IA e Privacy: guida per gestire PDF, dati personali e dati sensibili senza rischiare

Ti sarò capitato più volte di dover unire, separare o convertire un documento scolastico, magari anche facendoti aiutare dall'IA. Per la fretta, la tentazione è quella di utilizzare vari strumenti online gratuiti, facilmente reperibili cercando su Google da Word a PDF o qualcosa di simile, e cliccare sul primo sito gratuito (come iLovePDF, peraltro ottimo) oppure incollando il testo del documento sul ChatGPT di turno.
Comodo, rapido, e ... pericoloso, se il documento contiene dati personali e/o sensibili, eticamente sconsigliato per documenti apparentemente innocui. 

{alertInfo}Dati Personali (Art. 4 GDPR): informazioni che identificano un alunno (nome, cognome, verifiche, ...).

{alertInfo}Dati Sensibili / Categorie particolari (Art. 9 GDPR): informazioni delicate relative alla salute (PEI, PDP, DSA, BES, disabilità, relazioni psicologiche/psichiatriche), all'etnia, al credo religioso, ...

Questa procedimento nasconde insidie legali e professionali enormi, quindi cerco di fare chiarezza su cosa si può fare, cosa è assolutamente vietato e quali sono gli strumenti gratuiti e sicuri.

Il problema degli strumenti online (iLovePDF & Co.)

Quando carichi un documento su un sito web di conversione gratuito, il file esce dal perimetro di sicurezza della scuola e del pc che stai utilizzando, e finisce nei server di un'azienda terza (spesso fuori dall'Unione Europea).

{alertInfo} Un server aziendale è un computer molto potente che utilizza processori speciali e GPU (scheda grafica) specializzata per l'integrazione dell'IA. Migliaia di server che lavorano in parallelo formano i Data Center. Aziende come OpenAi, Google o Anthropic non utilizzano i loro server solo per ricevere le chat degli utenti, ma soprattutto per addestrare i propri modelli linguistici (LLM) da miliardi di parametri. In questo tipo di addestramento potrebbero finire anche i tuoi dati.

A questo proposito, dobbiamo fare una distinzione fondamentale tra due normative:

1. Codice dell'Amministrazione Digitale (CAD) e l'Igiene Digitale: se carichi un documento generico e privo di nomi non violi il GDPR, perché non ci sono dati personali. Tuttavia, infrangi comunque le regole del CAD e di buona "igiene digitale", poiché affidiamo documenti istituzionali o proprietà intellettuale della scuola a server non certificati dall'amministrazione per un uso non autorizzato, spesso situati fuori dall'UE.

2. GDPR (Privacy): se il documento contiene Dati Personali o, peggio, Dati Sensibili, la situazione è gravissima. Stai cedendo dati tutelati di minori a soggetti terzi non autorizzati.

Ecco perché affidarsi a questi siti diventa un problema:

➡️ i tuoi dati sono la loro moneta: i servizi gratuiti spesso si finanziano analizzando o profilando i dati degli utenti;

➡️ perdita di controllo: una volta caricato, non hai alcuna garanzia su quando e se il file verrà eliminato;

➡️ addestramento IA: i Termini di Servizio (che solitamente nessuno legge) spesso indicano che i file verranno utilizzati per addestrare i loro software.

L'utilizzo di queste procedure dal proprio pc in casa propria non ti esonera dal rispetto del GDPR.
Come docenti siamo soggetti autorizzati al trattamento (Art. 29 GDPR). La violazione non sta nel computer hardware che usi, ma nel caricamento in rete al di fuori degli strumenti scolastici (ad es. Google Workspace). In caso di perdita di dati (Data Breach), ti esponi in prima persona a pesanti responsabilità disciplinari (violazione del DPR 62/2013) e a risarcimenti civili per colpa grave.


La proprietà dei file

Quando carichi un documento su un server esterno, tu o la scuola rimanete i proprietari legittimi, tuttavia, nei Termini di Servizio è specificato che concedi all'azienda una licenza d'uso.
Generalmente alcuni convertitori PDF elaborano il file e lo cancellano dopo poche ore, senza rivendicare diritti (ma il rischio di intercettazione rimane).

Se carichi un file nei server di una IA Generativa utilizzando un account gratuito, resti il proprietario del file, ma concedi all'azienda una licenza globale e perpetua per analizzare, riprodurre e usare il testo per addestrare i propri algoritmi (e farlo leggere ai propri revisori).

Quindi la vera domanda non è Di chi è il file?, ma Chi può vederlo?

Il problema non è la titolarità giuridica, ma la riservatezza e il controllo. Quando il documento esce dal tuo computer verso un server non protetto da contratti GDPR specifici per la scuola, perdi il controllo di chi vi ha accesso, commettendo un illecito nel caso di dati degli studenti.
{alertWarning} REPETITA IUVANT: la violazione non è in relazione al computer che utilizzi, il tuo personale piuttosto che quello della scuola, ma nel caricamento in rete. Se i documenti contengono Dati personali o, peggio, Dati sensibili, li stai cedendo a terzi, e ciò ti espone in prima persona a pesanti responsabilità disciplinari e a risarcimenti civili per colpa grave.


Il campo minato dell'Intelligenza Artificiale

L'entusiasmo per l'Intelligenza Artificiale probabilmente ti avrà spinto a farti aiutare nella stesura di documenti, ad esempio chiedendo di sintetizzare una relazione o di creare una griglia di valutazione partendo da un PEI. Ma quando carichi un documento con dati sensibili su questi strumenti, si configura un trattamento illecito di dati e una grave violazione del GDPR, articolati su tre livelli critici:

1. L'addestramento dei modelli (il rischio principale): nelle versioni standard e gratuite di ChatGPT, Gemini e Claude, le aziende utilizzano le tue chat e i documenti che carichi per addestrare e migliorare le loro intelligenze artificiali. Questo significa che la situazione di un tuo alunno viene "ingerita" dal sistema e memorizzata nei server di OpenAI, Google o Anthropic. In linea teorica, quelle informazioni potrebbero riemergere in futuro sotto forma di risposta data a un altro utente nel mondo.

