Il documento presenta un modello operativo integrato per la valutazione d’impatto sulla protezione dei dati (DPIA) e sui diritti fondamentali (FRIA) nell’adozione di strumenti di intelligenza artificiale nelle scuole. Destinato ai responsabili della protezione dei dati (DPO), il modello unifica due obblighi normativi distinti ma complementari previsti dal GDPR e dall’AI Act, evitando duplicazioni e incoerenze. Strutturato in sette sezioni, guida il DPO nella classificazione del rischio, nell’analisi degli impatti e nella definizione di misure di mitigazione, con particolare attenzione ai dati dei minori e alle pratiche vietate.
Il modello è obbligatorio per strumenti di IA ad alto rischio o che trattano dati sensibili, come quelli relativi all’apprendimento o alla salute degli studenti. Include schede per la raccolta di informazioni tecniche, la valutazione dei rischi e la formalizzazione di un piano di sorveglianza umana. La pubblicazione fornisce inoltre istruzioni per l’archiviazione, la revisione periodica e la comunicazione trasparente degli esiti alle parti interessate.
Collana STEM & Intelligenza Artificiale a Scuola
VOLUME O1
Pubblicazione tecnico-normativa · Modello operativo
FRIA/DPIA Integrata per Strumenti di IA a Scuola
Un modello operativo unico per la valutazione d’impatto sulla protezione dei dati (art. 35 GDPR) e sui diritti fondamentali (art. 27 AI Act), pronto per l’uso da parte del DPO
A cura del Responsabile della Protezione dei Dati (DPO)
Anno scolastico 2026/2027 — aggiornato al quadro applicativo del Regolamento (UE) 2024/1689
1. Perché una valutazione integrata, e non due valutazioni separate
Quando un istituto scolastico adotta, come deployer, un sistema di intelligenza artificiale classificato ad alto rischio ai sensi dell’Allegato III dell’AI Act, si trova tipicamente a dover soddisfare due obblighi di valutazione preventiva, previsti da due fonti normative distinte ma profondamente connesse: la valutazione d’impatto sulla protezione dei dati (Data Protection Impact Assessment, DPIA), prevista dall’art. 35 del GDPR ogniqualvolta un trattamento, per sua natura, presenti un rischio elevato per i diritti e le libertà delle persone fisiche — condizione che ricorre pressoché sempre quando sono coinvolti dati di minori trattati con tecnologie innovative come l’IA — e la valutazione d’impatto sui diritti fondamentali (Fundamental Rights Impact Assessment, FRIA), prevista dall’art. 27 dell’AI Act per i deployer che sono organismi di diritto pubblico, categoria in cui rientrano le istituzioni scolastiche statali e, in larga misura, anche quelle paritarie che esercitano un servizio pubblico.
Le due valutazioni condividono buona parte dell’istruttoria: entrambe richiedono di descrivere il trattamento, identificarne le finalità , valutare la proporzionalità , individuare i rischi per gli interessati e le misure di mitigazione. Condurle separatamente comporta una duplicazione di lavoro, il rischio di conclusioni incoerenti fra i due documenti e un evidente spreco di risorse, spesso già scarse, degli uffici scolastici. Questa pubblicazione propone pertanto un modello operativo unico, strutturato in sezioni che permettono di soddisfare contestualmente gli obblighi di entrambe le fonti normative, da compilare a cura del DPO in stretto raccordo con il Dirigente Scolastico, il team digitale e, ove opportuno, il fornitore dello strumento.
Il modello che segue è pensato per essere fotocopiato, adattato al proprio istituto e compilato per ciascuno strumento di IA classificato o sospettato di essere ad alto rischio. Le parti in corsivo con i puntini indicano i campi da completare a cura del DPO.
