GOVERNANCE DELL’INTELLIGENZA ARTIFICIALE NELLE SCUOLE: LINEE GUIDA PER L’ADOZIONE

Data ultimo aggiornamento: 27 Agosto 2026

Governance dell’intelligenza artificiale nelle scuole: linee guida per l’adozione conforme ai sensi del Reg. UE 2024/1689 (AI Act) e del Reg. UE 2016/679 (GDPR).

L’intelligenza artificiale sta entrando progressivamente nelle attività didattiche e amministrative delle scuole, rendendo sempre più necessario comprendere il quadro normativo che ne disciplina l’utilizzo. Tra AI Act europeo, obblighi di alfabetizzazione digitale, tutela dei dati personali e valutazione dei rischi, dirigenti scolastici, docenti e personale amministrativo sono chiamati a coniugare innovazione e compliance, adottando strumenti tecnologici in modo consapevole, trasparente e rispettoso dei diritti fondamentali.

1. Premessa

Il presente documento vuole fungere da supporto operativo ad uso dei Dirigenti Scolastici, dei Responsabili della Protezione dei Dati (DPO), dei docenti e del personale ATA. Il documento vuole essere una base per l’introduzione, la gestione e il controllo di soluzioni di Intelligenza Artificiale nell’ecosistema scolastico.

2. Fase 1: ricognizione e classificazione (Ai Act Governance)

Prima dell’acquisizione o dell’impiego di qualsiasi software, piattaforma o algoritmo basato su IA, l’Istituto Scolastico deve procedere alla qualificazione dell’infrastruttura.

2.1 Inquadramento del ruolo della Scuola

Qualifica: l’Istituzione Scolastica agisce quasi esclusivamente in veste di Deployer (utilizzatore professionale), in quanto impiega sistemi di IA sviluppati da terzi nell’esercizio delle proprie funzioni istituzionali.

Divieto d’uso autonomo: è fatto divieto di alterare la destinazione d’uso o modificare i modelli originari per evitare di assumere la qualifica legale di Provider (fornitore), con conseguente addebito degli obblighi ad alto rischio, ex Art. 16 AI Act (Obblighi dei fornitori dei sistemi di IA ad alto rischio).

2.2 Mappatura dei livelli di rischio (AI Act)

L’individuazione e la corretta classificazione dei livelli di rischio correlati ai sistemi di Intelligenza Artificiale costituiscono il baricentro dell’intero impianto dell’EU AI Act (Regolamento UE 2024/1689).

Per un’Istituzione Scolastica, questo passaggio non rappresenta una mera formalità teorica, ma il presupposto tecnico-giuridico fondamentale per stabilire la stessa ammissibilità di un software all’interno del plesso. L’ordinamento comunitario adotta un approccio basato sul rischio (risk-based approach), graduando gli obblighi e i divieti in ragione dell’impatto che l’algoritmo può generare sui diritti fondamentali, sulla sicurezza e sulla dignità delle persone fisiche, con un livello di tutela ulteriormente rafforzato per i soggetti vulnerabili quali sono i minori in ambito scolastico.

A seguire si riporta la mappatura di dettaglio dei livelli di rischio definiti dal Regolamento (UE) 2024/1689, integrata con le fattispecie tipiche del contesto scolastico e le relative prescrizioni d’ingaggio normative.

Livello di Rischio	Tipologia di Applicazione	Ammissibilità a Scuola	Prescrizioni Obbligatorie
Inaccettabile (Art. 5 - Pratiche di IA vietate)	Sistemi di riconoscimento delle emozioni in aula; profilazione psicometrica predittiva sul comportamento.	VIETATO	Divieto assoluto di adozione.
Alto Rischio (Allegato III)	Sistemi per la valutazione degli esiti di apprendimento; software di ammissione o selezione degli studenti; profilazione didattica strutturata.	CONSENTITO CON VINCOLI	Registrazione nel registro interno, DPIA preventiva, sorveglianza umana rafforzata, audit di trasparenza.
Limitato / Trasparenza (Art. 50)	Chatbot di assistenza, generatori di testo/immagini (IA Generativa) per supporto didattico.	CONSENTITO	Obbligo di avviso chiaro all’utente (“Stai interagendo/visualizzando un contenuto generato da IA”).
Minimo	Correttori ortografici, filtri anti-spam, traduttori automatici standard.	LIBERO	Rispetto delle generali misure di sicurezza informatica dell’Istituto.

Come si evince dalla ricostruzione normativa, la mappatura dei livelli di rischio non deve essere intesa come una barriera all’innovazione, bensì come un reticolo di sicurezza a protezione della comunità scolastica. Classificare preventivamente ogni applicazione consente al Dirigente Scolastico e al DPO di identificare immediatamente i confini dell’agire lecito, rigettando le tecnologie invasive (come le analisi biometriche delle emozioni) e perimetrando con precise garanzie giuridiche l’uso degli strumenti d’ausilio alla didattica e alla valutazione, assicurando in ogni momento la centralità e la responsabilità decisionale della figura umana.

