L'integrazione delle tecnologie di intelligenza artificiale generativa nel contesto scolastico sta aprendo scenari di grandi opportunità didattiche, ma sta anche delineando una zona d'ombra normativa definita come Shadow AI. Questo fenomeno si verifica quando il personale scolastico — docenti e personale ATA — utilizza strumenti come ChatGPT, Claude o Perplexity per scopi lavorativi senza che tali strumenti siano stati formalmente approvati, testati o inseriti nei protocolli di sicurezza dell'istituzione scolastica.
L'uso "di nascosto" di queste piattaforme non è solo una questione di metodo pedagogico, ma rappresenta un rischio concreto di violazione delle norme sulla riservatezza e sulla sicurezza delle informazioni. Il problema centrale risiede nella natura dei dati trattati quotidianamente all'interno delle scuole: informazioni sensibili riguardanti minori, condizioni di salute, situazioni di disabilità e risultati scolastici.
Quando un docente o un assistente amministrativo inserisce questi dati in un chatbot per ottenere suggerimenti didattici o per redigere comunicazioni, sta effettuando un trattamento di dati personali su server esterni. Senza le adeguate garanzie contrattuali e di sicurezza previste dal GDPR, tale pratica espone l'utente e l'intera istituzione a responsabilità legali e sanzioni disciplinari, poiché il trattamento avviene al di fuori del perimetro di controllo della scuola.
Il quadro normativo: dalla Legge 132/2025 al Decreto Legislativo 179/2026
Il legislatore italiano ha reagito alla rapidità dell'evoluzione tecnologica approvando la Legge 132 del 23 settembre 2025, entrata in vigore il 10 ottobre 2025. Questo provvedimento stabilisce i principi fondamentali per l'adozione e l'applicazione dei sistemi di IA in Italia, promuovendo un approccio antropocentrico e responsabile. La legge mira a garantire che l'intelligenza artificiale sia utilizzata in modo trasparente, sicuro e coerente con i diritti fondamentali, ponendo le basi per una vigilanza rigorosa sui rischi sociali ed economici derivanti dall'automazione dei processi cognitivi.
A questo si aggiunge il Decreto Legislativo 179 del 7 ottobre 2026, entrato in vigore il 23 ottobre 2026, che rappresenta il pilastro dell'adeguamento nazionale all'AI Act europeo (Regolamento UE 2024/1689). Questo decreto disciplina specificamente l'impiego dell'IA nella pubblica amministrazione e nella formazione, definendo i poteri delle autorità nazionali e stabilendo che ogni sistema di IA deve essere inserito in un percorso di governance istituzionale.
Per le scuole, ciò significa che non è più sufficiente l'uso "spontaneo" di un software; ogni strumento deve essere mappato, valutato e autorizzato secondo criteri di conformità rigorosi. Un elemento chiave di questo percorso normativo è rappresentato dal DM 166/2025, che fornisce le linee guida ministeriali per l'introduzione dell'IA nelle istituzioni scolastiche. Il documento sottolinea chiaramente che l'adozione di tali tecnologie deve essere preceduta da una valutazione d'impatto sulla protezione dei dati (DPIA).
La Shadow AI è l'esatto opposto di questo percorso: è un'attività che elude la valutazione d'impatto, rendendo impossibile per la scuola verificare la finalità del trattamento, le garanzie di sicurezza e la conformità contrattuale dei fornitori di servizi esterni. L'assenza di un regolamento interno o di indicazioni operative chiare può aggravare la situazione, lasciando il personale nell'incertezza su quali strumenti siano utilizzabili e con quali cautele.
Responsabilità disciplinari e Codice di Comportamento
Il personale scolastico deve tenere presente che l'uso di strumenti digitali non è privo di vincoli etici e normativi. Il DPR 62/2013 (modificato dal DPR 81/2023), che contiene il Codice di comportamento dei dipendenti pubblici, regola esplicitamente l'uso delle tecnologie informatiche e la sicurezza delle informazioni. L'articolo 11bis di tale decreto impone ai dipendenti di agire con la massima diligenza nel proteggere i dati della Pubblica Amministrazione.
L'utilizzo di account personali per scopi di servizio, specialmente quando coinvolge dati sensibili di studenti, può essere interpretato come una violazione dei doveri di riservatezza e di sicurezza informatica. È fondamentale distinguere tra l'uso creativo e pedagogico dell'IA e il trattamento improprio di dati. Ad esempio, utilizzare un chatbot per generare idee per una lezione di storia non costituisce di per sé una violazione.
Tuttavia, inserire nomi, voti o descrizioni di bisogni educativi speciali di alunni specifici in una piattaforma non autorizzata configura un rischio elevatissimo. In questi casi, la responsabilità non ricade solo sul singolo docente, ma può coinvolgere l'intera istituzione per mancata vigilanza e mancata definizione di procedure operative chiare. Le autorità di controllo, inclusi i Garanti della Protezione dei Dati, hanno già fornito orientamenti precisi su come gestire i sistemi di IA generativa, invitando le istituzioni a fornire istruzioni pratiche ai propri dipendenti.
| Elemento Normativo / Azione | Dettaglio e Scopo |
|---|---|
| Legge 132/2025 | Definisce i principi di trasparenza, sicurezza e responsabilità per l'IA in Italia. |
| D.Lgs. 179/2026 | Adeguamento dell'Italia all'AI Act europeo e poteri delle autorità nazionali. |
| DM 166/2025 | Linee guida ministeriali per la governance dell'IA nelle scuole e DPIA. |
| DPR 62/2013 (art. 11bis) | Codice di comportamento: obblighi di sicurezza e riservatezza per i dipendenti pubblici. |
| Shadow AI | Uso non autorizzato di strumenti IA al di fuori dei controlli dell'organizzazione. |
Impatto operativo per la scuola e per il personale
Per i docenti e il personale ATA, la consapevolezza della Shadow AI significa adottare un approccio di prudenza digitale. Non esiste una sanzione disciplinare automatica per il semplice utilizzo di un chatbot; la valutazione della responsabilità dipende dalla gravità della violazione, dalla tipologia di dati comunicati e dalle istruzioni organizzative impartite dalla scuola.
