Chi cerca in rete se si possono correggere le verifiche cartacee con l'intelligenza artificiale trova tre cose mescolate: le ispezioni del Garante per la protezione dei dati personali nelle scuole, il regolamento europeo sull'IA e le linee guida del Ministero dell'istruzione e del merito. Sono testi diversi, con scadenze diverse, e nei riassunti che circolano spesso si confondono. Qui li mettiamo in fila, con la situazione al 25 ottobre 2026 e soltanto quello che si legge nei documenti ufficiali.
Le ispezioni del Garante: che cosa dice davvero la delibera
Con la deliberazione n. 797 del 30 dicembre 2025 il Garante ha fissato le priorità della propria attività ispettiva per il periodo gennaio-luglio 2026. Accanto ai data breach delle grandi banche dati pubbliche, al whistleblowing, al dossier sanitario e al telemarketing, la lettera c) prevede «verifiche sull'utilizzo di strumenti di intelligenza artificiale utilizzati in ambito scolastico». Per i punti da a) a i), nel loro insieme, la delibera prevede «almeno 40 accertamenti ispettivi, effettuati anche a mezzo della Guardia di Finanza».
Due precisazioni, perché in rete circolano versioni più ampie. La delibera non dice quanti di quei 40 accertamenti riguardino le scuole: il numero vale per tutti gli ambiti del programma insieme. E non nomina in modo specifico la valutazione automatizzata degli studenti: parla, in generale, di strumenti di IA usati in ambito scolastico. Chi legge «40 ispezioni sull'IA a scuola» legge più di quanto c'è scritto.
Il semestre successivo ha priorità diverse. La deliberazione n. 545 del 23 luglio 2026, per il periodo agosto-dicembre 2026, non ripropone la scuola tra gli ambiti programmati; sull'intelligenza artificiale indica le verifiche sui sistemi usati da Comuni e ASL. Resta però la lettera l), che consente ulteriori ispezioni d'ufficio per situazioni di urgenza o in relazione a segnalazioni e reclami. Uscita dalla programmazione, la scuola non è uscita dal perimetro.
Il caso dei Salesiani: le domande che il Garante fa davvero
Come il Garante guarda all'IA a scuola si capisce meglio da un caso concreto. Il 3 giugno 2026 l'Autorità ha reso noto di aver inviato una richiesta di informazioni al Centro Nazionale Opere Salesiane Scuola, dopo notizie di stampa su una sperimentazione di IA generativa che avrebbe coinvolto oltre 1.600 docenti e quasi 29.000 studenti. Nel comunicato il Garante ricorda che la normativa privacy «si applica allo stesso modo ai soggetti pubblici e privati» che erogano servizi educativi e didattici, e che quando i trattamenti comportano rischi elevati, «come il ricorso a processi decisionali automatizzati», la normativa prevede «specifici adempimenti e misure di tutela».
Le informazioni chieste, da fornire entro 20 giorni, sono queste: le valutazioni effettuate prima dell'avvio del progetto, le modalità di trattamento dei dati personali di studenti e personale, gli istituti che partecipano, i fornitori delle tecnologie impiegate e l'eventuale valutazione d'impatto sulla protezione dei dati. È un elenco utile anche fuori da quel caso. Sono le domande a cui una scuola dovrebbe saper rispondere per qualunque strumento di IA che tocca gli elaborati degli studenti, compreso uno strumento di correzione.
Perché la correzione è un caso a parte nel regolamento europeo
Il regolamento (UE) 2024/1689 sull'intelligenza artificiale, all'allegato III, punto 3, lettera b), classifica ad alto rischio «i sistemi di IA destinati a essere utilizzati per valutare i risultati dell'apprendimento», anche quando quei risultati servono a orientare il processo di apprendimento. Il considerando 56 spiega il motivo: questi sistemi possono determinare il percorso d'istruzione e professionale della vita di una persona.
