella persona possa apporla, il sistema deve consegnarle un fascicolo esibibile: input, regola applicata, esito, chi l’ha letto, che cosa ha deciso e perché.

Tre pezzi che sono già sul tavolo

Non sono principi astratti. Sono già scritti altrove, in norme che vincolano.

Come lo risolviamo noi

Un sistema di analisi al servizio di una funzione di controllo pubblico regge a una condizione sola: essere ispezionabile. Codice leggibile, dati con la loro provenienza, regola scritta prima, log a disposizione di chi dovrà rispondere della decisione — non del fornitore. È il motivo per cui consegniamo in due modalità, mai una sola: on-premise, con l’IA installata nell’ambiente del cliente, oppure su un nostro cloud dedicato riservato al singolo cliente, con VPN dedicata, data center residente in Italia e locali che presidiamo direttamente. In entrambi i casi i modelli restano dentro il perimetro, la traccia di ogni indicazione resta esibibile e il registro non lo tiene qualcun altro. È che cosa comporta per un ente prima ancora di essere una scelta di prodotto.

Se state valutando un’analisi automatica a supporto di un controllo, mezz’ora con un nostro esperto basta per stabilire che cosa dovrà poter mostrare, e a chi.

Fonti