Settore · Scuole, istituti e formazione

GDPR e AI Act per scuole e istituti di istruzione

Le scuole trattano dati di minori, e il GDPR li considera meritevoli di una protezione specifica. A questo si aggiunge un fatto che pochi istituti hanno messo a fuoco: l'AI Act elenca espressamente l'istruzione tra i settori ad alto rischio, e gli strumenti di intelligenza artificiale usati per valutare o ammettere gli studenti ricadono nel regime più severo del Regolamento.

Richiedi un preventivo Cosa serve

Aggiornato al 19 agosto 2026

Per le scuole statali il DPO è obbligatorio, in quanto enti pubblici, senza soglie e senza eccezioni. Per le paritarie l'obbligo va valutato, ma il trattamento di dati di minori su larga scala lo rende quasi sempre dovuto. Sul fronte AI Act: i sistemi usati per ammissione, valutazione degli apprendimenti e monitoraggio durante gli esami rientrano nell'Allegato III tra quelli ad alto rischio, e il riconoscimento delle emozioni negli istituti di istruzione è vietato dal 2 febbraio 2025.

Perché i dati dei minori richiedono più attenzione

Il GDPR dedica ai minori una tutela rafforzata. Il considerando 38 lo dice esplicitamente: i minori meritano una protezione specifica perché possono essere meno consapevoli dei rischi e delle conseguenze del trattamento dei loro dati. Questo si traduce in tre conseguenze operative per una scuola.

Le informative vanno scritte in modo comprensibile anche per chi le legge in famiglia, con un linguaggio semplice e chiaro. Un'informativa costruita su formule giuridiche non soddisfa il requisito.
Il consenso, quando serve, lo esprime chi esercita la responsabilità genitoriale. In Italia, per i servizi della società dell'informazione, la soglia è fissata a 14 anni.
La valutazione d'impatto è più frequentemente dovuta, perché il trattamento di dati di soggetti vulnerabili è uno dei criteri che la rendono necessaria.

Attenzione a una confusione ricorrente. Gran parte dei trattamenti scolastici si fonda sull'obbligo di legge o sull'esecuzione di un compito di interesse pubblico, non sul consenso. Chiedere il consenso dove non serve non è un eccesso di prudenza: è un errore, perché lascia intendere alle famiglie una facoltà di revoca che in realtà non esiste.

Gli adempimenti che riguardano ogni istituto

Nomina del DPO e comunicazione dei dati di contatto al Garante, con pubblicazione sul sito dell'istituto
Registro dei trattamenti che copra didattica, segreteria, personale, servizi accessori e piattaforme digitali
Informative distinte per famiglie, studenti maggiorenni, personale docente e ATA, fornitori
Nomine dei responsabili esterni per registro elettronico, piattaforme didattiche, servizi cloud, mensa e trasporti
Autorizzazioni al trattamento per docenti e personale di segreteria, con istruzioni scritte
Valutazione d'impatto dove ricorrono i presupposti, tipicamente su registro elettronico, piattaforme didattiche e videosorveglianza
Formazione del personale documentata, con attestati e registro delle ore
Procedura di data breach, con la valutazione delle 72 ore

Registro elettronico e piattaforme didattiche

Sono i due trattamenti su cui si concentrano più criticità, per una ragione strutturale: la scuola resta titolare, ma i dati transitano su sistemi di terzi. Vanno quindi verificati la nomina a responsabile ai sensi dell'art. 28, le istruzioni impartite, la localizzazione dei dati, i tempi di conservazione e gli eventuali sub-responsabili.

Nelle piattaforme in versione gratuita per l'istruzione va controllato con particolare cura un punto: se e come i dati degli studenti vengono utilizzati per finalità del fornitore diverse dall'erogazione del servizio.

Foto, riprese e saggi di fine anno

È il tema che genera più contenzioso con le famiglie. La distinzione che conta è tra chi effettua la ripresa e per quale finalità:

Riprese dei genitori per uso strettamente personale e familiare: fuori dall'ambito di applicazione del GDPR. Diventano soggette al Regolamento se pubblicate sui social.
Riprese e foto della scuola destinate a pubblicazione sul sito, sui canali dell'istituto o su materiali promozionali: qui serve una base giuridica, e di norma è il consenso.
Documentazione dell'attività didattica a uso interno: valutabile su altra base, ma va comunque disciplinata e comunicata.

