Nel contesto educativo contemporaneo, l’intelligenza artificiale sta entrando progressivamente nelle scuole, sollevando interrogativi importanti sul piano normativo, etico e pratico. Come possono le scuole utilizzare questi strumenti rispettando il GDPR e l’AI Act? Quali sono i limiti imposti dalla legge per proteggere i dati di studenti, docenti e famiglie?
Il punto di vista legale: Avv. Gaetano Guarino
Per fare chiarezza su questi aspetti, abbiamo intervistato l’Avvocato Gaetano Guarino, esperto in diritto della privacy e protezione dei dati personali, con particolare attenzione all’ambito scolastico. In questa conversazione, guidata da Ivano Stella, affrontiamo i punti cruciali legati al trattamento dei dati, alla valutazione d’impatto (Data Protection Impact Assessment, DPIA), al divieto di decisioni automatizzate e al principio di trasparenza, offrendo uno sguardo pratico e approfondito per dirigenti, docenti e operatori della scuola che si trovano a navigare in questa nuova frontiera.
Quali sono i principi fondamentali del regolamento UE per la protezione dei dati personali (GDPR) che le scuole devono assolutamente tenere presenti quando considerano l’utilizzo dell’intelligenza artificiale per trattare i dati degli studenti e del personale scolastico?
Ritengo che il principio più importante da rispettare in materia sia sempre quello della necessità: i dati personali degli studenti devono essere trattati e utilizzati solo quando è necessario, cioè quando c’è un obbligo che rende indispensabile usare questi dati.
Quindi, questo esclude che i dati personali degli studenti possano essere utilizzati senza un motivo, o in maniera superficiale, senza che la persona che li sta trattando sappia con precisione cosa debba farne. È molto importante, quindi, fare sempre un uso funzionale di questi dati.
Un altro principio importante è quello della finalità, che è un po’ come la bandiera che la scuola deve seguire quando utilizza i dati: deve esserci una finalità nota, chiara, precisa e legittima. È, in sostanza, ciò che guida la persona del personale scolastico nel capire cosa deve fare con quei dati, indicando proprio quale sia l’obbligo da soddisfare con il trattamento.
In questo modo si crea un rapporto tra la finalità e l’uso dei dati. E’ la finalità che limita l’uso dei dati affinché essi siano adeguati e utili a soddisfarla. Ed è proprio la presenza del come i dati debbano essere rispetto alla finalità che configura il principio di minimizzazione dei dati.
Infatti, nel momento in cui la scuola si trova in possesso di dati personali degli studenti, deve utilizzarli per lo stretto necessario, tenendo conto anche della finalità e della necessarietà del loro utilizzo per soddisfarla.
Altro principio rilevante è quello dell’integrità e riservatezza. Questo terzo principio prevede che bisogna attivarsi per garantire la sicurezza dei dati, anche con misure di carattere tecnico. Quindi obbliga la scuola a porre in essere tutte le misure necessarie per tutelare i dati da eventuali danneggiamenti e da occhi indiscreti di soggetti non autorizzati.
Riassumendo, i tre principi cardine sono: necessarietà, minimizzazione, integrità e riservatezza. Essi orbitano attorno al principio della finalità, che ne determina la ragione d’essere. In altre parole, la finalità spiega perché i dati devono essere trattati, mentre gli altri principi stabiliscono come devono essere trattati.
È sempre necessario il consenso degli interessati per finalità di trattamento dei dati con l’intelligenza artificiale, o esistono altre condizioni che rendono lecito il trattamento?
Nel caso di utilizzo dei dati personali, la regola generale è che ci sia sempre il consenso degli interessati. Tuttavia, esistono delle eccezioni, le più importanti sono:
- Quando le parti sono legate da un contratto, o da un rapporto precontrattuale (quindi già si conoscono e conoscono i dati personali coinvolti);
- oppure ci sono situazioni che rimandano alla necessarietà della presenza di una legge che autorizzi una pubblica amministrazione, o un soggetto che svolge un compito pubblico, a trattare i dati anche senza il consenso.
Nell’ambito scolastico, io ritengo che sia necessario il consenso per quanto riguarda la prima acquisizione dei dati, ad esempio da parte dei genitori degli studenti. Questo perché il GDPR ci ricorda che, nel momento in cui si trattano dati di minori, è richiesta particolare accortezza — e gli studenti, in genere, sono minori.
Allo stesso tempo, però, il regolamento ci dice che quando c’è una legge che indica la finalità e autorizza il soggetto pubblico a trattare i dati, non è necessario il consenso.
