Una circolare arriva a fine anno scolastico: la scuola di vostro figlio adotterà una piattaforma di IA per personalizzare gli esercizi. Vi fermate un attimo. Chi vede i dati del bambino? Dove finiscono? Avete firmato qualcosa che non ricordate? Quel piccolo nodo allo stomaco non e paranoia, e la domanda giusta. La legge oggi prende quei dati molto sul serio, e mette obblighi precisi su chi quei sistemi li sceglie e li gestisce.
Il 22 giugno 2026 il Consiglio dei Ministri ha approvato il decreto legge Infrastrutture, che destina fino a 100 milioni di euro a misure di intelligenza artificiale nella didattica. Le risorse arrivano dal programma nazionale PN Scuola 2021-2027 e il decreto interviene sulla legge 132/2025, la legge nazionale sull'IA. Soldi e tecnologia entrano in classe: con loro entra anche un quadro di regole che vale la pena conoscere prima, non dopo.
school 1. Cosa ha deciso il Consiglio dei Ministri
Il provvedimento approvato il 22 giugno 2026 e un decreto legge con disposizioni urgenti per interventi infrastrutturali e per l'attuazione del PNRR (Piano Nazionale di Ripresa e Resilienza). Tra le misure, lo stanziamento per l'IA nella scuola: il testo prevede che per l'attuazione delle relative misure si possa provvedere nel limite complessivo di 100 milioni di euro, a valere sulle risorse del programma nazionale PN Scuola 2021-2027.
Si tratta di un decreto legge: e in vigore dalla pubblicazione in Gazzetta Ufficiale, ma il Parlamento deve convertirlo in legge entro sessanta giorni, altrimenti decade. Il numero di 100 milioni e quindi un tetto di spesa, non una somma gia distribuita alle singole scuole.
balance 2. Perche la scuola e un terreno ad alto rischio per l'AI Act
L'AI Act (Reg. UE 2024/1689) classifica i sistemi di IA per livello di rischio. L'Allegato III, al punto dedicato all'istruzione e alla formazione professionale, colloca fra gli usi ad alto rischio diversi sistemi: quelli che decidono l'accesso o l'ammissione a istituti e percorsi, quelli che valutano gli esiti dell'apprendimento, quelli che orientano sul livello di istruzione adeguato, e i sistemi di sorveglianza dei comportamenti vietati durante gli esami (cosiddetto proctoring, monitoraggio a distanza delle prove).
Alto rischio non significa vietato: significa soggetto a obblighi rafforzati. Tra questi: governo del rischio, qualita dei dati, documentazione tecnica, sorveglianza umana qualificata, trasparenza verso chi e sottoposto al sistema. La maggior parte di questi obblighi diventa applicabile dal 2 agosto 2026, data che funziona come orizzonte concreto di adeguamento per scuole e fornitori.
C'e poi un divieto netto: l'AI Act vieta l'uso di sistemi che inferiscono le emozioni delle persone negli istituti di istruzione, salvo ragioni mediche o di sicurezza. Non e un dettaglio: e una linea rossa che taglia fuori alcune applicazioni di analisi dell'attenzione o dello stato emotivo degli studenti.
privacy_tip 3. I dati dei minori e il GDPR: tutele rafforzate
Quando il sistema tratta dati di minori, il GDPR (Reg. UE 2016/679) alza l'asticella. Il considerando 38 del GDPR riconosce che i minori meritano una protezione specifica, perche sono meno consapevoli dei rischi e delle garanzie connessi al trattamento dei loro dati. Questo principio orienta tutte le scelte: dalla base giuridica alla quantita di dati raccolti.
Per ogni trattamento servono pilastri precisi. Una base giuridica corretta, perche il consenso, da solo, raramente regge in un contesto scolastico (lo squilibrio di potere lo rende fragile). Trasparenza, con informative comprensibili a famiglie e studenti. Minimizzazione, cioe raccogliere solo i dati davvero necessari allo scopo. E sorveglianza umana sulle decisioni che incidono sul percorso del ragazzo.
description 4. La DPIA: quando e obbligatoria e cosa deve contenere
La DPIA (valutazione d'impatto sulla protezione dei dati) e disciplinata dall'art. 35 GDPR. E obbligatoria quando un trattamento, per natura, oggetto, contesto e finalita, presenta un rischio elevato per i diritti e le liberta delle persone. Un sistema di IA che profila o valuta studenti minorenni, su larga scala, rientra tipicamente in questo perimetro.
La DPIA non e un modulo da archiviare. E un'analisi che descrive il trattamento, ne valuta necessita e proporzionalita, individua i rischi per gli interessati e definisce le misure per ridurli. Va fatta prima di avviare il trattamento, e aggiornata se cambiano le condizioni. Per le scuole significa coinvolgere il DPO (Responsabile della protezione dei dati) e pretendere dal fornitore le informazioni tecniche necessarie a compilarla.
| Adempimento | Riferimento | Chi se ne occupa | Quando |
|---|---|---|---|
| Valutazione d'impatto (DPIA) | Art. 35 GDPR | Scuola (titolare) con il DPO | Prima dell'avvio del trattamento |
| Obblighi sistemi alto rischio | AI Act, Allegato III | Fornitore e scuola (deployer) | Applicabili dal 2 agosto 2026 |
| Informativa a famiglie e studenti | Artt. 13-14 GDPR | Scuola | All'attivazione del servizio |
| Nomina del responsabile | Art. 28 GDPR | Scuola verso il fornitore | Prima del trattamento dei dati |
shield 5. Il Garante guarda alle scuole: il piano ispettivo 2026
Il Garante per la protezione dei dati personali ha incluso l'IA in ambito scolastico tra le priorita del piano ispettivo del primo semestre 2026, adottato con delibera di fine 2025. Secondo quanto riportato dalla stampa specializzata, il piano prevede almeno 40 ispezioni, anche con il supporto del Nucleo speciale della Guardia di Finanza, su diverse aree, tra cui appunto gli strumenti di IA usati nelle scuole.
