La progressiva diffusione dell’intelligenza artificiale nelle procedure di gara non pone soltanto il tema, ormai noto, del corretto utilizzo di tali strumenti da parte delle stazioni appaltanti e degli operatori economici. Sta emergendo anche un rischio meno evidente, ma potenzialmente assai rilevante: quello della prompt injection, ossia del tentativo di inserire nei documenti istruzioni destinate a condizionare i sistemi di IA chiamati ad analizzarli. Il fenomeno, già affiorato in alcuni procedimenti giudiziari stranieri, solleva interrogativi nuovi anche nel diritto dei contratti pubblici: dalla buona fede procedimentale alla par condicio, dall’art. 30 del Codice al grave illecito professionale ex art. 98, sino alle possibili ricadute penali nei casi più gravi. Il contributo prova a ricostruire questi profili, distinguendo con attenzione tra rischi tecnologici, conseguenze amministrative e possibili responsabilità dell’operatore.
L’impiego dell’intelligenza artificiale nel ciclo di vita dei contratti pubblici sta modificando non soltanto gli strumenti a disposizione delle amministrazioni, ma anche i rischi che devono essere governati. Tra questi vi è la prompt injection, fenomeno noto nella sicurezza dei sistemi basati su modelli linguistici e oggi emerso anche in contesti giudiziari.
Nel settore dei contratti pubblici, la questione merita di essere affrontata con un’impostazione chiara: non come tecnica da sperimentare per rendere un’offerta più competitiva, ma come vulnerabilità da prevenire, perché l’operatore economico deve competere sulla qualità effettiva della proposta e non sulla possibilità di alterare il funzionamento degli strumenti utilizzati per esaminarla.
Il problema è particolarmente delicato nell’offerta economicamente più vantaggiosa. Se la stazione appaltante impiega un sistema di IA per ricercare informazioni, sintetizzare relazioni o predisporre matrici comparative, un documento che contenga istruzioni rivolte alla macchina e non alla commissione può tentare di incidere sulla rappresentazione dell’offerta prima ancora che intervenga il giudizio umano. La domanda diventa allora giuridica: quali obblighi gravano sulla stazione appaltante e quali conseguenze possono derivare, per l’operatore, dall’inserimento intenzionale di contenuti diretti a manipolare il processo valutativo?
1. Che cosa è la prompt injection
Il NIST definisce la prompt injection come una forma di attacco nella quale istruzioni non affidabili vengono introdotte nel contesto elaborato dal modello, con l’effetto potenziale di modificarne il comportamento. OWASP distingue, in particolare, la prompt injection diretta da quella indiretta: nella seconda ipotesi l’istruzione non viene impartita direttamente dall’utilizzatore del sistema, ma è incorporata in una fonte esterna che il modello viene chiamato ad analizzare, come una pagina web, un’e-mail o un documento. È questa la categoria che interessa maggiormente le procedure di gara.
Non ogni formulazione persuasiva dell’offerta è, naturalmente, una prompt injection. L’operatore è libero di sostenere che la propria soluzione soddisfi pienamente un criterio o presenti caratteristiche superiori; ciò appartiene alla fisiologia della competizione. Il problema nasce quando il documento contiene un livello comunicativo distinto, non funzionale a descrivere la prestazione e specificamente destinato a orientare il sistema automatico che lo esamina. In quel momento l’offerta tende ad assumere due destinatari: la commissione, cui è rivolta la relazione tecnica, e la macchina, cui è rivolto il tentativo di condizionamento. È questa seconda comunicazione, soprattutto se occultata o comunque estranea alla normale funzione documentale, a porre la questione dell’integrità della gara.
La prompt injection va inoltre distinta dalle cosiddette hallucinations. Nel secondo caso è il sistema generativo a produrre informazioni inesatte o inesistenti; nella prompt injection, invece, è un soggetto che cerca di influenzare intenzionalmente il comportamento di un sistema altrui. La differenza non è terminologica, perché muta radicalmente l’imputazione della condotta e, quindi, la sua possibile qualificazione giuridica.
2. I primi precedenti: il fenomeno non è più teorico
Nel maggio 2026 il Superior Tribunal de Justiça brasiliano ha comunicato ufficialmente di avere individuato tentativi di prompt injection all’interno di atti processuali e ha avviato verifiche sulle relative responsabilità. La risposta istituzionale è significativa: il Tribunale non si è limitato a richiamare il dovere di correttezza delle parti, ma ha rafforzato i presidi tecnici del proprio sistema di IA, separando il contenuto documentale dalle istruzioni del sistema e mantenendo un controllo finale sull’output. Il precedente dimostra che il rischio riguarda già documenti destinati a procedimenti decisionali pubblici.
