Microsoft annuncia agenti che restano al lavoro quando nessuno è collegato e sposta le funzioni nuove di Copilot su una fatturazione a consumo di cui non si conosce la tariffa, senza citare le edizioni per l’istruzione, mentre una falla di Elementor nelle versioni 4.3.0 e 4.3.1 permette di creare un amministratore sul sito della scuola con un collegamento aperto da chi è già connesso, e l’ENISA, su 8.257 incidenti di un anno, spiega perché il rischio di un istituto passa quasi sempre dai suoi fornitori

Se avete tempo per una cosa sola, oggi è la seconda notizia, e si esaurisce in dieci minuti: qualcuno deve entrare nel pannello di WordPress del sito d’istituto, guardare la versione di Elementor e, se è la 4.3.0 o la 4.3.1, portarla alla 4.3.2, uscita il 24 settembre. Subito dopo va letto l’elenco degli utenti amministratori, uno per uno, perché l’aggiornamento chiude la porta ma non manda via chi fosse già entrato, e perché in quasi tutte le scuole in quell’elenco ci sono ancora il docente trasferito, il tirocinante di un progetto chiuso e la ditta con cui si è smesso di lavorare. Se il sito è affidato a un fornitore, la mail di tre righe che chiede versione e data dell’aggiornamento va scritta oggi e conservata nel fascicolo del contratto.

La seconda e la terza notizia si tengono per mano. Il rapporto ENISA, costruito su 8.257 incidenti di un anno, dice che il guasto arriva quasi sempre dal fornitore e si propaga a valle, e per una scuola i fornitori sono il registro elettronico, la segreteria digitale, il protocollo, la conservazione, la posta e il sito. Le istituzioni scolastiche statali non sono soggetti NIS2 e il 73 per cento citato non parla di loro, ma la tesi del rapporto le riguarda in pieno: il giorno brutto non comincia con un attacco alla scuola, comincia con la telefonata di chi vi fornisce un servizio. L’elenco dei servizi senza i quali l’istituto si ferma, con nome del fornitore e un telefono che risponde davvero, è mezza giornata di segreteria e serve esattamente quando non si riesce a pensare.

Le altre due notizie vanno lette per quello che non vi riguarda, prima ancora che per quello che vi riguarda. Il voucher da 20.000 euro per cloud e cybersicurezza non è chiedibile da una scuola statale, e nessuna consulenza può cambiarlo; il decreto legislativo 160 del 2026, in vigore dal 30 settembre, non si applica alle istituzioni scolastiche statali. In compenso entrambi parlano dei vostri fornitori: i primi useranno il contributo per rifarsi l’infrastruttura, i secondi dovranno rispondere in proprio delle misure di sicurezza sui sistemi ad alto rischio, categoria in cui l’Europa colloca anche gli strumenti per selezionare e monitorare il personale.

Il filo della giornata è che tutte e tre le notizie utili chiedono la stessa cosa, e nessuna costa denaro: sapere chi entra nei vostri sistemi, sapere chi ve li fornisce e sapere chi firma quello che esce dalla scuola. L’annuncio di Microsoft, che porta agenti capaci di lavorare quando nessuno è collegato e sposta le funzioni nuove su un prezzo a consumo che non è stato pubblicato, è un promemoria anticipato della stessa domanda: prima di comprare uno strumento che agisce da solo, conviene aver deciso chi risponde di quello che fa.

