VEDI ANCHE Newsletter del 12 novembre 2026

[doc. web n. 10315228]

Parere sullo schema di decreto ministeriale del MIM, adottato ai sensi dell’articolo 10, comma 3, del Decreto Ministeriale 9 agosto 2025, n. 166, concernente l’utilizzo di soluzioni di IA nel contesto scolastico” e l’allegato tecnico concernente “Misure tecniche e organizzative per la pseudonimizzazione delle utenze e per l’uso consapevole dei sistemi di IA nel contesto scolastico - 20 ottobre 2026

Registro dei provvedimenti
n. 787 del 20 ottobre 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componenti, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati – di seguito, Regolamento);

VISTO il d.lgs. 30 giugno 2003, n. 196, recante “Codice in materia di protezione dei dati personali” (di seguito, Codice);

VISTO il Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio del 13 giugno 2024 che stabilisce regole armonizzate sull’intelligenza artificiale (di seguito, anche «Intelligenza Artificiale» o «IA») e modifica i regolamenti (CE) 300/2008, (UE) 167/2013, (UE) 168/2013, (UE) 2018/858, (UE) 2018/1139 e (UE) 2019/2144 e le direttive 2014/90/UE, (UE) 2016/797 e (UE) 2020/1828 (di seguito, anche «Regolamento sull’IA»); 

VISTO il Regolamento (UE) 2026/1744 del Parlamento europeo e del Consiglio dell'8 luglio 2026 che modifica i regolamenti (UE) 2024/1689, (UE) 2018/1139 e (UE) 2023/1230 per quanto riguarda la semplificazione dell'attuazione di regole armonizzate sull'intelligenza artificiale (Omnibus digitale sull'IA);

VISTO il Decreto legislativo 7 ottobre 2026, n. 179, recante «Adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, che stabilisce regole armonizzate sull’intelligenza artificiale, in materia di poteri delle Autorità nazionali e di utilizzo dell’intelligenza artificiale nella formazione», pubblicato in Gazzetta Ufficiale l’8 ottobre 2026, n. 234;

VISTA la Legge 23 settembre 2025, n. 132, recante «Disposizioni e deleghe al Governo in materia di intelligenza artificiale», pubblicata in Gazzetta Ufficiale il 25 settembre 2025, n. 223 (di seguito, anche «Legge sull’IA»), la quale «Promuove un utilizzo corretto, trasparente e responsabile, in una dimensione antropocentrica, dell’intelligenza artificiale, volto a coglierne le opportunità»;

VISTO, altresì, lo schema di Decreto Legislativo recante «Adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, che stabilisce regole armonizzate sull’intelligenza artificiale, in materia di poteri delle Autorità nazionali e di utilizzo dell’intelligenza artificiale nella formazione» in corso di adozione ai sensi dell’articolo 24, commi 1 e 2, lett. a), b), c), d), e) f), g), i), l), m) e n) della Legge sull’IA, con particolare riferimento agli articoli 35, 36 e 37, i quali prevedono, tra le altre, la promozione di attività formative in materia di intelligenza artificiale, anche nell’ambito dell’insegnamento dell’educazione civica, l’attivazione di un piano di formazione rivolto al personale docente, finalizzato a sostenere, nell’ambito dell’innovazione metodologica dei processi di insegnamento e apprendimento, lo sviluppo di competenze per la trattazione dei temi relativi all’uso dei social media e delle piattaforme digitali, nonché l’erogazione di una specifica formazione, iniziale e in servizio, del personale docente delle Istituzioni scolastiche, al fine di assicurare un aggiornamento qualificato dei livelli di padronanza dei sistemi di intelligenza artificiale;

