ANALISI DELL’AI ACT NELLE SCUOLE: ALFABETIZZAZIONE SULL’INTELLIGENZA ARTIFICIALE E GDPR

Data ultimo aggiornamento: 31 Agosto 2026

AI Act nelle Scuole: analisi del quadro normativo e dell’efficacia prescrittiva del Regolamento (UE) 2024/1689 in materia di alfabetizzazione sull’IA nelle Istituzioni Scolastiche / Disamina del “termine” del 2 agosto 2026 / Profili di compliance Data Protection.

L’entrata in vigore dell’AI Act europeo ha generato numerosi dubbi nel mondo della scuola, soprattutto in relazione alla data del 2 agosto 2026 e ai presunti obblighi di formazione generalizzata sull’Intelligenza Artificiale.

Questa analisi intende chiarire il quadro normativo applicabile alle istituzioni scolastiche, esamina il reale significato dell’obbligo di alfabetizzazione sull’IA previsto dall’articolo 4 del Regolamento (UE) 2024/1689 e approfondisce i principali adempimenti in materia di protezione dei dati personali, DPIA e trasferimenti internazionali di dati, offrendo a dirigenti scolastici e operatori un orientamento pratico e giuridicamente fondato

Indice

Ricostruzione normativa
Inquadramento giuridico e da dove nasce la data del 2 agosto 2026
L’Articolo 4 dell’EU AI Act (Alfabetizzazione sull’IA)
L’EU AI Act e privacy
LA DPIA
1. Aspetti pratici rilevanti per l’Istituzione Scolastica
Conclusioni

1. Ricostruzione normativa

Il quadro giuridico di riferimento per l’introduzione dell’Intelligenza Artificiale nel sistema d’istruzione si articola su un doppio binario normativo, europeo e nazionale. In primo luogo, assume centralità il Regolamento UE 2024/1689, noto come AI Act, entrato in vigore il primo agosto 2024, il quale introduce una disciplina uniforme per i sistemi di IA fondata su un approccio basato sul rischio. Tale impianto normativo deve essere necessariamente coordinato con le disposizioni a tutela dei dati personali, in primis il Regolamento UE 2016/679, con particolare attenzione ai principi del trattamento, alle basi giuridiche, agli obblighi di trasparenza, alla nomina dei responsabili del trattamento e alle garanzie sui trasferimenti di dati verso paesi terzi.

A livello nazionale, rilevano inoltre le disposizioni del D.Lgs. 196/2003, per i vincoli sul trattamento dei dati nel contesto pubblico, nonché le specifiche circolari e note diramate dagli Uffici Scolastici Regionali, volte a chiarire l’effettiva portata operativa dell’AI Act all’interno delle scuole.

2. Inquadramento giuridico e da dove nasce la data del 2 agosto 2026

Nel dibattito scolastico recente, la data del 2 agosto 2026 è stata frequentemente oggetto di un palese fraintendimento interpretativo, venendo erroneamente prospettata come un termine perentorio entro il quale tutti gli Istituti dovrebbero aver certificato il completamento della formazione sull’IA per l’intero corpo docente e per il personale ATA. Sotto il profilo della tecnica legislativa comunitaria, e in particolare ai sensi dell’articolo 113 dell’AI Act , tale data assume un significato radicalmente diverso.

Il Regolamento, infatti, prevede un’applicazione scaglionata nel tempo. Mentre alcune disposizioni, come i divieti sulle pratiche a rischio inaccettabile e gli obblighi di alfabetizzazione, trovano applicazione già dal 2 febbraio 2025, la data del 2 agosto 2026 segna semplicemente lo spirare dei ventiquattro mesi dall’entrata in vigore del Regolamento. Essa rappresenta il momento in cui l’AI Act diviene pienamente e generalmente applicabile, attivando le regole sui sistemi ad alto rischio, gli obblighi di trasparenza generali e il relativo regime sanzionatorio. Ne consegue che il 2 agosto 2026 non definisce in alcun modo una scadenza a decadenza o un termine ultimativo per la formazione a pioggia del personale scolastico.