Strumenti

Microsoft rifà Copilot con agenti che lavorano anche di notte e applicazioni costruite descrivendole a parole: per la scuola contano tre righe dell’annuncio, cioè che le funzioni nuove si pagano a consumo, che la tariffa non c’è e che le edizioni per l’istruzione non sono nominate

Con un annuncio del 25 settembre 2026, firmato da Jared Spataro sul blog ufficiale di Microsoft, Copilot viene riorganizzato in tre componenti. La prima, Home, funziona da ingresso unico: vi confluiscono Chat, per le richieste immediate, e Cowork, per i compiti delegati, e vi arriva Office in Copilot, cioè Word, Excel e PowerPoint integrati, i cui prodotti sono file veri, modificabili e condivisibili in tempo reale. La seconda, Code, consente a chi non ha competenze di programmazione di realizzare applicazioni, cruscotti, automazioni e flussi di lavoro descrivendoli a parole; funziona in un ambiente isolato interno al tenant dell’organizzazione e si basa sulla stessa tecnologia di GitHub Copilot. La terza, Autopilot, è un agente persistente dotato di nome, ruolo e obiettivo, che prosegue il lavoro anche quando l’utente non è collegato: tiene d’occhio i canali, svolge compiti ricorrenti, prende contatto con le persone, e risiede nel tenant con identità, memoria e area di lavoro proprie. I modelli di fatturazione diventano due. Quello a licenza per utente, la User Subscription License, comprende a costo fisso Chat e le funzioni di intelligenza artificiale dentro le applicazioni di Office; Cowork, Code, Autopilot e i modelli di frontiera passano invece alla fatturazione a consumo, la Usage-Based Billing. Insieme a questo Microsoft presenta FinOps for AI, un insieme di strumenti con cui l’amministratore fissa politiche di spesa, gestisce le richieste di credito e misura quanto costa ogni operazione. Il calendario indicato è il seguente: Home e Code cominciano a uscire nel programma Frontier nelle prossime settimane, Autopilot va in anteprima privata entro la fine del mese, l’anteprima di Code raggiunge gli abbonati Microsoft 365 Premium e Pro più avanti nel 2026, e a ottobre entra in anteprima privata anche Today, centro di comando su posta, calendario, conversazioni Teams, riunioni e attività. Completano il quadro due novità di governo, cioè un registro dei plugin per la gestione centralizzata da parte di chi amministra i sistemi e Fabric IQ, che collega Copilot ai modelli semantici di Power BI. Sul costo del consumo l’annuncio tace: nessuna tariffa, nessuna unità di misura dichiarata, nessun chiarimento su che cosa accada a chi oggi versa trenta dollari al mese per Microsoft 365 Copilot. Mancano inoltre le date per l’Italia e per l’Europa, le indicazioni sulle lingue e la conferma che il programma Frontier sia aperto anche alle organizzazioni piccole; le edizioni per l’istruzione non vengono citate.

Il commento. Cominciamo da quello che questo annuncio non è: non è qualcosa che arriva nelle vostre aule il mese prossimo. Le edizioni per l’istruzione non sono nominate, non ci sono date per l’Italia, non si sa nulla sulle lingue e una parte delle novità passa da un programma riservato di cui non è detto chi possa entrarvi. Se qualcuno vi propone di comprarlo per l’istituto entro ottobre, sta vendendo un comunicato stampa. Detto questo, ci sono due ragioni serie per leggerlo lo stesso. La prima è il modo di pagare, e riguarda chi in segreteria tiene i contratti e i capitoli di spesa. Finora l’intelligenza artificiale nelle suite scolastiche era una licenza: tante persone, tanti euro, una cifra che si mette a bilancio a settembre e si sa. Il modello che Microsoft introduce per le funzioni nuove è a consumo, e il consumo non entra in un capitolo previsionale, perché non si sa quanto sarà finché non è stato fatto. Per una scuola, che spende soldi pubblici con impegni presi in anticipo e rendiconta ogni voce, non è una sfumatura commerciale: è una forma di spesa difficile da gestire con le regole della contabilità scolastica. Quando arriverà un’offerta con dentro la parola consumo, la domanda da mettere per iscritto al fornitore è una sola e va fatta prima della firma, cioè qual è il tetto massimo di spesa e chi lo fissa. La seconda ragione è Autopilot, e qui il punto non è tecnico ma di responsabilità. Un agente che ha un nome, un ruolo, una memoria e che continua a lavorare quando nessuno è collegato assomiglia molto a una persona, e in una scuola le persone hanno un mansionario e un dirigente che risponde di loro. Se un giorno un agente sorveglia una casella, smista comunicazioni o contatta famiglie, bisognerà sapere chi lo ha configurato, chi legge quello che ha fatto e chi firma quello che manda. Vale la pena pensarci adesso che è un annuncio, perché quando diventerà un’offerta la discussione sarà sui prezzi e non su questo. Tre cose utili da subito, e nessuna costa denaro: chiedere al gestore della vostra piattaforma se e quando le edizioni per l’istruzione saranno toccate; annotare nel registro dei contratti quali servizi hanno oggi un costo fisso, così da accorgersi il giorno in cui cambia; e stabilire, in collegio o in una circolare breve, che nessuna funzione a pagamento a consumo si accende senza il via libera di chi tiene il bilancio. La lezione che resta oltre la giornata è che la trattativa con un fornitore non si gioca sul prezzo di listino, si gioca sul modo in cui il prezzo si forma.