3. Fase 2: protocollo compliance privacy (GDPR)

L’introduzione di strumenti d’IA deve rispettare l’architettura di Data Protection by Design e by Default (Art. 25 GDPR).

3.1 Presupposti di Liceità e Basi Giuridiche

L’inquadramento dei presupposti di liceità e l’individuazione della corretta condizione di trasparenza giuridica costituiscono il pilastro dogmatico sul quale si regge l’intera architettura della Data Protection europea all’interno del sistema pubblico d’istruzione. Quando un’Istituzione Scolastica decide di introdurre o consentire l’impiego di piattaforme, software o modelli di Intelligenza Artificiale che comportano un trattamento di dati personali (appartengano essi agli studenti, ai loro nuclei familiari, ai docenti o al personale ATA) il principio di legalità sancito dal diritto dell’Unione Europea impone una rigorosa preventiva verifica della base giuridica legittamante. Nel contesto della Pubblica Amministrazione, l’autonomia organizzativa non può mai tradursi in una discrezionalità d’uso incontrollata, dovendo ogni operazione tecnologica trovare una precisa copertura nell’ordinamento normativo.

A seguire si analizza nel dettaglio l’assetto delle basi giuridiche applicabili e le relative ed inderogabili esclusioni previste dal diritto europeo e nazionale.

3.1.1 Analisi Normativa dei Presupposti di Liceità (Artt. 6 e 9 GDPR; Art. 2-ter Codice Privacy)

Nel quadro tracciato dall’Art. 6, paragrafo 1 del Regolamento (UE) 2016/679 (GDPR), il trattamento dei dati personali effettuato dalle Istituzioni Scolastiche statali e paritarie (nell’ambito del servizio pubblico d’istruzione) mediante sistemi di IA si fonda esclusivamente su due condizioni di liceità:

Adempimento di un obbligo legale al quale è soggetto il Titolare (Art. 6, par. 1, lett. c GDPR): ricorre quando l’adozione dello strumento tecnologico o l’elaborazione dei dati risponde a precisi vincoli normativi imposti da leggi statali, decreti ministeriali o regolamenti di settore (es. gestione della contabilità scolastica, adempimenti legati alla carriera degli studenti o alle comunicazioni obbligatorie verso il Ministero dell’Istruzione e del Merito).
Esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri (Art. 6, par. 1, lett. e GDPR): rappresenta la base giuridica di elezione per la quasi totalità delle attività didattiche, formative, valutative e di orientamento svolte dalla scuola. L’impiego dell’IA per coadiuvare l’insegnamento, la personalizzazione dei percorsi di studio o la gestione amministrativo-documentale è lecito solo in quanto strumentale allo svolgimento della funzione istituzionale dell’istruzione.

In stretta aderenza all’Art. 6, paragrafo 3 del GDPR, il legislatore italiano ha specificato all’art. 2-ter del Codice in materia di protezione dei dati personali (D.Lgs. 196/2003, come modificato dal D.Lgs. 101/2018) che il trattamento dei dati personali effettuato da soggetti pubblici è ammesso esclusivamente se previsto da una norma di legge o, nei casi previsti dalla legge, di regolamento o di atto amministrativo generale. Ne deriva che la scuola non può introdurre “in via sperimentale” software d’IA per finalità che fuoriescano dalle mansioni e dai compiti tipici assegnati dall’ordinamento scolastico.

3.1.2. Le Basi Giuridiche Inapplicabili o Illegittime

L’analisi del quadro normativo impone di chiarire con nettezza quali istituti del GDPR non possono essere invocati dalle scuole pubbliche per giustificare l’impiego dell’IA, smentendo prassi operative scorrette:

Inapplicabilità del Legittimo Interesse (Art. 6, par. 1, lett. f GDPR): l’ultimo comma dell’Art. 6, paragrafo 1 del GDPR sancisce in modo tassativo che la base del legittimo interesse “non si applica al trattamento effettuato dalle autorità pubbliche nell’esecuzione dei loro compiti”. L’Istituzione Scolastica non può quindi motivare l’adozione di un software algoritmico adducendo un proprio “interesse aziendale, organizzativo o di efficientamento”.
Inapplicabilità dell’Esecuzione Contrattuale (Art. 6, par. 1, lett. b GDPR): ll rapporto d’iscrizione che si instaura tra la famiglia/studente e l’Istituzione Scolastica statale si inquadra in un rapporto di diritto pubblico e non in un contratto di diritto privato. Di conseguenza, il trattamento dei dati tramite IA non può mai essere giustificato come “atto necessario all’esecuzione del contratto di scolarizzazione”.
Il ruolo improprio del Consenso (Art. 6, par. 1, lett. a GDPR): sebbene in astratto previsto, il consenso espressamente prestato dagli studenti o dai genitori non può essere ritenuta quale unica valida base giuridica nell’ambito della scuola pubblica. Come chiarito dalle Linee Guida del Comitato Europeo per la Protezione dei Dati (EDPB 05/2020), sussiste un manifesto squilibrio di potere (imbalance of power) tra il cittadino (lo studente/famiglia) e la Pubblica Amministrazione (la scuola). In tale contesto, il consenso non può considerarsi espresso “liberamente”, con la conseguenza che un’eventuale autorizzazione firmata dalle famiglie per l’uso dell’IA sarebbe viziata da nullità giuridica.