Per tenere insieme entrambe queste ipotesi, io ritengo che si possa seguire questo schema:
- Si acquisisce inizialmente il consenso dopo aver fornito un’informativa privacy;
- Dopodiché, non è necessario un ulteriore consenso per trattamenti successivi, se questi sono coperti da una legge.
Questo è in linea anche con uno dei considerando del GDPR, che afferma che, una volta ottenuto il consenso per un determinato trattamento, non è necessario richiederlo nuovamente per trattamenti successivi coerenti con la stessa finalità.
Nel momento in cui trattiamo dati con l’intelligenza artificiale, ci rendiamo conto che è fondamentale avere sia il consenso iniziale, sia una legge che definisca la finalità e spieghi perché quei dati devono essere usati. In questo modo la scuola è tutelata da qualsiasi contestazione relativa.
La scuola ha i dati perché li ha ottenuti previo consenso, e li utilizza per applicare una legge. In particolare, mi riferisco alla normativa che prevede la creazione del fascicolo personale dello studente, un obbligo stabilito già negli anni ’90 dalla Legge 5 giugno 1990, n. 148, che stabilisce l’obbligo della scuola di formare gli studenti secondo i principi della Costituzione nel rispetto delle loro diversità e di garantire la continuità educativa.
Per assicurare questo principio – cioè che gli studenti debbano essere seguiti nel loro sviluppo culturale e formativo nel tempo – sono poi state emanate diverse normative ministeriali che prevedono proprio la creazione del fascicolo personale dello studente, contenente tutti i suoi dati personali.
Il regolamento della privacy evidenzia il divieto di sottoporre gli allievi a processi decisionali automatizzati o a profilazione. Ma cosa significano concretamente questi divieti per le scuole che intendono utilizzare l’intelligenza artificiale? E quali sono le applicazioni specifiche dell’IA che potrebbero rientrare in queste categorie proibite?
Si tratta davvero di un elemento – io direi – rischioso e pericoloso per le scuole, perché i trattamenti automatizzati e la profilazione sono due aspetti, due facce dell’utilizzo autonomo e indipendente dell’intelligenza artificiale.
Il primo riguarda situazioni in cui una decisione viene presa direttamente dalla macchina. Il secondo si riferisce a quando viene fatta una previsione o un’analisi da parte dell’IA. Immaginiamo, ad esempio, un gruppo di studenti e un’autorità scolastica che deve prendere una decisione o fare una previsione: il divieto imposto dal regolamento europeo consiste proprio nell’evitare che queste decisioni o previsioni siano demandate a un sistema automatizzato. Deve essere sempre un essere umano a compiere l’ultima valutazione.
Perciò, è vietato organizzare un’IA, ad esempio tramite processi di machine learning, in modo tale da privilegiare alcuni studenti a scapito di altri. In altre parole, non è lecito creare o gestire un sistema che porti a decisioni potenzialmente discriminatorie.
Un esempio celebre è quello di una nota azienda di ingegneria che aveva utilizzato un’IA per selezionare nuovi ingegneri. A un certo punto si sono accorti che assumeva sempre uomini. Analizzando il sistema, hanno scoperto che era stato “addestrato” proprio per escludere, di fatto, le donne. Questo è un classico caso di decisione automatizzata e anche, probabilmente, di profilazione, che sarebbe vietata da una normativa come quella europea, proprio perché introduce discriminazioni.
E questo vale anche nel contesto scolastico. Pensiamo alla scuola di oggi, dove ci sono molti studenti con origini non italiane, o studenti con disabilità, con DSA, o altre particolarità. Pensiamo anche alle decisioni che coinvolgono i docenti, un gruppo eterogeneo, con diversità e bisogni differenti, che vanno rispettati. Una macchina, per quanto evoluta, potrebbe non cogliere tutte le sfaccettature e le complessità del contesto scolastico.
Avvocato, secondo lei perché le scuole che utilizzano l’intelligenza artificiale devono obbligatoriamente passare per una valutazione di impatto sulla protezione dei dati, la cosiddetta DPIA? E quali sono i passaggi più importanti da seguire per rispettarla?
Si tratta di un processo particolarmente complesso, ma ha il vantaggio – io la definirei così – di essere la mappa dell’uso dell’intelligenza artificiale nei vari contesti. E in un contesto in cui ci sono minori, questo diventa ancora più importante.