D.R.

Fonte: Microsoft

Sito d’istituto

Il sito della scuola può ritrovarsi con un amministratore in più: la falla di Elementor colpisce le versioni 4.3.0 e 4.3.1, basta che un collegamento venga aperto da chi in quel momento è già connesso a WordPress, e la correzione 4.3.2 è del 24 settembre

Il 25 settembre 2026 BleepingComputer dà notizia di un difetto del plugin Elementor per WordPress, classificato come CSRF, cioè falsificazione della richiesta. La sintesi di Patchstack lo descrive così: se un utente di WordPress in quel momento connesso al sito apre un collegamento, quel collegamento gli fa compiere, a sua insaputa, una qualunque azione dell’API REST, fino a creare un account con i poteri di amministratore. Sono interessate la versione 4.3.0 e la versione 4.3.1, mentre la 4.3.2, uscita il 24 settembre 2026, risolve il problema chiudendo l’aggiramento che sfruttava i parametri della stringa di query. La stima riferita parla di un massimo di due milioni di siti ancora su versioni esposte. Su questo specifico difetto non risultano attacchi documentati in corso, laddove versioni precedenti dello stesso plugin erano invece già oggetto di sfruttamento attivo. Le contromisure raccomandate sono due: portare il plugin alla 4.3.2 e passare in rassegna gli utenti con ruolo di amministratore. Non compaiono nell’articolo un codice CVE, un punteggio CVSS, la spiegazione dettagliata del meccanismo di aggiramento, la data in cui il difetto è stato individuato e alcuna mitigazione temporanea per chi non sia in grado di aggiornare in tempi brevi.

