Valutazione preliminare ai fini DPIA per l’utilizzo di Gemini in Google Workspace for Education

Il presente documento contiene la valutazione preliminare ai fini dell’eventuale redazione di una Valutazione d’impatto sulla protezione dei dati – DPIA, prevista dall’articolo 35 del Regolamento (UE) 2016/679 – GDPR, relativa all’utilizzo di Gemini nell’ambiente Google Workspace for Education dell’I.I.S. “Luca Signorelli”.

La valutazione esamina le caratteristiche del servizio, le finalità istituzionali previste, le categorie di utenti interessati, le tipologie di dati trattabili, le modalità di accesso e i principali rischi derivanti dall’impiego di un sistema di Intelligenza Artificiale generativa.

Gemini può essere utilizzato per:

• supportare le attività didattiche;
• predisporre e rielaborare materiali educativi;
• generare testi, sintesi, traduzioni e spiegazioni;
• sostenere la progettazione didattica;
• organizzare informazioni e supportare la ricerca;
• sviluppare le competenze digitali;
• promuovere l’alfabetizzazione a un uso consapevole dell’IA;
• assistere le attività amministrative prive di dati personali.

L’utilizzo deve avvenire mediante account istituzionali Google Workspace for Education, preferibilmente attraverso configurazioni centralizzate e governate dalla console amministrativa dell’Istituto. Gli output prodotti dal sistema devono essere sempre verificati e non possono essere considerati automaticamente corretti, completi o attendibili.

Il documento vieta espressamente l’inserimento di dati sanitari, giudiziari, disciplinari o biometrici, informazioni relative a BES, DSA o disabilità, credenziali, documentazione amministrativa riservata, elenchi nominativi e informazioni riguardanti situazioni personali o familiari di fragilità.

Tra i principali rischi individuati figurano:

• l’inserimento improprio di dati personali nei prompt;
• il trattamento di dati riferiti a minori;
• gli eventuali trasferimenti di dati al di fuori dello Spazio economico europeo;
• la produzione di risposte inesatte o discriminatorie;
• gli accessi non autorizzati;
• l’eccessivo affidamento ai contenuti generati;
• la violazione del principio di minimizzazione dei dati.

Per ridurre tali rischi sono previste misure organizzative, tecniche e informative, tra cui l’utilizzo esclusivo di account istituzionali, il controllo centralizzato degli accessi, la supervisione umana, la formazione del personale, le istruzioni operative per studenti e famiglie e la configurazione del servizio secondo i principi di privacy by design e privacy by default.

La valutazione tiene conto anche dell’AI Act, con particolare riferimento alla tutela dei minori, alla trasparenza, alla supervisione umana, alla gestione del rischio e all’obbligo di promuovere un adeguato livello di AI literacy tra il personale e gli utenti coinvolti.

In base alle funzionalità e alle modalità d’impiego esaminate, Gemini viene ricondotto prevalentemente a un sistema di IA generativa o a un modello per finalità generali utilizzato in contesti a rischio limitato. Non risultano previsti sistemi di riconoscimento delle emozioni, identificazione biometrica, social scoring, profilazione invasiva o valutazione automatizzata degli studenti.

All’esito dell’analisi, non emergono trattamenti che richiedano automaticamente una DPIA completa, purché il servizio venga impiegato esclusivamente per le finalità autorizzate e con le misure di mitigazione indicate.

L’Istituto deve comunque monitorare l’evoluzione del servizio, verificare periodicamente le configurazioni amministrative e le condizioni contrattuali e aggiornare la valutazione in presenza di nuove funzionalità o differenti modalità di utilizzo. Qualora il servizio venga destinato a finalità capaci di incidere significativamente sulla valutazione, sull’accesso all’istruzione o sui diritti degli studenti, dovranno essere effettuate nuove verifiche ai sensi del GDPR e dell’AI Act, compresi gli eventuali adempimenti applicabili ai sistemi ad alto rischio.