La valutazione di impatto serve a capire in che modo una nuova tecnologia possa interagire con i dati personali, e cioè indica:
- quali sono i rischi,
- quali accortezze tecniche bisogna adottare,
- e quali sono i passaggi obbligatori per un uso corretto e sicuro secondo la normativa.
Tutto questo serve per prevenire e gestire le problematiche che potrebbero sorgere. Una volta completato questo processo e informate le autorità scolastiche, ci sarà sicuramente maggiore consapevolezza, e mi permetto di dire anche maggiore sicurezza per i soggetti che saranno chiamati a trattare dati con l’intelligenza artificiale.
I passaggi più importanti, secondo quanto stabilito dalla normativa, sono innanzitutto:
- il coinvolgimento diretto dei soggetti che devono effettuare il trattamento, anche attraverso interviste, per capire in modo concreto cosa l’intelligenza artificiale debba fare con i dati personali in quel contesto specifico. Quindi non si resta sul generico, ma si cercano esempi concreti;
- poi, è fondamentale il coinvolgimento di varie figure: sia tecnici informatici, sia responsabili della protezione dei dati, ma anche – dove necessario – esperti di intelligenza artificiale.
Questo perché entriamo in un’area dove si intersecano due normative, entrambe con le proprie peculiarità: da una parte quella sulla protezione dei dati personali, dall’altra quella sull’uso dell’intelligenza artificiale.
La DPIA è proprio il punto di unione tra queste due normative. È il momento in cui si mette “a terra” tutto: una volta fatta la DPIA, si sa con chiarezza come utilizzare l’IA nel rispetto della legge.
Quindi, io ritengo che la DPIA sia uno strumento che offre grande sicurezza a chi opera nel settore scolastico.
Quali sono le implicazioni dell’AI Act per le scuole? In particolare, riguardo all’uso dei sistemi di intelligenza artificiale considerati ad alto rischio in ambito educativo, come l’accesso all’istruzione o, per esempio, la valutazione?
Ecco, questa è un’altra delle ipotesi particolarmente preoccupanti per tutti gli operatori del settore: cioè, rapportare l’AI Act al contesto scolastico, e in particolare all’accesso all’istruzione.
Il regolamento identifica chiaramente questi ambiti come ipotesi ad alto rischio. E quando si parla di “alto rischio”, si intende che devono essere circoscritti da una serie di limiti ben precisi.
Può sembrare ridondante rispetto a quanto già detto, ma la preoccupazione centrale resta quella delle decisioni automatizzate, delle discriminazioni e dei danni potenziali agli studenti.
Pensiamo, ad esempio, a una scuola che ha un numero limitato di posti per nuovi iscritti: utilizzare un sistema automatizzato per selezionare gli studenti potrebbe portare all’esclusione ingiustificata di alcuni a discapito di altri.
Oppure immaginiamo l’ambito della valutazione, quando si è in gioco, ad esempio, una borsa di studio. Ma anche quando si tratta di selezionare un docente per una supplenza, come una maternità, e ci sono molte domande da valutare.
In questi casi, è comprensibile che un dirigente scolastico o un responsabile della selezione possa essere tentato di usare un’IA per fare una prima scrematura. E, in linea di principio, potrebbe anche aiutare il processo di valutazione dei curriculum.
Tuttavia, è fondamentale che questi sistemi siano progettati in modo da evitare qualsiasi rischio di discriminazione o decisioni errate.
Come interviene il regolamento per garantire questo? Non solo attraverso la DPIA, di cui abbiamo già parlato — che analizza l’uso del machine learning e i rischi — ma anche assicurando sempre il controllo umano.
È previsto, infatti, un rapporto costante tra essere umano e macchina, ma da parte di personale formato, consapevole di cosa sta facendo.
Su questo punto insistono molto anche le linee guida dell’Agid: sottolineano l’importanza della formazione e mettono in guardia contro un uso improvvisato o superficiale dell’IA. È necessario quindi un uso cauto e consapevole di queste nuove tecnologie nel mondo scolastico.
Avvocato, che significa concretamente “sorveglianza umana” in un contesto scolastico dove vengono impiegati strumenti di intelligenza artificiale?
Significa, in concreto, garantire che l’IA non operi mai in completa autonomia, cioè che non prenda decisioni da sola. Deve esserci sempre un essere umano che:
- si rapporta con i dati che vengono inseriti,
- valuta i risultati forniti dall’intelligenza artificiale.
Addirittura, è previsto espressamente che l’operatore umano debba avere la possibilità di ignorare i risultati dell’IA, se ritenuti sbagliati, o addirittura di arrestarne il funzionamento. Questo ci fa capire che il rapporto tra essere umano e IA deve essere gerarchico: è l’essere umano a gestire l’IA, non il contrario.
