AI literacy e competenze ISO 42001: un piano di formazione, due obblighi

In sintesi. L'obbligo di AI literacy dell'articolo 4 dell'AI Act e i requisiti di competenza della clausola 7 di ISO/IEC 42001 toccano in larga parte le stesse persone, e gestirli come due progetti separati porta a pagare due volte la stessa base formativa. Il Digital Omnibus ha riscritto l'articolo 4 trasformandolo da obbligo di risultato a obbligo di mezzi, senza però toccare i requisiti di competenza previsti per chi esercita la supervisione umana sui sistemi ad alto rischio. Un solo piano mappato sui ruoli, con l'indicazione di quale obbligo copre ciascun modulo, risponde a entrambi.

Nelle aziende che affrontano insieme AI Act e certificazione ISO/IEC 42001, la formazione nasce spesso da due uffici diversi: l'ufficio legale parte dall'articolo 4, il responsabile qualità dalla clausola 7. I due percorsi finiscono con fornitori, budget e calendari separati, e nessuno controlla quanto si sovrappongono finché qualcuno non confronta i programmi.

Due obblighi con origini diverse

L'articolo 4 dell'AI Act è applicabile dal 2 febbraio 2025 e riguarda fornitori e deployer. È una norma di legge, con autorità nazionali di vigilanza del mercato incaricate di farla rispettare, e vale anche per le organizzazioni che non perseguono alcuna certificazione.

La clausola 7 di ISO/IEC 42001 nasce invece da uno standard volontario, e chiede di determinare le competenze necessarie per ciascun ruolo dentro un sistema di gestione documentato, di assicurarle, di valutare l'efficacia delle azioni intraprese e di conservarne le evidenze. Chi la applica lo fa perché ha scelto di certificarsi, o perché vuole un metodo che regga in una due diligence.

Cosa è cambiato il 27 luglio

Il Regolamento (UE) 2026/1744, il Digital Omnibus sull'AI, è stato pubblicato in Gazzetta Ufficiale dell'Unione il 24 luglio 2026 ed è in vigore dal 27 luglio. All'articolo 1, punto 5, sostituisce integralmente l'articolo 4 dell'AI Act.

La versione originaria chiedeva a fornitori e deployer di adottare misure per assicurare, nella misura del possibile, un livello sufficiente di alfabetizzazione in materia di AI del proprio personale. Il testo nuovo chiede di adottare misure per sostenere lo sviluppo dell'alfabetizzazione, e aggiunge una precisazione esplicita: la norma non impone di garantire uno specifico livello di alfabetizzazione in capo a ciascun individuo.

La differenza tecnica è il passaggio da un'obbligazione di risultato a un'obbligazione di mezzi. Restano immutati i criteri con cui le misure vanno calibrate: conoscenze tecniche, esperienza, istruzione e contesto d'uso dei sistemi.

L'alleggerimento che non vale per tutti

Letto in fretta, il nuovo articolo 4 sembra togliere pressione a chiunque. Sposta il piano della verifica, senza toglierlo, e per una parte delle organizzazioni non cambia praticamente nulla.

Gli obblighi che riguardano le persone incaricate della supervisione umana sui sistemi ad alto rischio non sono stati toccati. Chi affida a una persona il compito di sorvegliare un sistema di questo tipo deve assicurarsi che abbia competenza, formazione e autorità adeguate, e questo requisito non è un'obbligazione di mezzi. Un'organizzazione con sistemi che ricadono nell'Allegato III si trova quindi con un obbligo generale alleggerito e un obbligo specifico intatto, esattamente sul personale più esposto.

La conseguenza pratica è che l'alleggerimento riguarda soprattutto il perimetro largo, cioè la base di personale che usa strumenti a rischio contenuto. Sui ruoli critici la distanza tra articolo 4 e clausola 7 si riduce, invece di aumentare.