2. Quando è obbligatorio compilare il modello
Il modello va attivato in almeno uno dei seguenti casi:
- Lo strumento di IA rientra, anche solo potenzialmente, in una delle categorie dell’Allegato III, punto 3, dell’AI Act (accesso/ammissione, valutazione degli apprendimenti, valutazione del livello di istruzione, monitoraggio di comportamenti vietati durante le prove).
- Lo strumento effettua, anche indirettamente, una profilazione di studenti ai sensi dell’art. 4, punto 4, del GDPR (nel qual caso, come visto nella pubblicazione dedicata di questa collana, la deroga dell’art. 6, par. 3, AI Act non è comunque applicabile).
- Il trattamento coinvolge dati di minori realizzato tramite tecnologie innovative, circostanza che le autorità di controllo considerano generalmente sufficiente a rendere necessaria una DPIA anche a prescindere dalla classificazione formale ai sensi dell’AI Act.
- Lo strumento tratta categorie particolari di dati (art. 9 GDPR), ad esempio dati sanitari nell’ambito di percorsi didattici personalizzati per studenti con disabilità o disturbi specifici dell’apprendimento.
Nei casi dubbi, il principio di precauzione suggerisce di procedere comunque alla compilazione, quantomeno nella forma semplificata della sola Sezione B (classificazione del rischio), che consente di documentare le motivazioni dell’eventuale non necessità di procedere oltre.
3. Struttura del modello operativo
Il modello si articola in sette sezioni (A-G), pensate per essere compilate in sequenza. Ogni sezione corrisponde a una fase del processo valutativo e produce un output che alimenta la sezione successiva, fino alla formulazione del parere conclusivo del DPO.
- Sezione A — Scheda anagrafica dello strumento
- Sezione B — Classificazione del rischio (art. 5 e Allegato III AI Act)
- Sezione C — Valutazione d’impatto sulla protezione dei dati (DPIA ex art. 35 GDPR)
- Sezione D — Valutazione d’impatto sui diritti fondamentali (FRIA ex art. 27 AI Act)
- Sezione E — Matrice di rischio combinata
- Sezione F — Piano di mitigazione e misure di sorveglianza umana
- Sezione G — Parere del DPO, esito e revisione periodica
SEZIONE A — Scheda anagrafica dello strumento
Questa sezione fotografa lo strumento di IA nella sua dimensione tecnica, commerciale e organizzativa, ed è il punto di partenza sia della DPIA sia della FRIA.
| Denominazione dello strumento | ………………………………………………………………………… |
| Fornitore (provider) | ………………………………………………………………………… |
| Versione / modello utilizzato | ………………………………………………………………………… |
| Finalità dichiarata dal fornitore (intended purpose) | ………………………………………………………………………… |
| Finalità d’uso effettiva presso l’istituto | ………………………………………………………………………… |
| Referente interno del progetto | ………………………………………………………………………… |
| Data prevista di messa in servizio | ………………………………………………………………………… |
| Ambito di utilizzo (didattico / amministrativo / valutativo / altro) | ………………………………………………………………………… |
| Destinatari del trattamento (classi, ordini di scuola coinvolti) | ………………………………………………………………………… |
| Base giuridica del trattamento (art. 6 GDPR) | ………………………………………………………………………… |
| Presenza di minori fra gli interessati | Sì / No — età minima coinvolta: …… |
A.1 Categorie di dati trattati
| Categoria di dato | Presente (Sì/No) | Note |
| Dati identificativi (nome, cognome, classe) | ||
| Dati di contatto (email, telefono) | ||
| Dati relativi agli apprendimenti (voti, elaborati, risposte) | ||
| Immagini / video / registrazioni audio | ||
| Dati biometrici | ||
| Dati relativi alla salute o a disabilità /DSA (art. 9 GDPR) | ||
| Dati comportamentali o di interazione con il sistema | ||
| Altri dati (specificare) |
A.2 Funzionalità tecniche rilevanti
- Lo strumento effettua profilazione degli studenti? Sì / No — descrivere: ……
- Lo strumento produce un output che influisce, anche solo in parte, su una decisione riguardante lo studente (voto, ammissione, orientamento)? Sì / No — descrivere: ……
- Lo strumento è basato su un modello di IA per finalità generali (GPAI) utilizzato per uno scopo specifico non previsto originariamente dal fornitore? Sì / No — descrivere: ……
- Lo strumento prevede un intervento umano prima che l’output produca effetti sullo studente? Sì / No — descrivere: ……
SEZIONE B — Classificazione del rischio ai sensi dell’AI Act
B.1 Screening pratiche vietate (art. 5 AI Act)
Rispondere a ciascuna domanda. Una sola risposta positiva comporta l’immediata non adottabilità dello strumento, salvo che ricorra una delle tassative eccezioni di legge.