3.1.3. Il Trattamento di Categorie Particolari di Dati (Art. 9 GDPR)

L’utilizzo di strumenti di IA generativa o di analisi avanzata comporta un elevato rischio di intercettazione di dati sensibili (es. certificazioni medico-sanitarie, diagnosi DSA/BES, dati biometrici, opinioni politiche o convinzioni religiose).

In forza dell’art. 9, paragrafo 2, lettera g) del GDPR, l’elaborazione di tali dati da parte della scuola è consentita solo se il trattamento è necessario per motivi di interesse pubblico rilevante, sulla base del diritto dell’Unione o dello Stato membro. Tale presupposto è specificamente regolato dall’art. 2-sexies del Codice Privacy (D.Lgs. 196/2003), il quale individua tra i trattamenti di rilevante interesse pubblico le attività d’istruzione e di formazione in ambito scolastico, universitario e professionale. L’inserimento manuale o automatico di tali dati all’interno di modelli di IA non espressamente autorizzati o privi di idonee garanzie costituisce pertanto una grave violazione dell’art. 9 GDPR, sanzionabile ai sensi dell’Art. 83 del medesimo Regolamento.

3.1.4. Prime conclusioni

In conclusione, l’analisi dei presupposti di liceità dimostra come il GDPR non lasci spazio ad improvvisazioni o a scorciatoie burocratiche. Il Dirigente Scolastico, in qualità di rappresentante del Titolare del trattamento, deve assicurarsi che qualsiasi implementazione di intelligenza artificiale trovi un solido ancoraggio nell’adempimento dei compiti istituzionali d’istruzione e formazione stabiliti dalla legge. Rigettare l’uso del consenso formale e del legittimo interesse significa comprendere la natura pubblica dell’Istituzione: la protezione dei dati degli alunni e del personale non è una concessione revocabile, ma un vincolo di legalità che garantisce che la tecnologia rimanga un mezzo al servizio della funzione educativa dello Stato, nel pieno rispetto dei diritti fondamentali stabiliti dal diritto europeo

3.2 Requisiti Tecnici e Contrattuali dei Fornitori (Art. 28 GDPR)

L’esternalizzazione di servizi informatici basati sull’Intelligenza Artificiale verso fornitori terzi (soggetti privati, big tech o software house) rappresenta uno dei punti di maggiore vulnerabilità giuridica per le Istituzioni Scolastiche.
Nel momento in cui un Istituto adotta un software di IA gestito in cloud o tramite Software-as-a-Service (SaaS), la scuola rimane pienamente responsabile, in qualità di Titolare del trattamento, di tutte le operazioni di elaborazione dati effettuate dalla piattaforma.
L’ordinamento europeo non consente deleghe in bianco: ai sensi dell’Art. 28 del Regolamento (UE) 2016/679 (GDPR), il Titolare ha l’obbligo giuridico di ricorrere unicamente a Responsabili del trattamento che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate, in modo che il trattamento soddisfi i requisiti del Regolamento e garantisca la tutela dei diritti degli interessati. Nel contesto dell’IA, questo vincolo normativo si traduce nella necessità di blindare la disciplina contrattuale, impedendo che i dati degli studenti e del personale vengano utilizzati per scopi estranei alle finalità istituzionali dell’istruzione.

3.2.1 Analisi dei Requisiti Tecnici e Contrattuali (Artt. 28, 32 e Capo V GDPR

3.2.1.1. Il Vincolo Istituzionale e il Divieto di Re-training

L’elemento critico dei modelli di IA Generativa e dei sistemi di Machine Learning risiede nella loro naturale tendenza a incamerare i dati di input (prompt, file caricati, interazioni vocali) per riaddestrare continuamente gli algoritmi sottostanti.