Pochi mesi dopo, il 6 agosto 2026, la Superior Court del Connecticut ha affrontato il caso Elliott v. New York Bariatric Group, LLC. La vicenda, spesso richiamata in modo impreciso, non riguardava un avvocato ma un litigante pro se. Il giudice ha accertato la presenza, negli atti, di contenuti occultati e destinati a orientare un eventuale sistema di IA e ha sanzionato la condotta, pur non avendo il Tribunale utilizzato l’IA per decidere.
Il dato è concettualmente rilevante: l’attenzione si è concentrata sul tentativo di introdurre un canale di influenza estraneo al contraddittorio, non soltanto sull’effettivo successo della manipolazione.
3. AI Act, legge italiana e “riserva di decisione umana”
Il Regolamento (UE) 2024/1689 offre il quadro europeo di riferimento, ma deve essere utilizzato con precisione. Un sistema di IA impiegato in una gara non diventa automaticamente un sistema “ad alto rischio” per il solo fatto di essere utilizzato da una pubblica amministrazione o di concorrere alla valutazione delle offerte: la classificazione dipende dall’art. 6 e dagli allegati del Regolamento. Inoltre, il Regolamento (UE) 2026/1744 ha differito l’applicazione delle sezioni del Capo III dedicate ai sistemi ad alto rischio al 2 dicembre 2027 per i sistemi di cui all’art. 6, par. 2, e Allegato III e al 2 agosto 2028 per quelli di cui all’art. 6, par. 1, e Allegato I.
Ciò non rende irrilevante l’AI Act. Gli artt. 14 e 15, quando applicabili, esprimono principi di supervisione umana, robustezza e cybersecurity che costituiscono un importante parametro sistematico: il controllo umano deve essere effettivo e il sistema deve essere progettato per resistere, per quanto tecnicamente possibile, a tentativi di alterazione del suo funzionamento o dei suoi output. Nel settore dei contratti pubblici italiani, tuttavia, la disciplina più immediata è già contenuta nel Codice e nella legge nazionale.
L’art. 30 del D.Lgs. 36/2023 consente espressamente l’utilizzo dell’intelligenza artificiale nel ciclo di vita dei contratti pubblici, ma impone conoscibilità e comprensibilità dei processi automatizzati e, soprattutto, la non esclusività della decisione algoritmica: deve esistere un contributo umano capace di controllare, validare o smentire il risultato automatizzato. Il comma 4 richiede inoltre misure tecniche e organizzative idonee a rettificare i fattori che producono inesattezze e a minimizzare il rischio di errori.
L’art. 14 della L. 23 settembre 2025, n. 132 rafforza il principio, stabilendo che l’IA nella pubblica amministrazione opera in funzione strumentale e di supporto e che autonomia decisionale e responsabilità restano in capo alla persona.
La giurisprudenza amministrativa si sta muovendo nella stessa direzione. Consiglio di Stato, sez. IV, 4 giugno 2025, n. 4857, distingue la decisione amministrativa algoritmica dall’algoritmo di mero supporto, mentre TAR Marche, sez. I, 1° giugno 2026, n. 758, ha ritenuto compatibile con l’art. 30 l’eventuale utilizzo dell’IA per ricerca e sintesi quando la valutazione del caso concreto rimanga imputabile al funzionario.
La prompt injection mostra però il limite di una lettura soltanto formale dell’human in the loop: una decisione può essere firmata da una persona e, nondimeno, essere cognitivamente influenzata da una sintesi automatica contaminata. La “riserva di umanità” richiede pertanto non una mera ratifica, ma la capacità effettiva di verificare la fonte originaria e smentire l’output.
4. L’offerta tecnica e l’art. 98: il tentativo di influenza indebita
Il versante dell’operatore economico trova un possibile punto di emersione nell’art. 98, comma 3, lett. b), D.Lgs. 36/2023, che considera rilevante la condotta di chi abbia tentato di influenzare indebitamente il processo decisionale della stazione appaltante. La disposizione riproduce la logica dell’art. 57, par. 4, lett. i), della direttiva 2014/24/UE ed è formulata in termini tecnologicamente neutrali.
