Gli errori che fanno bocciare un piano di formazione AI in audit

In sintesi. Un piano di formazione AI viene contestato in un audit ISO/IEC 42001 per sei ragioni ricorrenti: l'erogato non coincide con il dichiarato, mancano evidenze collegate al ruolo, l'efficacia non è mai stata valutata, il piano non si aggiorna quando cambiano sistemi e persone, chi approva non ha compreso cosa approva, il perimetro si ferma ai dipendenti. Le sei hanno la stessa origine, una formazione trattata come adempimento e scollegata dall'inventario dei sistemi. Qui trovate come ciascuna emerge, quale evidenza la previene e quando il rilievo diventa una non conformità maggiore.

Durante un audit di certificazione l'auditor confronta il piano con i registri di partecipazione, campiona alcune persone e pone domande dirette su quello che hanno imparato e su come lo applicano. In quel confronto tra carta e realtà emergono quasi tutte le non conformità legate alla clausola 7, anche in aziende che hanno investito budget consistenti in formazione.

Dove si rompe il piano tra stage 1 e stage 2

La certificazione si svolge in due fasi, e la formazione si comporta diversamente nelle due. Nello stage 1 l'auditor verifica che i documenti esistano e siano coerenti: c'è un piano, c'è una matrice dei ruoli, c'è una procedura che descrive come si determina la competenza. Superarlo è relativamente facile, perché basta che la carta sia in ordine.

Nello stage 2 la verifica cambia natura. L'auditor controlla che quel piano sia stato attuato e abbia prodotto l'effetto dichiarato, e lo fa parlando con le persone. È la fase in cui la maggior parte dei rilievi sulla clausola 7 compare, e il salto tra le due spiega perché aziende convinte di essere pronte dopo lo stage 1 si trovano con un elenco di osservazioni nello stage 2.

Chi prepara la certificazione guardando solo alla completezza documentale sta preparando metà audit.

Il piano che non corrisponde all'erogato

Il piano esiste, magari con un calendario ordinato e fornitori riconosciuti, ma quello che è stato erogato davvero è diverso. Succede quando un corso viene acquistato per un gruppo più ampio di quello che poi partecipa, o quando il fornitore modifica il programma in corsa e la documentazione interna resta ferma alla versione iniziale.

Le discrepanze più frequenti sono tre e si riconoscono tutte dai registri: persone previste nel piano che non compaiono tra i partecipanti, moduli erogati con contenuti diversi da quelli descritti, sessioni rinviate e mai recuperate che nel piano risultano completate. Nessuna di queste è grave in sé, ma insieme raccontano un processo che nessuno governa, ed è quella la conclusione che l'auditor annota.

La prevenzione costa poco: una revisione del piano a ogni variazione del programma, con data e motivo della modifica, che trasforma la discrepanza in una decisione tracciata.

Le evidenze generiche

Anche quando la formazione è stata svolta, spesso manca la prova che serve: un registro con data verificabile, il collegamento tra chi ha partecipato e il ruolo che ricopre, un attestato che descriva i contenuti con un dettaglio superiore a "corso AI base". Gli attestati generici del fornitore, privi di riferimenti alle competenze richieste per il ruolo, non dimostrano che quella competenza sia stata coperta.

Il test pratico è semplice. Prendete un attestato a caso e chiedetevi se, leggendolo senza altre informazioni, si capisce quale competenza della matrice quella persona ha acquisito. Se la risposta richiede di aprire altri tre documenti e fare un ragionamento, l'auditor arriverà alla stessa difficoltà e la annoterà.

La valutazione di efficacia che non esiste

Questo è il rilievo più costoso, e spesso il più inatteso, perché arriva in aziende che hanno fatto tutto il resto correttamente. La clausola 7.2 chiede di intraprendere azioni per acquisire la competenza necessaria e di valutare l'efficacia di quelle azioni, che sono due obblighi distinti.

Un registro di partecipazione documenta l'erogazione. Non dice nulla sull'efficacia, e quando l'auditor chiede come sia stata verificata, la risposta più comune è il questionario di gradimento, che misura la soddisfazione di chi ha seguito il corso e non la competenza acquisita.

Le forme di valutazione che reggono sono altre: un caso pratico svolto e corretto, un lavoro reale rivisto da qualcuno più esperto, una verifica sul campo a distanza di settimane, un colloquio strutturato con esito registrato. Nessuna richiede strumenti particolari, tutte richiedono di essere previste prima invece che ricostruite dopo.

Il piano fermo nel tempo

Un piano scritto un anno fa e mai rivisto perde validità anche se era corretto al momento della stesura. Nel frattempo sono arrivati nuovi sistemi AI, sono cambiati i rischi associati e sono entrate persone che quel piano non l'hanno mai visto.