Il commento. Il sito di un istituto non è una vetrina: è il luogo dove vivono l’albo online, l’amministrazione trasparente, le circolari, le graduatorie, gli avvisi alle famiglie e spesso i moduli per le iscrizioni a qualcosa. Moltissimi di questi siti sono fatti con WordPress e costruiti con Elementor, e quasi sempre li segue una ditta esterna o un docente con l’incarico di curatore del sito. Questo è il giorno in cui qualcuno deve guardare un numero di versione. La dinamica va capita perché non è quella che si racconta di solito: non viene rubata una password, non viene bucato il server, non c’è un allegato da aprire. Serve soltanto che una persona che ha accesso al sito, e che in quel momento ha la sessione aperta in una scheda del browser, apra un collegamento arrivato per posta o per messaggio. Da quel momento sul sito può esserci un amministratore che nessuno ha creato, e un amministratore su un sito scolastico può pubblicare un avviso falso all’albo, cambiare un allegato di una graduatoria o mettere in home page qualsiasi cosa: il danno non è informatico, è di credibilità verso le famiglie e verso gli enti con cui l’istituto ha rapporti. Tre cose, in ordine, e la terza è quella che non fa quasi nessuno. La prima: entrate nel pannello di WordPress, alla voce dei plugin, e guardate la versione di Elementor; se è 4.3.0 o 4.3.1 va portata alla 4.3.2. Se il sito è affidato a una ditta, la mail di oggi è di tre righe e chiede quale versione è installata e con quale data verrà aggiornata: quella risposta va conservata nel fascicolo del contratto, perché è la prova che l’istituto ha vigilato. La seconda: aprite l’elenco degli utenti e leggete chi ha il ruolo di amministratore, uno per uno. L’aggiornamento chiude la porta, non manda via chi è già dentro. La terza: nella maggior parte delle scuole quell’elenco contiene ancora il docente trasferito due anni fa, il tirocinante di un progetto concluso e la ditta con cui si è smesso di lavorare. Togliere quei profili, o almeno abbassarne il ruolo, è un intervento di dieci minuti che vale più di molti acquisti. La fonte non assegna un codice CVE, non dà un punteggio di gravità e non dice quando la falla sia stata scoperta, quindi non sappiamo da quanto tempo la finestra sia aperta; va detto anche, per non spaventare nessuno, che di attacchi in corso su questa falla non risultano segnalazioni. È esattamente per questo che il momento buono è adesso. La lezione che dura oltre la giornata è che la sicurezza del sito non è un tema del fornitore: il responsabile del trattamento e della pubblicazione è l’istituto, e deve esistere una persona, con nome e cognome nell’organigramma, che sa dire chi può entrare e con quali poteri.

D.R.

Fonte: BleepingComputer

Fornitori

L’ENISA ha esaminato 8.257 incidenti di un anno e trova che il 73 per cento colpisce soggetti essenziali o importanti: per una scuola la parte che conta è la tesi del rapporto, cioè che il guasto arriva dal fornitore, e i fornitori della scuola sono il registro elettronico e la segreteria digitale

Un’analisi pubblicata da Cybersecurity360 il 24 settembre 2026 dà conto del rapporto Threat Landscape 2026, diffuso due giorni prima, il 22 settembre 2026, dall’ENISA, l’agenzia dell’Unione europea per la cibersicurezza. Il documento poggia su 8.257 incidenti raccolti nell’arco di dodici mesi, dal 1 gennaio al 31 dicembre 2025. Su quel totale, il 73 per cento degli eventi malevoli ha avuto come bersaglio organizzazioni che la direttiva NIS2 classifica come essenziali o importanti. Il ragionamento che l’agenzia costruisce riguarda le dipendenze digitali: quando un’organizzazione poggia il proprio funzionamento su servizi altrui, la debolezza di un singolo fornitore non resta circoscritta, si moltiplica lungo la catena e produce effetti su chi sta a valle. Tre fenomeni sostengono il quadro, cioè il ransomware, descritto come un modello criminale ormai maturo, lo sfruttamento delle vulnerabilità e l’intelligenza artificiale, che accelera tecniche vecchie e ne rende praticabili di nuove. La raccomandazione conclusiva è di trattare i fornitori come una voce della gestione del rischio e non come una pratica da archiviare. Restano fuori dall’articolo la distribuzione degli 8.257 incidenti per tipo di minaccia e per settore, i dati separati su ransomware, phishing e attacchi di negazione del servizio, e qualsiasi rilevazione riferita specificamente all’Italia.

