L'intelligenza artificiale a scuola non è solo una questione didattica. È anche, e forse prima di tutto, una questione di protezione dei dati personali. Ogni volta che uno strumento di IA riceve un testo, una domanda, un documento, una foto, una registrazione, una tabella o un compito, può trattare informazioni riferibili a persone reali. Nella scuola queste persone sono spesso minorenni.
Per questo parlare di privacy non significa frenare l'innovazione. Significa renderla possibile senza esporre studenti, famiglie, docenti e personale amministrativo a rischi inutili.
Il problema nasce da un equivoco. Molti strumenti di IA sembrano semplici: una casella di testo, una domanda, una risposta. L'interfaccia è leggera, quasi innocua. Ma dietro quella casella può esserci un servizio esterno, un fornitore internazionale, un trattamento di dati, una conservazione delle conversazioni, un possibile riuso degli input, una profilazione, un trasferimento extraeuropeo, una catena tecnica che la scuola non controlla.
La scuola non può ignorare tutto questo. Non deve diventare un laboratorio di paura, ma nemmeno un luogo in cui si incollano dati personali in piattaforme non verificate perché "tanto è solo una prova".
Il GDPR resta il punto di partenza
Il GDPR, Regolamento UE 2016/679, resta la base. Anche dopo l'AI Act e dopo la Legge 132/2025, ogni trattamento di dati personali deve rispettare i principi generali del GDPR.
Per una scuola, i principi più importanti sono sette.
Liceità: il trattamento deve avere una base giuridica. Non basta che uno strumento sia utile. Bisogna poter spiegare perché la scuola può trattare quei dati.
Correttezza: lo studente, la famiglia, il docente o il lavoratore non devono subire trattamenti opachi o inattesi.
Trasparenza: le persone devono sapere quando i loro dati vengono trattati, per quale finalità, con quali strumenti e con quali garanzie.
Limitazione della finalità: i dati raccolti per una ragione non possono essere riutilizzati liberamente per qualunque altro scopo.
Minimizzazione: si devono usare solo i dati necessari. Se un'attività può essere svolta con dati anonimi, non c'è ragione di inserire nomi, voti o dettagli identificativi.
Esattezza e sicurezza: i dati devono essere protetti e non manipolati in modo scorretto.
Responsabilizzazione: la scuola deve poter dimostrare di aver valutato, deciso, documentato e controllato.
L'intelligenza artificiale non sospende questi principi. Al contrario, li rende più importanti, perché moltiplica le possibilità di trattamento.
AI Act: quando l'uso scolastico diventa ad alto rischio
L'AI Act introduce un modello basato sul rischio. Non tutti gli usi dell'IA sono uguali. Alcuni sono a rischio minimo, altri richiedono trasparenza, altri sono vietati, altri sono classificati come ad alto rischio.
Nel settore dell'istruzione il punto centrale è questo: i sistemi di IA che incidono su accesso, ammissione, assegnazione a percorsi, valutazione dei risultati di apprendimento, determinazione del livello educativo o monitoraggio di comportamenti vietati durante prove possono essere considerati ad alto rischio.
Questo non significa che ogni uso dell'IA da parte di un docente sia ad alto rischio. Se un insegnante usa uno strumento per generare esempi di frasi subordinate, siamo in un ambito molto diverso. Ma se una piattaforma valuta automaticamente prove, orienta percorsi, assegna livelli, individua studenti "problematici" o controlla comportamenti durante un esame, l'attenzione deve diventare massima.
In questi casi non basta dire che lo strumento "aiuta". Bisogna valutare impatto, dati, accuratezza, discriminazioni, controllo umano, possibilità di contestazione, spiegabilità e sicurezza.
La Legge 132/2025: trasparenza, minori e controllo umano
La Legge 23 settembre 2025, n. 132 ha inserito nell'ordinamento italiano principi specifici sull'intelligenza artificiale. Non crea un sistema separato dall'AI Act: dichiara espressamente che le sue disposizioni si interpretano e si applicano in conformità al Regolamento UE 2024/1689.
Per la scuola sono particolarmente rilevanti tre aspetti.
Il primo è il principio generale: i sistemi di IA devono rispettare diritti fondamentali, trasparenza, proporzionalità, sicurezza, protezione dei dati personali, riservatezza, accuratezza, non discriminazione e sorveglianza umana.
