IA e algoritmi a scuola: il Garante Privacy definisce i paletti per la tutela dei dati e dei diritti degli studenti

L'integrazione dell'intelligenza artificiale (IA) nel sistema scolastico italiano sta entrando in una fase di regolamentazione strutturata, segnata da un monitoraggio sempre più serrato da parte del Garante per la protezione dei dati personali. L'Autorità si è posta l'obiettivo di bilanciare l'innovazione tecnologica con la necessità imprescindibile di proteggere i diritti fondamentali dei minori, identificando la scuola come un ambiente particolarmente sensibile dove i sistemi automatizzati possono influenzare non solo l'apprendimento, ma anche la formazione della personalità degli studenti.

Il percorso normativo ha visto passi decisivi negli ultimi anni, partendo dalla disciplina del trattamento dei dati nella Piattaforma Unica (Unica), con il Decreto Ministeriale n. 192/2023, fino all'approvazione di specifici servizi digitali come l'E-Portfolio e il Docente Tutor. Oggi, l'attenzione si sposta sulla gestione degli algoritmi generativi e sulla necessità di garantire che ogni strumento tecnologico introdotto nelle aule sia accompagnato da criteri di trasparenza, sicurezza e responsabilità, evitando che la "scatola nera" dell'IA possa compromettere l'autonomia educativa.

Il quadro normativo e il parere favorevole del Garante sulle Linee Guida

Un momento di svolta fondamentale è rappresentato dal parere favorevole espresso dal Garante il 4 agosto 2025 sullo schema di decreto ministeriale per l'implementazione di un servizio digitale IA all'interno della Piattaforma Unica. Questo atto non si limita a dare il via libera tecnico, ma stabilisce le Linee Guida per l'introduzione dell'IA nelle istituzioni scolastiche, che pongono la centralità della persona e la sicurezza dei sistemi come requisiti primari per ogni adozione tecnologica.

L'intervento dell'Autorità si inserisce in un contesto giuridico complesso, che vede la convergenza tra il Regolamento UE 2024/1689 (AI Act) e il GDPR. Il Garante ha ribadito con forza che la normativa sulla privacy si applica con uguale rigore sia ai soggetti pubblici che a quelli privati, sottolineando che l'uso di sistemi automatizzati non può mai prescindere da una valutazione preventiva dei rischi. In particolare, l'Autorità ha richiamato la necessità di condurre Valutazioni d'Impatto sulla Protezione dei Dati (DPIA) laddove i trattamenti comportino rischi elevati, come nel caso di processi decisionali automatizzati che potrebbero incidere sulle scelte educative degli studenti.

Il Ministero dell'Istruzione e del Merito (MIM) ha già iniziato a tradurre queste linee in azioni concrete attraverso il Decreto Ministeriale n. 219 del 11 novembre 2025. Tale provvedimento non solo integra l'IA nel tessuto scolastico, ma destina una cifra significativa di 100 milioni di euro di fondi PNRR specificamente per la formazione dei docenti. L'obiettivo è chiaro: fornire agli insegnanti gli strumenti necessari per un uso consapevole e responsabile delle tecnologie, evitando che la mancanza di competenze digitali si trasformi in una vulnerabilità per la privacy degli alunni.

Monitoraggio delle sperimentazioni e il caso delle Opere Salesiane

L'attività di vigilanza del Garante non si limita alla produzione di norme, ma si estende al controllo diretto delle sperimentazioni sul campo. Un esempio significativo è la richiesta di informazioni inviata il 3 giugno 2026 al Centro Nazionale Opere Salesiane Scuola. L'Autorità ha richiesto un riscontro entro 20 giorni per verificare una sperimentazione strutturata di IA generativa che coinvolge un numero rilevante di utenti: oltre 1.600 docenti e quasi 29.000 studenti, con il coinvolgimento di partner tecnologici come Google.

Questo caso evidenzia come il Garante stia monitorando i progetti di larga scala, dove il rischio di trattamento massivo di dati sensibili è elevato. La richiesta di riscontro mira a verificare che la sperimentazione rispetti i protocolli di sicurezza e che non vi siano derive nell'utilizzo dei dati degli studenti per scopi diversi da quelli puramente didattici. L'Autorità sottolinea che, in progetti di tale portata, la trasparenza verso le famiglie e gli studenti deve essere totale, rendendo chiaro quali dati vengano raccolti, per quali finalità e con quali garanzie di cancellazione o anonimizzazione.

Per approfondire i principi di base, il Garante ha lanciato il podcast "A proposito di privacy", dove nell'ottavo episodio dedicato specificamente all'IA a scuola, vengono analizzati i rischi e le tutele. Attraverso questo strumento, l'Autorità mira a raggiungere cittadini e istituzioni con un linguaggio accessibile, spiegando come la responsabilizzazione dei titolari del trattamento sia il pilastro su cui deve poggiare ogni innovazione digitale nel settore educativo.

Cosa cambia concretamente per docenti, dirigenti e famiglie

L'adozione delle nuove Linee Guida e dei decreti ministeriali comporta cambiamenti operativi immediati per tutti gli attori della comunità scolastica. Le istituzioni non possono più adottare strumenti di IA "off-the-shelf" senza una previa analisi della conformità normativa. Ecco i punti chiave della trasformazione:

• Obblighi di Trasparenza: Le scuole hanno l'obbligo di rendere noto, tramite informative chiare e accessibili, come vengono utilizzati gli algoritmi e quali dati personali vengono trattati dai servizi digitali.
• Progettazione basata sulle Linee Guida: Ogni iniziativa di IA deve essere progettata seguendo i principi di etica e sicurezza approvati dal Garante, mettendo al primo posto la tutela della personalità dello studente.
• Obbligo di DPIA: Per i progetti di IA generativa su larga scala, è obbligatoria la valutazione d'impatto prima dell'avvio della sperimentazione, per identificare e mitigare preventivamente i rischi di discriminazione o violazione della privacy.
• Percorsi di Formazione: I docenti potranno accedere a percorsi formativi specifici, finanziati dal PNRR, per acquisire le competenze necessarie a gestire gli strumenti IA in modo critico e sicuro.
• Diritti di Accesso e Rettifica: Studenti e famiglie mantengono il diritto di conoscere, accedere e rettificare le informazioni detenute dalla scuola, potendo rivolgersi direttamente al titolare del trattamento (l'istituto scolastico).

Limiti della ricerca e prossimi passi

Sebbene il quadro normativo sia in forte evoluzione, al momento non sono ancora disponibili i dettagli tecnici specifici delle "Linee Guida" approvate nel parere del 4 agosto 2025, se non per i principi generali di etica e trasparenza. Inoltre, l'esito della richiesta di informazioni inviata al Centro Nazionale Opere Salesiane non è ancora noto, ma rappresenterà un precedente importante per la gestione di progetti di IA su larga scala. Le scuole sono chiamate a monitorare costantemente gli aggiornamenti sul sito ufficiale del registro dei provvedimenti del Garante per assicurarsi di operare nel rispetto delle ultime disposizioni.

Note operative per le segreterie scolastiche

Le segreterie scolastiche devono prestare particolare attenzione alla corretta gestione delle categorie particolari di dati (salute, religione, disabilità). Questi dati non possono essere diffusi online né inseriti in circolari non rivolte a destinatari specifici. In caso di dubbi sulla conformità di un nuovo software o di un servizio IA, è fondamentale consultare il titolare del trattamento interno o richiedere chiarimenti formali all'Autorità prima di procedere all'attivazione del servizio per la classe o l'istituto.