Agid in questi giorni è “sotto accusa”. Due episodi recenti, gravi e simbolici, meritano una riflessione profonda da parte di tutti gli operatori del diritto digitale e della Pubblica Amministrazione perché dimostrano in modo palese come le regole vadano gestite oggi in modo trasversale, interdisciplinare e profondamente collaborativo, altrimenti si rischia che a violarle sia proprio chi dovrebbe farle rispettare.
Il primo episodio: la sentenza del Consiglio di Stato
Con la sentenza n. 4520/2026 del Consiglio di Stato, AgID, l’Agenzia per l’Italia Digitale, è stata condannata per gravi irregolarità nella gestione di un proprio concorso per dirigente informatico.
Numerose le violazioni riscontrate: piattaforma utilizzata non qualificata, documenti informatici privi di firma digitale o marca temporale, non correttamente gestiti e conservati (in violazione delle sue stesse Linee Guida ex art. 71 CAD), anonimato compromesso, esternalizzazione senza adeguati titoli e senza designazione del Responsabile del trattamento ex art. 28 GDPR.
In estrema sintesi, l’Agenzia che detta le regole sulla formazione, gestione e conservazione dei documenti informatici non le ha rispettate.
Il paradosso è servito
Il secondo episodio: la sanzione del Garante per la protezione dei dati personali.
Il secondo episodio forse è ancora più emblematico: il Garante per la protezione dei dati personali ha irrogato ad AgID una sanzione di 55.000 euro (provv. n. 419/2026) per aver riversato in blocco le PEC dei professionisti dall’INI-PEC all’INAD senza una adeguata e preventiva informativa, violando principi di trasparenza, correttezza, accountability e privacy by design.
Ancora una volta, l’Agenzia che dovrebbe guidare la digitalizzazione non ha applicato garanzie che essa stessa aveva previsto nelle proprie Linee guida INAD, in raccordo con il GDPR (e con l’Autorità Garante per la protezione dei dati personali).
Attenzione, questi non sono semplici “incidenti procedurali”.
Emerge un problema sistemico di governance della “materia digitale”, la quale per la sua indubbia complessità richiederebbe una gestione davvero condivisa e coordinata tra Agenzie, Dipartimenti e Autorità indipendenti.
Invece, si ha la netta impressione che tra loro non ci sia costante confronto, che si proceda “a silos”, senza alcun dialogo, al punto che una sanziona l’altra.
E devo dire che la mia esperienza di circa 3 anni (prima di essermi dimesso) nel Comitato voluto dal sottosegretario Alessio Butti per la trasformazione digitale del Paese mi aveva già fatto riflettere molto su questo modus operandi (assolutamente sbagliato) e mi sembra purtroppo che non sia cambiato.
I compiti di Agid
Eppure oggi AgID, insieme ad ACN (Agenzia per la Cybersicurezza Nazionale), è chiamata a occuparsi anche di Intelligenza Artificiale per dare attuazione all’AI Act.
Un compito delicatissimo che impone collaborazione stretta anche con il Garante per la protezione dei dati e con le altre Authority di settore. Non è un optional questo, ma andrebbe considerato un obbligo di sistema.
Nella gestione della “materia digitale” di qualsiasi organizzazione seria – pubblica o privata – DPO, CISO, responsabili della gestione documentale, archivi e manager della trasformazione digitale devono lavorare in team interdisciplinari, sin dalla progettazione.
Se le stesse istituzioni preposte a vigilare, coordinare e sanzionare faticano a farlo al proprio interno, il segnale è chiaro e preoccupante.
Serve una governance più matura, coerente e collaborativa.
La transizione digitale non è solo tecnologica: è prima di tutto culturale e istituzionale, altrimenti si rischia di costruire un’Italia digitale fatta di belle enunciazioni normative, ma del tutto fragile sul piano della legalità sostanziale e della tutela dei diritti.
Del resto, la regola vale per tutti, a partire da chi la scrive.