| Domanda di screening | Sì/No | Note / eccezione applicabile |
| Lo strumento deduce o inferisce le emozioni degli studenti (attenzione, coinvolgimento, stato d’animo)? | ||
| Lo strumento classifica o valuta gli studenti sulla base del comportamento sociale con effetti pregiudizievoli? | ||
| Lo strumento utilizza tecniche subliminali o manipolative che alterano il comportamento in modo pregiudizievole? | ||
| Lo strumento effettua categorizzazione biometrica per dedurre caratteristiche sensibili (origine etnica, orientamento, ecc.)? |
B.2 Verifica di appartenenza all’Allegato III, punto 3 (istruzione)
| Lo strumento è destinato a… | Sì/No |
| …determinare l’accesso, l’ammissione o l’assegnazione a percorsi di istruzione | |
| …valutare i risultati dell’apprendimento, anche per orientare il percorso formativo | |
| …valutare il livello di istruzione adeguato per lo studente | |
| …monitorare/rilevare comportamenti vietati durante le prove (es. proctoring) |
B.3 Applicabilità della deroga (art. 6, par. 3, AI Act)
Se almeno una risposta alla tabella B.2 è affermativa, valutare se ricorrono le condizioni della deroga. Attenzione: la deroga non è mai applicabile se lo strumento effettua profilazione (v. campo A.2).
- Lo strumento svolge un compito procedurale limitato, senza sostituire la valutazione umana? Sì / No
- Lo strumento non influisce in modo sostanziale sull’esito di un processo decisionale riguardante lo studente? Sì / No
- Lo strumento non presenta un rischio significativo di danno alla salute, sicurezza o diritti fondamentali? Sì / No
- Lo strumento effettua profilazione ai sensi dell’art. 4, punto 4, GDPR? Sì / No (se Sì, la deroga NON si applica)
Esito della classificazione (a cura del DPO):
| Classificazione risultante | Alto rischio / Non alto rischio (deroga applicabile) / Pratica vietata |
| Motivazione sintetica | ………………………………………………………………………… |
| Data e firma del DPO | ………………………………………………………………………… |
Se la classificazione risultante è “Alto rischio”, proseguire obbligatoriamente con le Sezioni C, D, E, F, G. Se “Non alto rischio”, è comunque raccomandato completare almeno la Sezione C in forma semplificata qualora siano trattati dati di minori.
SEZIONE C — Valutazione d’impatto sulla protezione dei dati (DPIA, art. 35 GDPR)
C.1 Descrizione sistematica del trattamento
| Finalità del trattamento | ………………………………………………………………………… |
| Natura, oggetto, contesto del trattamento | ………………………………………………………………………… |
| Interessati coinvolti e relative categorie | ………………………………………………………………………… |
| Periodo di conservazione dei dati | ………………………………………………………………………… |
| Destinatari e soggetti terzi coinvolti (subfornitori del provider, hosting, ecc.) | ………………………………………………………………………… |
| Trasferimenti extra-UE eventualmente previsti | ………………………………………………………………………… |
| Misure di sicurezza tecniche e organizzative adottate dal fornitore | ………………………………………………………………………… |
C.2 Valutazione di necessità e proporzionalitÃ
- Il trattamento è necessario rispetto alla finalità perseguita, oppure la stessa finalità potrebbe essere raggiunta con mezzi meno invasivi?
