VEDI ANCHE Newsletter del 29 ottobre 2026

[doc. web n. 10312627]

Parere su un schema di regolamento di attuazione dell’articolo 40-ter.1 della legge provinciale 30 novembre 1992, n. 23 della Provincia Autonoma di Trento, concernente l'addestramento di modelli di IA da integrare nell'attività amministrativa e i connessi trattamenti di dati personali - 7 ottobre 2026

Registro dei provvedimenti
n. 760 del 7 ottobre 2026
 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vice presidente, il dott. Agostino Ghiglia, componente e il dott. Luigi Montuori, segretario generale;

Visto il Regolamento (UE) 2016/679, del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito: “Regolamento”) e, in particolare, l’articolo 57, paragrafo 1, lettera c);

Visto il decreto legislativo 30 giugno 2003, n. 196 e s.m.i. (Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, di seguito “Codice”);

Vista la legge provinciale 30 novembre 1992, n. 23, recante “Principi per la democratizzazione, la semplificazione e la partecipazione all'azione amministrativa provinciale e norme in materia di procedimento amministrativo”;

Vista la richiesta di parere della Provincia Autonoma di Trento;

Vista la documentazione in atti;

Viste le osservazioni del segretario generale, rese ai sensi dell’articolo 15 del regolamento del Garante n. 1/2000; 

Relatore il dott. Agostino Ghiglia;    

PREMESSO

La Provincia Autonoma di Trento ha richiesto il parere del Garante su di uno schema di regolamento volto a dare attuazione all’articolo 40-ter.1 della legge provinciale 30 novembre 1992, n. 23 (“Principi per la democratizzazione, la semplificazione e la partecipazione all'azione amministrativa provinciale e norme in materia di procedimento amministrativo”).

Tale articolo, introdotto dall’articolo 1, comma 4, della legge provinciale 7 agosto 2026, n. 6 (“Assestamento del bilancio di previsione della Provincia autonoma di Trento per gli esercizi finanziari 2026 – 2028”), promuove l'impiego di sistemi di intelligenza artificiale quali strumenti di ausilio nell'attività amministrativa e nei processi organizzativi della Provincia, dei suoi enti strumentali e degli altri soggetti indicati dall’articolo 1, comma 1, della legge provinciale 30 novembre 1992, n. 23 (c. 1), affidando alla Giunta provinciale il compito di definire i tempi, i criteri e le modalità per individuare progressivamente le attività amministrative e i processi organizzativi suscettibili di semplificazione, standardizzazione od ottimizzazione (c. 2).

In tale contesto, la norma dispone che i trattamenti di dati personali effettuati mediante sistemi di intelligenza artificiale “sono effettuati esclusivamente per il perseguimento delle finalità istituzionali e di interesse pubblico previste dal presente articolo e dalla legge provinciale n. 16 del 2012, anche riferiti allo sviluppo e gestione del Sistema informativo elettronico trentino (SINET), nel rispetto del regolamento (UE) n. 2016/679 e del decreto legislativo n. 196 del 2003, assicurando, con particolare riguardo ai rischi in materia di intelligenza artificiale, la riservatezza, l'integrità e la disponibilità dei dati, nonché il rispetto dei principi di proporzionalità e di minimizzazione di cui all'articolo 5, paragrafo 1, lettere b) e c), del predetto regolamento. I trattamenti possono riguardare esclusivamente i dati personali strettamente necessari al perseguimento delle finalità istituzionali individuate dal presente articolo, comprese, nei casi previsti dalla normativa nazionale ed europea e nel rispetto delle relative condizioni e garanzie, le categorie particolari di dati personali di cui all'articolo 9 del regolamento (UE) n. 2016/679 e i dati relativi a condanne penali e reati o a connesse misure di sicurezza di cui all'articolo 10 del medesimo regolamento” (c. 3).

Il comma 4 del medesimo articolo prevede poi, in relazione ai trattamenti che presentano un rischio elevato per i diritti e le libertà delle persone fisiche, che venga “effettuata la valutazione d'impatto sulla protezione dei dati ai sensi degli articoli 35 e 36 del regolamento (UE) n. 2016/679 e […] adottate le misure tecniche e organizzative idonee ad assicurare un livello di protezione adeguato al rischio, anche mediante adeguate modalità di supervisione umana, tracciabilità delle operazioni, rappresentatività del data set, verificabilità degli esiti dei sistemi e misure idonee a prevenire errori, effetti discriminatori, distorsivi o comunque lesivi dei diritti e delle libertà fondamentali”.