Il commento. Una scuola non produce quasi nessuno dei servizi digitali che usa. Li compra: il registro elettronico, la piattaforma di segreteria digitale, il protocollo, la conservazione a norma, la posta, la piattaforma didattica, il sito, il servizio che gestisce le iscrizioni alla mensa. In un istituto la catena di fornitura di cui parla l’ENISA non è un concetto astratto, è l’elenco delle fatture. E la conseguenza è che nella maggior parte dei casi il giorno brutto non comincia con un attacco alla scuola: comincia con una telefonata di un fornitore che dice che il servizio non è raggiungibile. Da lì in poi i registri non si firmano, le assenze non si inseriscono, i genitori non vedono i voti, e la segreteria non riesce a protocollare in scadenza. La domanda giusta da porre, quindi, non è se il fornitore sia sicuro, perché risponderà di sì: è che cosa succede alla scuola nel giorno in cui lui non c’è, e per quanto tempo. Tre cose da preparare, e nessuna richiede un acquisto. La prima è l’elenco, su una pagina, dei servizi digitali senza i quali la scuola si ferma, con accanto il nome del fornitore, il riferimento del contratto e un numero di telefono che risponde davvero: è una mezza giornata di lavoro della segreteria e serve esattamente nel momento in cui non si riesce a pensare. La seconda è, per i due o tre servizi più critici, una procedura di ripiego scritta in dieci righe: come si firma il registro se il registro non c’è, come si protocolla un atto in scadenza se il protocollo è fermo, chi avvisa le famiglie e con quale canale. La terza riguarda i contratti in scadenza quest’anno: prima di rinnovare, vale la pena chiedere al fornitore dove stanno i dati, ogni quanto vengono fatte le copie di salvataggio e in quanto tempo si impegna a ripristinare il servizio, mettendo la risposta agli atti. Se il fornitore non risponde per iscritto, quella è già l’informazione che vi serviva. Due cautele sui numeri, perché vanno usati con onestà. Il 73 per cento riguarda soggetti essenziali o importanti secondo la NIS2, e le istituzioni scolastiche statali in quanto tali non sono il bersaglio di quella cifra: non fingeremo il contrario. Inoltre la fonte non scompone gli incidenti per settore né per Paese, quindi da qui non si ricava niente di specifico sull’Italia e niente sulla scuola. Quello che resta, ed è molto, è il ragionamento: chi vi fornisce un servizio vi trasmette anche il suo rischio, e nessuna precauzione presa dentro l’istituto lo compensa.

D.R.

Fonte: Cybersecurity360

Fondi e bandi

Fino a 20.000 euro a fondo perduto per cloud e cybersicurezza, con precompilazione dalle 12 del 20 ottobre: le scuole statali non possono chiederlo, e vale la pena sapere perché lo riportiamo lo stesso

La scheda pubblicata il 25 settembre 2026 dal Servizio Nuove Imprese di Unioncamere descrive il voucher per servizi di cloud computing e cybersecurity. I destinatari sono le piccole e medie imprese e i lavoratori autonomi; il contributo è a fondo perduto e copre fino al 50 per cento delle spese ammissibili, entro un tetto di 20.000 euro, a fronte di un investimento che non può essere inferiore a 4.000 euro. Rientrano fra le spese ammissibili le soluzioni hardware e software di cybersicurezza, i servizi cloud infrastrutturali, le soluzioni cloud in modalità software come servizio e i servizi accessori; non vi rientra l’intelligenza artificiale, che non viene nominata. Il procedimento si articola su due finestre distinte: la precompilazione della domanda si apre alle ore 12:00 del 20 ottobre 2026, mentre l’invio delle istanze va dalle ore 12:00 del 10 novembre 2026 fino alle ore 12:00 del 20 gennaio 2027. Il riferimento normativo è il decreto del Ministero delle imprese e del made in Italy del 4 agosto 2026. La misura dispone complessivamente di 150 milioni di euro, con 71 milioni riservati al Mezzogiorno, e impone che l’acquisto avvenga presso fornitori iscritti a un elenco ministeriale: sono però informazioni che questa scheda non contiene, perché figurano sulle pagine del Ministero. La scheda non indica nemmeno su quale piattaforma si presenti la domanda e non menziona l’obbligo di connettività minima.

