AIDOCS Education

Gli strumenti di Intelligenza Artificiale pubblici e general purpose possono essere utili per attività individuali, esplorative o non riservate. Tuttavia, quando una scuola, un’università o un ente formativo introduce l’AI nei propri processi didattici, documentali o amministrativi, il tema non è più solo tecnologico: diventa una questione di governance, responsabilità, protezione dei dati e conformità normativa.

Nel mondo Education, soprattutto quando il soggetto è una scuola statale, un’università pubblica o un ente collegato alla Pubblica Amministrazione, l’utilizzo dell’AI deve essere gestito come una scelta istituzionale e non come l’uso libero di uno strumento online da parte di singoli utenti.

AI Act: rischio, trasparenza e responsabilità

Il Regolamento Europeo sull’Intelligenza Artificiale adotta un approccio basato sul rischio e mira a promuovere un’AI antropocentrica, affidabile e rispettosa dei diritti fondamentali. In ambito educativo, alcuni utilizzi dell’AI possono essere particolarmente delicati, ad esempio quando incidono su accesso alla formazione, orientamento del percorso educativo, valutazione dei risultati di apprendimento o monitoraggio degli studenti durante le prove. Questi casi possono rientrare tra i sistemi considerati ad alto rischio.

Questo non significa che l’AI non possa essere utilizzata nella formazione. Significa, al contrario, che deve essere adottata con regole chiare: finalità definite, controllo umano, tracciabilità, informazioni agli utenti, gestione dei rischi e adeguata formazione di chi la utilizza. Il Piano Triennale AgID richiama espressamente per le Pubbliche Amministrazioni principi come analisi del rischio, trasparenza, responsabilità, inclusività, privacy, sicurezza, formazione, standardizzazione e attenzione ai foundation model.

AIDOCS Education nasce proprio per questo scenario: non sostituisce la responsabilità dell’ente, ma offre un ambiente controllato nel quale l’AI lavora su documenti autorizzati, con ruoli, permessi, log, policy, fonti verificabili e configurazioni coerenti con il contesto didattico o amministrativo.

GDPR: dati personali, studenti, minori e documenti interni

In ambito scolastico e universitario possono essere trattati dati personali di studenti, docenti, personale amministrativo, famiglie, candidati, tutor e collaboratori. In alcuni casi possono emergere anche dati particolari o informazioni sensibili: condizioni personali, situazioni economiche, valutazioni, percorsi formativi, bisogni educativi, documenti interni o comunicazioni amministrative.

Il GDPR richiede che il trattamento dei dati personali avvenga secondo principi di liceità, correttezza, trasparenza, minimizzazione, limitazione della finalità, sicurezza e responsabilizzazione del titolare. Inoltre, i trasferimenti di dati personali verso Paesi extra SEE sono soggetti alle condizioni del Capo V del GDPR; l’EDPB ricorda che i dati personali possono essere trasferiti fuori dallo Spazio Economico Europeo solo rispettando tali condizioni, per mantenere un livello di protezione sostanzialmente equivalente.

Per questo l’uso libero di strumenti AI pubblici può creare criticità: l’ente potrebbe non avere pieno controllo su quali dati vengono inseriti dagli utenti, su come vengono trattati, dove vengono trasferiti, se vengono conservati, con quali logiche vengono usati e con quali garanzie contrattuali e tecniche.

AIDOCS Education consente invece di delimitare l’uso dell’AI all’interno di un ambiente governato: fonti documentali definite, permessi per ruolo, segregazione delle knowledge base, tracciabilità delle interazioni, policy di utilizzo e possibilità di deployment in cloud privato, on-premise o ambiente dedicato.

AgID e PA: l’AI deve essere governata

Per le università pubbliche, le scuole statali e gli enti formativi pubblici, il tema è ancora più rilevante. Il Piano Triennale per l’informatica nella Pubblica Amministrazione inserisce dati e Intelligenza Artificiale tra le componenti tecnologiche della trasformazione digitale e richiama le PA all’adozione di criteri di sicurezza, protezione dei dati personali, analisi del rischio, trasparenza e formazione.