Il comma 5, infine, demanda a una deliberazione della Giunta provinciale o, “nel caso di trattamenti che includono dati relativi a condanne penali e reati o a connesse misure di sicurezza”, a un regolamento attuativo l’individuazione, per ciascun trattamento o categoria omogenea di trattamenti, della specifica finalità pubblica, dei dati trattati, delle categorie di interessati, delle operazioni effettuabili, dei tempi di conservazione e delle misure di sicurezza idonee a garantire l'affidabilità e il controllo umano dei sistemi di IA.

Sul piano più generale, l’articolo 14 della legge 23 settembre 2025, n. 132 (“Disposizioni e deleghe al Governo in materia di intelligenza artificiale”) legittima le pubbliche amministrazioni a utilizzare l’intelligenza artificiale per finalità di incremento dell'efficienza della propria attività, di riduzione dei tempi di definizione dei procedimenti e di aumento della qualità e della quantità dei servizi erogati ai cittadini e alle imprese, assicurando in pari tempo agli interessati la conoscibilità del relativo funzionamento e la tracciabilità del suo utilizzo (c. 1). La norma chiarisce inoltre che l’utilizzo dell’intelligenza artificiale può avvenire solo in funzione strumentale e di supporto all'attività provvedimentale, nel rispetto dell'autonomia e del potere decisionale dell’uomo (c. 2). In attuazione della disposizione, le pubbliche amministrazioni sono tenute ad adottare misure tecniche, organizzative e formative finalizzate a garantire un utilizzo responsabile dell'intelligenza artificiale e a sviluppare le capacità trasversali degli utilizzatori (c. 3), nel rispetto delle proprie prerogative istituzionali (d.P.R. 31 agosto 1972, n. 670 “Approvazione del testo unico delle leggi costituzionali concernenti lo statuto speciale per il Trentino-Alto Adige”).

Nell’ambito di tale cornice regolatoria, lo schema di regolamento (cui è allegata una scheda riferita, in sede di prima applicazione, al sistema di protocollazione e gestione documentale P.I.Tre - Protocollo Informatico Trentino e un documento contenente la relativa valutazione di impatto privacy) intende dunque disciplinare l’utilizzo di strumenti di intelligenza artificiale quali strumenti di supporto nell’attività amministrativa e nei processi organizzativi della Provincia, al fine di perseguire il continuo miglioramento, in termini di efficacia ed efficienza, dell’azione amministrativa e nell’erogazione dei servizi a cittadini e imprese.

RILEVATO

Lo schema di regolamento si compone di 16 articoli.

L’articolo 1 prevede, in un’ottica di efficientamento, l’utilizzo di sistemi di intelligenza artificiale quali strumenti di supporto nell’attività amministrativa e nei processi organizzativi della Provincia, al fine di perseguire il continuo miglioramento in termini di efficacia ed efficienza dell’azione amministrativa e nell’erogazione dei servizi a cittadini e imprese (c. 1). Dispone, inoltre, che il regolamento individui, con riferimento all’intero ciclo di vita di tali sistemi – dallo sviluppo e addestramento fino all’impiego, monitoraggio e aggiornamento –, le finalità del trattamento, le categorie e i tipi di dati personali che possono essere trattati, le operazioni eseguibili, nonché le misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi degli interessati (c. 2). 

La disposizione chiarisce poi che i sistemi di intelligenza artificiale operano esclusivamente come strumenti di supporto all’attività amministrativa e non possono essere utilizzati per adottare decisioni amministrative basate unicamente su trattamenti automatizzati, nel rispetto del principio di non esclusività della decisione algoritmica e di sorveglianza umana sostanziale (c. 3). Per i trattamenti che coinvolgono categorie particolari di dati, le specificazioni richieste dagli artt. 2‑sexies e ss. del Codice sono effettuate, caso per caso, mediante la scheda applicativa prevista dall’art. 16 del regolamento medesimo (c. 4).

L’articolo 2 dispone che i dati personali vengano trattati per gli scopi previsti dalle leggi provinciali n. 23/1992 e n. 16/2012, in un’ottica di valorizzazione del patrimonio informativo pubblico mediante attività strumentali di sviluppo, addestramento, configurazione, sperimentazione, validazione, impiego, monitoraggio e aggiornamento dei sistemi di intelligenza artificiale destinati a supportare l’attività amministrativa provinciale. Tali attività sono perseguite sulla base di un motivo di interesse pubblico rilevante, definito concretamente nelle schede specifiche di cui all’art. 16 del regolamento. La disposizione prevede, inoltre, che il patrimonio informativo provinciale possa essere organizzato con possibilità, tra l’altro, di pseudonimizzazione o anonimizzazione in misura necessaria al funzionamento dei sistemi, nel rispetto dei principi di necessità, proporzionalità, minimizzazione, limitazione della finalità, esattezza, integrità, riservatezza e sicurezza dei dati.