Il commento. Le scuole statali non sono beneficiarie di questa misura, e lo diciamo subito e senza giri di parole: il voucher è per le piccole e medie imprese e per i lavoratori autonomi, e nessun istituto statale può presentare domanda. Chi vi propone di parteciparvi vi sta facendo perdere tempo. Può riguardare invece gli enti di formazione, le cooperative e le scuole paritarie organizzate come impresa, purché abbiano un investimento di almeno 4.000 euro in una delle voci ammesse e comprino da un fornitore iscritto all’elenco ministeriale: per queste realtà, che spesso hanno la stessa infrastruttura fragile di un istituto statale, è una delle poche occasioni tagliate sulla loro dimensione. Lo riportiamo però per due ragioni che valgono anche per chi non può chiederlo. La prima riguarda i fornitori della scuola, ed è il collegamento con la notizia precedente. Nei prossimi mesi le piccole imprese informatiche del vostro territorio, comprese quelle che vi assistono, useranno questi 20.000 euro per mettersi in regola su cloud e sicurezza. Quando un fornitore vi ripresenterà un preventivo, quindi, avrà probabilmente rifatto la propria infrastruttura, e la domanda utile da fargli al rinnovo è dove tiene adesso i dati della scuola e se qualcosa è cambiato rispetto al contratto firmato. La seconda ragione riguarda il metodo, e serve a chiunque nella scuola scriva progetti. Qui le date sono due e non una, la precompilazione il 20 ottobre e l’invio dal 10 novembre, ed è la struttura che si ritrova in quasi tutti gli avvisi, compresi quelli a cui la scuola partecipa davvero: chi tratta la prima data come una formalità arriva alla seconda senza documenti. Va segnalata anche una cosa che manca, perché smonta un’aspettativa diffusa: l’intelligenza artificiale non è fra le spese ammissibili. Per il secondo anno di fila si finanziano infrastruttura e difesa, non assistenti, e chi immagina che i contributi pubblici sul digitale servano a comprare strumenti di intelligenza artificiale sta leggendo il presente con le categorie dell’anno prossimo. Infine quello che la scheda non dice e che va cercato altrove prima di firmare qualunque ordine: la piattaforma di presentazione, la dotazione complessiva, la riserva per il Mezzogiorno e l’obbligo di connettività minima stanno nel decreto del 4 agosto 2026 e sulle pagine del Ministero, non qui. La lezione che resta, e vale anche per i bandi scolastici, è che una scheda di sintesi non è mai il bando: è l’indice.

D.R.

Fonte: Unioncamere – Servizio Nuove Imprese

Regole

Dal 30 settembre le imprese rispondono in proprio delle misure di sicurezza mancanti sui sistemi di intelligenza artificiale, con sanzioni fino a 1.000 quote e il divieto di contrattare con la pubblica amministrazione: la scuola statale è fuori da queste regole, ma i suoi fornitori sono dentro

Una ricostruzione dell’Osservatorio 231, uscita il 25 settembre 2026, esamina che cosa cambia per la responsabilità amministrativa degli enti con il decreto legislativo 9 settembre 2026 numero 160, pubblicato in Gazzetta Ufficiale il 15 settembre 2026 ed efficace dal 30 settembre 2026. Il provvedimento inserisce nel decreto legislativo 231 del 2001 l’articolo 25-vicies, che configura in capo all’ente una responsabilità autonoma. Sul versante pecuniario la forbice è di 600-1.000 quote quando viene violato l’articolo 437-bis del codice penale, che riguarda l’omessa adozione delle misure di sicurezza dei sistemi di intelligenza artificiale e l’alterazione illecita, e di 200-700 quote per l’articolo 612-quater, riferito ai deepfake. A queste si affiancano le sanzioni interdittive: l’unica esclusa è l’interdizione dall’esercizio dell’attività, mentre restano applicabili il divieto di contrattare con la pubblica amministrazione, la sospensione o la revoca di autorizzazioni e licenze e l’esclusione da agevolazioni e finanziamenti. Sul piano penale la norma colpisce chi omette le misure tecniche di sicurezza in fase di progettazione, addestramento, produzione e immissione sul mercato di sistemi ad alto rischio, e lo fa anche in presenza di semplice colpa grave e non solo di dolo; risponde inoltre l’utilizzatore professionale che ometta intenzionalmente la sorveglianza umana. Ne discende l’invito, rivolto alle imprese che progettano, producono o utilizzano sistemi ad alto rischio, a verificare il proprio modello organizzativo e a mettere per iscritto le procedure di sorveglianza umana. Che cosa sia ad alto rischio lo stabiliscono gli Allegati I e III del Regolamento europeo 2024/1689, che vi comprendono fra l’altro i componenti di sicurezza delle macchine, l’identificazione biometrica e gli strumenti per la selezione e il monitoraggio del personale. La fonte non quantifica in euro la singola quota, e senza quel valore l’importo massimo della sanzione resta indeterminato; non precisa la durata delle sanzioni interdittive; non scioglie il dubbio se occorra un aggiornamento formale del modello 231 oppure una semplice integrazione; e non offre esempi di sistemi ad alto rischio diffusi nelle piccole e medie imprese.

