Corso AI obbligatorio: cosa copre dopo l'Omnibus e cosa manca per ISO 42001

In sintesi. Un corso AI standard acquistato per rispondere all'articolo 4 dell'AI Act copre una base utile, e resta lontano da quello che la clausola 7 di ISO/IEC 42001 richiede. Dopo il Digital Omnibus l'obbligo di AI literacy consiste nell'adottare misure di sostegno all'alfabetizzazione, e un corso generale può rientrarvi. La clausola 7 chiede invece competenze determinate per ruolo, evidenze documentate e aggiornamenti legati ai sistemi in uso. Qui trovate cosa un corso standard non può contenere per costruzione, quanto costa aggiungerlo e cosa chiedere a un fornitore prima di firmare.

Con l'entrata in applicazione di una parte ampia dell'AI Act il 2 agosto 2026, molte aziende si chiedono se il corso obbligatorio acquistato nei mesi scorsi basti a considerarsi in regola. Per l'articolo 4, dopo le modifiche del Digital Omnibus, la risposta dipende da come il corso si inserisce nelle misure che l'azienda ha adottato. Per chi punta alla certificazione ISO/IEC 42001 la risposta è quasi sempre negativa.

Il mercato dei corsi standard

Da quando l'obbligo di AI literacy è applicabile, dal 2 febbraio 2025, è cresciuta un'offerta ampia di corsi standard, di durata breve e uguali per ogni cliente, spesso presentati come soluzione completa all'articolo 4. Il corso in sé è uno strumento legittimo. Il problema nasce quando viene considerato l'ultimo passo invece del primo.

Tre formulazioni commerciali meritano attenzione perché promettono più di quanto un corso possa dare. La prima è la conformità garantita all'AI Act, che nessun fornitore di formazione può assicurare, perché la conformità dipende dai sistemi che usate e da come li governate. La seconda è il corso valido per la certificazione ISO/IEC 42001, formula che confonde un contenuto formativo con l'evidenza che un organismo di certificazione valuterà. La terza è l'attestato riconosciuto, dove il riconoscimento spesso proviene dallo stesso soggetto che eroga il corso.

Nessuna delle tre rende il corso inutile. Tutte e tre segnalano che il fornitore sta vendendo tranquillità invece di competenza, e conviene saperlo prima di considerare chiusa la questione.

L'articolo 4 dopo il Digital Omnibus

La modifica al regolamento, in vigore dal 27 luglio 2026, ha reso l'obbligo meno rigido di quanto molti fornitori continuino a raccontare: le organizzazioni devono adottare misure di sostegno all'alfabetizzazione del personale, senza garantire a ciascuna persona uno specifico livello dimostrato.

Per chi organizza la formazione su larga scala è una semplificazione concreta, e un corso generale ben scelto può far parte di quelle misure, soprattutto se accompagnato da indicazioni sull'uso dei sistemi presenti in azienda. Restano fermi i criteri con cui le misure vanno calibrate, tra cui il contesto d'uso dei sistemi, ed è proprio quel criterio che un corso uguale per tutti non soddisfa da solo.

Va aggiunto un limite che l'alleggerimento non tocca. Gli obblighi di competenza per chi esercita la sorveglianza umana sui sistemi ad alto rischio restano pieni, e su quei ruoli la partecipazione a un corso generale non è sufficiente nemmeno rispetto all'AI Act.

Cosa copre un corso standard

Contenuto	Corso standard	Clausola 7 ISO/IEC 42001
Concetti di base su modelli e rischi	Coperto	Utile come base
Principi di uso responsabile	Coperto	Utile come base
Competenze specifiche per ruolo	Di norma assente	Richiesto (7.2)
Riferimento ai sistemi in inventario	Assente	Richiesto per ruoli che incidono sull'AIMS
Consapevolezza della politica AI e del proprio contributo	Parziale	Richiesto (7.3)
Evidenza collegata alla persona e al ruolo	Attestato generico	Informazioni documentate (7.5)
Valutazione dell'efficacia	Questionario di gradimento	Richiesta (7.2)
Aggiornamento quando cambiano i sistemi	Assente	Atteso dal sistema di gestione

I cinque elementi che nessun fornitore può scrivere

Vale la pena essere chiari su un punto che nella discussione si perde: alcune cose mancano nei corsi standard non per pigrizia del fornitore, ma perché un contenuto uguale per tutti i clienti non può contenerle per costruzione.

La vostra politica AI, che è un documento vostro e che la clausola 7.3 chiede di far conoscere alle persone. L'elenco dei sistemi effettivamente in uso da voi, con cosa fanno e quali decisioni supportano. Il nome del referente a cui segnalare un comportamento anomalo. La procedura interna che descrive cosa succede dopo quella segnalazione. I casi limite osservati sui vostri sistemi, che sono l'informazione più utile in assoluto per chi li usa ogni giorno.

Sono cinque elementi che nessun fornitore esterno può scrivere al posto vostro, e sono anche quelli che trasformano una formazione generica in una formazione che cambia il comportamento delle persone. La buona notizia è che costano poco: trenta o quaranta minuti per sistema, preparati da chi quel sistema lo conosce già.

La distanza dalla clausola 7

Il corso standard tratta i modelli, i rischi in astratto e i principi generali, mentre raramente entra nel ruolo di chi lo segue. Un risk owner e un addetto alla logistica escono con lo stesso attestato, senza collegamento con i sistemi che useranno, e in audit quell'attestato dimostra una partecipazione più che una competenza.