L’articolo 3 individua il presupposto di liceità dei trattamenti, ancorando la liceità del trattamento dei dati comuni all’articolo 40-ter.1 della legge provinciale 30 novembre 1992, n. 23, all’articolo 6, paragrafi. 1, lettera e), e 3 del Regolamento, nonché all'articolo 2-ter del Codice per lo svolgimento di compiti di interesse pubblico o connessi all’esercizio di poteri pubblici attribuiti alla Provincia (c. 1).

Il comma 2 stabilisce, invece, che quando il trattamento riguardi categorie particolari di dati personali (art. 9, par. 1, del Regolamento), si applichi l’art. 2‑sexies del Codice, secondo quanto definito nella scheda specifica prevista dall’art. 16 del regolamento. Resta peraltro fermo quanto stabilito dall’articolo 2‑septies del Codice per i dati di cui all’articolo 9, paragrafo 4, del Regolamento e dall’articolo 2‑octies dello stesso Codice per i trattamenti di dati relativi a condanne penali e reati di cui all’art. 10 del Regolamento, secondo quanto specificato nella scheda applicativa di cui al medesimo articolo 16 del regolamento. 

La disposizione precisa inoltre che è vietato qualunque trattamento per finalità commerciali, di profilazione, sorveglianza o, comunque, incompatibile con le finalità istituzionali. Nel rispetto del principio della non esclusività della decisione algoritmica, viene altresì escluso l’impiego di sistemi di intelligenza artificiale per l’adozione di decisioni amministrative basate unicamente su trattamenti automatizzati.

L’articolo 4 individua le tipologie di dati personali che possono essere trattati nell’ambito delle attività di addestramento dei modelli di intelligenza artificiale destinati a supportare l’attività amministrativa provinciale, previa verifica della loro pertinenza, completezza e indispensabilità rispetto alle finalità perseguite, suddividendoli per categorie (dati comuni; dati relativi a condanne penali e reati; particolari categorie di dati personali; dati relativi alla salute). Per i dati comuni, la norma elenca anche un possibile set di dati utilizzabile allo scopo (dati anagrafici e identificativi, di contatto, identificativi digitali, economico‑finanziari, qualifica, ruolo, ecc.); per i dati relativi a condanne penali e reati, per le categorie particolari di dati e per i dati relativi alla salute, i dati trattabili sono definiti caso per caso dalle rispettive schede applicative, nel rispetto degli articoli 2‑octies, 2‑sexies e 2‑septies del Codice. 

L’articolo 5 dispone che, per le finalità indicate all’articolo 2, i dati personali utilizzati nei sistemi di intelligenza artificiale possono essere raccolti da diverse fonti, tra cui: gli archivi della Provincia e degli enti del sistema pubblico provinciale; i sistemi del SINET previsti dalla legge provinciale 27 luglio 2012, n. 16; le banche dati nazionali e le piattaforme di interoperabilità accessibili secondo la normativa vigente; i dati acquisiti nell’ambito dell’attività amministrativa e dei processi organizzativi; i dati provenienti da altre amministrazioni nell’esercizio delle rispettive competenze; i dati raccolti direttamente presso l’interessato, anche tramite piattaforme informatiche.

L’articolo 6 dispone, al comma 1, che il trattamento dei dati personali è svolto da personale autorizzato mediante strumenti informatici che garantiscono riservatezza, integrità e disponibilità dei dati. Precisa inoltre che le operazioni di trattamento sono individuate nelle schede specifiche di cui all’art. 16, nel rispetto dei principi di necessità e proporzionalità (c. 2). 

L’articolo 7 attribuisce la titolarità dei trattamenti alla Provincia o, a seconda dei casi, agli enti strumentali pubblici di cui alla legge provinciale 16 giugno 2006, n. 3. I dati personali possono inoltre essere trattati da soggetti terzi esercenti attività ancillari nei confronti della Provincia e degli stessi enti strumentali, previa loro designazione quali responsabili del trattamento ai sensi dell’articolo 28 del Regolamento. 