3. L’Articolo 4 dell’EU AI Act (Alfabetizzazione sull’IA)

Venendo ora a un’esegesi più puntuale dell’articolo 4 del Regolamento (UE) 2024/1689 (cd. AI Act), rubricato proprio “Alfabetizzazione in materia di IA”, è necessario abbandonare letture allarmistiche per abbracciare un’interpretazione strettamente aderente al dettato normativo e alla ratio del legislatore europeo.

La norma in questione si inserisce nell’architettura del Regolamento come una disposizione di carattere trasversale, applicabile ben prima della scadenza generale del 2026. L’articolo 4 statuisce testualmente che i fornitori e i deployer (termine con cui il Regolamento identifica gli utilizzatori professionali dei sistemi, tra cui rientrano a pieno titolo le Istituzioni Scolastiche) devono adottare misure volte a garantire, secondo le tecniche disponibili, un livello sufficiente di alfabetizzazione in materia di intelligenza artificiale del loro personale e delle altre persone che si occupano del funzionamento e dell’uso dei sistemi per loro conto.

Dal punto di vista della qualificazione giuridica, l’Istituto Scolastico, nella persona del Dirigente Scolastico quale legale rappresentante, agisce in veste di deployer nel momento in cui decide di implementare soluzioni basate sull’IA per finalità didattiche, valutative o di gestione amministrativa.

È in questo preciso istante – e solo a fronte di un utilizzo effettivo – che si attiva il precetto normativo.
Ciò che preme sottolineare, scorrendo il testo dell’articolo 4, è la forte impronta legata al principio di proporzionalità. Il legislatore comunitario non impone un obbligo formativo cieco, standardizzato o assoluto, bensì qualifica l’onere richiedendo che l’alfabetizzazione sia parametrata a specifici elementi concreti. La norma, invero, richiede di tenere in debita considerazione le conoscenze tecniche, l’esperienza, l’istruzione e la formazione pregressa del personale, nonché il contesto specifico in cui i sistemi di IA devono essere utilizzati.

Ancora più rilevante per l’ambiente scolastico è l’ultimo inciso dell’articolo 4, il quale impone di valutare le persone o i gruppi di persone sui quali i sistemi di IA devono essere utilizzati: nel caso di specie, una platea composta prevalentemente da minori, circostanza che innalza fisiologicamente il livello di attenzione e di cautela richiesto.

Per comprendere appieno l’estensione di questo obbligo, occorre volgere lo sguardo all’interpretazione autentica fornita dai Considerando del Regolamento. Il Considerando 20 , in particolare, definisce l’alfabetizzazione in materia di IA non come il mero conseguimento di un attestato formale o l’apprendimento di nozioni ingegneristiche, bensì come quell’insieme di abilità, conoscenze e comprensione che consente ai deployer di operare un impiego informato dei sistemi. Si tratta, in termini giuridici, di fornire al personale gli strumenti cognitivi necessari per acquisire consapevolezza non solo delle opportunità, ma soprattutto dei rischi e dei possibili danni che tali tecnologie possono cagionare, quali ad esempio la riproduzione di bias discriminatori, la generazione di allucinazioni (ovvero output plausibili ma falsi) o la compromissione della riservatezza dei dati immessi.

Ne discende, in conclusione, che l’obbligo di cui all’articolo 4 non configura un mero adempimento burocratico da smarcare entro una data di scadenza fittizia, configurandosi piuttosto come un obbligo che richiede un mantenimento continuo.

La scuola non è chiamata a trasformare i propri docenti in programmatori entro un termine ultimativo, ma è tenuta a strutturare percorsi di sensibilizzazione e formazione che siano intimamente legati alla tipologia di strumenti effettivamente introdotti nell’ecosistema scolastico, garantendo che ogni operatore mantenga sempre la capacità di esercitare un controllo umano critico e consapevole sull’operato della macchina.