Tuttavia, la tendenza normativa è chiara: ogni trattamento di dati personali tramite IA deve essere trasparente, conoscibile e conforme alle finalità per cui i dati sono stati raccolti. Le scuole devono ora procedere alla mappatura degli strumenti utilizzati e alla definizione di istruzioni operative. Questo processo non deve essere visto come un limite alla creatività, ma come una protezione per il lavoratore.
Un docente che utilizza strumenti approvati dalla propria istituzione è tutelato dalle procedure di sicurezza; un docente che opera nell'ombra si espone a rischi che vanno dalla responsabilità civile alla sanzione disciplinare, specialmente in caso di data breach o accesso non autorizzato a informazioni riservate. Per le segreterie e i dirigenti, la sfida principale è la creazione di un regolamento interno sull'IA. Tale documento deve specificare chiaramente:
- Gli strumenti di IA ufficialmente ammessi dall'istituzione;
- Le finalità specifiche per cui possono essere utilizzati (es. solo per la sintesi di testi pubblici, non per dati sensibili);
- Le procedure di anonimizzazione obbligatorie prima di ogni inserimento di dati;
- Le responsabilità assegnate ai diversi profili di personale;
- Le modalità di monitoraggio e di aggiornamento delle autorizzazioni.
In sintesi, il passaggio fondamentale è la transizione dall'uso individuale e "nascosto" a un uso istituzionale e regolamentato. La scuola deve diventare il luogo in cui l'intelligenza artificiale è un alleato consapevole, dove ogni algoritmo è sottoposto a una valutazione di rischio e ogni dipendente è formato sulle corrette modalità di interazione con queste tecnologie, garantendo così la tutela dei diritti degli studenti e la sicurezza del sistema scolastico.
Cosa cambia concretamente per il personale scolastico
In termini pratici, il personale scolastico deve cessare di utilizzare account personali per elaborare documenti di servizio che contengano dati identificativi. Ogni volta che si utilizza un chatbot per analizzare verifiche, redigere comunicazioni o pianificare percorsi inclusivi, è necessario verificare se lo strumento è stato autorizzato dalla scuola e se i dati inseriti sono stati adeguatamente anonimizzati.
In assenza di un regolamento interno chiaro, la prudenza suggerisce di non caricare mai documenti contenenti nomi, voti o dettagli sulla salute degli alunni su piattaforme esterne. La scuola, dal canto suo, deve avviare immediatamente la mappatura degli strumenti e la definizione delle linee guida operative per evitare che il personale operi in un vuoto normativo, esponendo l'istituzione a rischi di conformità e sanzioni.
Per approfondire i testi normativi di riferimento, è possibile consultare il testo della Legge 132/2025 sulla normativa IA o visionare le pubblicazioni ufficiali sulla Gazzetta Ufficiale per gli aggiornamenti sui decreti attuativi.
Note finali sulla responsabilità disciplinare
Si ricorda che la valutazione della responsabilità disciplinare dipende dalla gravità della violazione e dalla consapevolezza del dipendente riguardo alle norme vigenti. La formazione continua e la richiesta di chiarezza verso la dirigenza scolastica sono gli strumenti migliori per navigare la complessità della Shadow AI senza incorrere in sanzioni.
FAQs
Shadow AI a scuola: i rischi disciplinari e normativi per docenti e ATA nell'uso non autorizzato di ChatGPT
La Shadow AI indica l'utilizzo di strumenti di intelligenza artificiale, come chatbot o sistemi di analisi documenti, senza l'approvazione formale o la supervisione dell'istituzione scolastica. Nelle scuole questo fenomeno è critico perché il personale gestisce dati sensibili di minori, rendendo necessario un controllo rigoroso sulle garanzie di sicurezza e sulla conformità contrattuale dei servizi utilizzati.
L'uso di strumenti di IA non è di per sé sanzionabile, ma la responsabilità disciplinare può scattare se l'impiego avviene in violazione delle norme sulla riservatezza, del GDPR o delle istruzioni organizzative della scuola. In particolare, inserire dati personali, nomi o risultati scolastici in chatbot senza adeguate garanzie di anonimizzazione può configurare una violazione del Codice di comportamento dei dipendenti pubblici.
Il quadro normativo attuale include la Legge 132/2025, che definisce i principi di trasparenza e sicurezza, e il Decreto Legislativo 179/2026, che disciplina l'uso dell'IA nella pubblica amministrazione e nella formazione. Inoltre, il DM 166/2025 fornisce linee guida ministeriali che richiedono una valutazione d'impatto sulla protezione dei dati (DPIA) prima dell'adozione di tali tecnologie.
Le istituzioni scolastiche devono definire un regolamento interno sull'IA che specifichi gli strumenti ammessi, le finalità d'uso e le responsabilità del personale. È fondamentale che ogni trattamento di dati tramite IA sia trasparente, conoscibile e conforme alle finalità per cui i dati sono stati originariamente raccolti, evitando l'uso di account personali per scopi di servizio.