L’articolo 8 dispone che i dati debbano essere conservati esclusivamente su supporti informatizzati situati nel territorio dell’Unione europea, in ambienti logicamente separati, e per un periodo di tempo strettamente rapportato alla durata dei cicli di sviluppo algoritmico e delle successive attività di verifica e validazione, oppure per i tempi definiti da eventuali atti organizzativi. L’individuazione puntuale dei termini di conservazione - che variano in base alla tipologia e classificazione del modello di intelligenza artificiale, alle categorie di dati trattati (con tempi ridotti per quelli di cui agli artt. 9 e 10 del Regolamento) e alle diverse fasi del ciclo di vita tecnologico (training, testing e validation) -, è demandata alle schede specifiche di cui all’art. 16 del regolamento, nel rispetto del principio di limitazione della conservazione. 

L’articolo 9 vieta il trasferimento dei dati al di fuori dell'Unione Europea, se non in presenza di decisioni di adeguatezza o di garanzie adeguate, mentre l’articolo 10 stabilisce che l’accesso ai dati personali è consentito esclusivamente a soggetti previamente identificati e autorizzati, limitatamente alle operazioni strettamente necessarie per perseguire le finalità di cui all’articolo 2 e secondo le modalità definite nelle schede specifiche di cui all’art. 16 del regolamento.

L’articolo 11 prevede che il titolare e l’eventuale responsabile del trattamento adottino tutte le misure tecniche e organizzative necessarie a garantire integrità, conservazione e sicurezza dei dati personali, sulla base degli esiti della valutazione d’impatto sulla protezione dei dati e nel rispetto dei principi di minimizzazione e della normativa vigente in materia di protezione dei dati personali. Inoltre, in ragione degli esiti dell’analisi dei rischi collegati ai trattamenti, è prevista la possibilità di integrazione delle misure di sicurezza, anche in considerazione della specificità dei singoli trattamenti, fermo restando lo svolgimento di verifiche periodiche (audit) volte a valutarne la correttezza, la trasparenza, la precisione e l'assenza di effetti distorsivi o discriminatori.

L’articolo 12, relativamente all’utilizzo di categorie particolari di dati personali, ne subordina il trattamento alla loro indispensabilità, nei limiti dell'interesse pubblico rilevante individuato - caso per caso - nelle schede specifiche di cui all’articolo 16 del regolamento, richiedendo comunque per i dati biometrici, genetici e sanitari il rispetto delle misure di garanzia stabilite dal Garante ai sensi dell’articolo 2-septies del Codice.

L’articolo 13 limita il trattamento, relativamente ai dati di cui all’articolo 10 del Regolamento, alle sole fattispecie individuate nella scheda applicativa di cui all’articolo 16, prescrivendo che siano utilizzati, nella fase di sviluppo e addestramento dei sistemi, esclusivamente dati sintetici o, in subordine, dati reali pseudonimizzati o mascherati.

L’articolo 14 estende l'applicabilità delle disposizioni, nei limiti della loro compatibilità, agli enti strumentali pubblici della Provincia, che in tale contesto assumono la veste di titolari del trattamento. 

L’articolo 15 prevede che prima dell’addestramento di un modello di IA che comporti il trattamento di dati personali, la struttura competente debba verificare, documentare e approvare la scheda specifica prevista dall’art. 16, insieme al Responsabile della protezione dei dati. Tale verifica è volta ad accertare che il trattamento rientri in una o più categorie omogenee già disciplinate dal regolamento, considerando la finalità istituzionale perseguita, le categorie di interessati e di dati personali coinvolti, le operazioni di trattamento e le misure di sicurezza previste. La norma chiarisce inoltre che l’introduzione, la sostituzione, l’aggiornamento o l’evoluzione tecnologica di un sistema di intelligenza artificiale non comportano la creazione di una nuova categoria di trattamento quando le attività restano pienamente ricomprese nelle finalità, nei dati, nelle operazioni e nelle garanzie già definite dal regolamento.

L’articolo 16 stabilisce, infine, che per ogni sistema o ambito di intervento deve essere predisposta una scheda specifica contenente almeno: la descrizione del sistema di intelligenza artificiale; la struttura responsabile; la funzione amministrativa interessata; le finalità e il motivo di interesse pubblico rilevante; le tipologie di dati trattabili; le categorie di soggetti interessati; le fonti dei dati; le modalità di trattamento e le operazioni consentite; il titolare e l’eventuale responsabile del trattamento; le regole di conservazione; le condizioni di eventuale trasferimento extra‑UE; le modalità di accesso ai dati; le misure di sicurezza e la DPIA di riferimento. La disposizione precisa che la scheda ha funzione ricognitiva e applicativa delle categorie già disciplinate dal regolamento e non può introdurre nuove finalità, nuove categorie di trattamento o tipologie di dati eccedenti il perimetro regolamentare. 