Il divieto contrattuale di riutilizzo: Il contratto di nomina a Responsabile del trattamento deve prevedere un’espressa ed inderogabile clausola in forza della quale il fornitore si impegna a non utilizzare i dati personali, gli elaborati degli studenti, le valutazioni dei docenti o i file della segreteria per l’addestramento o il perfezionamento dei propri modelli d’IA (siano essi pubblici o commerciali).
Istruzioni documentate del Titolare (Art. 28, par. 3, lett. a): Il fornitore deve trattare i dati personali «soltanto su istruzione documentata del titolare». Qualsiasi operazione di estrazione, profilazione o addestramento autonomo condotta dal fornitore costituisce una violazione contrattuale e un trattamento illecito di dati personali, dell’utilizzo dei quali il fornitore risponderà direttamente come Titolare autonomo (Art. 28, par. 10 GDPR).

3.2.1.2. Sicurezza del Trattamento e Riservatezza (Artt. 28, par. 3, lett. b, b-bis e Art. 32 GDPR)

L’introduzione dell’IA richiede standard di sicurezza informatica potenziati per prevenire accessi non autorizzati o il fenomeno dell’esfiltrazione involontaria di dati (data leakage):

Obbligo di Riservatezza: Il fornitore deve garantire che le persone autorizzate al trattamento dei dati personali si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza (Art. 28, par. 3, lett. b).
Misure Tecniche di Sicurezza (Art. 32 GDPR): L’atto contrattuale deve specificare le misure adottate dal fornitore, tra cui la cifratura dei dati in transito e a riposo (at rest), la pseudonimizzazione, sistemi di autenticazione forte e procedure di controllo degli accessi.
– Sub-responsabili del trattamento (Art. 28, par. 2 e par. 3, lett. d): il fornitore non può ricorrere ad altri responsabili (es. provider di server terzi o API di terze parti) senza previa autorizzazione scritta, specifica o generale, del Titolare del trattamento.

3.2.1.3. Cessione e Cancellazione dei Dati a Fine Servizio (Art. 28, par. 3, lett. g)

Al termine della prestazione dei servizi relativi al trattamento, il fornitore deve essere contrattualmente obbligato a cancellare o restituire tutti i dati personali all’Istituzione Scolastica e cancellare le copie esistenti, salvo che la legge dell’Unione o degli Stati membri preveda la conservazione dei dati. Nel contesto dell’IA, questa clausola deve garantire anche l’eliminazione completa di eventuali embedding o rappresentazioni vettoriali dei dati scolastici generati nelle memorie temporanee del sistema.

3.2.1.4. La Disciplina dei Trasferimenti Dati Extra-UE (Capo V GDPR, Artt. 44-49)

Poiché le principali infrastrutture mondiali di IA risiedono negli Stati Uniti o in Paesi terzi, la scuola deve accertare la legittimità del flusso transfrontaliero di dati:

Verifica del Data Privacy Framework (DPF UE-USA): Se il provider ha sede negli USA, l’Istituto deve verificare l’effettiva e corrente iscrizione del fornitore nella lista ufficiale delle aziende certificate nell’ambito dell’accordo di adeguatezza della Commissione Europea (EU-US Data Privacy Framework).
Clausole Contrattuali Tipo (SCC – Standard Contractual Clauses): In assenza di certificazione DPF o per trasferimenti verso altri Paesi terzi privi di decisione di adeguatezza, il contratto deve necessariamente integrare le Clausole Contrattuali Tipo approvate dalla Commissione Europea (Decisione UE 2021/914), accompagnate da una valutazione d’impatto sul trasferimento (Transfer Impact Assessment – TIA) per verificare che la legislazione del Paese di destinazione non pregiudichi il livello di protezione garantito dal GDPR.

Fase dell’Istruttoria	Verifiche e Clausole Obbligatorie nel Contratto (DPA)	Esito Richiesto
1. Identificazione del Ruolo	Nomina formale del fornitore a Responsabile del Trattamento ai sensi dell’Art. 28 GDPR.	Presente
(Senza la nomina, il software non può essere usato).
2. Clausola No-Training	Divieto assoluto di utilizzare dati, prompt ed elaborati della scuola per l’addestramento dei modelli d’IA.	Obbligatoria
(In assenza, sussiste grave rischio di violazione privacy).
3. Localizzazione Dati / Extra-UE	Conservazione dei server all’interno del SEE o, in caso di USA, presenza di certificazione DPF attiva o firma delle SCC.	Verificata
(Senza garanzie sul trasferimento, il trattamento è illecito).
4.Sub-responsabili	Obbligo del fornitore di informare la scuola di eventuali modifiche riguardanti l’aggiunta o la sostituzione di sub-fornitori.	Disciplinata
5. Cancellazione / Restituzione	Clausola di wipe/cancellazione definitiva di tutte le istanze di dati e vettori algoritmici a fine contratto.	Presente
6. Audit e Assistenza	Obbligo del fornitore di mettere a disposizione del Titolare tutte le informazioni per dimostrare il rispetto del GDPR e consentire verifiche.	Presente

