Il Garante per la protezione dei dati personali ha acceso un nuovo faro sull'uso dell'intelligenza artificiale a scuola. Con un intervento del 3 giugno 2026, l'Autorità ha richiamato l'attenzione sull'impiego di sistemi di IA generativa nelle attività formative, chiedendo chiarimenti su una sperimentazione didattica che avrebbe coinvolto un numero ampio di docenti e studenti.

Non si tratta, almeno allo stato, di una sanzione. Ma il messaggio è chiaro: quando l'IA entra in classe, soprattutto se coinvolge studenti minorenni, docenti, piattaforme digitali e fornitori tecnologici, la scuola deve poter dimostrare di aver valutato prima rischi, ruoli, dati trattati e misure di sicurezza.

La questione interessa tutte le scuole. L'IA può essere usata per progettare lezioni, personalizzare materiali, costruire esercizi, assistere gli studenti nello studio. Ma se per farlo vengono trattati dati personali, compiti, profili di apprendimento, valutazioni, prompt o informazioni riconducibili agli alunni, il tema non è più soltanto didattico: diventa anche giuridico e organizzativo.

Cosa ha chiesto il Garante

Nel comunicato del 3 giugno 2026, il Garante riferisce che, secondo notizie di stampa, sarebbe stata avviata una sperimentazione strutturata di sistemi di IA generativa nelle attività didattico-educative, con il coinvolgimento di oltre 1.600 docenti e quasi 29.000 studenti. L'iniziativa, sempre secondo quanto riportato dall'Autorità, coinvolgerebbe anche un grande fornitore tecnologico.

Il Garante ha chiesto di fornire riscontro entro 20 giorni su diversi punti:

  • le valutazioni svolte prima dell'avvio del progetto;
  • le modalità di trattamento dei dati personali di studenti e personale;
  • l'elenco degli istituti partecipanti;
  • i fornitori delle tecnologie impiegate;
  • l'eventuale svolgimento di una valutazione d'impatto sulla protezione dei dati personali.

Il passaggio più importante è proprio questo: l'uso dell'IA in ambito scolastico non può essere introdotto come semplice scelta tecnica o metodologica. Se il progetto comporta trattamenti rischiosi, ad esempio perché riguarda minori, processi automatizzati, profilazione o valutazioni su larga scala, servono verifiche preventive e documentate.

Le regole valgono per scuole pubbliche e private

Il Garante richiama un principio spesso sottovalutato: la normativa privacy si applica sia ai soggetti pubblici sia ai soggetti privati che trattano dati personali nell'erogazione di servizi educativi e didattici.

Questo significa che una scuola statale, una paritaria, un ente di formazione o una rete di istituti non possono sottrarsi agli obblighi fondamentali del GDPR quando raccolgono, organizzano, comunicano o fanno elaborare dati riferibili a studenti, famiglie, docenti e personale.

Nel contesto scolastico i dati sono particolarmente delicati. Anche quando non rientrano formalmente tra le categorie particolari di dati personali, possono rivelare andamento scolastico, fragilità, bisogni educativi, abitudini, relazioni familiari, difficoltà linguistiche, condizioni di salute o informazioni su minori.

Per questo l'IA va governata prima di essere usata. Non basta scegliere uno strumento noto o diffuso. La scuola deve sapere chi tratta i dati, dove vengono conservati, se vengono riutilizzati per addestrare modelli, quali impostazioni di sicurezza sono attive, chi può accedere agli output e per quanto tempo restano disponibili prompt e conversazioni.

Il collegamento con le linee guida MIM

La richiesta del Garante arriva dopo un passaggio già rilevante. Il 4 agosto 2025 l'Autorità ha espresso parere favorevole sullo schema di decreto del Ministero dell'Istruzione e del Merito relativo all'implementazione di un servizio digitale sull'intelligenza artificiale nella Piattaforma Unica e alle Linee guida per l'introduzione dell'Intelligenza Artificiale nelle istituzioni scolastiche.

In quel parere il Garante ha evidenziato alcuni punti che oggi diventano essenziali per ogni scuola:

  • rispetto dei principi di liceità, correttezza, trasparenza e minimizzazione;
  • uso di dati personali solo quando strettamente indispensabile;
  • preferenza per dati sintetici o anonimizzati quando possibile;
  • configurazioni che impediscano conservazione dei prompt, profilazione o tracciamento degli studenti;
  • divieto di pratiche invasive, come strumenti di riconoscimento delle emozioni nel contesto scolastico;
  • attenzione ai sistemi di IA ad alto rischio previsti dall'AI Act;
  • formazione adeguata del personale;
  • audit o verifiche periodiche sull'affidabilità e sul funzionamento dei sistemi.

Il punto operativo è semplice: una scuola può sperimentare l'IA, ma deve farlo dentro una cornice chiara. La sperimentazione non è una zona franca.

IA e studenti: il nodo dei dati personali

Molti usi didattici dell'IA possono essere realizzati senza trattare dati personali. Un docente può chiedere a un sistema di generare esercizi di grammatica, produrre esempi, semplificare un testo, creare una rubrica di valutazione o proporre attività di recupero senza inserire nomi, voti, compiti reali o informazioni sugli studenti.