RITENUTO

Lo schema di regolamento appare sostanzialmente coerente con la cornice normativa di riferimento (art. 40-ter.1 della l.p. 30 novembre 1992, n. 23; art. 14 della l. 23 settembre 2025, n. 132), pur necessitando di alcune modifiche volte a garantire maggiore conformità alla disciplina di protezione dei dati personali. 

In primo luogo, si ritiene che il rinvio contenuto negli articoli 1, comma 4, 3, comma 2, 4, commi 3 e 4 e 13, comma 1, a una “scheda specifica” che disciplini nel dettaglio, ai sensi del successivo articolo 16, alcuni aspetti inerenti al trattamento dei dati particolari o relativi a condanne penali e a reati, o alle connesse misure di sicurezza, non sia pienamente conforme agli articoli 2-sexies e 2-octies del Codice.

Le disposizioni del regolamento demandano, infatti, la definizione degli elementi essenziali del trattamento e delle connesse garanzie, a una “scheda specifica” (compilata e approvata unilateralmente dalla singola struttura amministrativa interessata) non assimilabile - per natura e caratteristiche - alle fonti regolatorie previste dalla disciplina vigente. Si rende pertanto necessaria una riformulazione delle pertinenti disposizioni che preveda una puntualizzazione degli elementi del trattamento attraverso il rinvio a un atto di rango (almeno) regolamentare (cfr. parere n. 172 del 12 maggio 2022) o, limitatamente ai dati particolari, a un atto amministrativo generale della Provincia.

Ulteriore profilo di criticità attiene poi ai possibili limiti all'esercizio dei diritti di rettifica e cancellazione da parte degli interessati. 

La documentazione relativa alla valutazione di impatto allegata, seppur relativa a un trattamento specifico collegato a un sistema di gestione e protocollazione documentale basato sull’intelligenza artificiale che la Provincia vorrebbe introdurre quale prima esperienza applicativa del provvedimento, evidenzia infatti il rischio − potenzialmente sistemico e generalizzato − che, una volta consolidato il ciclo di addestramento dei modelli di intelligenza artificiale, l'esercizio dei diritti di rettifica e cancellazione da parte degli interessati possa non riflettersi sui parametri algoritmici del modello già strutturato, limitandosi a correggere il documento originale alla sorgente per i cicli futuri. L'omessa previsione, nello schema regolamentare, di misure e accorgimenti tali a garantire, prescindendo dal sistema o modello di intelligenza artificiale utilizzato, la piena effettività dei diritti di rettifica e cancellazione rischia di tradursi in una lesione dei diritti fondamentali degli interessati in violazione degli articoli 16 e 17 del Regolamento. Pertanto, occorre integrare l’articolato in parte qua, prevedendo misure che consentano di rendere certo ed effettivo l’esercizio dei diritti degli interessati, superando la preclusione indicata, sia pure in relazione a un caso specifico, nella valutazione di impatto.

Più in generale, sarebbe opportuno introdurre una specifica disposizione che – oltre a ribadire il dovere del titolare di assicurare l’esercizio di tutti gli ulteriori diritti riconosciuti dagli articoli 15–22 (inclusi l'accesso e l’esplicabilità, la limitazione del trattamento, l'opposizione e le garanzie contro le decisioni automatizzate) – ne garantisca l'effettiva operatività rispetto ai parametri algoritmici dei modelli già addestrati, in conformità alle indicazioni formulate dal Comitato Europeo per la Protezione dei Dati nel Parere n. 28/2024 sui modelli di intelligenza artificiale.

IL GARANTE

ai sensi dell’articolo 57, paragrafo 1, lettera c) del Regolamento, esprime parere favorevole sullo schema di regolamento con le condizioni, esposte nel ritenuto, relative all’esigenza di:

- novellare gli articoli 1, comma 4, 3, comma 2, 4, commi 3 e 4 e 13, comma 1, dello schema, come indicato in motivazione;

- integrare l’articolato con la previsione di misure e accorgimenti volti a rendere certo ed effettivo l’esercizio dei diritti di rettifica e cancellazione da parte degli interessati, nonché di tutti gli ulteriori diritti attribuiti dagli articoli 15–22 del Regolamento.

Roma, 7 ottobre 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Montuori