AI Act: Cosa Devono Sapere le Scuole — Guida Pratica 2026

Il Regolamento UE 2024/1689, noto come AI Act, è il primo quadro normativo al mondo sull'intelligenza artificiale. Approvato dal Parlamento Europeo nell'aprile 2024 ed entrato in vigore nel luglio 2024, prevede un'applicazione graduale: i divieti assoluti sono entrati in vigore a febbraio 2025, le norme sui sistemi ad alto rischio si applicano pienamente dal 2026.

Le scuole rientrano nel campo di applicazione dell'AI Act in più modi: come utenti (deployers) di sistemi AI — ad esempio piattaforme didattiche con valutazione automatica, sistemi di riconoscimento facciale per le presenze, chatbot per l'orientamento — e come ambienti dove vengono formati studenti e adulti all'uso dell'AI. Entrambi i ruoli comportano obblighi specifici.

In Italia, la legge 132/2025 ha recepito e integrato alcune disposizioni dell'AI Act nel contesto nazionale, con indicazioni specifiche per il settore pubblico, incluse le istituzioni scolastiche. I dirigenti scolastici che adottano sistemi AI nell'istituto devono conoscere questi obblighi per non incorrere in violazioni, anche involontarie.

L'AI Act classifica i sistemi AI in quattro categorie in base al livello di rischio: inaccettabile (vietati), alto rischio (permessi con obblighi stringenti), rischio limitato (permessi con obblighi di trasparenza), rischio minimo (permessi senza obblighi specifici). Capire in quale categoria rientra uno strumento è il primo passo per valutarne l'uso legale in contesto scolastico.

I sistemi a rischio inaccettabile sono vietati dal febbraio 2025. Tra questi: sistemi di categorizzazione biometrica che deducono caratteristiche sensibili (etnia, opinioni politiche, orientamento sessuale), sistemi di social scoring basati su comportamento, e sistemi di manipolazione subliminale. Nella pratica scolastica, questo esclude certi sistemi di sorveglianza comportamentale degli studenti e alcuni strumenti di profilazione avanzata.

I sistemi ad alto rischio includono quelli usati nell'istruzione e formazione professionale: sistemi per determinare l'accesso o l'ammissione a istituti educativi, valutazione degli studenti, monitoraggio del comportamento degli studenti rilevante ai fini dell'istruzione. Per questi sistemi, chi li adotta ha obblighi precisi di trasparenza, supervisione umana e registrazione.

I divieti dell'AI Act si applicano ai fornitori e agli utilizzatori dei sistemi. Una scuola che utilizza un sistema AI rientrante nelle categorie vietate — anche se acquistato da un fornitore terzo e senza consapevolezza del divieto — è potenzialmente esposta a sanzioni. Per questo è fondamentale verificare gli strumenti adottati.

Tra i sistemi esplicitamente vietati che possono interessare il contesto scolastico: sistemi di riconoscimento delle emozioni degli studenti durante le lezioni (ad esempio, strumenti che tracciano l'attenzione o il coinvolgimento emotivo via webcam), sistemi di categorizzazione biometrica in tempo reale in spazi accessibili al pubblico, e qualsiasi sistema che utilizzi tecniche subliminali per influenzare il comportamento degli studenti.

Alcune piattaforme di e-learning internazionali hanno integrato funzionalità di eye-tracking o analisi dell'espressione facciale presentandole come strumenti di 'engagement analytics'. Queste funzionalità potrebbero rientrare nella categoria vietata. Prima di adottare qualsiasi piattaforma con funzioni AI avanzate, è necessario verificare attentamente le privacy policy e la documentazione tecnica fornita dal fornitore.

Quando una scuola adotta un sistema AI classificato come ad alto rischio, assume obblighi specifici come deployer (utilizzatore). Questi obblighi sono previsti dall'articolo 26 dell'AI Act e includono: adottare misure tecniche e organizzative appropriate all'uso, garantire supervisione umana durante il funzionamento, non utilizzare il sistema per scopi diversi da quelli documentati dal fornitore, e segnalare incidenti gravi all'autorità competente.

In pratica, se una scuola usa un sistema AI per supportare le decisioni su ammissioni, valutazioni o percorsi formativi degli studenti, deve poter dimostrare che un essere umano ha effettivamente supervisionato le decisioni e che non si è fatto affidamento esclusivo sull'output del sistema. La decisione finale deve sempre rimanere in capo a una persona.

Le scuole devono anche tenere un registro dei sistemi AI ad alto rischio adottati, con informazioni sul fornitore, scopo d'uso, periodo di utilizzo e misure di supervisione adottate. Questo registro non deve essere trasmesso ad autorità esterne in modo ordinario, ma deve essere disponibile in caso di ispezione o di richiesta da parte dell'Autorità Garante per l'AI (in Italia, AGID o l'organismo che sarà designato).