L'attenzione del Garante e su un punto preciso: l'adozione, anche informale, di piattaforme e servizi di IA in classe e negli uffici amministrativi deve essere governata con regole, documenti e misure tecniche coerenti con il GDPR, proprio perche coinvolge minori e puo implicare trattamenti su larga scala o profilazioni. Rilevano inoltre le linee guida del Ministero competente in materia di istruzione, che orientano le scelte degli istituti.
family_restroom 6. Cosa devono fare scuole e fornitori adesso
Per le scuole, il lavoro parte da una mappatura: quali strumenti di IA sono gia in uso, anche per iniziativa dei singoli docenti, e quali dati toccano. Da li discende il resto. Verificare se serve una DPIA e, in caso, redigerla. Aggiornare le informative. Inquadrare il fornitore come responsabile del trattamento ai sensi dell'art. 28 GDPR. Formare il personale: l'AI Act chiede competenze adeguate per chi esercita la sorveglianza umana.
Per i fornitori, la prospettiva e speculare. Predisporre la documentazione tecnica richiesta dall'AI Act per i sistemi ad alto rischio, garantire qualita e tracciabilita dei dati, offrire alle scuole le informazioni necessarie a compilare la DPIA, ed escludere a monte le funzioni vietate, a partire dal riconoscimento delle emozioni in ambito scolastico.
gavel 7. Quadro normativo: le fonti da tenere a mente
Tre testi si intrecciano. Il decreto legge Infrastrutture del 22 giugno 2026, che stanzia i 100 milioni e modifica la legge 132/2025 (la legge nazionale sull'IA): da convertire entro sessanta giorni. L'AI Act (Reg. UE 2024/1689), che qualifica come ad alto rischio i sistemi di IA nel settore istruzione (Allegato III) e fissa al 2 agosto 2026 l'applicabilita della gran parte degli obblighi. Il GDPR (Reg. UE 2016/679), con la DPIA dell'art. 35, gli obblighi di trasparenza e le tutele rafforzate per i minori del considerando 38.
Chi tiene insieme questi tre livelli, prima che arrivi l'ispezione o il reclamo di una famiglia, parte avvantaggiato. Non si tratta di rincorrere la tecnologia: si tratta di adottarla con le spalle coperte.
account_balance 8. Come puo aiutarti lo Studio
Lo Studio Legale BCS affianca istituti scolastici, enti e fornitori di tecnologie didattiche nell'adeguamento al GDPR e all'AI Act: mappatura dei trattamenti, redazione della DPIA, revisione di informative e contratti con i fornitori, predisposizione della documentazione per i sistemi ad alto rischio e supporto in caso di ispezione del Garante. Se state introducendo strumenti di IA in classe o nei processi amministrativi, una consulenza mirata consente di impostare le scelte nel modo corretto fin dall'inizio. Contattate lo Studio per una valutazione del vostro caso.
quiz Domande frequenti
Lo stanziamento di 100 milioni e gia disponibile per ogni scuola?
No. I 100 milioni sono un limite massimo di spesa previsto dal decreto legge Infrastrutture del 22 giugno 2026, a valere sul PN Scuola 2021-2027, non una somma gia ripartita tra i singoli istituti. Il decreto deve inoltre essere convertito in legge dal Parlamento entro sessanta giorni.
Usare l'IA a scuola e considerato un trattamento ad alto rischio?
Per molti usi si. L'AI Act (Reg. UE 2024/1689), all'Allegato III, classifica come ad alto rischio diversi sistemi di IA nel settore istruzione, ad esempio quelli che valutano gli esiti dell'apprendimento o sorvegliano gli esami. Per questi sistemi scattano obblighi rafforzati, applicabili dal 2 agosto 2026.
Quando e obbligatoria la DPIA per un sistema di IA scolastico?
La DPIA (art. 35 GDPR) e obbligatoria quando il trattamento presenta un rischio elevato per i diritti delle persone. La profilazione o valutazione di studenti minorenni su larga scala rientra tipicamente in questo caso. Va effettuata prima di avviare il trattamento e aggiornata se le condizioni cambiano.
Cosa controlla il Garante Privacy nel 2026 sulle scuole?
Il Garante ha inserito l'IA in ambito scolastico tra le priorita del piano ispettivo del primo semestre 2026. L'attenzione e sull'adozione, anche informale, di piattaforme di IA che trattano dati di minori: regole interne, informative aggiornate, misure di sicurezza e, dove necessaria, la DPIA.
L'IA puo analizzare le emozioni degli studenti in classe?
No, salvo ragioni mediche o di sicurezza. L'AI Act vieta espressamente l'uso di sistemi di IA per inferire le emozioni delle persone negli istituti di istruzione, in ragione della natura invasiva di tali sistemi e dello squilibrio di potere nel contesto scolastico.