Sulle date, nel frattempo, qualcosa è cambiato. Il regolamento (UE) 2026/1744, l'Omnibus digitale sull'IA, adottato l'8 luglio 2026 e pubblicato nella Gazzetta ufficiale dell'Unione europea il 24 luglio, ha fissato al 2 dicembre 2027 l'applicazione del capo III, sezioni 1, 2 e 3, per i sistemi ad alto rischio dell'allegato III. In quel capo c'è anche l'articolo 26, che chiede a chi usa il sistema, il cosiddetto deployer, di affidare la sorveglianza umana a persone fisiche «che dispongono della competenza, della formazione e dell'autorità necessarie». Del rinvio avevamo scritto in AI Act rinviato: cosa cambia per le scuole.
Il rinvio riguarda il regolamento sull'IA, non la protezione dei dati. Lo ricorda lo stesso Garante nel parere sulle linee guida del Ministero: quando si usano sistemi di IA vanno assicurati piena trasparenza verso gli interessati e il diritto, previsto dall'articolo 22 del GDPR, di non essere sottoposti a una decisione basata unicamente sul trattamento automatizzato che produca effetti giuridici o incida in modo analogo significativamente sulla persona.
Che cosa chiedono le linee guida del Ministero
Le «Linee guida per l'introduzione dell'Intelligenza Artificiale nelle Istituzioni scolastiche» sono allegate al decreto ministeriale n. 166 del 9 agosto 2025; il Garante aveva espresso parere favorevole sullo schema il 4 agosto 2025, con il provvedimento n. 454. Per chi corregge, i punti che contano sono quattro.
La scuola è titolare del trattamento. Non il singolo docente e non il fornitore. Con i fornitori che trattano dati per conto della scuola servono accordi che contengano gli elementi dell'articolo 28 del GDPR.
Prima la valutazione d'impatto. Per i trattamenti svolti con sistemi di IA le linee guida ritengono necessaria la DPIA, «in considerazione della innovatività dello strumento tecnologico utilizzato nonché del volume potenzialmente elevato di dati personali trattati». Se il sistema è ad alto rischio, chiedono di integrarla con la valutazione d'impatto sui diritti fondamentali (FRIA) prevista dall'articolo 27 del regolamento sull'IA.
Meno dati possibile. Le linee guida chiedono di inserire i prompt preferibilmente senza dati personali identificativi e di usare configurazioni che impediscano «la conservazione dei prompt, la profilazione o il tracciamento degli studenti».
L'intervento umano resta al centro. Nelle situazioni che incidono direttamente sugli studenti le linee guida lo definiscono «centrale e insostituibile».
C'è poi un dettaglio che dice molto. Tra gli esempi d'uso per i docenti le linee guida citano la redazione di rubriche di valutazione, con l'IA che affianca il docente nel definire i descrittori. La correzione automatica non compare. L'IA aiuta a costruire lo strumento; la valutazione resta del docente.
Che cosa significa per una verifica su carta
Una verifica cartacea porta con sé più di quanto serve per correggerla: il nome e la classe, a volte un tema che racconta la vita in famiglia, a volte l'indicazione di una prova differenziata. Il vademecum del Garante «La scuola a prova di privacy», nell'edizione 2025, ricorda che per i temi degli alunni restano validi gli obblighi di riservatezza dei docenti, compresi quelli sulla conservazione dei dati personali che vi sono contenuti, e che il riferimento alle «prove differenziate» sostenute da studenti con disabilità o DSA non va inserito nei tabelloni. Ne discendono quattro accorgimenti pratici.
1. Prima la griglia, poi la correzione. Il decreto legislativo n. 62 del 2017, all'articolo 1, vuole la valutazione effettuata dai docenti «nell'esercizio della propria autonomia professionale», secondo i criteri del collegio dei docenti inseriti nel PTOF. Una proposta di punteggio ha senso solo se si misura con una griglia che il docente ha fissato prima di correggere. Come costruirla domanda per domanda lo spiega la guida alla griglia di valutazione per le verifiche.
