Assistenza Scuola
Soluzioni IT per Scuole

Come adottare l’intelligenza artificiale a scuola rispettando il GDPR: questa è la domanda che sempre più Dirigenti Scolastici si pongono. Negli ultimi mesi, grazie ai cospicui finanziamenti del PNRR destinati alla transizione digitale, sempre più istituti italiani si stanno dotando di strumenti basati sull’Intelligenza Artificiale: assistenti virtuali per la didattica, piattaforme di apprendimento adattivo, software di correzione automatica degli elaborati, sistemi di gestione amministrativa potenziati dall’IA. Questa accelerazione è una grande opportunità, ma porta con sé responsabilità che non possono essere ignorate.

Il quadro normativo che le scuole devono oggi padroneggiare è articolato su tre livelli: il GDPR (Regolamento UE 2016/679), già in vigore e pienamente applicabile, il nuovo AI Act (Regolamento UE 2024/1689) con le sue scadenze progressive fino ad agosto 2026, e le Linee Guida MIM sull’IA a scuola (D.M. 166/2025), che traducono gli obblighi europei nel contesto scolastico italiano. Ignorare anche uno solo di questi tre livelli significa esporsi a sanzioni, contenziosi e, soprattutto, alla violazione dei diritti fondamentali di studenti e famiglie.

Il Dirigente Scolastico, in qualità di Titolare del Trattamento ai sensi del GDPR, è la figura su cui ricade la responsabilità ultima di ogni scelta tecnologica adottata dall’istituto. Gestire correttamente il tema intelligenza artificiale scuola GDPR non è sufficiente delegare al referente digitale: serve una governance strutturata, documentata e aggiornata.

Il Contesto: Perché i Finanziamenti PNRR Rendono Urgente il Tema della Compliance

L’Avviso PNRR prot. n. 73226 del 27 marzo 2026 ha stanziato 100 milioni di euro per la costituzione di snodi formativi sull’IA nelle scuole. Ogni istituzione scolastica statale o paritaria non commerciale può ricevere fino a 50.000 euro per percorsi formativi rivolti a docenti, ATA, DSGA e dirigenti. La procedura è a sportello: chi arriva prima ottiene il finanziamento.

Questo scenario crea un paradosso pericoloso: le scuole corrono ad adottare strumenti di IA per non perdere i fondi, ma spesso lo fanno senza aver prima verificato la conformità normativa degli strumenti scelti, senza aver aggiornato le informative privacy, senza aver condotto una DPIA e senza aver formato adeguatamente il personale. Il risultato è che i fondi pubblici finanziano potenziali violazioni del GDPR e dell’AI Act.

La buona notizia è che con una pianificazione corretta è possibile cogliere le opportunità dei finanziamenti e essere pienamente conformi alla normativa. Una scuola che affronta il tema intelligenza artificiale scuola GDPR in modo strutturato costruisce un vantaggio competitivo duraturo in termini di fiducia da parte delle famiglie e di qualità dell’offerta formativa.

L’AI Act e le Scuole: Scadenze, Obblighi e Classificazione del Rischio

L’AI Act (Regolamento UE 2024/1689), entrato in vigore il 1° agosto 2024, è il primo quadro normativo globale sull’intelligenza artificiale. La sua applicazione è progressiva, con scadenze che le scuole devono tenere ben presenti.

Le Scadenze Chiave

Dal 2 febbraio 2025 sono già operative le disposizioni sulle pratiche di IA vietate e l’obbligo di promuovere l’alfabetizzazione all’IA per tutto il personale. Dal 2 agosto 2026 scatta la piena applicazione del regolamento, con tutti gli obblighi specifici per i sistemi ad alto rischio. Non esistono proroghe.

IA Vietate: Cosa Non Può Entrare a Scuola

L’AI Act stabilisce un elenco di pratiche di IA assolutamente vietate, indipendentemente dalla finalità dichiarata. Nel contesto scolastico, i divieti più rilevanti riguardano:

• I sistemi di riconoscimento delle emozioni in aula o durante le lezioni (vietati esplicitamente anche dalle Linee Guida MIM).
• I sistemi di categorizzazione biometrica degli studenti basata su caratteristiche sensibili come etnia, religione o orientamento politico.
• I sistemi di social scoring, ovvero la valutazione del comportamento degli studenti attraverso punteggi automatizzati che influenzano le opportunità future.
• I sistemi di manipolazione subliminale che agiscono al di sotto della soglia di consapevolezza per influenzare le scelte degli studenti.

L’adozione di uno qualsiasi di questi sistemi, anche involontaria, espone la scuola a sanzioni gravissime.