VISTO il Decreto-Legge 22 giugno 2023, n. 75, recante “Disposizioni urgenti in materia di organizzazione delle pubbliche amministrazioni, di agricoltura, di sport, di lavoro e per l’organizzazione del Giubileo della Chiesa cattolica per l’anno 2025” convertito, con modificazioni, dalla Legge 10 agosto 2023, n. 112 e, in particolare, l’articolo 21, comma 4-ter, secondo cui il Ministero dell’Istruzione e del Merito (di seguito, MIM) promuove la progettazione, lo sviluppo e la realizzazione della «Piattaforma Famiglie e Studenti», anche denominata «Unica» (di seguito, anche «Piattaforma» o «Unica»), quale canale unico di accesso al patrimonio informativo detenuto dal MIM e dalle Istituzioni Scolastiche, attraverso il quale famiglie e studenti possono fruire con modalità semplificate dei servizi digitali offerti dal Ministero e dalle Istituzioni Scolastiche;

CONSIDERATO che, in attuazione dell’articolo 21, comma 4-quinquies, del suddetto Decreto-Legge n. 75/2023, il MIM ha adottato il Decreto ministeriale 10 ottobre 2023, n. 192, avente a oggetto “la disciplina sul trattamento dei dati personali effettuato dal Ministero dell’Istruzione e del Merito e dalle Istituzioni Scolastiche nell’ambito della Piattaforma” e per il tramite del quale sono stati attivati specifici servizi digitali quali, in particolare, E-Portfolio, Docente Tutor e Gite Scolastiche, su cui il Garante ha reso il parere con provv. n. 468 del 10 ottobre 2023 (disponibile sul sito istituzionale www.gpdp.it, doc. web n. 9953443);

VISTO in particolare, l’articolo 11, comma 4, del Decreto Ministeriale n. 192/23, secondo cui «Con appositi decreti ministeriali di natura non regolamentare, il MIM, sentito il Garante per la protezione dei dati personali, provvederà, come previsto all’articolo 5, comma 6, del presente Decreto, a integrare e implementare nella Piattaforma: (i) i Servizi Digitali già erogati dal Ministero e dalle Istituzioni Scolastiche con applicativi diversi dalla Piattaforma medesima; (ii) i Servizi Digitali di nuova introduzione»;

VISTO altresì, il Decreto Ministeriale del 18 giugno 2024, n. 124, concernente la disciplina sul trattamento dei dati personali effettuato dal MIM e dalle Istituzioni Scolastiche nell’ambito dell’abilitazione di nuove utenze ai fini dell’accesso all’area privata della Piattaforma e del servizio digitale «Knowledge Area», su cui il Garante ha reso il parere con provv. n. 334 del 6 giugno 2024 (doc. web n. 10036855); 

VISTO il Decreto Ministeriale 9 agosto 2025, n. 166 «concernente l’implementazione di un servizio digitale in materia di intelligenza artificiale nell’ambito della piattaforma unica di cui all’articolo 21, commi 4-ter e seguenti, del decreto-legge del 22 giugno 2023, n. 75, convertito, con modificazioni, dalla legge del 10 agosto 2023, n. 112» e le allegate «Linee Guida per l’Introduzione dell’Intelligenza Artificiale nelle Istituzioni scolastiche», su cui il Garante ha reso il parere con provv. n. 454 del 4 agosto 2025 (doc. web n. 10162698); 

VISTO altresì l’articolo 10, comma 3, del predetto Decreto Ministeriale 9 agosto 2025, n. 166, secondo cui “Con appositi decreti ministeriali di natura non regolamentare, il Ministero dell’Istruzione e del Merito, sentito il Garante per la protezione dei dati personali, provvederà a disciplinare: 

- le modalità con le quali le Istituzioni Scolastiche dovranno progettare e realizzare le singole iniziative di Intelligenza Artificiale, in conformità alla disciplina in materia di protezione dei dati personali e di IA, nonché agli orientamenti internazionali e nazionali adottati in materia, al fine di assicurare un utilizzo dei sistemi di IA antropocentrico, affidabile e fondato sul rispetto dei principi etici indicati all’interno degli Orientamenti etici per un’IA affidabile dell’8 aprile 2019; 