3.3 Obblighi di Trasparenza e Informativa (Artt. 13 e 14 GDPR)

L’impiego di tecnologie basate sull’Intelligenza Artificiale all’interno del sistema scolastico modifica in modo sostanziale la natura e le modalità dei trattamenti dei dati personali. Di conseguenza, il principio generale di trasparenza sancito dall’art. 5, paragrafo 1, lettera a) del Reg. UE 2016/679 assume una funzione regolatoria di primario livello. Gli interessati, siano essi gli studenti e i loro genitori (per i minorenni), oppure i docenti e il personale ATA, hanno il diritto inalienabile di comprendere se, in quale misura e con quali logiche le proprie informazioni personali, le proprie valutazioni o i propri flussi di lavoro siano sottoposti ad analisi o elaborazioni mediate da sistemi algoritmici.

L’adempimento degli obblighi di informazione non rappresenta una formale consegna di documenti burocratici, bensì un presupposto di legittimità del trattamento. L’omessa, incompleta o incomprensibile informativa rende infatti illecito il trattamento stesso, esponendo l’Istituzione Scolastica a sanzioni amministrative (ex art. 83, par. 5, lett. b GDPR) e a ricorsi da parte degli interessati.

3.3.1 Il contenuto qualificante: la trasparenza sulla logica algoritmica (Artt. 13.2. f e 14.2 .f GDPR)

L’elemento cardine che differenzia un’informativa ordinaria da un’informativa sul trattamento di dati tramite IA è la presenza delle comunicazioni previste dagli Articoli 13, paragrafo 2, lettera f) e 14, paragrafo 2, lettera f) del GDPR.

Tali norme impongono al Titolare del trattamento di indicare espressamente:

L’esistenza di processi decisionale o valutativi automatizzati, compresa la profilazione di cui all’Art. 22, paragrafi 1 e 4 del GDPR.
Informazioni significative sulla logica utilizzata: La scuola non deve pubblicare il codice sorgente del software, ma deve spiegare con un linguaggio chiaro, semplice ed accessibile quali parametri, criteri di calcolo o variabili l’algoritmo prenda in considerazione per generare gli output.
L’importanza e le conseguenze previste di tale trattamento per l’interessato: La scuola deve rendere esplicito a quale fine l’output dell’IA verrà utilizzato (es. supporto al docente per l’individuazione di lacune formative, ausilio nell’assegnazione di esercizi personalizzati, ottimizzazione dell’orario di lavoro) e se tale output possa generare impatti sul percorso formativo o sulle valutazioni.

3.3.2. Il raccordo con l’Art. 22 GDPR (Human-in-the-Loop)

L’informativa deve richiamare la garanzia fondamentale prevista dall’Art. 22, paragrafo 1 del GDPR, in base al quale l’interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona. L’Istituto Scolastico ha l’onere di precisare nell’informativa le modalità di garanzia della supervisione umana: deve essere chiarito in modo inequivocabile che l’IA agisce come mero strumento istruttorio/consultivo e che la decisione finale (voto, giudizio complessivo, nota, provvedimento amministrativo) rimane riservata alla valutazione critica esclusiva dei docenti o degli organi collegiali.

3.3.3. Gli obblighi di marcatura e trasparenza previsti dall’EU AI Act (Art. 50)

Agli obblighi del GDPR si affiancano le disposizioni dell’Art. 50 dell’EU AI Act, che impongono misure di trasparenza nei confronti degli utenti che interagiscono con determinati sistemi di IA:

Avviso di interazione (Art. 50, par. 1): Gli Istituti Scolastici che utilizzano sistemi di IA volti a interagire direttamente con le persone fisiche (es. chatbot di supporto agli studenti o per l’orientamento) devono garantire che gli utenti siano informati del fatto che stanno interagendo con un sistema di IA, a meno che ciò non sia evidente dal contesto.
Marcatura dei contenuti sintetici / Deepfake (Art. 50, par. 2 e 4): Se la scuola impiega o produce materiali didattici multimediali generati o manipolati dall’IA (testi, immagini, audio, video), tali contenuti devono essere chiaramente contrassegnati e identificabili come generati artificialmente.

