Perché l'ammissione algoritmica è alto rischio per l'AI Act?

I sistemi di ammissione algoritmica sono sistemi di intelligenza artificiale usati da istituti di istruzione o enti di formazione per decidere o influenzare l'accesso di una persona: determinare l'ammissione a un istituto o a un programma, assegnare studenti a percorsi o classi, valutare i risultati dell'apprendimento anche quando quella valutazione orienta il percorso successivo, stabilire il livello di istruzione che una persona può raggiungere, o monitorare comportamenti proibiti durante test ed esami. Il Regolamento UE 2024/1689 (AI Act) classifica questi usi come alto rischio all'Allegato III, punto 3. Non conta il nome commerciale del prodotto, conta la funzione: un modulo di scoring venduto come "supporto alle iscrizioni" dentro una piattaforma gestionale rientra comunque nella categoria se decide o pesa sull'ammissione di una persona fisica. La classificazione riguarda scuole, università e centri di formazione professionale a qualunque livello, dal test d'ingresso all'assegnazione automatica del percorso di studi, e comporta obblighi documentati distinti dal generico dovere di trasparenza previsto per i sistemi di AI conversazionale o generativa usati in aula.

Cosa rende alto rischio questi sistemi

Per l'inquadramento generale della logica risk-based dell'AI Act e delle scadenze, vedi la voce AI Act: gli obblighi alto rischio dell'Allegato III, che include l'istruzione insieme a HR, credito e servizi essenziali, slittano al 2 dicembre 2027 per effetto del Digital Omnibus. L'articolo 6, paragrafo 3, del regolamento prevede alcune deroghe alla classificazione alto rischio per i sistemi dell'Allegato III, quando svolgono un compito procedurale circoscritto o preparatorio senza sostituire la valutazione umana. Ma lo stesso articolo pone un limite netto: un sistema dell'Allegato III è sempre considerato alto rischio se effettua profilazione di persone fisiche. Uno strumento che costruisce un profilo dello studente, dal comportamento in aula ai risultati storici, per decidere ammissione o percorso, ricade quindi nell'alto rischio senza eccezioni, anche se automatizza solo una fase preparatoria.

Un esempio enterprise

Un fornitore EdTech vende a un consorzio di istituti di formazione professionale un modulo che assegna un punteggio ai candidati alle iscrizioni combinando risultati di un test online, dati anagrafici e cronologia scolastica, per stabilire la graduatoria d'attesa quando i posti sono limitati. Il fornitore lo presenta come funzione di "assegnazione automatica delle priorità alle domande" dentro il portale iscrizioni, non come prodotto regolamentato. Gli istituti clienti, in qualità di deployer, adottano il modulo senza verificare la documentazione di conformità del fornitore: il punteggio è un trattamento automatizzato che valuta e predice l'idoneità del candidato, quindi costituisce profilazione ai sensi dell'art. 4, punto 4, del GDPR, e il sistema rientra nell'Allegato III punto 3 senza margine di deroga. Un istituto che lo scopre solo dopo un reclamo di un genitore deve rifare la due diligence sul fornitore, documentare la supervisione umana sulle decisioni già prese e rivedere le liste d'attesa formate nel frattempo.

Perché conta per chi decide

Per chi vende software a istituti scolastici o enti di formazione, il rischio non è la severità della norma ma la data in cui la scopre: un modulo di scoring o assegnazione presentato come funzionalità amministrativa può ricadere nell'alto rischio indipendentemente da come viene commercializzato, e la profilazione elimina qualunque margine di deroga procedurale. Chi decide, sia come fornitore sia come istituto che acquista, dovrebbe verificare prima dell'adozione se il sistema tratta dati che costruiscono un profilo del singolo studente, documentare dove interviene la supervisione umana prima di ogni decisione di ammissione o assegnazione, e predisporre l'informativa richiesta agli interessati. I rinvii del Digital Omnibus spostano le sanzioni al 2 dicembre 2027, non il lavoro di classificazione e inventario, che richiede comunque mesi prima di quella scadenza.

Questa voce ha finalità informativa e non costituisce consulenza legale: per la conformità AI Act e GDPR di sistemi che riguardano l'ammissione o la valutazione di studenti coinvolgi il tuo DPO o il tuo legale.