- le iniziative di formazione che saranno attivate a favore delle Istituzioni Scolastiche in materia di IA, al fine di garantire un uso consapevole e responsabile dei sistemi di IA in ambito scolastico; 

- gli ulteriori elementi volti a garantire che l’implementazione dei sistemi di IA da parte delle Istituzioni Scolastiche avvenga nel pieno rispetto dei diritti e dei valori sanciti dalla Carta dei diritti fondamentali dell’Unione europea e, in particolare, dignità umana (articolo 1), non discriminazione (articolo 21), protezione dei dati personali (articolo 8), libertà di espressione e informazione (articolo 11)”;

VISTA la nota del 30 settembre 2026 con cui il Ministero dell’Istruzione e del Merito ha trasmesso all’Autorità, ai fini dell’acquisizione del parere di competenza, lo schema di decreto ministeriale, adottato ai sensi dell’articolo 10, comma 3, del Decreto Ministeriale 9 agosto 2025, n. 166, concernente l’utilizzo di soluzioni di intelligenza artificiale nel contesto scolastico” e l’allegato tecnico concernente “Misure tecniche e organizzative per la pseudonimizzazione delle utenze e per l’uso consapevole dei sistemi di intelligenza artificiale nel contesto scolastico”;

RILEVATO che il suddetto schema di decreto stabilisce, in particolare:

- che la finalità perseguita è quella di fornire prime indicazioni operative in merito all’impiego, da parte delle Istituzioni Scolastiche, di soluzioni digitali innovative basate sull’Intelligenza Artificiale, nell’ambito di una prima introduzione delle stesse, al fine di supportare le Istituzioni medesime nel corretto, responsabile e antropocentrico utilizzo delle predette soluzioni nell’ambito dei percorsi di insegnamento e di apprendimento (articolo 3);

- che le Istituzioni Scolastiche, nell’ambito della propria autonomia didattica e organizzativa, possono ricorrere a soluzioni digitali basate sull’Intelligenza Artificiale a beneficio di studenti e docenti, al fine di ottimizzare le attività formative, valorizzare le competenze di ciascuno studente, favorire il confronto e la collaborazione, migliorare l’accessibilità alle informazioni e garantire una sempre maggiore inclusività, favorire l’alfabetizzazione digitale e la preparazione a un mondo lavorativo più innovativo, guidando le nuove generazioni verso un uso attento e consapevole delle nuove tecnologie, fornendo altresì alcuni esempi di utilizzo (articolo 4);

- che le Istituzioni Scolastiche devono astenersi dall’utilizzo di soluzioni di Intelligenza Artificiale riconducibili all’ambito delle pratiche vietate indicate dall’articolo 5 del Regolamento sull’IA, in quanto dannose per i diritti e le libertà fondamentali degli interessati, tra cui rientra, in particolare, l’utilizzo di sistemi di IA destinati a inferire le emozioni delle persone, e che le Istituzioni scolastiche devono prestare particolare attenzione all’eventuale impiego di sistemi qualificati come ad alto rischio ai sensi dell’articolo 6 e dell’Allegato III del Regolamento sull’IA, con particolare riferimento agli impieghi nel settore dell’istruzione e della formazione professionale;

- che ciascuna Istituzione Scolastica garantisce un uso etico e trasparente dell’Intelligenza Artificiale nel rispetto dei principi di centralità dell’utente, accessibilità, trasparenza e accountability e della normativa di settore, al fine di garantire la tutela della salute, della sicurezza, della dignità e dei diritti fondamentali di ogni individuo, assicurando in particolare (articolo 6): 

- il rispetto dei principi di liceità, correttezza, trasparenza, esattezza, limitazione delle finalità e minimizzazione di cui all’articolo 5 del Regolamento nonché della disciplina applicabile ai rapporti di lavoro, con particolare riferimento alle condizioni per il legittimo impiego degli strumenti tecnologici in tale contesto e  la tutela della sfera privata dei lavoratori (articolo 88 del Regolamento e articoli 113 e 114 del Codice), nel rispetto della libertà dell’insegnamento (articolo 33 della Costituzione);