Sezione dell’Informativa	Contenuto Normativo Obbligatorio	Requisiti di Redazione nel Contesto Scolastico
1. Titolare e DPO	Dati di contatto del Dirigente Scolastico (Titolare) e del Responsabile della Protezione Dati (Art. 13.1.a-b).	Inserimento della mail istituzionale e dei dati del DPO dell’Istituto.
2. Basi Giuridiche e Finalità	Menzione dell’Art. 6.1.c/e GDPR (Obbligo di legge e Compito di interesse pubblico).	Specificare le attività didattiche o amministrative a cui si applica l’IA.
3. Descrizione del Sistema IA	Trasparenza sulla tecnologia impiegata (Art. 13.1.c e Art. 50 AI Act).	Dichiarare il nome commerciale della piattaforma, la natura degli algoritmi e le modalità di interazione.
4. Logica Algoritmica	Informazioni significative sulle variabili utilizzate (Artt. 13.2.f / 14.2.f GDPR).	Spiegare in termini semplici come il sistema elabora i dati/prompt e genera le risposte.
5. Garanzia Human-in-the-Loop	Esplicitazione del diritto ex Art. 22.1 GDPR.	Attestare che nessuna decisione o valutazione è presa unicamente dall’IA e indicare la presenza del docente/operatore.
6. Divieto di Re-Training	Garanzia di protezione dei dati (Art. 28 / Art. 5 GDPR).	Precisare espressamente che i dati e gli elaborati non alimentano i modelli d’IA del fornitore.
7. Diritti dell’Interessato	Modalità di esercizio dei diritti di accesso, rettifica, cancellazione e contestazione (Artt. 15-22 GDPR).	Indicare le modalità pratiche per richiedere il riesame umano di una valutazione o l’accesso ai dati inseriti nel sistema.

4. Fase 3: il presidio dell’intervento umano (human-in-the-loop)

Il principio del controllo umano rappresenta la misura di sicurezza fondamentale per prevenire decisioni discriminatorie o errate (Artt. 14 AI Act e 22 GDPR).

4.1 Regole d’Ingaggio per il Corpo Docente e ATA

Il presidio dell’intervento umano rappresenta la vera architettura di tenuta etico-giuridica dell’adozione dell’Intelligenza Artificiale nelle Istituzioni Scolastiche. L’introduzione di sistemi algoritmici nella didattica e nei processi gestionali non solleva infatti la figura docente né il personale ATA dalle rispettive responsabilità ordinamentali, contrattuali e deontologiche.

Al contrario, la presenza di strumenti automatizzati impone la definizione di rigide regole d’ingaggio operative, radicate nelle norme del diritto dell’Unione Europea e nel quadro legislativo italiano. Tali regole definiscono i confini entro cui l’IA può agire (esondando dal ruolo dimero strumento di supporto conoscitivo o di efficienza burocratica) ed escludono categoricamente la possibilità che la decisione finale sulla persona (studente, genitore, dipendente) sia delegata a una macchina.

4.2 Analisi Normativa delle Regole d’Ingaggio (Art. 22 GDPR; Art. 14 AI Act; D.Lgs. 165/2001; DPR 275/1999)

4.2.1. Il divieto di automazione esclusiva delle valutazioni e degli atti amministrativi

Il principio dell’intervento umano significativo (Human-in-the-Loop) trova un triplice fondamento normativo:

Articolo 22 del GDPR (Processo decisionale automatizzato): Sancisce che l’interessato ha il diritto di non essere sottoposto a una decisione basata unicamente su trattamenti automatizzati (compresa la profilazione) che produca effetti giuridici o incida in modo analogo significativamente sulla sua persona. In ambito scolastico, il giudizio d’idoneità, l’assegnazione di un voto, la redazione di una nota disciplinare o l’erogazione di un provvedimento amministrativo ATA non possono mai derivare da un calcolo algoritmico autonomo.
Articolo 14 dell’EU AI Act (Sorveglianza Umana): Per i sistemi ad alto rischio utilizzati nel settore dell’istruzione (Allegato III, punto 3), il Regolamento impone al Deployer (la Scuola) di assegnare la sorveglianza umana a persone fisiche dotate della competenza, dell’autorità e dell’autonomia necessarie. La sorveglianza deve essere progettata per prevenire o ridurre al minimo i rischi per la salute, la sicurezza o i diritti fondamentali.
Profili di Responsabilità erariale e amministrativa (D.Lgs. 165/2001 e T.U. Istruzione D.Lgs. 297/1994): Il docente esercita una funzione pubblica e gode di autonomia didattica (Art. 33 Cost.; Art. 1 DPR 275/1999), a cui si affianca la responsabilità personale e diretta nella valutazione formale degli alunni. Delegare l’atto valutativo o la gestione di un procedimento amministrativo a un’IA priva l’atto stesso del suo elemento costitutivo (la discrezionalità e la motivazione umana), rendendolo viziato per eccesso di potere e annullabile in sede di ricorso.

4.2.2. L’obbligo di verifica dell’Output e la prevenzione dei Bias algoritmici

L’uso dell’IA Generativa (es. LLM) o di software analitici espone al rischio strutturale delle c.d. “allucinazioni” (generazione di informazioni false, inesistenti o inesatte) e dei bias (discriminazioni sistematiche insite nei dati di addestramento).