Sistemi di IA ad Alto Rischio nell’Istruzione

Oltre ai divieti assoluti, l’AI Act identifica una categoria di sistemi “ad alto rischio” che possono essere utilizzati, ma solo con specifiche garanzie. Nell’istruzione, rientrano in questa categoria i sistemi destinati a:

• Determinare l’accesso, l’ammissione o l’assegnazione degli studenti a specifici percorsi formativi o istituti.
• Valutare i risultati di apprendimento, specialmente quando queste valutazioni orientano automaticamente il percorso scolastico dello studente.
• Monitorare e rilevare comportamenti degli studenti durante lo svolgimento di test o esami (sistemi di proctoring).
• Supportare l’orientamento scolastico e professionale, quando i suggerimenti del sistema influenzano concretamente le scelte dello studente.

Per questi sistemi, la scuola — in qualità di deployer (utilizzatore) — deve garantire supervisione umana costante e trasparenza verso studenti e famiglie.

Intelligenza Artificiale Scuola GDPR: I Rischi Concreti per il Dirigente

L’integrazione dell’IA non annulla, bensì amplifica, gli obblighi previsti dal GDPR. Ogni sistema di IA che elabora dati personali di studenti, docenti o personale ATA è un trattamento di dati che deve avere una base giuridica, una finalità dichiarata, misure di sicurezza adeguate e una durata di conservazione definita.

I Trattamenti Dati con l’IA: Cosa Cambia Rispetto al Passato

I sistemi di IA generativa presentano caratteristiche che li rendono particolarmente delicati dal punto di vista del GDPR. A differenza di un software tradizionale, un modello di IA può apprendere dai dati inseriti dagli utenti, trasferire informazioni a server ubicati fuori dall’Unione Europea, generare output che rivelano indirettamente dati sensibili, e produrre risultati difficilmente spiegabili (il cosiddetto problema della “black box”).

Il Rischio del Shadow IT nelle Aule

Il rischio maggiore si concretizza nell’uso non regolamentato, il cosiddetto Shadow IT. Si tratta di tutti quegli strumenti digitali che il personale scolastico utilizza autonomamente, senza autorizzazione esplicita dell’istituto. Alcuni esempi concreti:

• Docenti che caricano elaborati degli studenti su ChatGPT o altri strumenti di IA generativa per la correzione o la valutazione.
• Segreterie che utilizzano traduttori basati su IA (come DeepL o Google Translate) per documenti contenenti dati sensibili, come PEI, certificazioni DSA o dati sanitari.
• Dirigenti che chiedono a Copilot o altri assistenti IA di sintetizzare verbali del Consiglio di Istituto contenenti dati personali.
• Docenti che utilizzano app di generazione di immagini inserendo descrizioni di studenti reali.

“Il Dirigente Scolastico rimane il Titolare del Trattamento in ogni circostanza. Anche quando l’errore è commesso da un singolo docente o la violazione avviene su una piattaforma esterna non autorizzata, la responsabilità della governance dei dati ricade sulla dirigenza. Non esiste una delega che esoneri il DS da questa responsabilità.”

Intelligenza artificiale scuola GDPR, I Dati Più a Rischio: PEI, DSA e Dati Sanitari

I dati più protetti dal GDPR sono paradossalmente quelli che circolano con maggiore leggerezza nelle scuole. I Piani Educativi Individualizzati (PEI), le certificazioni DSA, i dati sanitari degli studenti: questi dati appartengono alle categorie particolari previste dall’art. 9 del GDPR e richiedono misure di protezione rafforzate. Inserirli in un sistema di IA non certificato equivale a una violazione grave, con sanzioni che possono superare i 50.000 euro per singolo istituto.

Il Ruolo Strategico del DPO nella Governance dell’IA Scolastica

In questo scenario complesso, la figura del DPO (Data Protection Officer) assume un ruolo che va ben oltre il tradizionale adempimento burocratico. Il DPO è obbligatorio per tutte le scuole pubbliche ai sensi dell’art. 37 del GDPR, e con l’entrata in vigore dell’AI Act il suo perimetro di intervento si allarga significativamente. Ogni scuola che affronta il tema intelligenza artificiale scuola GDPR deve coinvolgere il DPO fin dalle prime fasi decisionali.

