Parere del Garante n. 454 del 04/08/2025

Servizio digitale IA nella Piattaforma Unica e linee guida per le scuole

Il Garante per la protezione dei dati personali ha reso parere favorevole sullo schema di decreto ministeriale del Ministero dell’istruzione e del Merito, adottato ai sensi dell’art. 11, comma 4, del DM 10 ottobre 2023, n. 192, volto a implementare un servizio digitale in materia di intelligenza artificiale nell’ambito della Piattaforma Unica. Il provvedimento reca anche le "Linee guida per l’introduzione dell’Intelligenza Artificiale nelle Istituzioni scolastiche".

Quadro normativo di riferimento

Il Garante richiama il Regolamento (UE) 2016/679 (GDPR), il d.lgs. 196/2003, il Regolamento (UE) 2024/1689 sull’intelligenza artificiale e l’art. 21, commi 4-ter e seguenti, del d.l. 75/2023, convertito dalla l. 112/2023, che disciplina la Piattaforma Famiglie e Studenti, detta anche "Unica". Viene inoltre ricordato che il DM 192/2023 aveva già disciplinato il trattamento dei dati personali nella Piattaforma e che il Garante aveva espresso parere su precedenti servizi digitali, tra cui E-Portfolio, Docente Tutor, Gite Scolastiche e Knowledge Area.

Contenuto dello schema di decreto

Lo schema prevede l’introduzione, nella Piattaforma Unica, di un servizio digitale che consente al Ministero di rendere disponibili contenuti e documenti informativi sull’IA, incluse specifiche linee guida e una mappa delle sperimentazioni avviate dalle istituzioni scolastiche. L’obiettivo dichiarato è supportare le scuole nei possibili impieghi dell’IA e favorire, per studenti, studentesse e genitori o esercenti la responsabilità genitoriale, l’acquisizione di competenze digitali necessarie a un uso consapevole delle nuove tecnologie.

Lo schema disciplina inoltre:

• le modalità di accesso al servizio digitale;
• le sezioni e le funzionalità del servizio;
• i ruoli dei soggetti coinvolti nel trattamento dei dati personali;
• i principi di protezione dei dati e le misure di sicurezza;
• l’adozione di ulteriori decreti ministeriali per disciplinare in dettaglio le iniziative di IA delle scuole, le attività formative, gli ulteriori elementi di garanzia e l’aggiornamento delle linee guida e dei relativi modelli documentali.

Linee guida allegate

Le linee guida allegate allo schema indicano gli obiettivi del MIM nell’introdurre l’IA nel contesto scolastico: rafforzare la competitività del sistema educativo, preservarne la qualità, promuovere l’equità e accompagnare l’uso dell’IA con consapevolezza. Sono richiamati principi quali la centralità della persona, la tutela dei diritti e delle libertà fondamentali e la sicurezza dei sistemi e modelli di IA.

Le linee guida contengono inoltre requisiti etici, tecnici e normativi e istruzioni operative e strumenti di accompagnamento per l’adozione dell’IA nelle istituzioni scolastiche.

Valutazioni del Garante in materia di protezione dei dati

Il Garante osserva che i trattamenti di dati personali svolti per compiti di interesse pubblico devono essere effettuati solo nel perseguimento delle finalità istituzionali dei titolari, sulla base della normativa di settore che ne definisce presupposti, condizioni, modalità, limiti e misure di tutela. In tale prospettiva devono essere rispettati i principi di liceità, correttezza, trasparenza e limitazione della finalità di cui all’art. 5, par. 1, lett. a) e b), e all’art. 6, parr. 1, lett. e), e 3, GDPR, oltre all’art. 2-ter del Codice privacy. Per eventuali trattamenti di categorie particolari di dati o dati relativi a condanne penali e reati, il Garante richiama gli artt. 9 e 10 GDPR e gli artt. 2-sexies e 2-octies del Codice.

Se il trattamento si avvale di sistemi di IA, devono essere garantiti anche la piena trasparenza verso gli interessati e il diritto a non essere sottoposti a decisioni basate unicamente su trattamenti automatizzati, compresa la profilazione, quando producano effetti giuridici o incidano significativamente sulla persona, ai sensi degli artt. 12, 13, 14 e 22 GDPR.

Osservazioni già accolte nello schema

Il Garante evidenzia che la versione esaminata tiene conto delle osservazioni formulate durante le interlocuzioni informali, con particolare riferimento a:

• rispetto dei divieti relativi alle pratiche vietate dall’art. 5 del Regolamento IA, inclusi gli strumenti di riconoscimento delle emozioni, soprattutto nel contesto scolastico o lavorativo;
• osservanza delle prescrizioni per i sistemi di IA ad alto rischio, in particolare quelli richiamati dall’art. 6, par. 2, e dall’allegato III, n. 3, del Regolamento IA;
• garanzie di trasparenza verso gli interessati;
• definizione dei ruoli e delle responsabilità dei soggetti istituzionali coinvolti nella gestione dei sistemi di IA e nel trattamento dei dati personali;
• uso dei dati personali di studenti e docenti solo se strettamente indispensabile, con preferenza per dati sintetici quando possibile, e con configurazioni che impediscano conservazione dei prompt, profilazione e tracciamento degli studenti;
• necessità di attività formative adeguate, audit e valutazioni periodiche per verificare affidabilità, trasparenza e correttezza dei sistemi, nonché di misure tecniche e organizzative adeguate al contesto.

Esito del parere e indicazioni operative

Il Garante esprime parere favorevole sullo schema di decreto e sulle linee guida allegate. Ribadisce tuttavia che i soggetti che effettuano trattamenti devono adottare misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato ai rischi specifici del contesto scolastico ed educativo, anche alla luce della valutazione d’impatto e nel rispetto del principio di accountability di cui agli artt. 5, par. 2, e 24 GDPR, con richiamo anche all’art. 35 GDPR.

Viene infine sottolineato che, quando l’utilizzo di sistemi di IA comporta il trattamento di dati personali, deve essere assicurato il contestuale rispetto della disciplina in materia di protezione dei dati personali e delle garanzie previste dal Regolamento IA, la cui osservanza rientra nei compiti e poteri del Garante.