Il commento. La prima cosa da dire è la più importante, e va detta senza attenuanti: il decreto legislativo 231 del 2001 non si applica alle istituzioni scolastiche statali. Nessun dirigente deve dotarsi di un modello organizzativo per effetto di questa notizia, nessuna scuola statale rischia l’esclusione da finanziamenti in base all’articolo 25-vicies, e se nei prossimi giorni arriverà un’offerta di consulenza per adeguare l’istituto al nuovo decreto, la risposta corretta è no. Le scuole paritarie e gli enti di formazione costituiti come società o associazione sono un’altra storia e farebbero bene a parlarne con il proprio consulente, ma non è il caso della gran parte di chi ci legge. Detto questo, restano tre motivi robusti per non saltare la notizia. Il primo riguarda i fornitori della scuola, ed è il più concreto. Le società che producono il registro elettronico, le piattaforme di segreteria, i sistemi che analizzano i dati degli studenti sono imprese, e dal 30 settembre rispondono in proprio se omettono le misure tecniche di sicurezza sui sistemi ad alto rischio, anche per colpa grave e non soltanto quando c’è dolo. Nei prossimi mesi chi vende software alla scuola diventerà molto più cauto su che cosa promette e su quali automatismi lascia attivi, e conviene aspettarsi contratti più lunghi e dichiarazioni più circospette. Il secondo motivo riguarda l’elenco dei sistemi considerati ad alto rischio dal regolamento europeo, perché dentro ci sono, accanto all’identificazione biometrica, gli strumenti per la selezione e il monitoraggio del personale. È un criterio che la scuola può usare anche senza esserne obbligata: quando si valuta uno strumento che incide sulle persone, dal software che aiuta a costruire graduatorie a quello che misura l’attività di chi lavora, il fatto che l’Europa lo consideri ad alto rischio è un buon motivo per non lasciarlo decidere da solo. Il terzo motivo è la nozione di sorveglianza umana, ed è la parte più utile per un collegio docenti. Il decreto punisce l’utilizzatore professionale che omette intenzionalmente le misure di sorveglianza umana, e traduce in norma un principio che nella scuola vale già oggi sul piano professionale e non penale: chi firma un atto risponde di quell’atto, anche quando il testo lo ha preparato una macchina. Vale per una relazione, per un giudizio, per una comunicazione a una famiglia. La cosa da fare in questo avvio d’anno è quindi una sola, e non richiede un avvocato: mettere per iscritto, in una circolare di poche righe, che ogni documento prodotto con l’intelligenza artificiale è controllato e firmato da una persona prima di uscire dalla scuola. Va infine detto che questa fonte non indica il valore in euro della singola quota, quindi le cifre da 600 a 1.000 non dicono nulla sull’importo reale, e non chiarisce se per le imprese serva un aggiornamento formale del modello o basti un’integrazione. La lezione che dura oltre la giornata è che la responsabilità non si delega a uno strumento: quando arriva la firma, dall’altra parte c’è sempre una persona, e in una scuola quella persona ha un nome che le famiglie conoscono.

D.R.

Fonte: Osservatorio 231