- l’implementazione di garanzie e misure di sicurezza appropriate e specifiche, dirette a tutelare la dignità e i diritti fondamentali delle persone, ai sensi dell’articolo 32 del GDPR e del Codice in materia di protezione dei dati personali, tra le quali il tracciamento delle operazioni effettuate tramite sistemi di IA;

- che i relativi fornitori di cui intendono avvalersi, in particolare in relazione ai sistemi di IA generativa, presentino adeguate garanzie in materia di sicurezza, affidabilità, protezione dei dati personali, trasparenza e conformità alla normativa europea e nazionale vigente;

- che gli studenti accedono ai sistemi di IA, in particolare in relazione ai sistemi di IA generativa, mediante utenze pseudonimizzate, che non consentono di risalire direttamente all’identità degli studenti senza l’utilizzo delle informazioni aggiuntive conservate separatamente, secondo le modalità di pseudonimizzazione descritte nell’Allegato Tecnico;

- che le informazioni necessarie ad associare le utenze pseudonimizzate agli studenti cui esse corrispondono, possono essere consultate esclusivamente dal dirigente scolastico e dai docenti autorizzati, che possono risalire all’identità dello studente ai fini dello svolgimento delle relative funzioni di competenza e, in particolare, per supportarlo nel proprio percorso di crescita personale e formativo;

- che gli studenti, i docenti e il personale scolastico prestino particolare attenzione al fine di evitare l’inserimento all’interno di sistemi di IA generativa di dati personali, in qualunque formato, che potrebbero compromettere la dignità, la riservatezza e la protezione dei dati personali riferiti a qualsiasi individuo. A tal fine, le Istituzioni Scolastiche disincentivano, mediante specifiche campagne informative, l’inserimento volontario dei predetti dati personali;

- che i dati personali oggetto di trattamento non sono trasferiti fuori dallo Spazio economico europeo, e che, ove dovessero rendersi strettamente necessario, i trasferimenti avvengono nel rispetto degli articoli 45 e ss. del Regolamento;

- che, al fine di promuovere l’innovazione digitale e supportare l’ottimizzazione dei processi formativi, il Ministero può attivare iniziative sperimentali e progetti pilota con talune Istituzioni Scolastiche individuate in ambito nazionale (articolo 7);

RILEVATO, inoltre, che l’Allegato tecnico allo schema di decreto in esame, prevede, in sintesi:

- la pseudonimizzazione delle utenze e la separazione dei domini in coerenza con il principio della separazione tra i dati che consentono l’identificazione degli studenti che utilizzano Sistemi di Intelligenza Artificiale in ambito scolastico e le informazioni necessarie per l’accesso e l’utilizzo dei medesimi Sistemi. In particolare, i Sistemi di IA devono operare esclusivamente mediante identificativi pseudonimizzati, mentre le informazioni che consentono di ricondurre tali identificativi ai singoli studenti devono essere conservate separatamente dall’Istituzione Scolastica, in ambienti protetti e accessibili esclusivamente ai soggetti autorizzati (paragrafo 2);

- le attività di competenza dei soggetti coinvolti nell’utilizzo dei sistemi di intelligenza artificiale, e in particolare, dei dirigenti scolastici, dei docenti e dei partner tecnologici delle Istituzioni Scolastiche -distinti in partner tecnologico della scuola, ovvero il soggetto che supporta la configurazione del registro elettronico, dell’anagrafica dello studente e della tabella di transcodifica (cd. “Dominio A”), e partner tecnologico IA, che mette a disposizione dell’Istituzione Scolastica il Sistema di Intelligenza Artificiale (cd. “Dominio B”) - al fine di garantirne una gestione efficace, responsabile e conforme al quadro normativo applicabile (paragrafo 3);