Il confronto

Aspetto	AI literacy (AI Act, art. 4)	Competenza (ISO/IEC 42001, cl. 7.2 e 7.3)
Natura	Obbligo legale, di mezzi dopo il Digital Omnibus	Requisito di uno standard volontario
Destinatari	Personale di fornitori e deployer e altre persone che usano i sistemi per loro conto	Persone che lavorano sotto il controllo dell'organizzazione e incidono sulle prestazioni dell'AIMS
Contenuto	Misure di sostegno calibrate su competenze, esperienza, istruzione e contesto d'uso	Competenze determinate per ruolo, acquisite e verificate
Livello individuale	Non deve essere garantito per il singolo	Determinato per ciascun ruolo
Evidenze	Non prescritte in dettaglio	Informazioni documentate richieste dalla norma
Efficacia	Non richiesta esplicitamente	Valutazione dell'efficacia obbligatoria
Chi verifica	Autorità nazionali di vigilanza del mercato	Audit interni e organismo di certificazione
Aggiornamento	Legato al contesto d'uso	Legato ai cambiamenti dell'AIMS e dei sistemi

Chi rientra nel perimetro

Entrambe le norme guardano oltre il libro paga, e con formule simili. L'articolo 4 copre il personale e le altre persone che si occupano del funzionamento e dell'uso dei sistemi per conto del fornitore o del deployer. La clausola 7.3 parla di persone che lavorano sotto il controllo dell'organizzazione.

In tutti e due i casi rientrano consulenti, somministrati, contractor e personale di fornitori che operano dentro i vostri processi. L'agenzia esterna che gestisce il servizio clienti con uno strumento assistito è dentro il perimetro di entrambi, e in entrambi i casi l'unico strumento per governarla è il contratto, perché su quelle persone non avete un piano formativo.

Questo è anche il punto in cui i due obblighi si allineano meglio: un'organizzazione che ha già fatto la mappatura per la clausola 7 conosce già il proprio perimetro esteso, e non deve rifarla per l'articolo 4.

Perché "contestuale" cambia cosa comprare

La riscrittura dell'articolo 4 lascia in piedi il riferimento al contesto d'uso, e la rimozione del livello individuale sposta di fatto il baricentro proprio lì. Le misure si giudicano rispetto ai sistemi effettivamente in uso, ai ruoli che ci lavorano intorno, ai rischi che comportano.

Questo rende poco utile il prodotto formativo più venduto del momento, cioè il corso generico sull'AI Act. Sapere come è strutturato il regolamento non aiuta un operatore a riconoscere quando lo strumento che usa ogni giorno sta sbagliando. Un'ora sul sistema che quella persona ha davanti vale più di quattro ore sulla norma, e risponde meglio a entrambi gli obblighi.

I punti di contatto

Entrambi chiedono una formazione calibrata sul ruolo e sul contesto d'uso, ed entrambi finiscono per riguardare le persone che decidono l'adozione, usano gli strumenti o ne valutano i rischi. Un piano costruito sulla matrice ruoli-competenze copre già buona parte di quello che l'articolo 4 chiede.

Le differenze che restano

L'AI literacy è un pavimento, che si applica anche a chi non ha e non intende avere un sistema di gestione, mentre la competenza ISO 42001 richiede evidenze verificabili collegate ai rischi dei sistemi in inventario. Un'organizzazione può rispettare l'articolo 4 restando lontana dalla clausola 7; il contrario è difficile, perché chi soddisfa la clausola 7 ha già coperto nei fatti l'alfabetizzazione del personale coinvolto.

Due requisiti della clausola 7 non hanno un equivalente nell'articolo 4. Il primo è la valutazione dell'efficacia delle azioni formative, che obbliga a misurare l'esito e non solo l'erogazione. Il secondo è il meccanismo di aggiornamento innescato dai cambiamenti del sistema di gestione o dei sistemi in uso. Chi costruisce il piano solo per l'articolo 4 tende a saltarli entrambi, e sono proprio quelli che rendono un piano utile oltre la data dell'audit.

Mappare i moduli sugli obblighi

Il metodo consiste nel mappare ogni modulo del piano sugli obblighi che soddisfa. Nella pratica la struttura che funziona ha tre strati.

Uno strato di base per tutto il personale toccato da un sistema AI, breve, centrato su cosa fa il sistema che usano, dove finisce la responsabilità del sistema e comincia la loro, e a chi segnalare un'anomalia. Risponde all'articolo 4 e, per i ruoli non critici, alla consapevolezza della clausola 7.3.

