Privacy a scuola: il Garante aggiorna il Vademecum e fissa i paletti sull'Intelligenza Artificiale

Il panorama della didattica digitale sta attraversando una fase di profonda trasformazione, segnata dall'integrazione sempre più capillare di sistemi avanzati di Intelligenza Artificiale (IA). In questo scenario, il Garante per la protezione dei dati personali ha reso necessaria una revisione strutturale delle linee guida per le istituzioni scolastiche, pubblicando l'edizione 2025 del Vademecum "La scuola a prova di privacy". Il documento mira a fornire un quadro operativo chiaro per bilanciare l'innovazione tecnologica con la tutela dei diritti fondamentali degli studenti e del personale scolastico.

L'Autorità ha sottolineato come l'adozione di strumenti digitali non possa prescindere da criteri rigorosi di trasparenza, etica e minimizzazione dei dati. Con l'avvento di tecnologie che trattano informazioni ad alto rischio, specialmente quelle riguardanti i minori, la scuola è chiamata a passare da una gestione ordinaria dei dati a una progettazione consapevole, basata sui principi di Privacy by Design e Privacy by Default. Questo significa che la protezione della riservatezza deve essere integrata sin dalla fase di progettazione di ogni nuovo servizio digitale o progetto didattico.

Il nuovo quadro normativo e le linee guida per l'IA nelle scuole

Il percorso verso una scuola digitalizzata e sicura ha visto diversi passaggi normativi fondamentali negli ultimi anni. Già nell'ottobre 2023, il Decreto Ministeriale 192/2023 aveva tracciato la strada per l'implementazione di servizi digitali in materia di IA. Più recentemente, nel luglio 2024, l'European Data Protection Board ha adottato lo Statement 3/2024, definendo il ruolo delle autorità di protezione dei dati nel quadro dell'AI Act europeo.

Questi atti hanno preparato il terreno per il Decreto Ministeriale 166/2025 del MIM, che adotta ufficialmente le Linee Guida per l'introduzione dell'IA nelle istituzioni scolastiche, approvate previo parere del Garante. Un elemento chiave di questa evoluzione è il supporto finanziario e formativo previsto dal Decreto Ministeriale 219/2025. Tale atto destina risorse derivanti dal PNRR (Missione 4 - Componente 1) specificamente per progetti di formazione sull'IA rivolti al personale scolastico.

L'obiettivo è garantire che docenti e ATA non siano solo utenti passivi di nuove tecnologie, ma soggetti consapevoli dei rischi e delle opportunità derivanti dal trattamento di dati complessi, come quelli gestiti dalle piattaforme cloud e dagli strumenti di orientamento. Il Garante ha espresso un parere favorevole allo schema di decreto per il servizio IA sulla Piattaforma Unica, ma ha posto condizioni vincolanti e non negoziabili. Tra queste figurano la centralità della persona, la sicurezza dei sistemi, l'etica e la proporzionalità dei dati trattati.

Gestione dei dati sensibili e categorie particolari

Il Vademecum 2025 chiarisce con precisione quali dati possono essere trattati e in quali condizioni. Sebbene la scuola possa richiedere alle famiglie i dati utili alle finalità educative e organizzative, esistono limiti stringenti per le categorie particolari di dati. Ad esempio, i dati sulle origini razziali ed etniche possono essere trattati esclusivamente per favorire l'integrazione degli alunni stranieri. Allo stesso modo, le convinzioni religiose possono essere trattate solo per garantire la libertà di culto o per la fruizione dell'insegnamento della religione cattolica e delle attività alternative.

Per quanto riguarda la salute, il trattamento è limitato esclusivamente all'adozione di misure di sostegno per alunni con disabilità, disturbi specifici dell'apprendimento (DSA), bisogni educativi speciali (BES), allergie alimentari o per la partecipazione a viaggi di istruzione e attività sportive. È invece severamente vietato diffondere informazioni relative alle convinzioni religiose o all'adesione a sindacati del personale scolastico, salvo casi tassativi non previsti dalla gestione ordinaria. Il Garante ribadisce inoltre che la scuola non può utilizzare tecnologie per il riconoscimento delle emozioni degli alunni, considerandole pratiche invasive e non proporzionate.

Un punto di particolare attenzione riguarda la circolazione delle informazioni tra colleghi e verso terzi. Il Vademecum sottolinea l'importanza di evitare la condivisione di dati personali non necessari all'interno della comunità scolastica, promuovendo una cultura della riservatezza che protegga la dignità dei minori. Questo approccio è fondamentale per contrastare fenomeni come il cyberbullismo e garantire che il dialogo educativo rimanga uno spazio sicuro.

Impatto operativo per dirigenti, docenti e famiglie

Per i Dirigenti Scolastici, che rivestono il ruolo di responsabili del trattamento dei dati, le nuove linee guida impongono un dovere di vigilanza costante. Ogni strumento IA adottato deve essere verificato per la conformità alle Linee Guida e la scuola deve progettare le iniziative in modo trasparente. È necessario garantire che ogni trattamento sia accompagnato da un'informativa chiara e accessibile, scritta in un linguaggio comprensibile anche dai minori.

I Docenti sono chiamati a una gestione più cauta delle comunicazioni. È raccomandato di limitare l'uso delle chat informali per scopi ufficiali, privilegiando il registro elettronico come canale primario. In ambito didattico, sebbene l'assegnazione di temi su aspetti personali non leda la privacy, l'insegnante deve mostrare sensibilità nel gestire la lettura degli elaborati in classe, specialmente se riguardano argomenti delicati, per evitare conseguenze negative sul piano relazionale.

Le Famiglie hanno il diritto di ricevere informazioni trasparenti su come vengono trattati i dati dei figli. Le scuole hanno l'obbligo di spiegare come le piattaforme didattiche e gli strumenti di supporto all'apprendimento utilizzino le informazioni raccolte. In caso di strumenti che richiedono l'inserimento di dati sensibili, la scuola deve assicurare che vengano utilizzati solo i dati strettamente necessari, preferendo, dove possibile, l'uso di dati sintetici anziché dati reali degli studenti.

Cronologia e prossimi passi per la scuola

Il percorso verso la piena operatività dei nuovi servizi digitali prevede una tabella di marcia precisa. Mentre il Decreto Ministeriale 166/2025 ha già fornito le basi normative, i prossimi mesi vedranno l'emissione di decreti non regolamentari per disciplinare le modalità specifiche di progettazione delle singole iniziative IA nelle scuole. È importante notare che, al momento, non sono ancora disponibili i decreti specifici per la progettazione operativa delle singole scuole, ma sono disponibili le linee guida generali e la mappa delle sperimentazioni.

Il monitoraggio dei data breach rimane una priorità assoluta. Nel 2025 sono stati notificati al Garante ben 2.415 incidenti nel settore pubblico, inclusi casi riguardanti istituzioni scolastiche. Questo dato sottolinea l'urgenza di applicare correttamente i principi di minimizzazione e di sicurezza informatica, riducendo al minimo la circolazione di dati non pertinenti e proteggendo l'integrità del sistema scolastico da potenziali violazioni.

Per approfondire le linee guida ufficiali, è possibile consultare il Vademecum "La scuola a prova di privacy" 2025 o visionare il Decreto Ministeriale 166/2025 relativo alle linee guida sull'IA.