- le indicazioni operative in merito alle modalità di utilizzo della tabella di transcodifica che ha la funzione di mantenere, in modo riservato e sotto il controllo esclusivo dell’Istituzione Scolastica, l’associazione tra l’identificativo pseudonimo utilizzato nei Sistemi di IA e l’identità reale dello studente (paragrafo 4);

- specifiche indicazioni per il dirigente Scolastico, individuando i compiti e le responsabilità con particolare riferimento alle autorizzazioni e documentazione da conservare e alle informazioni da richiedere al partner tecnologico della scuola e al partner tecnologico IA (paragrafi 5, 6 e 7);

- specifiche indicazioni rivolte ai docenti, con particolare riferimento alle regole per la formulazione di prompt non identificativi degli interessati, fornendo esempi al riguardo, e alla sensibilizzazione di studentesse e studenti all’uso responsabile, consapevole e critico dell’IA (paragrafo 8);

- specifici requisiti richiesti ai partner tecnologici con particolare riferimento all’architettura di pseudonimizzazione e separazione dei domini, alla tabella di transcodifica, alle misure di sicurezza e alla gestione del ciclo di vita delle utenze (paragrafi 10, 11 e 12);

- l’obbligo, per il partner tecnologico della scuola e per il partner tecnologico IA di rilasciare all’Istituzione Scolastica una dichiarazione di conformità alle misure previste nell’allegato tecnico stesso (paragrafi 13 e 14);

- modelli operativi e check-list per il dirigente scolastico e i partner tecnologici della scuola (paragrafo 15);

CONSIDERATO, in ogni caso, che la versione dello schema di decreto in esame e dell’allegato tecnico, con particolare riferimento ai principi di privacy by design e by default (art. 25 del Regolamento), tiene conto anche delle osservazioni fornite dall’Ufficio nel corso delle intense interlocuzioni informali intercorse, che hanno riguardato, in particolare:

- la necessità in capo agli Istituti scolastici di assicurare, nel rispetto della libertà dell’insegnamento (articolo 33 della Costituzione), anche l’osservanza della disciplina lavoristica, con particolare riferimento alle condizioni per il legittimo impiego degli strumenti tecnologici e la tutela della sfera privata dei lavoratori (articolo 88 del Regolamento e articoli 113 e 114 del Codice);

- la predisposizione di un allegato tecnico volto a fornire alle Istituzioni Scolastiche indicazioni operative in materia di utilizzo dei sistemi di Intelligenza Artificiale, con particolare riguardo alle misure di sicurezza da adottare e alla pseudonimizzazione dei dati personali e contenente anche lo schema dell’architettura tecnica, la rappresentazione e la descrizione dei due domini, dei sistemi coinvolti, degli accessi e dei relativi confini di sicurezza nonché di una tabella dei flussi informativi e una specifica sezione contenete le misure rivolte ai partner tecnologici;

- la distinzione, di regola, tra il partner tecnologico della scuola e il partner tecnologico IA sopra individuati e la previsione che, nell’ipotesi residuale di coincidenza dei due ruoli in capo al medesimo soggetto, dovranno essere adottate misure tecniche e organizzative specifiche e ulteriori, idonee ad assicurare che la separazione dei Domini A e B sopracitati sia effettiva; ciò al fine di minimizzare i rischi di reidentificazione degli interessati da parte del partner tecnologico IA;

- l’indicazione del divieto, per il partner tecnologico IA, di trattare dati che consentono l’identificazione degli interessati;

- l’indicazione che nella formulazione di prompt non vengano inseriti identificativi degli interessati, sensibilizzando all’uopo i docenti, le studentesse e gli studenti all’uso responsabile, consapevole e critico dell’IA;

- la possibilità che il Ministero possa attivare iniziative sperimentali e progetti pilota con talune Istituzioni Scolastiche individuate in ambito nazionale;

- la precisazione che i dati personali oggetto di trattamento non sono in alcun caso trasferiti fuori dallo Spazio economico europeo, e che ove dovessero rendersi strettamente necessari, i trasferimenti dovranno avvenire nel rispetto degli articoli 45 e ss. del Regolamento;

