Definizione
La DPIA (Data Protection Impact Assessment) è la Valutazione d’Impatto sulla Protezione dei Dati prevista dagli artt. 35 e seguenti del GDPR. Va svolta prima di un trattamento che, per uso di nuove tecnologie, natura, oggetto, contesto e finalità, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche.
Come funziona
La scuola, in qualità di Titolare del trattamento (rappresentata dal DS), esegue la DPIA prima di introdurre un sistema di IA, considerando innovatività e volume dei dati trattati — spesso di minori. Elementi chiave (Linee Guida MIM pag. 16-17):
- il DPO è consultato obbligatoriamente;
- il Garante mette a disposizione un software con percorso guidato, conforme alle indicazioni del WP29;
- la DPIA è soggetta ad aggiornamento periodico al variare dei rischi, delle misure di sicurezza o del ciclo di vita del sistema di IA.
Quando il sistema è ad alto rischio (vedi AI Act — categorie di rischio), la DPIA va integrata con la FRIA — Valutazione d’Impatto sui Diritti Fondamentali (art. 27 AI Act). AgID raccomanda un processo unico DPIA+FRIA.
Applicazioni o esempi
- Introduzione di un tutor IA o di una piattaforma che tratta dati degli studenti → DPIA obbligatoria.
- Misure tipiche: preferenza per dati sintetici, minimizzazione, age gate per gli infratredicenni.
Relazioni con altri concetti
- DPIA e FRIA — valutazioni d’impatto — quadro d’insieme che lega DPIA e FRIA
- FRIA — Valutazione d’Impatto sui Diritti Fondamentali — la integra per i sistemi ad alto rischio
- Privacy e protezione dei dati — la DPIA è lo strumento cardine della protezione dati
- HUDERIA — metodologia di valutazione del rischio IA — metodo per la valutazione qualitativa dei rischi
- Governance scolastica dell’IA — adempimento guidato da DS e DPO
- Dati sintetici — misura di mitigazione tipica da documentare nella DPIA
- Diritto di non partecipazione (opt-out) — la gestione del diritto di non partecipazione è tra le misure da valutare
Contraddizioni e dibattiti
La DPIA è prassi consolidata del GDPR; le difficoltà attuative segnalate dalle fonti riguardano soprattutto la FRIA — Valutazione d’Impatto sui Diritti Fondamentali (informazioni dei fornitori non disponibili), non la DPIA in sé.
Fonti
2025), Presentazione IA Scuola — privacy, DPIA e FRIA, 2025: il modello italiano (Federprivacy)