Responsabilità per inesattezza (Art. 5, par. 1, lett. d GDPR – Principio di Esattezza): il docente o l’operatore ATA che incorpori direttamente l’output generato da un’IA in un atto scolastico (es. correzione di un saggio, formulazione di un PDI/PEI, stesura di un bando di gara o determina) risponde direttamente dell’eventuale inesattezza o falsità dei dati inseriti.
Dovere di diligenza del dipendente pubblico: ai sensi del Codice di Comportamento dei Dipendenti Pubblici (DPR 62/2013), il personale scolastico è tenuto a svolgere i propri compiti con diligenza e ad assicurare il rispetto della legalità. L’uso critico dell’IA impone al docente o all’assistente amministrativo di svolgere sempre una validazione fattuale e concettuale preventiva (fact-checking) prima di adottare l’output nel proprio lavoro quotidiano.

4.2.3. Il Diritto al riesame umano e alla motivazione della decisione

Qualora la scuola utilizzi sistemi di IA a supporto delle proprie attività, deve garantire l’effettività dei diritti posti a tutela degli studenti e delle famiglie:

Diritto di contestazione e riesame (Art. 22, par. 3 GDPR): nel caso in cui una valutazione o un orientamento sia stato formulato con l’ausilio di un’IA, lo studente o la famiglia hanno il diritto di:
1. Ottenere una spiegazione della decisione raggiunta;
2. Esprimere la propria opinione;
3. Raggiungere l’intervento umano di un docente o del Dirigente per contestare l’esito ed esigere un ricalcolo/riesame del tutto privo di condizionamenti algoritmici.
Obbligo di Motivazione dell’Atto Amministrativo (Art. 3 Legge 241/1990): ogni atto e valutazione della scuola deve esplicitare i presupposti di fatto e le ragioni giuridiche che hanno determinato la decisione. La mera citazione di un report prodotto da un’IA non costituisce una motivazione valida ai sensi di legge.

Fase del Processo	Azione Consentita / Prescritta	Azione Vietata (Violazione Normativa)
1. Progettazione / Istruttoria	Utilizzare l’IA per generare idee didattiche, bozze di esercizi, schemi di sintesi o per velocizzare la ricerca documentale.	Inserire nel prompt dell’IA dati personali identificativi (nomi, codici fiscali, diagnosi DSA/BES) degli studenti o del personale.
2. Elaborazione dell’Output	Considerare le risposte o le analisi dell’IA come meri elementi consultivi, non vincolanti e provvisori.	Copiare e incollare direttamente testi o valutazioni prodotte dall’IA senza un’accurata rilettura e validazione critica.
3. Valutazione e Decisione	Attribuire voti, giudizi e adottare atti amministrativi sulla base della sola competenza e responsabilità esclusiva del docente/ATA.	Applicare automaticamente o passivamente i punteggi, i voti o le proposte di voto generate da algoritmi software.
4. Motivazione e Trasparenza	Esplicitare i criteri umani adottati per la valutazione, indicando chiaramente le motivazioni didattiche o amministrative.	Motivare una decisione o un giudizio scolastico rimandando genericamente ai risultati fornititi da un programma informatico.
5. Gestione del Ricorso	Garantire il riesame completo del fascicolo da parte del docente o della commissione in caso di contestazione della famiglia.	Rifiutare la revisione di una prova sostenendo l’infallibilità dell’algoritmo o della piattaforma di correzione.

5. Fase 4: procedura operativa standard (checklist)

INIZIO: Valutazione di un nuovo software IA
│
▼
[1. Verifica del Rischio ex AI Act] ──► È un sistema vietato (es. Riconoscimento emozioni)?
│ ├─► SI ──► [BLOCCO: Adozione Negata] ▼ └─► NO
[2. Qualificazione del Rischio] ├─► Alto Rischio / Generativo ──► [Richiesta Parere al DPO + DPIA ex Art. 35 GDPR] └─► Rischio Minimo ─────────────► [Applicazione misure di sicurezza ordinarie] │
▼
[3. Verifica Contrattuale (Art. 28 GDPR)] ├─► Il fornitore fa re-training sui dati della scuola? ──► SI ──► [BLOCCO] └─► Clausola di divieto re-training e no-profilazione ────► NO ──► [APPROVATO] │
▼
[4. Misure Operative] ├─► Aggiornamento Registro Trattamenti e Informativa (Artt. 13-14)
├─► Emissione Istruzioni Operative al personale (Art. 29 GDPR)
└─► Errore/Override Umano sempre garantito (Human-in-the-Loop)
│
▼
[ESITO: Adozione Conforme]

6. Fase 5: piano formativo e percorsi di alfabetizzazione (art. 4 ai act)

In conformità al principio di proporzionalità (Art. 4 AI Act), la formazione sul tema dell’IA non costituisce una certificazione d’urgenza a scadenza fissa, ma un percorso continuo modulato sulle reali esigenze d’Istituto.