Il secondo riguarda i minori. L'accesso alle tecnologie di IA da parte di minori di 14 anni e il trattamento dei dati personali connesso richiedono il consenso di chi esercita la responsabilità genitoriale. Il minore che ha compiuto 14 anni può esprimere il proprio consenso, ma le informazioni devono essere comprensibili. Questo punto è decisivo per tutte le scuole che intendono far usare direttamente strumenti di IA agli studenti.
Il terzo riguarda il lavoro. La legge prevede che l'IA in ambito lavorativo debba essere sicura, affidabile, trasparente, rispettosa della dignità umana e della riservatezza dei dati personali. Nella scuola questo vale per il personale docente, amministrativo, tecnico e ausiliario. Un sistema che incide su organizzazione, controllo, valutazione o prestazioni del lavoratore non può essere introdotto in modo informale.
Cosa non bisogna mai inserire in un chatbot pubblico
La regola pratica più importante è semplice: non si inseriscono dati personali o sensibili in strumenti non autorizzati.
Esempi di dati da non caricare:
- nomi e cognomi degli studenti;
- classi, sezioni e dati che rendono identificabile un alunno;
- voti e giudizi individuali;
- compiti scritti riconducibili a uno studente identificabile;
- PEI, PDP, diagnosi, certificazioni, relazioni sanitarie;
- dati sulle assenze o sulle condizioni familiari;
- fotografie o registrazioni vocali;
- provvedimenti disciplinari;
- documenti di personale scolastico;
- elenchi con dati amministrativi.
Il problema non è solo il nome. Anche un testo apparentemente anonimo può contenere dettagli che rendono riconoscibile una persona: un episodio familiare, una malattia, una scuola piccola, una classe particolare, un riferimento territoriale. Anonimizzare non significa sostituire "Mario Rossi" con "Studente A" e lasciare tutto il resto invariato. Significa rimuovere ogni elemento ragionevolmente identificativo.
Cosa si può fare in modo più sicuro
L'IA può essere usata in modo più sicuro quando lavora su contenuti generici, pubblici o realmente anonimizzati.
Un docente può chiedere a un sistema di generare esercizi su un argomento, semplificare un testo creato da lui, proporre domande di comprensione, costruire una rubrica, suggerire attività di recupero, simulare risposte sbagliate da correggere in classe. In questi casi non serve inserire dati personali degli studenti.
Una segreteria può chiedere una bozza di comunicazione partendo da una nota ministeriale pubblica, un riassunto di un avviso, una checklist di adempimenti, una versione più chiara di un testo burocratico. Anche qui il lavoro può avvenire senza dati personali.
Il criterio è: se per ottenere il risultato non serve identificare una persona, non bisogna identificare nessuno.
Fornitori: non basta che lo strumento sia famoso
Molte scuole sono tentate di ragionare così: se lo strumento è usato da milioni di persone, allora sarà sicuro. Non è un criterio sufficiente.
Una scuola deve chiedersi:
- chi è il fornitore;
- dove sono trattati e conservati i dati;
- se esiste un contratto per il trattamento dei dati;
- se il fornitore agisce come responsabile del trattamento;
- se usa i dati per addestrare modelli;
- quali impostazioni privacy sono disponibili;
- per quanto tempo conserva le conversazioni;
- come gestisce cancellazione e accessi;
- se sono previste misure di sicurezza adeguate;
- se il servizio è pensato per uso education, enterprise o consumer.
Gli strumenti consumer gratuiti possono essere utili per prove personali e contenuti anonimi, ma non sono automaticamente idonei per trattare dati scolastici. La differenza tra un account personale e un ambiente education contrattualizzato non è cosmetica: riguarda ruoli, garanzie, responsabilità e controllo.
DPIA e valutazione dei rischi
Quando un trattamento può presentare un rischio elevato per i diritti e le libertà delle persone, il GDPR richiede una valutazione d'impatto sulla protezione dei dati, la DPIA. Nei progetti di IA scolastica questa valutazione può essere necessaria, soprattutto se ci sono dati di minori, profilazione, monitoraggio, valutazioni automatizzate o uso sistematico di strumenti digitali su larga scala.