Anche un'organizzazione in regola con l'articolo 4 resta quindi lontana dalla clausola 7, che chiede competenze determinate per ruolo, evidenze conservate e un piano che si aggiorna quando cambiano i sistemi, come descritto nella matrice ruoli-competenze.

C'è poi un requisito che i corsi standard non affrontano quasi mai, ed è la valutazione dell'efficacia richiesta dalla clausola 7.2. Il questionario di gradimento somministrato a fine corso misura quanto è piaciuto, non quanto è rimasto, e non copre quell'obbligo.

Cosa c'è scritto sull'attestato

L'attestato tipico riporta il nome della persona, il titolo del corso, la durata e la data. Sono informazioni utili a dimostrare che qualcosa è stato erogato, e insufficienti a dimostrare che una competenza è stata acquisita.

Per essere utilizzabile come evidenza, un attestato dovrebbe permettere di rispondere a tre domande senza consultare altri documenti: quale competenza della matrice quella persona ha coperto, rispetto a quale ruolo, e con quale verifica dell'apprendimento. Quasi nessun attestato standard risponde a tutte e tre.

La soluzione non richiede di rifare il corso. Basta produrre internamente un documento che colleghi l'attestato al ruolo e alla competenza, conservato insieme all'attestato stesso, che è esattamente quello che le informazioni documentate della clausola 7.5 chiedono.

Un esempio ipotetico

Un'azienda di distribuzione ha acquistato per tutti i dipendenti un corso online sull'AI e sta preparando la certificazione ISO/IEC 42001. In fase di gap analysis emerge che il corso copre bene la parte generale ma non tocca i due sistemi in inventario, e che gli attestati non indicano il ruolo delle persone. L'azienda tiene il corso come modulo introduttivo, aggiunge un laboratorio per i risk owner e moduli brevi per gli operatori dei due sistemi, e collega ogni attestato alla matrice dei ruoli. L'esempio è illustrativo e non descrive un caso reale.

Il corso e la prova

C'è una ragione ulteriore, esterna alla norma tecnica, per cui un corso standard non chiude la questione. Dal 30 settembre 2026 il decreto legislativo 160/2026 permette al giudice di ordinare l'esibizione delle modalità di sorveglianza umana adottate, e in quella sede l'attestato di partecipazione a un corso generico dice poco su quale competenza avesse la persona che avrebbe dovuto accorgersi dell'errore.

L'alleggerimento dell'articolo 4 operato dall'Omnibus riguarda il livello di alfabetizzazione richiesto in generale, e non tocca gli obblighi di competenza per chi esercita la sorveglianza umana sui sistemi ad alto rischio. Su quei ruoli l'evidenza deve restare individuale e riferita al sistema specifico, che è anche quello che la clausola 7 chiede. Il quadro processuale è descritto nell'articolo su accesso alle prove e nesso causale nel D.Lgs. 160/2026.

Come estendere il corso già acquistato

Rifare tutto è lo spreco più comune quando emerge il divario, e quasi mai serve. Il corso pagato resta valido per quello che copre, e va usato come primo strato di un piano che ne ha tre.

• Registrate il corso come modulo introduttivo del piano, con l'elenco dei contenuti che copre davvero.
• Collegate ogni attestato al ruolo della persona nella matrice, con un documento interno che faccia da ponte.
• Aggiungete un modulo breve per ciascun sistema in inventario, destinato a chi lo usa e a chi ne possiede il rischio. Mezz'ora per sistema, preparata internamente, copre quello che il corso non poteva contenere.
• Prevedete una sessione dedicata alla direzione, centrata sulle decisioni che deve prendere e non sui concetti tecnici.
• Definite la verifica di efficacia, almeno per i ruoli critici, con un caso pratico o una revisione del lavoro reale.
• Fissate l'innesco di aggiornamento, tipicamente l'adozione di un nuovo sistema o il cambio di ruolo di una persona.

Il costo aggiuntivo si concentra nelle ore interne di chi prepara i moduli specifici, che sono anche le persone che conoscono i sistemi. Comprarli all'esterno raramente conviene, perché il fornitore dovrebbe prima imparare da voi quello che deve insegnare ai vostri.

Le domande da fare prima di comprare

Chi deve ancora scegliere un corso può evitare buona parte del lavoro successivo con cinque domande in fase di selezione.

• Il programma può essere integrato con contenuti sui nostri sistemi, e a quali condizioni?
• Gli attestati possono riportare il ruolo e le competenze coperte, o sono standard?
• È prevista una verifica dell'apprendimento distinta dal questionario di gradimento?
• I contenuti sono aggiornati all'AI Act come modificato dal Digital Omnibus del luglio 2026?
• Chi aggiorna il programma quando cambia la normativa, e con quale frequenza?

Un fornitore che risponde in modo vago alla prima e alla terza sta offrendo un prodotto, non un percorso, e va valutato per quello che è.

Il passo successivo

Il corso già pagato è una base da estendere. Il coordinamento tra i due obblighi è descritto in AI literacy e competenze ISO 42001, la costruzione dei livelli nella matrice ruoli-competenze, e gli errori più frequenti in audit in gli errori che fanno bocciare un piano di formazione AI.

L'approccio con cui costruiamo i percorsi per ruolo è descritto nella pagina AI Training. Per valutare cosa manca al tuo piano puoi fissare un incontro di valutazione.