Chatbot: chi c'è dietro l'intelligenza artificiale del Comune?

Mentre al numero telefonico 055055 risponde la rassicurante voce di un operatore in carne ed ossa, il futuro digitale di Firenze ha un volto diverso, più freddo e più costoso. Si chiama FestinaLente, un assistente virtuale nato per sfoltire la burocrazia dei cambi di residenza e dei servizi comunali. Un’innovazione che brilla sotto i riflettori del progresso, ma che nasconde un'impalcatura da 719 mila euro di fondi europei e un'ombra inquietante sulla sovranità dei dati dei cittadini.

Non lasciatevi ingannare dall'etichetta "servizio locale". Dmitrij Palagi (Sinistra Progetto Comune) ha approfondito la catena di fornitura che trasforma un servizio di prossimità in un banchetto per i colossi d’oltreoceano. La "scatola nera" di FestinaLente è composta da cinque strati:

• SILFI: La società in-house del Comune (regia e gestione).
• Ergon: L’azienda italiana che ha materialmente assemblato il codice.
• Memori: La software house italiana che fornisce la piattaforma tecnologica.
• Amazon: Il gigante di Seattle che ospita i dati sui propri server (localizzati in Irlanda).
• OpenAI: La mente dietro le risposte, la stessa azienda americana di ChatGPT.

La vera opacità risiede nel contrasto tra i documenti contabili e l’informativa rivolta al cittadino. Sebbene la determina del 2 dicembre 2025 indichi chiaramente i nomi dei fornitori per giustificare i canoni annuali, la trasparenza si ferma sulla soglia del portale pubblico. «Nell'informativa sulla privacy che il Comune pubblica sul proprio sito... c'è scritto soltanto "Privati (fornitore del servizio)"», nonostante i nomi siano ormai di dominio pubblico. Perché questa reticenza?

Qui entriamo nel cuore del conflitto tra diritto e burocrazia automatizzata. L'amministrazione fiorentina è rimasta intrappolata in un "deadlock" logico che mette in discussione la solidità delle sue valutazioni di rischio:

1. Il 14 maggio, la Giunta dichiarava ufficialmente che il Comune conserva per sei mesi sia il contenuto delle conversazioni sia l’indirizzo IP dell’utente.
2. Il 4 agosto, la stessa Giunta faceva marcia indietro, affermando che il servizio non richiede dati personali e che l'impatto sulla privacy sarebbe "pressoché nullo", rendendo i dati poco interessanti per eventuali autorità estere.

Ma per la legge europea, l’indirizzo IP è un dato personale a tutti gli effetti. Se davvero non venissero trattati dati sensibili, perché il Comune ha sentito il bisogno di redigere una complessa "Valutazione dei rischi"? La verità è che l'amministrazione sa bene che i dati dei cittadini sono in transito, ma preferisce derubricare il rischio a semplice "utenza".

Molti si sentono protetti sapendo che i server di Amazon si trovano fisicamente in Irlanda. È un’illusione legale. Il CLOUD Act statunitense del 2018 garantisce alle autorità di Washington il potere di reclamare dati da aziende nazionali (come Amazon od OpenAI) indipendentemente da dove si trovi il server. La nazionalità dell'impresa batte la geografia dei data center.

Non è un timore per paranoici del web. Nel novembre 2025, un giudice federale di New York ha ordinato a OpenAI di consegnare 20 milioni di conversazioni nell'ambito di una controversia legale. Questo precedente dimostra che ogni parola affidata a FestinaLente è potenzialmente esposta a ordini giudiziari esteri, fuori dal controllo delle tutele europee.

Un anno fa, la Giunta si era impegnata con un piano sull'intelligenza artificiale: la creazione di un elenco pubblico dei sistemi IA in uso, completo di fornitori e livelli di rischio. Era la promessa di un controllo civico, un patto di lealtà tra chi governa e chi è governato.

Oggi, dopo nove mesi di attesa, quell'elenco è un fantasma digitale. Sebbene SILFI abbia condotto test tecnici e controlli settimanali a campione, la trasparenza politica è rimasta al palo. Valutazioni tecniche interne non possono sostituire il diritto del cittadino di sapere chi gestisce il potere algoritmico nella propria città.

Il vento normativo sta cambiando. Dal 2 agosto 2026, l'Articolo 50 dell'AI Act europeo impone obblighi di trasparenza: ogni interazione con un'intelligenza artificiale e ogni contenuto generato (dai chatbot ai deepfake) deve essere chiaramente dichiarato.

Il Codacons, per voce del presidente Francesco Tanasi, chiede che questo non rimanga un esercizio burocratico: "Trasparenza, responsabilità e controlli devono procedere insieme, perché dietro ogni sistema che incide sui diritti e sulle decisioni dei cittadini deve esserci sempre un soggetto chiaramente responsabile". Le richieste sono chiare: un canale nazionale unico per segnalare abusi e campagne informative capillari negli uffici pubblici e nelle scuole.

La questione FestinaLente non è un intoppo tecnico, ma il frutto di una scelta politica. I documenti tecnici confermano che la piattaforma avrebbe potuto funzionare perfettamente utilizzando software libero e server europei. Il ricorso ai giganti americani non era una necessità tecnologica, ma una decisione deliberata di bypassare alternative sovrane. Dobbiamo decidere se vogliamo restare "utenti" — consumatori passivi di un servizio veloce — o rivendicare la nostra "cittadinanza" — il diritto di sapere chi ci ascolta e chi controlla le nostre informazioni.