- I dati raccolti sono limitati a quanto strettamente necessario (minimizzazione)?
- È garantita l’esattezza dei dati e la possibilità di rettifica da parte degli interessati o di chi esercita la responsabilità genitoriale?
- Il periodo di conservazione è proporzionato e definito, con cancellazione automatica al termine?
C.3 Identificazione e valutazione dei rischi per gli interessati
| Rischio | Probabilità (B/M/A) | Gravità (B/M/A) | Rischio residuo |
| Accesso non autorizzato ai dati degli studenti | |||
| Uso dei dati per finalità incompatibili (es. profilazione commerciale da parte del fornitore) | |||
| Decisione automatizzata con effetti sullo studente senza adeguato intervento umano | |||
| Discriminazione algoritmica dovuta a bias nei dati di addestramento | |||
| Conservazione dei dati oltre il periodo necessario | |||
| Difficoltà di esercizio dei diritti dell’interessato (accesso, rettifica, cancellazione) |
C.4 Consultazione degli interessati
Ai sensi dell’art. 35, par. 9, GDPR, ove opportuno, va raccolto il parere degli interessati o dei loro rappresentanti (rappresentanti di classe, consulta degli studenti, rappresentanti dei genitori negli organi collegiali). Documentare data, modalità e sintesi del parere raccolto:
| Data e modalità della consultazione | ………………………………………………………………………… |
| Sintesi delle osservazioni raccolte | ………………………………………………………………………… |
| Osservazioni recepite nel piano di mitigazione (Sez. F) | ………………………………………………………………………… |
SEZIONE D — Valutazione d’impatto sui diritti fondamentali (FRIA, art. 27 AI Act)
La FRIA, obbligatoria per gli organismi di diritto pubblico quando impiegano sistemi di IA ad alto rischio, integra la DPIA con una prospettiva più ampia, non limitata alla sola protezione dei dati personali, ma estesa all’insieme dei diritti fondamentali potenzialmente incisi dal sistema.
D.1 Descrizione del processo in cui il sistema è impiegato
| Processo decisionale/organizzativo in cui si inserisce lo strumento | ………………………………………………………………………… |
| Frequenza d’uso previsto | ………………………………………………………………………… |
| Categorie di persone potenzialmente svantaggiate dall’uso del sistema | ………………………………………………………………………… |
| Misure di sorveglianza umana individuate (v. anche Sezione F) | ………………………………………………………………………… |
D.2 Diritti fondamentali potenzialmente incisi
| Diritto fondamentale | Rischio individuato | Rilevante (Sì/No) |
| Diritto alla non discriminazione | ||
| Diritto all’istruzione | ||
| Diritto alla protezione dei dati personali | ||
| Diritto alla dignità umana | ||
| Diritto a un ricorso effettivo / a un intervento umano | ||
| Diritti del minore (superiore interesse del minore) |
D.3 Meccanismi di reclamo e di intervento umano
- È previsto un canale con cui lo studente, la famiglia o il personale possano segnalare un esito ritenuto errato o pregiudizievole del sistema?
- È individuata una figura responsabile della revisione umana di tali segnalazioni, con competenza e autorità per modificare l’esito?
- È garantito che nessuna decisione con effetti significativi sullo studente sia adottata sulla base del solo output del sistema, in coerenza con l’art. 22 GDPR?