Uno strato per ruolo, costruito sulla matrice, che risponde alla competenza della 7.2 e che per i ruoli operativi copre anche l'articolo 4 con maggiore profondità di quanto servirebbe.

Uno strato specialistico per chi conduce valutazioni del rischio, chi esercita la supervisione umana sui sistemi ad alto rischio e chi risponde delle decisioni. Qui l'evidenza deve essere individuale e verificabile, perché è il punto in cui gli obblighi specifici sulla supervisione umana e i requisiti della clausola 7 chiedono la stessa cosa.

La mappatura va conservata, perché in un audit o in un'ispezione permette di mostrare rapidamente come l'azienda ha risposto a ciascun requisito.

Cosa conserva chi non si certifica

Un'organizzazione che non punta a ISO/IEC 42001 non ha obblighi documentali dettagliati sull'articolo 4, il che non equivale a non dover mostrare nulla. Un'autorità che chieda conto delle misure adottate si aspetta di vedere qualcosa di più di un'affermazione.

Il minimo ragionevole è un documento che descriva quali misure sono state adottate e per quali gruppi di personale, l'elenco dei sistemi AI in uso a cui quelle misure si riferiscono, la traccia di quando sono state erogate e a chi, e una data di riesame. Sono quattro elementi che una funzione HR produce in una settimana, e che trasformano una dichiarazione in una posizione difendibile.

Un esempio ipotetico

Un gruppo industriale ha due progetti di formazione AI aperti, affidati a fornitori diversi e con budget separati, uno avviato dall'ufficio legale per l'articolo 4 e l'altro dalla funzione qualità per la certificazione ISO 42001. Mappando i moduli sui ruoli emerge che gran parte dei contenuti si sovrappone e che i due fornitori usano definizioni diverse di sistema ad alto rischio. Il gruppo unifica il piano, mantiene un fornitore per la parte generale e affida all'altro i moduli specialistici. L'esempio è illustrativo e non descrive un caso reale.

Le domande prima di firmare con un fornitore

• Quali moduli rispondono all'articolo 4 e quali alla clausola 7?
• Le evidenze prodotte sono collegate al ruolo della persona?
• I contenuti usano le definizioni dell'AI Act come modificato dal Digital Omnibus?
• Quanta parte del programma riguarda i sistemi realmente in uso da noi, e quanta la norma in generale?
• Come viene misurata l'efficacia, al di là del questionario di gradimento?
• Chi aggiorna i contenuti quando cambiano i sistemi in uso?
• Il nuovo piano tiene conto di quello che l'azienda ha già erogato?

Gli errori più frequenti

Il primo è leggere la modifica dell'articolo 4 come un rinvio. L'obbligo è applicabile dal febbraio 2025, la vigilanza nazionale è operativa, e un'organizzazione che non ha adottato alcuna misura non si trova in una posizione migliore dopo il Digital Omnibus.

Il secondo è comprare il corso sulla norma invece che sul sistema, che produce personale in grado di citare l'articolo 6 e incapace di accorgersi che uno strumento sta restituendo esiti anomali.

Il terzo è trattare l'articolo 4 e la clausola 7 come se il primo fosse un sottoinsieme della seconda in ogni punto. Per il perimetro largo è quasi vero, per i ruoli di supervisione lo è meno di quanto sembri, perché gli obblighi specifici dell'AI Act su quelle persone restano pieni.

L'ultimo è costruire il piano senza sapere quali sistemi AI sono effettivamente in uso. Senza l'inventario dei sistemi il contesto d'uso è un'ipotesi, e la formazione calibrata sul contesto diventa formazione calibrata su un'idea del contesto.

Il passo successivo

Prima di sdoppiare il budget conviene confrontare i programmi esistenti sulla matrice dei ruoli. I requisiti completi sono in la clausola 7 di ISO/IEC 42001 spiegata senza gergo, e la costruzione dei livelli è in la matrice ruoli-competenze per l'AI.

L'approccio con cui impostiamo i percorsi è descritto nella pagina AI Training. Per verificare le sovrapposizioni nel tuo piano puoi fissare un incontro di valutazione.