Inoltre, il Piano indica che le PA che acquistano servizi di intelligenza artificiale tramite API devono valutare attentamente le modalità e le condizioni con cui il fornitore gestisce i dati forniti dall’amministrazione, con particolare riferimento alla proprietà dei dati e alla conformità alla normativa in materia di protezione dei dati e privacy.

Questo punto è centrale: una scuola o università pubblica non dovrebbe limitarsi a chiedere “funziona?”, ma dovrebbe poter rispondere a domande come:

• quali dati vengono inviati al sistema AI?
• chi li tratta?
• dove sono conservati?
• vengono utilizzati per addestramento o miglioramento del modello?
• quali utenti possono accedere a quali documenti?
• l’ente può ricostruire cosa è stato chiesto e quale risposta è stata fornita?
• il sistema consente policy interne, ruoli e autorizzazioni?
• esiste un controllo umano sul modo in cui l’AI viene utilizzata?

AIDOCS Education è progettato per dare una risposta concreta a questi requisiti.

Provider AI extra UE e leggi USA: un rischio da valutare

Un ulteriore aspetto riguarda la dipendenza da provider AI prevalentemente statunitensi. Anche quando un servizio dichiara di localizzare o trattare dati in Europa, occorre valutare non solo dove risiedono fisicamente i dati, ma anche quale soggetto giuridico li controlla e a quale ordinamento è sottoposto.

Negli Stati Uniti, il CLOUD Act ha introdotto obblighi per i provider di servizi di comunicazione elettronica o remote computing service di preservare, conservare o divulgare dati in loro possesso, custodia o controllo, indipendentemente dal fatto che tali dati siano localizzati dentro o fuori dagli Stati Uniti.

Questo non significa che il governo USA possa accedere liberamente e senza condizioni a qualsiasi dato europeo. Esistono procedure, garanzie, strumenti di contestazione e, per i trasferimenti UE-USA, anche il quadro dell’EU-US Data Privacy Framework. La Commissione Europea ha adottato una decisione di adeguatezza per le società statunitensi aderenti al Data Privacy Framework, che consente il trasferimento di dati personali verso tali società senza ulteriori garanzie di trasferimento.

Tuttavia, per un ente educativo pubblico o per un’università che gestisce documenti interni, dati di studenti, materiali riservati, comunicazioni amministrative o processi istituzionali, il tema della sovranità e del controllo dei dati resta una valutazione sostanziale. Non basta che i dati siano “in Europa”: occorre verificare contratti, subfornitori, giurisdizione applicabile, misure tecniche, cifratura, accessi amministrativi, conservazione, logging e possibilità di audit.

AIDOCS Education riduce questa esposizione perché può essere configurato in modalità private cloud, on-premise o ambiente dedicato, con controllo sulle fonti documentali, sugli accessi, sulle integrazioni AI e sulle policy di trattamento dei dati.

Il valore di AIDOCS Education

AIDOCS Education non è una semplice interfaccia verso un modello di AI pubblico. È una piattaforma pensata per introdurre l’Intelligenza Artificiale in modo controllato all’interno di scuole, università e centri formativi.

Permette di:

• lavorare sui documenti ufficiali dell’ente;
• separare corsi, dipartimenti, segreterie e aree riservate;
• configurare ruoli e permessi;
• limitare l’accesso alle informazioni;
• mantenere tracciabilità delle interazioni;
• supportare policy di utilizzo responsabile dell’AI;
• ridurre l’invio incontrollato di dati verso servizi esterni;
• adottare deployment cloud, private cloud o on-premise;
• supportare l’ente nella costruzione di un modello di AI governato.

Per questo, in ambito Education, e ancora di più nelle università pubbliche e nelle scuole statali, AIDOCS diventa una soluzione più coerente rispetto all’uso libero e non presidiato di strumenti AI pubblici.