Una modifica al GDPR ancora in discussione a Bruxelles rischia di cambiare le regole con cui i dati di studenti e personale scolastico possono finire negli strumenti di intelligenza artificiale usati nelle scuole. Il testo, noto come “articolo 88 bis” e inserito nel pacchetto Digital Omnibus, avrebbe dovuto essere discusso al Coreper (comitato dei rappresentanti permanenti dei governi degli Stati membri presso l’Unione europea) del 25 settembre 2026, ma il voto è saltato per il mancato accordo tra gli Stati membri. Proprio in quei giorni i sindacati europei della scuola, seguiti in Italia dalla FLC CGIL, hanno lanciato un appello contro la proposta.
Il dossier riguarda direttamente dirigenti scolastici, DPO e famiglie, perché tocca il regime giuridico con cui registri elettronici, piattaforme didattiche e strumenti di IA possono trattare dati di minori.
Chi è coinvolto
A muoversi per primi sono stati ETUCE, il Comitato sindacale europeo dell’istruzione che rappresenta circa 5 milioni tra docenti e personale scolastico, insieme a OBESSU (rappresentanze studentesche europee) ed ESHA (dirigenti scolastici europei), che hanno scritto alle rappresentanze permanenti degli Stati membri per chiedere di fermare la proposta (comunicato ETUCE). In Italia la FLC CGIL, sigla aderente a ETUCE, ha rilanciato l’allarme il 25 settembre (nota FLC CGIL).
Cosa prevede la proposta contestata
Il Digital Omnibus, presentato dalla Commissione europea nel novembre 2025, è stato diviso in due binari: quello sull’AI Act è già diritto vigente dall’estate 2026, quello su GDPR ed ePrivacy resta ancora in negoziato. È in quest’ultimo che compare l’articolo 88 bis, che riconoscerebbe il legittimo interesse (art. 6, par. 1, lett. f, del GDPR) come base giuridica sufficiente per trattare dati personali nello sviluppo di sistemi di intelligenza artificiale, senza il consenso dell’interessato (approfondimento qui). Secondo i sindacati, rispetto alle bozze iniziali della Commissione, il testo negoziato in Consiglio avrebbe indebolito alcune tutele: l’esclusione dei dati dei minori, la minimizzazione, la trasparenza e il diritto di opposizione.
Perché riguarda in particolare le scuole
Gli istituti scolastici trattano ogni giorno, tramite registri elettronici, piattaforme di e-learning e strumenti digitali di terzi, grandi quantità di dati di minori: valutazioni, presenze, dati sanitari o relativi a bisogni educativi speciali, comunicazioni con le famiglie. Se il legittimo interesse diventasse base giuridica generale per l’addestramento di sistemi di IA, i fornitori di questi strumenti potrebbero trattare tali dati per finalità di sviluppo tecnologico senza il consenso esplicito di famiglie e personale, superando le garanzie rafforzate che il GDPR prevede oggi per i minori.
Il negoziato resta aperto
Il mancato accordo al Coreper del 25 settembre significa che non è ancora partito il trilogo tra Consiglio, Parlamento europeo e Commissione, e che l’adozione definitiva della parte GDPR del Digital Omnibus non è attesa prima della fine del 2026. Per le scuole italiane non cambia quindi nulla nell’immediato: le regole vigenti del GDPR, comprese le tutele specifiche per i minori, restano pienamente applicabili. Il dossier va comunque seguito, perché un’eventuale approvazione dell’articolo 88 bis inciderebbe sui contratti con i fornitori di strumenti digitali per la didattica.
Checklist per il dirigente scolastico
- Non modificare le basi giuridiche già adottate per il trattamento dei dati di studenti e personale: consenso, interesse pubblico o obbligo di legge restano i riferimenti validi oggi.
- Verificare con il DPO se i fornitori di registro elettronico, piattaforme didattiche o strumenti di IA dichiarano già di basarsi sul legittimo interesse per l’addestramento algoritmico, chiedendo chiarimenti scritti in caso positivo.
- Tenere sotto osservazione, con il DPO, gli sviluppi del negoziato sul Digital Omnibus segnalati da ETUCE e dalle sigle sindacali aderenti.
- Coinvolgere RSU e rappresentanze dei genitori prima di sottoscrivere nuovi contratti con fornitori di strumenti di IA per la didattica.
- Aggiornare l’informativa privacy solo dopo modifiche normative effettive, evitando anticipazioni non necessarie.