Il rischio nasce quando si passa da contenuti generici a contenuti individuali. Esempi tipici:

  • caricare in un chatbot il compito di uno studente identificabile;
  • chiedere all'IA di correggere elaborati con nomi, classe o dettagli personali;
  • inserire informazioni tratte da PEI, PDP, diagnosi o relazioni;
  • usare sistemi che tracciano interazioni, tempi, errori e progressi;
  • delegare allo strumento suggerimenti su valutazioni, livelli o percorsi;
  • usare immagini, voce o dati biometrici degli studenti.

In questi casi non basta dire che il fine è didattico. Bisogna valutare base giuridica, informativa, minimizzazione, sicurezza, ruoli dei fornitori e diritti degli interessati. Se il rischio è elevato, può essere necessaria una DPIA, cioè una valutazione d'impatto sulla protezione dei dati.

Registro elettronico: perché resta un precedente importante

Il tema non nasce con l'IA. Già nel 2020 il Garante aveva richiamato l'attenzione sul registro elettronico, ricordando che si tratta di uno strumento prezioso per la comunicazione tra scuola e famiglie, ma anche di un ambiente in cui confluisce una quantità rilevante di dati personali, spesso riferiti a minorenni.

Nella lettera inviata allora al Ministro dell'Istruzione, l'Autorità segnalava la necessità di cautele idonee a evitare rischi di esfiltrazione, trattamento illecito o alterazione dei dati. Sottolineava inoltre che, in assenza di direttive specifiche, gli istituti avevano adottato soluzioni tecnologiche offerte da fornitori diversi, non sempre caratterizzate da garanzie adeguate.

Il parallelismo con l'IA è evidente. Come per il registro elettronico, anche per i sistemi di intelligenza artificiale la scuola non può limitarsi a usare il servizio più comodo. Deve verificare il fornitore, il contratto, la sicurezza, la responsabilità del trattamento e le impostazioni effettive.

Anzi, l'IA aggiunge un rischio in più: non si limita a conservare dati, ma può elaborarli, inferire informazioni, generare profili, produrre raccomandazioni e incidere sulle decisioni educative.

Cosa devono fare dirigenti e scuole prima di usare l'IA

La ricognizione delle fonti del Garante porta a una checklist minima.

Prima di introdurre uno strumento di IA, la scuola dovrebbe chiedersi:

  1. Qual è la finalità didattica o amministrativa?
  2. È davvero necessario trattare dati personali?
  3. Gli studenti sono identificabili direttamente o indirettamente?
  4. Il fornitore tratta i dati come responsabile del trattamento?
  5. I dati vengono conservati o usati per addestrare modelli?
  6. Sono coinvolti minori o categorie particolari di dati?
  7. Serve aggiornare l'informativa privacy?
  8. Serve una valutazione d'impatto?
  9. Lo strumento rientra nei casi ad alto rischio dell'AI Act?
  10. Chi controlla l'output e chi resta responsabile della decisione finale?

Queste domande non servono a bloccare l'innovazione. Servono a evitare che l'innovazione venga costruita su basi fragili.

Il ruolo dei docenti

Per i docenti la regola pratica resta prudente: usare l'IA per contenuti generici, materiali didattici, esempi, simulazioni, riscritture e attività di supporto; evitare di inserire dati personali degli studenti in strumenti non autorizzati dalla scuola.

Anche l'anonimizzazione va presa sul serio. Non basta cancellare il nome se nel testo restano elementi che rendono riconoscibile lo studente: classe, scuola, contesto familiare, episodi specifici, diagnosi, riferimenti territoriali o particolari molto identificativi.

L'IA può aiutare nella valutazione formativa, ad esempio suggerendo feedback o individuando errori ricorrenti. Ma il giudizio educativo e la valutazione finale devono restare sotto controllo umano. Un algoritmo non può sostituire il docente nella responsabilità pedagogica e giuridica della valutazione.

Famiglie e studenti devono essere informati

La trasparenza è un obbligo, ma anche una condizione di fiducia. Se una scuola usa sistemi di IA in attività che coinvolgono studenti o loro dati, famiglie e alunni devono sapere:

  • quali strumenti vengono usati;
  • per quali finalità;
  • quali dati sono trattati;
  • se l'uso è obbligatorio o facoltativo;
  • quali alternative sono previste;
  • chi sono i fornitori;
  • quali diritti possono esercitare;
  • a chi rivolgersi per chiarimenti.

Le FAQ del Garante sulla scuola ricordano che tutte le scuole, pubbliche e private, devono rendere un'informativa agli interessati spiegando quali dati raccolgono, come li utilizzano e per quale fine. Con l'IA questo obbligo diventa ancora più importante, perché i trattamenti possono essere meno visibili e più complessi.

Una lezione per tutto il sistema scolastico

La richiesta di informazioni non va letta come un no all'intelligenza artificiale nella scuola. Va letta come un richiamo al metodo.

La scuola può usare l'IA, ma deve sapere cosa sta facendo. Deve distinguere tra sperimentazioni leggere e progetti strutturati, tra uso personale del docente e trattamento istituzionale, tra contenuti anonimi e dati di minori, tra strumenti consumer e servizi contrattualizzati.

La vera domanda non è se l'IA debba entrare nella scuola. È già entrata. La domanda è se le scuole sapranno governarla con regole chiare, formazione, controllo umano e protezione effettiva dei dati.

In questo senso il richiamo del Garante è utile: ricorda che l'innovazione educativa non può separarsi dalla tutela dei diritti degli studenti.

Fonti e riferimenti

Articolo aggiornato e verificato al 4 luglio 2026 sulla base della documentazione pubblicata dal Garante per la protezione dei dati personali.