Shadow AI a scuola, docenti e ATA rischiano sanzioni disciplinari usando ChatGPT di nascosto? Cosa prevedono le nuove norme
Un insegnante copia il contenuto di un PEI su ChatGPT o Claude o Perplexity per ottenere suggerimenti didattici. Un assistente amministrativo carica su un sistema di intelligenza artificiale un documento contenente dati personali per preparare una comunicazione. Un docente utilizza il proprio account privato per analizzare le verifiche degli studenti, inserendo nomi e risultati. Sono esempi ipotetici, ma descrivono situazioni facilmente immaginabili nel lavoro quotidiano di una scuola. In tutti e tre i casi l’obiettivo può essere quello di risparmiare tempo o migliorare la qualità del lavoro. Se gli strumenti vengono utilizzati all’insaputa dell’istituzione scolastica, senza verifiche sulle condizioni di trattamento dei dati, si entra nel territorio della cosiddetta Shadow AI, l’intelligenza artificiale utilizzata al di fuori delle procedure di controllo dell’organizzazione. E i rischi possono essere tutt’altro che trascurabili, anche sul piano disciplinare.
Che cos’è la Shadow AI e perché riguarda le scuole
Secondo la definizione proposta da IBM, la Shadow AI consiste nell’impiego di strumenti e applicazioni di intelligenza artificiale senza l’approvazione formale o la supervisione dell’organizzazione. Il fenomeno si è sviluppato soprattutto nelle aziende, dove i dipendenti possono utilizzare autonomamente chatbot, applicazioni di trascrizione, strumenti per analizzare documenti o sistemi per generare contenuti. Nelle scuole le implicazioni sono particolarmente delicate.
Il personale tratta quotidianamente informazioni che riguardano minori, famiglie, situazioni di disabilità, condizioni di salute, risultati scolastici e vicende personali. L’utilizzo di un servizio esterno di IA per elaborare queste informazioni può comportare un trattamento di dati personali per il quale la scuola deve poter verificare finalità, garanzie contrattuali, sicurezza e conformità alla normativa. Un account personale, anche quando appartiene a un docente che lo utilizza esclusivamente per lavorare, non offre automaticamente queste garanzie.
Le Linee guida ministeriali: l’IA deve entrare nella governance della scuola
Le Linee guida per l’introduzione dell’intelligenza artificiale nelle istituzioni scolastiche, adottate con il DM 166/2025, collocano l’introduzione dell’IA all’interno di un percorso che richiede attenzione alla protezione dei dati, alla sicurezza e alla valutazione dei rischi. La scuola deve quindi affrontare il problema della scelta degli strumenti, delle finalità del loro impiego e delle condizioni nelle quali docenti e personale amministrativo possono utilizzarli. Tra gli aspetti da considerare rientrano le valutazioni richieste dal GDPR, compresa, quando necessaria, la valutazione d’impatto sulla protezione dei dati (DPIA). È proprio qui che la Shadow AI presenta la sua maggiore criticità. Se un docente o un assistente amministrativo decide autonomamente di affidare a una piattaforma esterna informazioni trattate per ragioni di servizio, l’istituzione scolastica rischia di non conoscere neppure l’esistenza di quel trattamento. L’assenza di un regolamento interno o di indicazioni operative chiare può aggravare la situazione, lasciando il personale nell’incertezza su quali strumenti siano utilizzabili e con quali cautele.
Legge 132/2025 e Decreto legislativo 179/2026: cambia il quadro delle responsabilità
Il quadro normativo sull’intelligenza artificiale si è ulteriormente sviluppato con la legge 132 del 23 settembre 2025, che promuove un utilizzo corretto, trasparente e responsabile dell’IA, in coerenza con il regolamento europeo 2024/1689, conosciuto come AI Act. Il decreto legislativo 7 ottobre 2026, n. 179, entrato in vigore il 23 ottobre, interviene sull’adeguamento della normativa italiana all’AI Act, disciplinando, tra gli altri aspetti, i poteri delle autorità nazionali e l’impiego dell’intelligenza artificiale in ambiti che comprendono la formazione e la pubblica amministrazione. Si tratta di disposizioni che rafforzano l’esigenza di un impiego governato dei sistemi di IA, all’interno del quale siano chiari i soggetti responsabili, gli strumenti adottati e le garanzie previste. Occorre però evitare un equivoco: queste norme non stabiliscono che ogni insegnante debba chiedere un’autorizzazione individuale prima di utilizzare ChatGPT per qualsiasi attività. Il problema giuridico nasce dalle caratteristiche dell’attività svolta, dai dati eventualmente comunicati alla piattaforma, dalle regole adottate dalla scuola e dagli obblighi che il dipendente è tenuto a rispettare.
