Iscrizioni, comunicazioni alle famiglie, documenti con dati sanitari dei minori. Ogni automazione qui tocca due normative insieme, e la seconda è più severa della prima.
Per tre motivi che si sommano. I dati trattati riguardano minori. Fra questi ci sono spesso dati particolari: certificazioni sanitarie, diagnosi, provvedimenti, situazioni familiari. E le decisioni prese — iscrizioni, graduatorie, accesso ai servizi — sono atti amministrativi che incidono su diritti.
L'AI Act aggiunge obblighi a un quadro GDPR che era già stretto. Nella pratica quotidiana, il rischio maggiore non arriva dall'AI Act: arriva dal documento caricato in uno strumento sbagliato.
Chi scrive deve capire subito che sta interagendo con un sistema automatico. Vale per il chatbot sul sito, per il risponditore telefonico e per le risposte automatiche via email.
Due accorgimenti in più, specifici per un ente pubblico. Primo: deve esistere un canale evidente per raggiungere una persona — negare di fatto il contatto umano su un procedimento apre problemi che vanno oltre l'AI Act. Secondo: il sistema automatico può dare informazioni generali, non risposte definitive su iscrizioni, graduatorie o certificazioni. Su un procedimento serve una risposta imputabile a un responsabile.
Qui si entra in allegato III da due porte diverse: l'ammissione all'istruzione e l'accesso a servizi pubblici essenziali sono entrambi ambiti ad alto rischio.
Fino a che gli obblighi non sono assolti — e la scadenza è il 2 dicembre 2027 — un sistema che ordina, filtra o valuta domande non va usato per decidere. Attenzione a una cosa: un ordinamento automatico che stabilisce chi ottiene un posto è una decisione, anche se qualcuno la firma dopo. La firma su un elenco che nessuno ha verificato non trasforma l'automazione in valutazione umana.
È la situazione peggiore possibile e capita più spesso di quanto si creda: una certificazione, una diagnosi o un provvedimento caricato in uno strumento IA per farne una sintesi o riscriverlo.
Sono dati particolari ex art. 9 GDPR, riferiti a minori, verso un fornitore che non è stato nominato responsabile del trattamento. E togliere il nome spesso non basta: se il contesto rende la persona identificabile, il dato è ancora personale. Questa è la regola che vale la pena scrivere per prima, prima di qualsiasi altro adempimento.
Sempre più diffusa e quasi mai dichiarata. Vale per collegi docenti, consigli di classe e colloqui con le famiglie.
I presenti vanno informati prima, non a registrazione avviata. E va verificato dove finisce l'audio: molti strumenti di trascrizione lavorano su server extra-UE.
Circolari, comunicazioni, relazioni, risposte a istanze. Non c'è un divieto: c'è una responsabilità.
Un atto amministrativo resta imputabile a chi lo firma. Conviene mettere la regola per iscritto — ogni atto prodotto con supporto IA è riletto e firmato da una persona — così non dipende dalla diligenza del singolo in una giornata storta.
L'obbligo non distingue fra docenti e personale amministrativo: chi usa gli strumenti va formato. Nelle scuole la formazione sull'IA quando arriva è quasi sempre indirizzata ai docenti, mentre in segreteria passano i dati più delicati dell'istituto.
Per un ente pubblico la tracciabilità è parte dell'adempimento: data, partecipanti, argomenti, durata. Senza documentazione, davanti a una verifica la formazione non è avvenuta.