La prassi che funziona è informare le famiglie a inizio anno con un documento chiaro, distinguendo le tre ipotesi, e raccogliere il consenso solo per ciò che lo richiede davvero.

AI Act: l'istruzione è tra i settori ad alto rischio

Questo è il punto che quasi nessun istituto ha ancora affrontato. L'Allegato III del Regolamento (UE) 2024/1689 elenca espressamente l'istruzione e la formazione professionale tra i settori ad alto rischio, con riferimento ai sistemi destinati a:

determinare l'accesso o l'ammissione agli istituti
valutare i risultati dell'apprendimento
valutare il livello di istruzione appropriato per una persona
monitorare e rilevare comportamenti vietati durante gli esami

Gli obblighi relativi diventano applicabili dal 2 dicembre 2027. Sono già in vigore, invece, due cose: il divieto di riconoscimento delle emozioni negli istituti di istruzione (art. 5, dal 2 febbraio 2025) e l'obbligo di alfabetizzazione del personale (art. 4), che riguarda qualunque scuola in cui docenti o segreteria usino strumenti di IA generativa, anche solo per preparare materiali.

Su quest'ultimo punto vale la pena essere chiari: se in istituto qualcuno usa un assistente conversazionale per redigere documenti o preparare lezioni, l'obbligo di formazione c'è ed è scoperto da oltre un anno. Ne parliamo nel dettaglio nella pagina sulla formazione AI Act.

Domande frequenti

Le scuole devono nominare un DPO?

Le scuole statali sì, senza eccezioni: sono enti pubblici e l'art. 37 par. 1 lett. a del GDPR rende la nomina obbligatoria a prescindere dalle dimensioni. Per gli istituti paritari l'obbligo va valutato, ma il trattamento di dati di minori e di categorie particolari su larga scala lo rende quasi sempre dovuto.

Serve il consenso dei genitori per il registro elettronico?

No. Il registro elettronico serve all'esecuzione di compiti istituzionali della scuola e si fonda sull'obbligo di legge o sull'interesse pubblico, non sul consenso. Va però resa un'informativa completa e va verificata la nomina a responsabile del trattamento del fornitore della piattaforma.

I genitori possono filmare il saggio scolastico?

Sì, se la ripresa è destinata a un uso strettamente personale e familiare: in quel caso il GDPR non si applica. La situazione cambia se il video viene pubblicato sui social, perché a quel punto il genitore diventa titolare di un trattamento. È buona prassi che la scuola lo ricordi per iscritto prima dell'evento.

Un software che valuta gli studenti rientra nell'AI Act?

Sì, e nella categoria più severa. L'Allegato III elenca espressamente i sistemi destinati a valutare i risultati dell'apprendimento, a determinare l'accesso agli istituti e a monitorare comportamenti vietati durante gli esami. Sono classificati ad alto rischio, con obblighi applicabili dal 2 dicembre 2027.

Il riconoscimento delle emozioni in classe è ammesso?

No. L'art. 5 dell'AI Act vieta espressamente i sistemi di riconoscimento delle emozioni negli istituti di istruzione, salvo ragioni mediche o di sicurezza. Il divieto è in vigore dal 2 febbraio 2025 e la violazione ricade nella fascia sanzionatoria più alta.

I docenti che usano ChatGPT devono essere formati?

Sì. L'art. 4 dell'AI Act impone a chi utilizza sistemi di IA di garantire un livello sufficiente di alfabetizzazione del personale che se ne occupa, senza soglie dimensionali e indipendentemente dal livello di rischio dello strumento. L'obbligo è applicabile dal 2 febbraio 2025 e va documentato con piano formativo, attestati e registro delle ore.

Approfondimenti: formazione AI Act per il personale · i quattro livelli di rischio · GDPR per la Pubblica Amministrazione · servizio DPO esterno.

A cura del Dott. Pietro Cravero, DPO certificato (IDcert, Master II livello in Trattamento dei Dati Personali — Università Roma Tre). Studio Cravero Consulting ricopre il ruolo di DPO esterno per aziende, studi professionali ed enti pubblici in tutta Italia. Chi sono.

Il tuo istituto ha un DPO nominato e attivo?

La prima call è gratuita: verifichiamo lo stato degli adempimenti e cosa serve, dal registro dei trattamenti agli strumenti di IA già in uso.

Prenota una call gratuita Servizio DPO esterno