Livello Direzionale (DS / DSGA / DPO): Formazione sulla valutazione dei rischi, contrattualistica con i fornitori, conduzione delle DPIA e gestione del Registro dei Trattamenti.
Livello Docenti: Formazione sulle metodologie didattiche con l’IA, etica degli algoritmi, individuazione di bias cognitivi, protezione del diritto d’autore e modalità di supervisione degli elaborati.
Livello ATA: Formazione sulla protezione della riservatezza nell’uso di strumenti di produttività d’ufficio e prevenzione dell’inserimento accidentale di dati personali/sensibili nei generatori di testo.

7. Conclusioni e raccomandazioni finali

L’integrazione dell’Intelligenza Artificiale nelle Istituzioni Scolastiche rappresenta un passaggio d’innovazione strutturale che non può essere affrontato né con improvvisazione burocratica né con ingiustificati allarmismi. La vera sfida per la governance scolastica risiede nel coniugare l’autonomia didattica e organizzativa (Art. 33 Cost.; D.P.R. 275/1999) con il rispetto rigoroso dell’impianto giuridico eurounitario delineato dal Reg. UE 2024/1689 e dal Reg. UE 2016/679.

L’adozione dell’IA non costituisce una corsa contro il tempo legata a scadenze sanzionatorie fittizie, bensì un percorso di accountability (responsabilizzazione, ex art. 24 GDPR): la scuola deve essere sempre in grado di dimostrare di aver valutato preventivamente i rischi, istruito il personale e tutelato i diritti fondamentali degli studenti, in particolare dei minori.

L’architettura dell’EU AI Act stabilisce che la tecnologia deve rimanere uno strumento al servizio dell’uomo e non viceversa. In ambito scolastico, ciò trova un vincolo invalicabile:

Autonomia e Valutazione Didattica (Art. 14 AI Act; Art. 22 GDPR): l’assegnazione di voti, la formulazione di giudizi di idoneità o debiti formativi, la stesura di PEI/PDP e la redazione di atti amministrativi o disciplinari rientrano nella responsabilità esclusiva del docente e del personale scolastico. L’IA può agire unicamente come supporto istruttorio. Qualsiasi delega decisionale automatizzata rende l’atto viziato per eccesso di potere ed esibisce la scuola a ricorsi amministrativi (ex L. 241/1990).
Tutela dei Minori come Soggetti Vulnerabili (Recitativo 38 AI Act; WP248 EDPB): l’utilizzo di algoritmi su alunni minori impone la massima cautela procedurale, giustificando la condotta di DPIA preventive (Art. 35 GDPR) ed escludendo qualsiasi forma di profilazione commerciale o di analisi comportamentale/emotiva vietata (Art. 5 AI Act).

L’Articolo 4 dell’AI Act definisce l’obbligo per i deployer (le Scuole) di garantire che il proprio personale possieda un livello sufficiente di alfabetizzazione sull’IA.
Nessuna scuola può consentire l’uso di piattaforme di IA che non offrano garanzie contrattuali formali ex Art. 28 GDPR. Il vincolo imprescindibile per la protezione dei dati scolastici consiste nella presenza di clausole inderogabili che vietino ai fornitori di utilizzare i prompt, i dati o gli elaborati degli studenti per il riaddestramento dei propri modelli di IA.

In conclusione, l’Intelligenza Artificiale non deve essere subita dalla scuola come un adempimento calato dall’alto o come un rischio da evitare a prescindere, ma gestita con consapevolezza e rigore giuridico. Mantenendo il controllo umano sulle scelte educative e amministrative, applicando con precisione le regole della data protection e promuovendo una cultura dell’uso critico della tecnologia, il Dirigente Scolastico e la comunità docente assicurano che l’innovazione rimanga sempre un fattore di ampliamento delle opportunità formative e di tutela dei diritti di tutti gli studenti.

FAQ

Il 2 agosto 2026 è una scadenza obbligatoria per tutti i docenti?
No. L’AI Act non prevede un obbligo generalizzato di completare un corso entro tale data per tutto il personale scolastico.

Le scuole devono formare il personale sull’Intelligenza Artificiale?
Sì. Le istituzioni che utilizzano sistemi di IA devono garantire un adeguato livello di alfabetizzazione e consapevolezza.

Serve una certificazione specifica?
Attualmente la normativa non impone una certificazione unica o obbligatoria per tutti gli operatori scolastici.

ChatGPT può essere utilizzato a scuola?
Sì, purché l’utilizzo avvenga nel rispetto delle regole interne, della normativa privacy e delle indicazioni dell’istituzione scolastica.

Qual è il rapporto tra AI Act e GDPR?
Le due normative sono complementari: l’AI Act disciplina l’uso dell’Intelligenza Artificiale mentre il GDPR tutela i dati personali trattati dai sistemi di IA.

LINK UTILI

Articoli recenti