2. Strumenti scelti dalla scuola, non account personali. Se titolare è la scuola, la scelta del fornitore, l'accordo sul trattamento dei dati e la valutazione d'impatto passano dal dirigente scolastico e dal responsabile della protezione dei dati. Fotografare le verifiche e caricarle su un chatbot con il proprio account salta tutti questi passaggi.
3. Nello strumento i criteri, non i documenti. PDP, PEI, certificazioni e diagnosi non vanno caricati in uno strumento di correzione: le informazioni su disabilità e disturbi specifici dell'apprendimento possono rivelare dati relativi alla salute, una categoria particolare protetta dall'articolo 9 del GDPR, e restano nel fascicolo e nel consiglio di classe. Questo non vuol dire correggere tutti allo stesso modo. Nella secondaria di secondo grado il DPR n. 135 del 2025, che ha riscritto gli articoli 9 e 10 del DPR n. 122 del 2009, riferisce la valutazione degli studenti con disabilità alle discipline e alle attività svolte sulla base del PEI, e per gli studenti con DSA chiede una valutazione coerente con il PDP, «mediante l'applicazione delle misure dispensative e degli strumenti compensativi indicati nel piano didattico personalizzato». Quando queste misure incidono sulla valutazione di una prova, vanno portate dove si decide il punteggio: come criteri adattati in una griglia apposita con un nome neutro, senza riferimenti a PEI, PDP o diagnosi, oppure nel controllo del docente sulle proposte. Per farlo basta il criterio, non il documento.
4. Il voto lo decide il docente. Una proposta automatica è un'indicazione, non una decisione. Il docente la controlla, la corregge quando serve e stabilisce il punteggio; il voto entra nel registro elettronico e poi nello scrutinio per mano sua e del consiglio di classe. È anche la risposta più semplice a chi chiede come si è arrivati a quel voto.
Dove interviene Corrigo, e dove no
Corrigo è un supporto alla correzione. Legge le verifiche scritte su carta, anche a mano, confronta ogni risposta con la griglia del docente e propone un punteggio per domanda con la motivazione accanto. Il docente controlla ogni proposta e decide il voto; Corrigo non scrive nel registro elettronico e non partecipa allo scrutinio. Poiché valuta risultati dell'apprendimento, partiamo dal presupposto che rientri tra i sistemi ad alto rischio dell'allegato III e lo progettiamo di conseguenza, senza aspettare il 2 dicembre 2027: la proposta resta una proposta.
Per chi in istituto deve valutare un fornitore, la pagina sicurezza e protezione dei dati indica dove si trovano i dati, chi può vederli, per quanto tempo restano e che cosa non è ancora stato messo alla prova; l'accordo sul trattamento dei dati è pubblico. La valutazione d'impatto e la scelta finale restano alla scuola. Questo articolo descrive le norme e i documenti ufficiali: non è un parere legale. Come funziona la correzione sta in correggere con Corrigo.
Domande frequenti
Il Garante privacy ispeziona l'uso dell'intelligenza artificiale nelle scuole?
Sì, è stato uno degli ambiti programmati. La deliberazione n. 797 del 30 dicembre 2025 ha inserito, per il periodo gennaio-luglio 2026, le «verifiche sull'utilizzo di strumenti di intelligenza artificiale utilizzati in ambito scolastico», con almeno 40 accertamenti ispettivi complessivi per tutti gli ambiti del programma, anche tramite la Guardia di Finanza. La delibera non dice quanti riguardino le scuole. Il programma per agosto-dicembre 2026 (deliberazione n. 545 del 23 luglio 2026) non ripropone la scuola tra gli ambiti, ma restano possibili ispezioni d'ufficio per urgenza o su segnalazioni e reclami.
La correzione delle verifiche con l'IA è un uso ad alto rischio secondo l'AI Act?