CONSIDERATO che il Regolamento prevede che, già in fase di progettazione, sviluppo, selezione e utilizzo di applicazioni, servizi e prodotti basati sul trattamento di dati personali o che trattano dati personali, i produttori dei servizi e delle applicazioni debbano tenere conto del diritto alla protezione dei dati conformemente allo stato dell’arte (v. cons. 78 del Regolamento);

RILEVATA la necessità che il Ministero, nell’ambito del proprio ruolo di regolazione e nel quadro delle specifiche funzioni di indirizzo e coordinamento nei confronti degli Istituti scolastici sul territorio nazionale, fornisca adeguato supporto agli stessi, anche in occasione di futuri interventi, anche regolatori, che lo stesso Ministero si riserva di effettuare in riferimento all’impiego dei sistemo di IA in ambito scolastico, tenuto conto dell’evoluzione tecnologica degli strumenti e soluzioni di IA;

RILEVATA, pertanto, la necessità che il Ministero, tenuto conto  del delicato contesto in questione, ponga in atto iniziative finalizzate ad orientare le scelte degli Istituti scolastici in merito alle soluzioni disponibili sul mercato, anche se del caso stabilendo  direttamente standard, requisiti e modelli che i fornitori di soluzioni IA dovrebbero possedere e adottare per poter offrire i loro servizi da impiegare nel contesto scolastico, nel rispetto delle normative vigenti, nonché individuando dei servizi-tipo da mettere a disposizione degli Istituti scolastici (v. cons. 78 del Regolamento);

RILEVATA, altresì, l’opportunità di valutare la creazione di un servizio di assistenza e supporto offerto dal Ministero agli Istituti scolastici, anche nei rapporti con i fornitori di soluzioni IA;

RITENUTO, alla luce di quanto osservato, di poter esprimere parere favorevole sullo schema di decreto in esame, che reca in allegato le “Misure tecniche e organizzative per la pseudonimizzazione delle utenze e per l’uso consapevole dei sistemi di intelligenza artificiale nel contesto scolastico”;

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

Relatore il prof. Pasquale Stanzione;

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del Regolamento, esprime parere favorevole sullo schema di decreto ministeriale del Ministero dell’istruzione e del Merito, adottato ai sensi dell’articolo 10, comma 3, del Decreto Ministeriale 9 agosto 2025, n. 166, concernente l’utilizzo di soluzioni di intelligenza artificiale nel contesto scolastico” e l’allegato tecnico concernente “Misure tecniche e organizzative per la pseudonimizzazione delle utenze e per l’uso consapevole dei sistemi di intelligenza artificiale nel contesto scolastico”, con le seguenti osservazioni:

- il Ministero, nell’ambito del proprio ruolo di regolazione e nel quadro delle specifiche funzioni di indirizzo e coordinamento nei confronti degli Istituti scolastici sul territorio nazionale, fornisca adeguato supporto agli stessi, anche in occasione di futuri interventi, anche regolatori, che lo stesso Ministero si riserva di effettuare in riferimento all’impiego dei sistemo di IA in ambito scolastico, tenuto conto dell’evoluzione tecnologica degli strumenti e soluzioni di IA;

- il Ministero, tenuto conto  del delicato contesto in questione, ponga in atto iniziative finalizzate ad orientare le scelte degli Istituti scolastici in merito alle soluzioni disponibili sul mercato, anche se del caso stabilendo  direttamente standard, requisiti e modelli che i fornitori di soluzioni IA dovrebbero possedere e adottare per poter offrire i loro servizi da impiegare nel contesto scolastico, nel rispetto delle normative vigenti, nonché individuando dei servizi-tipo da mettere a disposizione degli Istituti scolastici;

- il Ministero valuti l’opportunità di creare un servizio di assistenza e supporto offerto agli Istituti scolastici, anche nei rapporti con i fornitori di soluzioni IA.

Roma, 20 ottobre 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Montuori