Il Tribunale dell’Unione europea, nella sentenza 5 ottobre 2022, European Dynamics Luxembourg SA c. BCE, T-761/20, ha chiarito che la disciplina mira a impedire tentativi indebiti di influenza sul procedimento decisionale e che il verbo “tentare” esprime una condizione riferita ai mezzi impiegati, non al conseguimento del risultato. Il principio non riguardava la prompt injection, ma offre una chiave interpretativa importante: ciò che rileva è il tentativo di interferire indebitamente con il processo di aggiudicazione, non la natura analogica o digitale dello strumento prescelto.
Ne deriva una tesi che ritengo sostenibile, pur in assenza, allo stato, di un precedente italiano specificamente riferito a una prompt injection contenuta in un’offerta tecnica: se l’operatore inserisce intenzionalmente nel documento istruzioni prive di funzione descrittiva e dirette a condizionare il sistema utilizzato dalla stazione appaltante, la condotta può astrattamente essere valutata nell’ambito dell’art. 98, comma 3, lett. b). Il destinatario immediato è la macchina, ma quello sostanziale resta il processo decisionale pubblico.
Non vi è, tuttavia, alcun automatismo espulsivo. L’art. 95, comma 1, lett. e), e l’art. 98 richiedono elementi sufficienti a integrare il grave illecito professionale, l’idoneità della condotta a incidere sull’affidabilità e integrità dell’operatore e adeguati mezzi di prova; per la fattispecie della lett. b), il comma 6 richiede indizi gravi, precisi e concordanti. Occorre quindi distinguere nettamente tra anomalie tecniche o metadati aventi una funzione legittima e un contenuto deliberatamente predisposto per manipolare il processo valutativo. La cautela è essenziale tanto per evitare sottovalutazioni quanto per impedire che una nuova categoria tecnologica diventi una causa di esclusione atipica.
5. Prevenire, non insegnare a manipolare: le ricadute operative.
La prima risposta deve essere preventiva. La lex specialis può chiarire che i documenti di gara sono destinati alla valutazione secondo i criteri pubblicati e che non è consentito inserirvi istruzioni rivolte a strumenti automatizzati con finalità di alterazione o condizionamento del processo di analisi. Una simile previsione non dovrebbe trasformarsi in una causa automatica di esclusione ulteriore rispetto al Codice, ma richiamare la valutazione delle condotte secondo gli artt. 95 e 98 e le altre norme applicabili.
Sul piano tecnico, la stazione appaltante dovrebbe trattare i documenti dell’operatore come dati esterni non affidabili rispetto alle istruzioni impartite al proprio sistema di IA, mantenere integra la versione originale dell’offerta, utilizzare presidi di sicurezza idonei a separare istruzioni e contenuti e conservare una tracciabilità sufficiente degli input, degli output e delle verifiche umane. Non si tratta di trasformare la commissione in un organismo di cybersecurity, ma di applicare al nuovo strumento la stessa logica di integrità, verificabilità e imputazione che governa ogni fase istruttoria.
Anche l’operatore economico ha interesse a una governance interna chiara: chi predispone o revisiona un’offerta con strumenti di IA deve verificare il documento finale, assicurare che esso contenga soltanto contenuti funzionali alla gara e impedire iniziative individuali che possano mettere a rischio l’impresa stessa con condotte del genere. La delibera ANAC n. 148 del 1° aprile 2026, adottata anche alla luce della L. 132/2025 e della progressiva applicabilità dell’AI Act, conferma del resto che l’utilizzo dell’IA è ormai entrato stabilmente nella disciplina-tipo delle procedure pubbliche e deve essere governato in modo trasparente e responsabile.
6. Il limite penale: può venire in rilievo l’art. 353 c.p.?
La prospettiva più delicata, e anche quella che rende evidente perché il fenomeno non debba essere letto come una nuova “tecnica di gara”, è quella penale. L’art. 353 c.p. punisce, nelle procedure rientranti nel suo ambito applicativo, chi mediante violenza, minaccia, doni, promesse, collusioni o “altri mezzi fraudolenti” impedisce o turba la gara o ne allontana gli offerenti.
È una norma che, per il principio di tassatività e per il divieto di analogia in malam partem, non può essere estesa automaticamente a qualsiasi comportamento scorretto legato all’IA.