4. L’EU AI Act e privacy

L’introduzione di piattaforme e software dotati di componenti di intelligenza artificiale all’interno di un Istituto Scolastico non solleva unicamente questioni legate all’AI Act, ma richiede una rigorosa e preventiva armonizzazione con le garanzie poste a tutela dei dati personali dal GDPR.

4.1 Base Giuridica (Art. 6 GDPR)

Sotto il profilo del diritto della protezione dei dati personali, l’individuazione della corretta condizione di liceità ai sensi dell’articolo 6 del Regolamento (UE) 2016/679 (GDPR) costituisce il presupposto ineludibile per qualsiasi trattamento effettuato dalle Istituzioni Scolastiche mediante strumenti di intelligenza artificiale. Sul punto occorre fare immediata chiarezza, spazzando via alcuni diffusi equivoci interpretativi che tendono a mutuar erratamente istituti tipici del settore privato.

In primo luogo, deve escludersi in radice la possibilità per la scuola pubblica di fondare il trattamento dei dati personali sul legittimo interesse previsto dall’articolo 6, paragrafo 1, lettera f) del GDPR. È lo stesso testo del Regolamento europeo, al comma successivo del medesimo articolo (articolo 6, paragrafo 1, secondo comma), a sancire in modo tassativo che tale base giuridica non si applica ai trattamenti effettuati dalle autorità pubbliche nell’esecuzione dei loro compiti. L’autorità di controllo e il legislatore europeo hanno voluto evitare che soggetti pubblici potessero ricorrere a valutazioni discrezionali di bilanciamento degli interessi per giustificare l’impiego di tecnologie pervasive, ancorandone l’agire esclusivamente al principio di legalità.

In secondo luogo, non risulta invocabile la base giuridica dell’esecuzione di un contratto di cui all’articolo 6, paragrafo 1, lettera b) del GDPR. Il rapporto che lega l’Istituzione Scolastica statale agli studenti e alle relative famiglie non trae infatti origine da un contratto di diritto privato, bensì da un rapporto di diritto pubblico fondato sul diritto all’istruzione e sull’iscrizione al percorso scolastico ordinamentale.

Ne consegue che le uniche basi giuridiche idonee a legittimare l’impiego di sistemi di intelligenza artificiale da parte delle scuole pubbliche risiedono nell’adempimento di un obbligo legale al quale è soggetto il Titolare del trattamento, ai sensi dell’articolo 6, paragrafo 1, lettera c) del GDPR, oppure nell’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il Titolare, ai sensi dell’articolo 6, paragrafo 1, lettera e) del medesimo Regolamento.

In coordinamento con la normativa nazionale, e in particolare con l’articolo 2-ter del D.Lgs. 196/2003 (Codice Privacy), come modificato dal D.Lgs. 101/2018, tali trattamenti da parte delle Pubbliche Amministrazioni devono trovare una preventiva e idonea base normativa in una legge, in un regolamento o in un atto amministrativo generale che ne definisca le finalità e le modalità.

L’Istituto Scolastico, pertanto, prima di adottare o distribuire al proprio interno piattaforme basate sull’IA, non può limitarsi ad acquisire un generico consenso (il quale non costituisce quasi mai una valida base giuridica nel contesto scolastico pubblico per via dell’evidente squilibrio di potere tra l’amministrazione e l’interessato), ma ha l’onere di verificare che l’uso di tali strumenti sia strettamente funzionale allo svolgimento delle attività didattiche, valutative o amministrative previste e permesse dall’ordinamento scolastico vigente.

4.2 Informativa Privacy (Art. 14 GDPR) in merito all’uso di strumenti AI

Sotto il profilo degli obblighi di trasparenza previsti dal diritto europeo, l’impiego di soluzioni basate sull’intelligenza artificiale da parte delle Istituzioni Scolastiche richiede un aggiornamento sostanziale, e non meramente formale, delle informative da rendere agli interessati, siano essi studenti, famiglie, docenti o personale ATA.