SEZIONE E — Matrice di rischio combinata
La matrice seguente sintetizza, in un’unica rappresentazione, i rischi individuati nelle Sezioni C e D, permettendo al DPO e al Dirigente Scolastico di avere un quadro d’insieme prima di definire il piano di mitigazione.
| Area di rischio | Fonte (DPIA/FRIA) | Livello di rischio residuo | Priorità di intervento |
| Protezione dei dati personali | DPIA | ||
| Non discriminazione / bias algoritmico | FRIA | ||
| Diritto all’istruzione e continuità didattica | FRIA | ||
| Trasparenza e informazione agli interessati | DPIA/FRIA | ||
| Sorveglianza umana e diritto al ricorso | FRIA |
SEZIONE F — Piano di mitigazione e misure di sorveglianza umana
Per ciascun rischio con livello residuo Medio o Alto individuato nella Sezione E, indicare la misura di mitigazione prevista, il responsabile dell’attuazione e i tempi:
| Rischio da mitigare | Misura di mitigazione | Responsabile | Scadenza |
F.1 Formalizzazione della sorveglianza umana
| Nominativo/i del personale incaricato della sorveglianza umana | ………………………………………………………………………… |
| Formazione specifica ricevuta (data, contenuti) | ………………………………………………………………………… |
| Modalità operative della sorveglianza (continua / a campione / su segnalazione) | ………………………………………………………………………… |
| Procedura in caso di malfunzionamento o esito anomalo | ………………………………………………………………………… |
SEZIONE G — Parere del DPO, esito e revisione periodica
| Esito complessivo della valutazione | Approvato / Approvato con condizioni / Non approvato |
| Condizioni per l’approvazione (se applicabile) | ………………………………………………………………………… |
| Data della prossima revisione programmata | ………………………………………………………………………… |
| Eventi che comportano revisione anticipata (es. aggiornamento sostanziale del sistema, incidenti) | ………………………………………………………………………… |
Parere del Responsabile della Protezione dei Dati (sintesi motivata):
| Parere del DPO | ………………………………………………………………………… |
| Data | ………………………………………………………………………… |
| Firma | ………………………………………………………………………… |
Visto del Dirigente Scolastico (Titolare del trattamento):
| Decisione del Titolare | ………………………………………………………………………… |
| Data | ………………………………………………………………………… |
| Firma | ………………………………………………………………………… |
4. Istruzioni d’uso e raccomandazioni finali
Il modello proposto non sostituisce la necessaria valutazione giuridica caso per caso, ma offre una struttura di lavoro che permette al DPO di condurre in modo sistematico, tracciabile e difendibile la valutazione integrata richiesta dal GDPR e dall’AI Act. Alcune raccomandazioni operative per un utilizzo efficace:
- Compilare il modello prima della messa in servizio dello strumento, mai a posteriori: sia la DPIA sia la FRIA sono, per espressa previsione normativa, valutazioni preventive.
- Coinvolgere, per gli aspetti tecnici della Sezione A e C.1, il fornitore dello strumento, richiedendo la documentazione tecnica e la scheda di conformità all’AI Act (dichiarazione di conformità , istruzioni per l’uso, marchiatura CE quando applicabile agli strumenti ad alto rischio).
- Archiviare il modello compilato, insieme agli allegati (documentazione del fornitore, verbali di consultazione), nel registro degli strumenti di IA dell’istituto, distinto ma collegato al registro dei trattamenti ex art. 30 GDPR.
- Prevedere una revisione del modello a ogni aggiornamento sostanziale dello strumento, a ogni modifica della finalità d’uso, e comunque con cadenza almeno annuale.
- Comunicare l’esito della valutazione, in forma sintetica e accessibile, agli organi collegiali e alle famiglie, in coerenza con il principio di trasparenza che innerva sia l’AI Act sia il GDPR.
Bibliografia e riferimenti normativi
Regolamento (UE) 2024/1689 (AI Act), in particolare artt. 5, 6, 27 e Allegato III.
Regolamento (UE) 2016/679 (GDPR), in particolare art. 35 e considerando 84, 89-91.
European Data Protection Board (EDPB), orientamenti sull’interazione fra AI Act e GDPR.