Docenti e ATA: quando si rischia una sanzione disciplinare?
La questione delle responsabilità disciplinari merita particolare attenzione. I dipendenti scolastici sono soggetti agli obblighi derivanti dal rapporto di lavoro, alle disposizioni sulla riservatezza e alla disciplina applicabile al personale pubblico. Il codice di comportamento dei dipendenti pubblici, contenuto nel DPR 62/2013 e modificato dal DPR 81/2023, prevede specifiche disposizioni sull’utilizzo delle tecnologie informatiche (art. 11bis) e sulla sicurezza delle informazioni. Per docenti e personale ATA restano inoltre rilevanti le disposizioni contrattuali e disciplinari applicabili alle rispettive categorie. Se un dipendente inserisce dati riservati di studenti o famiglie in una piattaforma esterna senza le necessarie garanzie, oppure viola disposizioni organizzative legittimamente impartite dalla scuola, il comportamento può assumere rilievo disciplinare. La valutazione dipende però dai fatti: quali informazioni sono state comunicate, a chi, con quali modalità, se esistevano istruzioni specifiche, quale obbligo sia stato violato e quali conseguenze si siano prodotte. Non esiste, ovviamente, una sanzione disciplinare automatica per il semplice utilizzo di un chatbot. Né ogni uso non autorizzato dell’IA comporta necessariamente una violazione del GDPR. Diverso è il caso in cui il personale divulghi dati personali o riservati, comprometta la sicurezza delle informazioni o utilizzi sistemi di IA per attività incompatibili con le prescrizioni di servizio.
Dalle verifiche degli studenti ai documenti di segreteria: i rischi concreti
Le situazioni più delicate sono quelle in cui l’IA viene utilizzata per trattare informazioni che la scuola ha acquisito nell’esercizio delle proprie funzioni. Un conto è chiedere a un chatbot di proporre esercizi di matematica senza alcun riferimento agli alunni. Altro è caricare le verifiche di una classe, complete di nominativi, voti e osservazioni personali. Lo stesso vale per gli uffici amministrativi. Un sistema di IA può aiutare a migliorare la formulazione di una circolare generica, ma l’inserimento di contratti, fascicoli del personale, documenti relativi ad assenze o certificazioni sanitarie apre questioni molto più complesse. Anche l’anonimizzazione richiede attenzione. Eliminare il nome da un documento potrebbe non essere sufficiente se altre informazioni permettono di identificare indirettamente la persona interessata. C’è poi un ulteriore rischio: quello di utilizzare testi o valutazioni prodotti dall’IA senza controllarne l’esattezza. Il personale rimane responsabile delle attività svolte e dei documenti predisposti, indipendentemente dagli strumenti impiegati per elaborarli.
Il dirigente scolastico deve sapere quali strumenti vengono utilizzati?
Per le istituzioni scolastiche la Shadow AI pone anzitutto un problema di organizzazione. Una scuola che intende utilizzare l’intelligenza artificiale deve individuare procedure comprensibili per il personale, strumenti adeguati, responsabilità e modalità di gestione dei dati. Occorre coinvolgere le figure competenti, a partire dal dirigente scolastico, dal DSGA per i processi amministrativi, dal responsabile della protezione dei dati (RPD/DPO) e dalle altre figure tecniche eventualmente necessarie. Un regolamento di istituto sull’IA, accompagnato da istruzioni operative e attività di formazione, può contribuire a chiarire quali pratiche siano consentite, quali richiedano verifiche preventive e quali debbano essere escluse. Limitarsi a proibire genericamente l’utilizzo di strumenti di IA rischia, d’altra parte, di lasciare irrisolto il problema.
Chi trova queste tecnologie utili potrebbe continuare a utilizzarle, senza rendere visibili le proprie pratiche e senza ricevere indicazioni sui rischi. È una situazione che le scuole farebbero bene ad affrontare prima che si verifichi un incidente, una diffusione indebita di dati o una contestazione disciplinare. Per un insegnante o un assistente amministrativo, infatti, un’operazione apparentemente banale quale copiare un documento in un chatbot può produrre conseguenze che vanno ben oltre il risparmio di qualche minuto di lavoro.