L'allegato III, punto 3, lettera b), del regolamento (UE) 2024/1689 classifica ad alto rischio i sistemi di IA destinati a essere utilizzati per valutare i risultati dell'apprendimento. Con il regolamento (UE) 2026/1744 le regole per questi sistemi si applicano dal 2 dicembre 2027. Già oggi vale invece l'articolo 22 del GDPR, che riconosce il diritto di non essere sottoposti a una decisione basata unicamente sul trattamento automatizzato che produca effetti giuridici o incida in modo analogo significativamente sulla persona.
Un docente può caricare le verifiche su un chatbot con il proprio account personale?
Le linee guida del Ministero sull'IA nelle scuole (DM n. 166 del 9 agosto 2025) indicano la scuola come titolare del trattamento: è la scuola che sceglie il fornitore, stipula l'accordo previsto dall'articolo 28 del GDPR e svolge la valutazione d'impatto. Un account personale salta tutti questi passaggi. Prima di usare uno strumento di IA sugli elaborati degli studenti conviene quindi passare dal dirigente scolastico e dal responsabile della protezione dei dati.
Che cosa deve verificare una scuola prima di usare uno strumento di correzione con l'IA?
Le linee guida del Ministero chiedono una valutazione d'impatto sulla protezione dei dati prima del trattamento, da integrare con la valutazione d'impatto sui diritti fondamentali se il sistema è ad alto rischio, accordi chiari con il fornitore e il minimo indispensabile di dati personali. Le domande che il Garante ha posto il 3 giugno 2026 nel caso dei Salesiani sono un buon promemoria: valutazioni fatte prima dell'avvio, modalità di trattamento dei dati di studenti e personale, fornitori coinvolti, valutazione d'impatto.
Corrigo decide i voti?
No. Corrigo legge le verifiche scritte su carta, confronta ogni risposta con la griglia del docente e propone un punteggio per domanda con la motivazione accanto. Il docente controlla ogni proposta e decide il voto; Corrigo non scrive nel registro elettronico e non partecipa allo scrutinio. La valutazione d'impatto e la scelta del fornitore restano alla scuola.
Fonti: Garante per la protezione dei dati personali, deliberazione n. 797 del 30 dicembre 2025, attività ispettiva per il periodo gennaio/luglio 2026 (lettera c e numero minimo di accertamenti); deliberazione n. 545 del 23 luglio 2026, attività ispettiva per il periodo agosto/dicembre 2026 (lettere h e l); comunicato stampa del 3 giugno 2026, «IA a scuola, il Garante privacy chiede informazioni agli istituti Salesiani»; parere n. 454 del 4 agosto 2025 sullo schema di decreto del MIM e sulle linee guida per l'IA nelle istituzioni scolastiche; vademecum «La scuola a prova di privacy», edizione 2025 (temi e vita di classe, voti ed esami, intelligenza artificiale). Ministero dell'istruzione e del merito, decreto ministeriale n. 166 del 9 agosto 2025 e allegate Linee guida per l'introduzione dell'Intelligenza Artificiale nelle Istituzioni scolastiche, versione 1.0 (paragrafi 3.1, 3.2, 3.3 e 4.2). Regolamento (UE) 2024/1689, considerando 56, articolo 26 e allegato III, punto 3; regolamento (UE) 2026/1744 dell'8 luglio 2026 (Omnibus digitale sull'IA), GU L del 24 luglio 2026, articolo 1, punto 40, che modifica l'articolo 113. D.lgs. 13 aprile 2017, n. 62, art. 1, nel testo vigente. DPR 8 agosto 2025, n. 135, GU Serie Generale n. 223 del 25 settembre 2025, art. 1, lettere f) e g) (nuovi artt. 9 e 10 del DPR 22 giugno 2009, n. 122). Le citazioni sono testuali, dai documenti pubblicati sui siti del Garante e del Ministero, su EUR-Lex, su Normattiva e sulla Gazzetta Ufficiale.