L’operatore deve poter:
- gestire i rischi legati all’uso dell’IA,
- controllarne il funzionamento,
- e avere l’ultima parola su ogni decisione.
Penso, ad esempio, a quanto previsto proprio dall’AI Act, che introduce l’obbligo di fornire una sorta di “manuale d’uso” per l’intelligenza artificiale. Viene anche stabilita la necessità di formare le persone che useranno questi strumenti, oltre alla verifica di conformità dell’IA, cioè una validazione tecnica prima che venga immessa sul mercato o utilizzata nelle scuole.
Quindi la sorveglianza umana è un principio che:
- riguarda sia chi progetta l’intelligenza artificiale,
- sia chi la utilizza.
Un altro aspetto importante della sorveglianza riguarda la conservazione dei log, cioè la registrazione delle sessioni d’uso dell’IA. Questo è utile per:
- rintracciare eventuali anomalie,
- individuare le cosiddette “allucinazioni” dell’IA (quando genera informazioni false o errate),
- monitorare e aggiornare costantemente il sistema.
Perché l’intelligenza artificiale è un fenomeno in evoluzione, con implicazioni complesse. È uno strumento potente, ma non perfetto. Può sbagliare, e proprio per questo deve sempre essere sorvegliato da un essere umano. L’AI Act, per l’appunto, prevede la creazione di un sistema di gestione dei rischi, ma non la loro eliminazione.
Come possono le scuole garantire la trasparenza nell’utilizzo dell’intelligenza artificiale nei confronti degli studenti, delle famiglie, del personale scolastico? Insomma, pensando a tutta la comunità scolastica?
Io ritengo che uno strumento fondamentale per aiutare in questo senso sia l’utilizzo di un codice etico, che indichi i principi e i valori che la scuola intende seguire nell’utilizzo dell’intelligenza artificiale, così come la normativa di riferimento nazionale e internazionale seguita dall’istituto.
Attenzione però: questo codice non deve essere visto come un semplice adempimento burocratico, da pubblicare solo sul sito web. Deve rappresentare un punto di riferimento concreto per tutte le situazioni in cui, magari, la normativa è silenziosa o non del tutto chiara. In quei casi, il codice etico può guidare le decisioni.
Inoltre, è fondamentale comunicare chiaramente le finalità per cui viene utilizzata l’IA, facendo capire che viene impiegata per scopi già previsti dalla legge, come:
- la gestione del fascicolo scolastico,
- la garanzia della continuità educativa.
Sono compiti che la scuola già svolge, ma attraverso strumenti diversi. E se la scuola dovesse avere delle incertezze, il codice etico può fornire una guida chiara, spiegando quali valori intende rispettare nell’utilizzo di queste tecnologie.
Questo approccio può rasserenare, perché aiuta a garantire trasparenza, e a trasmettere un messaggio fondamentale: con la giusta formazione, informazione e — mi sento di aggiungere — consapevolezza, l’essere umano può gestire i rischi e le problematiche legate all’IA, evitando un uso inappropriato o sconsiderato.
Il messaggio di fondo del regolamento europeo è proprio questo: l’IA può essere utilizzata, ma non può diventare uno strumento che viola i valori fondamentali, i principi, le regole condivise delle nostre comunità.
E questo vale anche per la comunità scolastica. Le scuole devono continuare a rispettare i valori su cui si fonda la Costituzione, come il principio di uguaglianza e non discriminazione previsto dall’articolo 3. Questo è uno dei cardini da tenere presenti anche quando si utilizza l’intelligenza artificiale.
Verso un uso consapevole dell’intelligenza artificiale a scuola
L’intervista con l’Avvocato Gaetano Guarino ci restituisce un quadro lucido e approfondito delle responsabilità che le scuole devono assumersi quando scelgono di integrare l’intelligenza artificiale nei propri processi educativi e organizzativi. Non si tratta solo di adeguarsi a norme complesse, ma di adottare una visione etica, trasparente e inclusiva, che metta sempre al centro le persone: studenti, famiglie, docenti e tutto il personale scolastico.
La tecnologia può offrire strumenti potenti, ma solo se governati con consapevolezza e attenzione ai diritti fondamentali. In questo percorso, figure professionali come quelle dell’avvocato competente in privacy e IA diventano preziose guide per costruire un’innovazione che sia davvero al servizio della scuola e della comunità.