La DPIA non è un modulo da compilare alla fine per mettersi al riparo. È uno strumento di progettazione. Serve a chiedersi prima:
- quali dati trattiamo;
- perché li trattiamo;
- se possiamo ridurli;
- quali rischi corrono gli interessati;
- quali misure adottiamo;
- chi può accedere;
- come informiamo le persone;
- quali alternative offriamo;
- cosa succede in caso di errore.
Le Linee guida MIM insistono su questo approccio: l'introduzione dell'IA deve essere graduale, documentata, governata, con misure di mitigazione e coinvolgimento delle figure competenti, compreso il DPO.
Valutazione degli studenti: il docente resta responsabile
Uno dei punti più delicati riguarda la valutazione. L'IA può aiutare a costruire griglie, proporre feedback, individuare errori ricorrenti, suggerire esercizi di recupero. Ma il voto, il giudizio e la decisione educativa restano responsabilità del docente.
Delegare a un sistema automatico la valutazione di uno studente significa esporre la scuola a rischi pedagogici e giuridici. Un algoritmo può non capire il contesto, può sovrastimare la forma, può penalizzare stili linguistici non standard, può riprodurre bias, può sbagliare con sicurezza. Anche quando il suggerimento è utile, deve essere verificato.
Il principio operativo dovrebbe essere chiaro: l'IA può essere usata come supporto alla valutazione formativa, non come giudice finale della valutazione scolastica.
IA e lavoratori della scuola
La privacy riguarda anche il personale. Strumenti che controllano produttività, tempi di risposta, prestazioni, presenza, rendimento o comportamento dei lavoratori non possono essere introdotti con leggerezza.
In ambito lavorativo entrano in gioco non solo GDPR e Legge 132/2025, ma anche gli obblighi informativi sui sistemi decisionali o di monitoraggio automatizzati e le garanzie previste per i controlli a distanza. La scuola, come pubblica amministrazione e datore di lavoro, deve distinguere tra strumenti di supporto e strumenti che incidono sull'organizzazione o valutazione del personale.
Un assistente che aiuta a scrivere una bozza di circolare è un conto. Un sistema che misura prestazioni individuali, assegna punteggi o produce indicatori disciplinari è un altro.
Informative chiare per famiglie e studenti
La trasparenza non deve essere affidata a testi incomprensibili. Se la scuola usa strumenti di IA con studenti o dati degli studenti, famiglie e alunni devono ricevere informazioni chiare:
- quali strumenti vengono usati;
- per quali attività;
- quali dati sono trattati;
- se l'uso è obbligatorio o facoltativo;
- quali alternative sono previste;
- se i dati escono dall'ambiente scolastico;
- quali diritti possono esercitare;
- chi contattare per dubbi o opposizioni.
Per i minori, la chiarezza deve essere doppia: verso le famiglie e verso gli studenti. Un'informativa tecnicamente corretta ma incomprensibile non realizza davvero la trasparenza.
Una checklist minima per le scuole
Prima di introdurre un nuovo strumento di IA, una scuola dovrebbe rispondere almeno a queste domande:
- Qual è la finalità didattica o amministrativa?
- È davvero necessario usare IA?
- Quali dati vengono trattati?
- I dati sono personali, particolari o riferiti a minori?
- Esiste una base giuridica?
- Il fornitore offre garanzie GDPR?
- Serve un accordo ai sensi dell'art. 28 GDPR?
- Serve DPIA?
- Lo strumento rientra in un caso ad alto rischio AI Act?
- Chi controlla il risultato?
- Come vengono informati studenti, famiglie o lavoratori?
- Esiste un'alternativa per chi non può usare lo strumento?
Se la scuola non sa rispondere, non significa che il progetto sia impossibile. Significa che non è ancora pronto.
Conclusione
La protezione dei dati non è il nemico dell'innovazione. È la condizione che permette all'innovazione di entrare nella scuola senza tradire la fiducia delle famiglie, degli studenti e dei lavoratori.
L'intelligenza artificiale può aiutare la didattica, alleggerire processi, rendere più accessibili materiali, sostenere il recupero, migliorare comunicazioni. Ma non deve diventare una zona grigia dove dati personali, giudizi scolastici e informazioni sensibili viaggiano senza controllo.
La scuola ha una responsabilità speciale perché lavora con persone in formazione. Quando usa l'IA, deve farlo con misura, trasparenza e governo umano. La vera innovazione non è usare lo strumento più nuovo. È usarlo senza perdere diritti, dignità e fiducia.