Cosa Deve Fare Concretamente il DPO con l’IA

Un DPO che opera correttamente in una scuola che adotta strumenti di IA deve:

• Partecipare attivamente alla fase di selezione dei fornitori EdTech, analizzando i contratti e verificando che le clausole di protezione dei dati siano adeguate.
• Condurre o supervisionare la stesura di una DPIA (Valutazione d’Impatto sulla Protezione dei Dati) per ogni nuovo strumento di IA che tratti dati personali su larga scala o dati di categorie particolari.
• Aggiornare il Registro dei Trattamenti per includere i nuovi trattamenti effettuati con l’IA, specificando finalità, base giuridica, categorie di dati, destinatari e misure di sicurezza.
• Formare il personale scolastico sull’uso corretto degli strumenti di IA e sui rischi per la privacy.
• Gestire le eventuali notifiche di data breach al Garante entro 72 ore dalla scoperta della violazione.

L’Errore Più Comune: Il DPO “di Carta”

Secondo le analisi sui provvedimenti del Garante Privacy, circa il 60% delle violazioni nel settore educativo nasce dallo stesso schema: si nomina un DPO per adempiere a un obbligo di legge, ma non gli si garantisce autonomia operativa, accesso ai sistemi o voce nei processi decisionali. Il DPO esiste sulla carta, ma non nella realtà. Quando arriva un’ispezione o si verifica un data breach, si scopre che non è mai stato coinvolto nelle scelte tecnologiche dell’istituto.

Come Scegliere Correttamente i Fornitori di IA per la Scuola

La scelta del fornitore è uno dei momenti più critici dell’intero processo di adozione dell’IA. Un contratto mal negoziato o un fornitore non conforme possono rendere illegittimo l’intero trattamento dei dati, anche se la scuola ha fatto tutto il resto correttamente.

Intelligenza artificiale scuola GDPR: I Criteri di Valutazione Essenziali

Prima di sottoscrivere qualsiasi contratto con un fornitore di soluzioni IA, la scuola deve verificare i seguenti elementi:

• Localizzazione dei server: i dati degli studenti devono essere trattati all’interno dell’Unione Europea o in paesi con livello di protezione adeguato riconosciuto dalla Commissione Europea.
• Contratto di responsabile del trattamento (DPA): il fornitore deve sottoscrivere un accordo formale che lo designi come Responsabile del Trattamento ai sensi dell’art. 28 GDPR.
• Trasparenza algoritmica: il fornitore deve essere in grado di spiegare come funziona il sistema di IA, quali dati utilizza per l’addestramento e come vengono gestiti gli output.
• Assenza di pratiche vietate: il contratto deve escludere esplicitamente l’uso di funzionalità vietate dall’AI Act (riconoscimento emozioni, social scoring, ecc.).
• Procedure di data breach: il fornitore deve garantire la notifica tempestiva di qualsiasi violazione dei dati entro i termini previsti dal GDPR.

Roadmap Operativa: Cosa Fare Prima e Dopo l’Implementazione dell’IA

Per non farsi trovare impreparati dalle scadenze normative e per sfruttare i fondi disponibili in modo sicuro e conforme, le scuole devono adottare una strategia strutturata. Di seguito una roadmap operativa in quattro fasi, applicabile anche in istituti con risorse limitate.

Cosa Fare Entro Agosto 2026

Con la scadenza del 2 agosto 2026 che si avvicina, ogni istituto dovrebbe prioritizzare almeno tre azioni immediate: completare il censimento degli strumenti IA già in uso (inclusi quelli non autorizzati), nominare o attivare operativamente il DPO nel processo decisionale, e avviare un percorso di formazione documentato per tutto il personale. Queste tre azioni costituiscono la base minima per dimostrare la conformità in caso di ispezione.

Conclusione: L’IA a Scuola Si Può Fare, Ma Va Fatta Bene

L’Intelligenza Artificiale non è una moda passeggera: è una trasformazione strutturale del modo in cui si insegna, si apprende e si gestisce un istituto scolastico. Il tema intelligenza artificiale scuola GDPR non riguarda solo la compliance: riguarda la tutela dei diritti fondamentali degli studenti e la reputazione dell’istituto. Le scuole che sapranno adottarla in modo responsabile, trasparente e conforme alla normativa non solo eviteranno sanzioni, ma costruiranno un vantaggio competitivo duraturo.

Il punto di partenza non è la tecnologia, ma la governance. Prima di acquistare qualsiasi strumento di IA, ogni scuola dovrebbe rispondere a tre domande fondamentali: Quali dati tratta questo sistema? Chi ne è responsabile? Come possiamo dimostrare la conformità in caso di ispezione? Solo quando queste domande hanno una risposta documentata, l’adozione dell’IA diventa un’opportunità sicura e sostenibile.

Intelligenza artificiale scuola GDPR: Il webinar del 20 Maggio con il DPO Alessandro Fiore è l’occasione giusta per ottenere risposte concrete e operative a tutte queste domande.