EdTech, e-learning e piattaforme scolastiche

• Regulation (EU) 2016/679 — GDPR, Articles 27 and 8
• Regulation (EU) 2024/1689 — AI Act, Annex III education
• Directive 2002/58/EC — ePrivacy
• Regulation (EU) 2022/2065 — DSA where content is hosted

Chi deve nominarlo

Fornitori stabiliti al di fuori dell'Unione che offrono piattaforme di apprendimento, strumenti di valutazione o software per l'aula a scuole, università o studenti nell'UE. Le scuole sono solitamente titolari del trattamento e il fornitore un responsabile del trattamento, ma i fornitori che utilizzano i dati per il miglioramento del prodotto o la pubblicità diventano titolari per tali scopi e necessitano di un proprio rappresentante.

Soglie ed esenzioni

Nessuna soglia GDPR. Ai sensi della legge sull'IA, i sistemi utilizzati per determinare l'accesso all'istruzione, valutare i risultati di apprendimento, assegnare studenti o monitorare comportamenti vietati durante i test sono ad alto rischio ai sensi dell'Allegato III, con obblighi che si applicano dal 2 agosto 2026.

Cosa deve comparire in etichetta

L'identità del rappresentante nell'informativa sulla privacy e nella documentazione contrattuale fornita alle scuole. Dove l'IA è utilizzata per la valutazione, le informazioni sulla trasparenza richieste dalla legge sull'IA e la divulgazione agli studenti che stanno interagendo con un sistema di IA.

Campi sui marketplace

Gli appalti pubblici nell'istruzione sono dove questo è applicato in pratica: ministeri e autorità scolastiche in diversi stati membri hanno bloccato o limitato piattaforme per trasferimenti, telemetria e pubblicità, e i questionari di approvvigionamento ora chiedono il rappresentante, l'analisi dei trasferimenti e la classificazione dell'IA.

Documentazione da tenere

Registri dell'Articolo 30, termini di trattamento dell'Articolo 28 con le scuole, la designazione dell'Articolo 27, una valutazione d'impatto sulla protezione dei dati che copre i dati dei bambini, documentazione sui meccanismi di trasferimento e una chiara separazione tra i dati trattati su istruzioni della scuola e i dati utilizzati per scopi propri del fornitore. Per l'IA ad alto rischio: documentazione tecnica, gestione del rischio, governance dei dati e valutazione di conformità.

Norme e prove

Non applicabile alla piattaforma, ma i sistemi di sorveglianza sollevano problemi di accuratezza e discriminazione che devono essere dimostrati, e la legge sull'IA richiede che i livelli di accuratezza, robustezza e sicurezza informatica siano dichiarati e testati.

Requisiti linguistici

Informazioni sulla privacy in una forma comprensibile per i bambini, nella lingua degli studenti, come richiesto esplicitamente dall'Articolo 12 per le informazioni rivolte a un bambino.

Da quando si applica

Il rappresentante prima dell'inizio del trattamento. Obblighi ad alto rischio della legge sull'IA dal 2 agosto 2026.

Per quanto si conservano i documenti

Dati degli studenti solo per il periodo concordato con la scuola, con cancellazione al termine. La conservazione dei dati dopo la scadenza di un contratto per il miglioramento del prodotto è una constatazione ricorrente.

Cosa succede se non sei in regola

Fino a €20 milioni o 4% del fatturato, e questo è un settore in cui le autorità hanno agito in modo decisivo perché i soggetti dei dati sono bambini e il consenso non è liberamente dato in un'aula. Le sanzioni della legge sull'IA si applicano in aggiunta per i sistemi ad alto rischio, fino a €15 milioni o 3%.

Chi controlla

Autorità per la protezione dei dati, ministeri dell'istruzione come decisori in materia di approvvigionamento e autorità di sorveglianza del mercato della legge sull'IA dal 2026.

Dove passa il confine

La linea tra responsabile del trattamento e titolare del trattamento è dove i casi vengono persi: telemetria, analisi dei prodotti e qualsiasi pubblicità rendono il fornitore un titolare per tali scopi, indipendentemente dall'accordo di trattamento. La sorveglianza che monitora il volto, la stanza o i tasti di uno studente è IA ad alto rischio e, in alcuni progetti, un sistema di riconoscimento delle emozioni, che è vietato nell'istruzione ai sensi dell'Articolo 5.

Le domande che ci fanno

La scuola è il titolare del trattamento — abbiamo ancora bisogno di un rappresentante?

Se tratti dati personali degli studenti nell'Unione come responsabile del trattamento ai sensi dell'Articolo 3(2), hai bisogno di un tuo rappresentante. E per qualsiasi scopo che determini tu stesso, sei un titolare.

È consentita la sorveglianza con IA?

Il monitoraggio durante i test è ad alto rischio ai sensi dell'Allegato III. I sistemi che inferiscono emozioni in contesti educativi sono vietati in modo assoluto ai sensi dell'Articolo 5, quindi il design determina se è regolamentato o vietato.