La maggior parte degli strumenti AI usati quotidianamente in classe — ChatGPT, Copilot, strumenti di generazione immagini, correttori automatici — rientrano nella categoria a rischio minimo o limitato, e non comportano obblighi stringenti per la scuola. L'obbligo principale in questi casi è la trasparenza: gli studenti devono sapere quando interagiscono con un sistema AI.

Per valutare la conformità di uno strumento AI specifico, una scuola dovrebbe porre al fornitore almeno queste domande: Il sistema è stato classificato ai fini dell'AI Act? È disponibile la documentazione tecnica richiesta per i sistemi ad alto rischio (se applicabile)? Come vengono trattati i dati degli utenti, inclusi i minori? Esiste un registro delle conformità accessibile?

I fornitori di strumenti AI di livello enterprise (Microsoft, Google, OpenAI per uso business) stanno pubblicando documentazione specifica sull'AI Act. È consigliabile verificare queste risorse prima di adottare uno strumento a livello di istituto. ScuolaTech, nell'ambito dei percorsi formativi per docenti, include moduli dedicati alla valutazione critica degli strumenti AI, proprio per supportare le scuole in questa analisi.

Uno degli articoli meno citati ma più rilevanti per le scuole è l'articolo 4 dell'AI Act, che impone ai deployer di garantire un livello sufficiente di alfabetizzazione AI al personale che utilizza o supervisiona sistemi AI. Questo obbligo si applica a qualsiasi organizzazione — incluse le scuole — che adotti sistemi AI, indipendentemente dal livello di rischio.

In termini pratici, questo significa che se una scuola adotta piattaforme con funzioni AI per la valutazione, la comunicazione o la gestione, è tenuta a formare il personale che le usa. Non è sufficiente acquistare lo strumento e lasciare che i docenti lo esplorino autonomamente: deve esserci una formazione strutturata che garantisca la comprensione del funzionamento di base, dei limiti e dei rischi dello strumento.

Questo obbligo di alfabetizzazione AI si allinea perfettamente con gli obiettivi del bando DM 219/2025, che finanzia esattamente questo tipo di formazione. Le scuole possono quindi vedere il percorso formativo PNRR non solo come opportunità di crescita professionale, ma come adempimento di un obbligo normativo europeo. ScuolaTech progetta i percorsi formativi per soddisfare entrambi gli obiettivi.

Le sanzioni previste dall'AI Act sono calibrate in base alla gravità della violazione e alla dimensione dell'organizzazione. Le violazioni dei divieti assoluti (sistemi inaccettabili) possono comportare sanzioni fino a 35 milioni di euro o il 7% del fatturato annuo globale. Per le violazioni degli obblighi applicabili ai sistemi ad alto rischio, le sanzioni arrivano fino a 15 milioni o il 3% del fatturato.

Per le istituzioni pubbliche come le scuole, le sanzioni pecuniarie seguono regole specifiche definite dagli Stati membri. In Italia, la legge 132/2025 ha chiarito che le sanzioni per le PA tengono conto della natura non commerciale dell'ente. Tuttavia, il rischio per i dirigenti scolastici non è solo economico: violazioni gravi possono comportare responsabilità personale del dirigente per dolo o negligenza grave.

Il rischio più concreto per una scuola è di tipo reputazionale e operativo: un incidente legato all'uso improprio di sistemi AI (es. violazione della privacy di studenti minori, discriminazione algoritmica in un processo valutativo) può avere conseguenze significative anche indipendentemente dalle sanzioni formali. La conformità normativa è quindi anche una questione di gestione del rischio istituzionale.

Un piano di conformità all'AI Act non deve essere un documento complesso: per la maggior parte delle scuole, bastano pochi passi concreti. Il primo è censire gli strumenti AI già in uso nell'istituto — dalle piattaforme didattiche ai sistemi amministrativi — e classificarli per livello di rischio. Questo inventario non richiede competenze legali avanzate, ma una lettura attenta della documentazione dei fornitori.

Il secondo passo è verificare se qualcuno degli strumenti in uso rientra nella categoria ad alto rischio o, peggio, tra quelli vietati. In caso positivo, è necessario o interromperne l'uso o adottare le misure di conformità richieste (supervisione umana, registro, documentazione). Nella maggior parte delle scuole, questo step porterà a identificare pochi o nessun strumento problematico.

Il terzo passo è predisporre un piano di formazione del personale che includa una componente di alfabetizzazione normativa — non solo 'come usare ChatGPT', ma anche 'quali limiti normativi esistono e perché'. ScuolaTech integra questa dimensione normativa nei percorsi formativi rivolti ai docenti e ai dirigenti scolastici, garantendo che la formazione soddisfi anche i requisiti dell'articolo 4 dell'AI Act.