In questo contesto, assume una rilevanza fondamentale la distinzione tra l’articolo 13 e l’articolo 14 del Regolamento (UE) 2016/679 (GDPR). L’articolo 13 disciplina le informazioni da fornire qualora i dati personali siano raccolti direttamente presso l’interessato. L’articolo 14 del GDPR regola invece l’ipotesi, assai frequente nell’utilizzo di sistemi di intelligenza artificiale, in cui i dati personali non siano stati ottenuti direttamente dall’interessato, bensì attinti da banche dati preesistenti, estratti da documenti scolastici o generati dall’algoritmo stesso attraverso processi di elaborazione e analisi comportamentale.

Quando una scuola introduce un software o una piattaforma basata sull’IA, il Dirigente Scolastico, nella sua veste di rappresentante legale del Titolare del trattamento, è tenuto a garantire che l’informativa, ex articolo 14 del GDPR, contenga tutti gli elementi tassativamente indicati dalla norma. Tra questi rientrano le categorie di dati personali trattati, la fonte da cui provengono tali dati e l’eventuale indicazione se essi provengano da fonti accessibili al pubblico.

Il vero nucleo qualificante dell’informativa in materia di intelligenza artificiale è sancito dall’articolo 14, paragrafo 2, lettera f) del GDPR (nonché dal corrispettivo articolo 13, paragrafo 2, lettera f). La norma impone espressamente al Titolare del trattamento l’obbligo di informare l’interessato dell’eventuale esistenza di processi decisionali automatizzati, compresa la profilazione di cui all’articolo 22, paragrafi 1 e 4 del GDPR.

Per adempiere correttamente a tale precetto normativo, l’Istituto Scolastico non può limitarsi ad menzionare genericamente l’uso dell’algoritmo. L’articolo 14, paragrafo 2, lettera f) stabilisce infatti che l’informativa deve fornire “informazioni significative sulla logica utilizzata, nonché l’importanza e le conseguenze previste di tale trattamento per l’interessato”. Tradotto sul piano operativo per l’ambiente scolastico, la scuola deve spiegare in modo chiaro, accessibile e con un linguaggio comprensibile anche ai minori e ai loro genitori:

Come funziona l’algoritmo nell’elaborazione delle risposte, delle valutazioni o dell’analisi dei testi;
Qual è il livello di accuratezza dello strumento e quali sono i suoi limiti intrinseci;
Quale sia l’effettivo impatto del sistema sul percorso scolastico dello studente o sulla valutazione del personale.

Tale adempimento deve essere strettamente coordinato con l’articolo 22, paragrafo 1 del GDPR, il quale sancisce il diritto generale dell’interessato di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona.

Nell’informativa, la scuola ha dunque l’obbligo di rassicurare le famiglie e il personale esplicitando le modalità con cui viene garantito l’intervento umano (human-in-the-loop), chiarendo che nessuna decisione valutativa, sanzionatoria o amministrativa sarà mai adottata in via esclusiva o vincolante dall’intelligenza artificiale, rimanendo la responsabilità finale sempre in capo ai docenti e agli organi collegiali dell’Istituto.

4.3 Trasferimento Extra-UE: DPF e SCC

Un ulteriore e delicato profilo di rischio risiede nel fatto che la maggior parte dei provider di piattaforme basate su IA generativa ha sede o elabora i dati negli Stati Uniti. Ciò impone al Titolare del trattamento l’obbligo ineludibile di verificare la sussistenza delle garanzie legali per il trasferimento extra-UE, ai sensi degli articoli 44 e seguenti del GDPR. L’Istituto dovrà in primo luogo verificare se il provider statunitense risulti regolarmente certificato nell’ambito del Data Privacy Framework (DPF) stipulato tra Unione Europea e Stati Uniti, condizione che rende ex se legittimo il trasferimento. In assenza di tale certificazione, la scuola è tenuta ad accertare che l’accordo di nomina del responsabile del trattamento includa la sottoscrizione delle “Clausole Contrattuali Tipo” (SCC: Standard Contractual Clauses) approvate dalla Commissione Europea, le quali dovranno essere necessariamente accompagnate da un’adeguata valutazione d’impatto sul trasferimento dei dati.