Nondimeno, la questione non può essere esclusa a priori. La giurisprudenza di legittimità qualifica prevalentemente l’art. 353 come reato di pericolo concreto: non è necessario che l’esito perseguito sia effettivamente conseguito, ma occorre che gli atti siano concretamente idonei a influenzare l’andamento della gara. La Sesta Sezione, nell’ordinanza n. 41379/2023, ha richiamato proprio tale impostazione; la sentenza n. 34126/2024 ha, per converso, escluso la rilevanza di condotte anteriori all’allestimento della gara che espongano la libera concorrenza soltanto a un rischio meramente potenziale. La distinzione conferma che, sul piano penale, non basta l’intenzione: servono tipicità, fraudolenza e concreta capacità perturbatrice.
Pertanto, ove un contenuto deliberatamente ingannevole, inserito nella fase competitiva, sia specificamente diretto a manipolare uno strumento di IA effettivamente impiegato nel procedimento e sia concretamente idoneo a incidere sulla regolarità della valutazione, non può escludersi in astratto una verifica della sua riconducibilità agli “altri mezzi fraudolenti” dell’art. 353 c.p. È una conclusione che va formulata in termini di possibilità interpretativa, non di equivalenza automatica: l’accertamento penale richiederebbe la verifica rigorosa di tutti gli elementi costitutivi della fattispecie e dell’elemento soggettivo. L’art. 353-bis, invece, tutela la fase anteriore diretta a stabilire il contenuto del bando o di altro atto equipollente e non rappresenta, di regola, la norma di riferimento per una condotta posta in essere nell’offerta di una gara già indetta.
La rilevanza pratica è accresciuta dal fatto che, dal 2023, gli artt. 353 e 353-bis c.p. sono inclusi tra i reati-presupposto richiamati dall’art. 24 del D.Lgs. 231/2001. Una condotta che superasse la soglia della responsabilità penale individuale potrebbe quindi aprire, ricorrendone i presupposti, anche il tema della responsabilità dell’ente. Il messaggio per gli operatori economici è perciò opposto a quello di un invito alla sperimentazione: l’uso dell’IA nelle gare richiede controlli interni più rigorosi, non scorciatoie tecnologiche.
7. Conclusioni
La prompt injection nelle offerte tecniche è un buon esempio di come l’innovazione tecnologica non renda inutilizzabili le categorie tradizionali del diritto dei contratti pubblici, ma ne imponga una lettura aggiornata. Sul versante della stazione appaltante, l’art. 30 del Codice e l’art. 14 L. 132/2025 richiedono trasparenza, controllo umano effettivo e adeguati presidi tecnici; sul versante dell’operatore, gli artt. 95 e 98 consentono di valutare il tentativo di influenza indebita senza creare nuove cause automatiche di esclusione; nei casi estremi, infine, la condotta può porre anche una questione penale, da affrontare con il rigore imposto dagli artt. 353 e 353-bis c.p. e dai principi di tassatività e offensività.
Il punto, dunque, non è insegnare agli operatori economici a “parlare” all’algoritmo della stazione appaltante. È esattamente il contrario: chiarire che la competizione deve svolgersi sul contenuto dell’offerta e che ogni tentativo occulto di condizionare gli strumenti attraverso i quali l’amministrazione la esamina rischia di compromettere affidabilità professionale, regolarità della procedura e, nelle ipotesi più gravi, di assumere rilievo anche oltre il diritto amministrativo. La vera sfida per il “procurement algoritmico” è fare in modo che l’IA migliori l’istruttoria senza diventare né un decisore invisibile né un nuovo bersaglio della competizione.
Fonti e riferimenti
1. NIST, Prompt Injection; 2. OWASP, LLM01: Prompt Injection; 3. STJ Brasile, comunicato 20 maggio 2026; 4. Superior Court Connecticut, Elliott, 6 agosto 2026; 5. Supreme Court Connecticut, TOV Realty, 31 luglio 2026; 6. Reg. (UE) 2024/1689, artt. 6, 14, 15 e All. III.
7. Reg. (UE) 2026/1744; 8. L. 132/2025, art. 14; 9. D.Lgs. 36/2023, art. 30; 10. D.Lgs. 36/2023, artt. 95 e 98; 11. Dir. 2014/24/UE, art. 57, par. 4, lett. i); 12. Trib. UE, T-761/20, European Dynamics c. BCE.13. Cons. Stato, IV, 4 giugno 2025, n. 4857; 14. TAR Marche, I, 1 giugno 2026, n. 758; 15. ANAC, del. 148/2026; 16. Cass. pen., VI, ord. 41379/2023; 17. Cass. pen., II, 34126/2024, Rv. 286921-01; 18. D.L. 105/2023, art. 6-ter, conv. L. 137/2023