2. La revisione umana: probabilmente sai già che, per motivi di sicurezza e per migliorare la qualità delle risposte, le aziende tech si riservano il diritto (chiaramente indicato nelle loro privacy policy) di far leggere campioni di chat e documenti a revisori umani (dipendenti o contrattisti esterni). Caricare un documento riservato scolastico significa esporlo letteralmente alla lettura di estranei.

3. Trasferimento extra-UE senza autorizzazione: dal punto di vista legale, inserire dati personali di studenti in un'IA gratuita significa inviare dati a un Responsabile del Trattamento non autorizzato dalla scuola. Questi dati finiscono in server situati spesso negli Stati Uniti, senza un contratto specifico a tutela della scuola (Data Processing Agreement) e senza il consenso informato delle famiglie.

{alertSuccess} Se devi riassumere un testo puramente didattico, come un capitolo di storia o un documento ministeriale, puoi usare l'IA liberamente. Il divieto scatta nel momento in cui il testo contiene informazioni riconducibili a persone fisiche.    

 

L'eccezione sicura: Google Workspace for Education

C'è un'eccezione fondamentale: utilizzando gli strumenti di conversione o esportazione all'interno del Google Workspace for Education (o Microsoft 365) fornito dalla scuola, sei al sicuro.
In questo ecosistema chiuso:

1. Google agisce solo come Responsabile del Trattamento, la scuola resta proprietaria dei dati.
2. I dati non vengono mai usati per addestrare l'IA o per scopi pubblicitari.
3. Il cloud è crittografato e contrattualmente blindato.

Bisogna solo prestare attenzione a non installare componenti aggiuntivi (Add-on) di terze parti non autorizzati dall'amministratore della scuola.

La soluzione offline

Una soluzione altrettanto sicura è l'utilizzo di software in locale, ovvero installato nel proprio pc; in questo modo tutte le operazioni di editing e di conversione vengono effettuate all'interno del tuo perimetro, con la certezza che nessun dato uscirà verso l'esterno e garantendo la conformità al GDPR.

Alcuni esempi di app gratuite:

➡️ PDF24 Creator, solo per Windows: suite completa che lavora totalmente offline. Unisce, divide, converte, comprime e riconosce il testo. Non ha funzioni cloud, quindi il rischio GDPR è pari a zero.

➡️ LibreOffice Draw, anche per Mac e Linux: puoi coprire/oscurare dati sensibili o modificare del testo in un PDF; Draw è incluso nella suite gratuita open-source LibreOffice (il corrispettivo del pacchetto Microsoft Word o Open Office). Nessuna pubblicità, nessun tracciamento. 

➡️ PDFgear, per Windows e Mac: strumento eccellente, ma che richiede attenzione, in quanto prevede anche l'utilizzo di strumenti IA, tra cui la chat integrata; se usata, i dati vengono inviati ai server di OpenAI (Chat GPT), quindi è sufficiente non utilizzarli e risolvi il problema.

➡️ PDFSam Basic, per Windows, Mac e Linux: lavora solo in locale, anche in questo caso nessun dato esce verso l'esterno. 

Utilizzare l'IA

Se hai l'assoluta necessità di usare l'IA per farti riassumere o analizzare documenti scolastici, hai solo queste opzioni:

1. anonimizzazione preventiva (l'unica via gratuita e sicura): prima di caricare il testo, sostituisci ogni nome e dato riconoscibile. Da "L'alunno Mario Rossi nato a Roma..." a "L'alunno X della classe Y...";
2. usa account Enterprise/Educational: se la tua scuola ha acquistato piani commerciali (ad esempio Gemini for Workspace a pagamento), l'addestramento sui dati è disabilitato per contratto.
3. le IA locali (configurazione e installazione leggermente complessa): puoi usare software come LM Studio per far girare l'IA direttamente sul tuo PC. Non è un servizio a consumo e non richiede abbonamenti: ti permette di scaricare il cervello dell'Intelligenza Artificiale gratuitamente sul tuo computer e di usarlo al 100% offline. Poiché usa il processore e la scheda video del tuo PC e non necessita di connessione a internet, il file non esce mai dal tuo hard disk, garantendo una privacy assoluta.

{alertWarning} Attenzione alla falsa sicurezza delle app: applicazioni come Claude Desktop o l'app di ChatGPT per Windows e Mac, anche se sono software scaricabili e installabili sul pc, NON sono IA locali. Sono solo delle interfacce sul tuo PC che necessitano comunque dell'accesso a internet per inviare i tuoi dati ai server cloud di Anthropic e OpenAI. Se usi queste app, i rischi GDPR sono identici a quelli del sito web.


In sintesi, installare un software locale (o utilizzare gli strumenti di Google Workspace for Education) al posto di usare un sito web comodo e rapido è probabilmente una seccatura, ma ti tutela legalmente in modo assoluto.
Inoltre, abituarsi a lavorare sempre in locale o sul cloud istituzionale – anche quando gestisci documenti privi di dati sensibili – ti permette di consolidare un'ottima pratica di igiene digitale. Evitare l'uso di tool esterni non autorizzati crea un automatismo professionale che ti può proteggere dal potenziale rischio di caricare un file sbagliato, magari per fretta o disattenzione.


full-width