5. La DPIA

Sotto il profilo delle valutazioni preventive di impatto, l’adozione di sistemi di intelligenza artificiale all’interno delle Istituzioni Scolastiche richiede una rigorosa disamina dell’articolo 35 del Regolamento (UE) 2016/679 (GDPR), relativo alla DPIA (Data Protection Impact Assessment) o Valutazione di Impatto sulla Protezione dei Dati.

La DPIA rappresenta lo strumento chiave attraverso cui il Titolare del trattamento (il Dirigente Scolastico) analizza preventivamente i rischi che un nuovo trattamento di dati personali può comportare per i diritti e le libertà delle persone fisiche, individuando le misure tecniche e organizzative idonee a mitigarli.

L’articolo 35, paragrafo 1 del GDPR stabilisce che la DPIA è obbligatoria quando un trattamento, specialmente se prevede l’uso di nuove tecnologie, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, tenuto conto della natura, dell’oggetto, del contesto e delle finalità del trattamento stesso.

Criteri per la valutazione d’impatto

Nello specifico del contesto scolastico e dell’uso dell’IA, la valutazione d’impatto scatta obbligatoriamente al ricorrere dei seguenti criteri (stabiliti dall’Art. 35, par. 3 GDPR e dalle Linee Guida dell’EDPB/WP248):

Trattamento di dati relativi a soggetti vulnerabili (Art. 35, par. 1 e WP248): gli studenti, in particolare se minorenni, sono qualificati dall’ordinamento europeo come soggetti vulnerabili in ragione della loro asimmetria di potere rispetto all’Istituzione e della loro minore consapevolezza dei rischi.
Utilizzo di nuove tecnologie o soluzioni innovative: l’impiego di modelli di IA generativa, algoritmi valutativi o sistemi di analisi predittiva rientra appieno nella nozione di tecnologia ad alto impatto.
Valutazione sistematica o profilazione (Art. 35, par. 3, lett. a): qualora il sistema d’IA sia utilizzato per analizzare il rendimento scolastico, il comportamento, gli stili di apprendimento o per assegnare punteggi/valutazioni automatizzate agli alunni o al personale.
Trattamento su larga scala di categorie particolari di dati (Art. 35, par. 3, lett. b e Art. 9 GDPR): se lo strumento d’IA viene a contatto con dati relativi alla salute (es. certificazioni DSA, disabilità, BES) o con dati biometrici/comportamentali di intere classi o dell’intero plesso scolastico.
Elenco delle tipologie di trattamenti soggetti a DPIA emanato dal Garante Privacy (Provvedimento n. 467/2018): Il Garante italiano ha espressamente incluso nei trattamenti ad alto rischio soggetti a DPIA quelli effettuati mediante tecnologie pervasive e quelli che coinvolgono soggetti vulnerabili su larga scala.

L’adozione “generalizzata” di piattaforme di IA per la didattica, l’esame di elaborati o la profilazione degli studenti rende la conduzione di una DPIA un opportuno adempimento prima dell’avvio del trattamento.

5.1 Aspetti pratici rilevanti per l’Istituzione Scolastica

Sul piano operativo, la gestione della DPIA per i sistemi d’IA richiede al Dirigente Scolastico di seguire un iter ben preciso:

Coinvolgimento obbligatorio del DPO (Art. 35, par. 2 GDPR): il Titolare del trattamento ha l’obbligo formale di richiedere il parere del Responsabile della Protezione dei Dati (Data Protection Officer – DPO) della scuola durante la redazione della DPIA, verbalizzandone le raccomandazioni.
Valutazione dei fornitori e della documentazione di terzi: molti provider forniranno una “DPIA standard” o un’analisi dei rischi preconfezionata. La scuola non può limitarsi ad acquisire acriticamente tali documenti: la DPIA deve essere analizzata e contestualizzata alla specifica realtà dell’Istituto (numero di studenti coinvolti, tipologia di dati inseriti nei prompt, finalità dell’uso).
Verifica del riaddestramento dei modelli (Data Re-training): la DPIA deve accertare tassativamente se i dati immessi dalla scuola (es. testi degli studenti o tabelle del personale ATA) vengano utilizzati dai server dell’IA per riaddestrare il modello. L’assenza di garanzie contrattuali che vietino il re-training rappresenta un rischio non mitigabile che impedisce l’adozione dello strumento.
Consultazione preventiva del Garante (Art. 36 GDPR): laddove la DPIA evidenzi che il trattamento presenta un rischio elevato residuo che la scuola non è in grado di mitigare con misure tecniche o organizzative ragionevoli, l’Istituto ha l’obbligo di consultare preventivamente l’Autorità Garante prima di iniziare il trattamento.
Aggiornamento e riesame continuo: la DPIA non è un documento statico. Se lo strumento d’IA viene aggiornato dal fornitore con nuove funzionalità o se cambiano le modalità di utilizzo in classe, la valutazione d’impatto deve essere riesaminata e aggiornata.

6. Conclusioni

Alla luce del quadro normativo vigente e delle recenti indicazioni trasmesse dalle Autorità di settore e dagli Uffici Scolastici Regionali, l’analisi condotta consente di tracciare un perimetro interpretativo chiaro e definitorio per l’operato delle Istituzioni Scolastiche:

Insussistenza di termini perentori al 2 agosto 2026: è priva di qualsiasi fondamento giuridico la tesi secondo cui il 2 agosto 2026 rappresenti una “scadenza”, o un termine ultimativo entro il quale la scuola debba aver erogato o certificato a pioggia la formazione sull’IA per tutto il personale docente e ATA. La data del 2 agosto 2026 segna unicamente l’avvio della generale applicabilità dell’EU AI Act (Regolamento UE 2024/1689), ma non introduce alcun regime sanzionatorio legato a scadenze formative arbitrarie.
Proporzionalità e progressività dell’obbligo di alfabetizzazione: l’obbligo di AI Literacy sancito dall’articolo 4 dell’AI Act costituisce un adempimento continuo, dinamico e strettamente commisurato al principio di proporzionalità. La formazione diviene giuridicamente esigibile solo in presenza dell’effettiva e concreta adozione di strumenti tecnologici di IA nell’ambito della didattica o della gestione amministrativa, dovendo essere modulata in base ai ruoli, ai rischi e al contesto d’uso.
Rigore e centralità della compliance Data Protection: l’introduzione di qualsiasi tecnologia d’IA all’interno dell’ambiente scolastico postula il rispetto inderogabile del Regolamento (UE) 2016/679 (GDPR). Nello specifico, l’Istituzione Scolastica è tenuta ad ancorare il trattamento esclusivamente all’esercizio di compiti di interesse pubblico o a obblighi di legge (Art. 6 GDPR), aggiornare puntualmente le informative privacy fornendo dettagli sulla logica algoritmica (Art. 14 GDPR), verificare che i trasferimenti extra-UE verso provider statunitensi siano coperti dal Data Privacy Framework o dalle Clausole Contrattuali Tipo (SCC), ed condurre una preventiva e strutturata Valutazione d’Impatto sulla Protezione dei Dati (DPIA ex Art. 35 GDPR), tenuto conto della presenza di soggetti vulnerabili quali i minori.

In definitiva, il Dirigente Scolastico e gli organi collegiali sono chiamati a guidare la transizione digitale respingendo logiche burocratiche d’emergenza o sollecitazioni commerciali ingiustificate, adottando un approccio di governance ponderato, fondato sull’analisi del rischio reale e sulla costante tutela dei diritti fondamentali di studenti e lavoratori.