Il controllo che l'auditor fa è meccanico: confronta la data dell'ultima revisione del piano con la data di ingresso dell'ultimo sistema in inventario e con l'elenco delle assunzioni recenti. Se l'inventario si è mosso e il piano no, il meccanismo di aggiornamento non funziona, indipendentemente da quanto sia completo il piano per chi c'era prima.

La formazione, come l'inventario dei sistemi AI, ha bisogno di un innesco che la aggiorni quando cambia qualcosa di rilevante. Gli inneschi che funzionano sono due, l'ingresso di un nuovo sistema e il cambio di ruolo di una persona, entrambi agganciati a processi che esistono già e che nessuno può saltare.

L'approvazione senza comprensione

È l'errore più delicato: una persona con autorità di approvazione firma senza aver compreso cosa sta approvando. Accade più spesso a livello di direzione che nei team operativi, perché la formazione per chi governa viene percepita come meno urgente di quella tecnica.

Bastano poche domande dell'auditor per farlo emergere, e la conseguenza non riguarda solo la formazione. Un'approvazione priva di comprensione mette in discussione la tenuta del processo decisionale sull'AI, che è il cuore di quello che la norma chiede alla direzione. Il rilievo tende quindi a risalire dalla clausola 7 alla clausola 5 sulla leadership, ed è il motivo per cui pesa più di quanto sembri.

Il perimetro che si ferma ai dipendenti

La clausola 7.3 parla di persone che lavorano sotto il controllo dell'organizzazione, formula che comprende somministrati, consulenti, contractor e personale di fornitori che operano dentro i vostri processi. Quasi tutti i piani si fermano al libro paga, perché è lì che arriva il sistema di gestione del personale da cui il piano viene costruito.

L'auditor se ne accorge in modo indiretto, notando che una persona incontrata durante la visita non compare in nessun registro. Il caso tipico è l'agenzia esterna che gestisce il servizio clienti usando uno strumento assistito, dove le persone che usano il sistema ogni giorno non sono vostre e nessun piano formativo le copre.

L'unico strumento che funziona qui è il contratto, che deve prevedere requisiti di competenza e l'obbligo di fornire evidenza del loro soddisfacimento.

Come emergono in audit

Errore	Come emerge	Evidenza che lo previene
Piano diverso dall'erogato	Confronto tra piano e registri di partecipazione	Registri aggiornati e piano rivisto a ogni variazione del programma
Evidenze generiche	Richiesta di collegare attestati e ruoli	Attestati con contenuti dettagliati, collegati alla matrice dei ruoli
Efficacia non valutata	Domanda su come è stata verificata la competenza acquisita	Casi pratici corretti, lavori rivisti, verifiche sul campo con esito registrato
Piano fermo nel tempo	Confronto tra data del piano, inventario e organigramma	Inneschi documentati per nuovi sistemi e nuovi ingressi
Approvazione senza comprensione	Domande dirette a chi ha firmato	Verbali della formazione della direzione e delle decisioni successive
Perimetro limitato ai dipendenti	Persone incontrate in visita e assenti dai registri	Requisiti di competenza nei contratti con fornitori e agenzie

Il campione dell'auditor

Il campionamento non è casuale, e sapere come viene costruito permette di simularlo in anticipo. L'auditor parte dalla matrice dei ruoli e sceglie tre o cinque persone su profili diversi, privilegiando tre categorie: chi esercita la supervisione umana su un sistema rilevante, chi è entrato da poco, chi ha firmato un'approvazione.

Le domande sono semplici e quasi sempre le stesse. Qual è la politica AI dell'azienda e dove si trova. Cosa fa il sistema che usi ogni giorno. Cosa faresti se ti accorgessi che sta sbagliando. A chi lo segnaleresti.

Quando la persona campionata non sa rispondere, la non conformità non riguarda lei. Riguarda il sistema di gestione, che ha previsto un'azione formativa senza verificarne l'efficacia, il che riporta al terzo errore di questo elenco.

Quando il rilievo blocca il certificato

Non tutti i rilievi pesano allo stesso modo, e la differenza determina se la certificazione arriva o slitta.

Una non conformità minore è un'attuazione parziale di un requisito, un caso isolato, un'evidenza mancante su una persona. Si tratta con un piano di azione correttiva da presentare di norma entro tre mesi, e non blocca il rilascio del certificato.

Sale a maggiore quando manca sistematicamente un requisito, o quando un fallimento compromette la capacità del sistema di raggiungere i propri obiettivi. L'assenza totale di valutazione dell'efficacia, ripetuta su tutti i moduli, ha le caratteristiche per esserlo, e in quel caso il certificato non viene emesso finché il rilievo non è chiuso e verificato, spesso con una visita aggiuntiva.

La distinzione pratica è tra un errore che si ripete e un errore isolato. Un attestato generico su una persona è un caso. Attestati generici su tutte le persone sono un processo che non funziona.

Un esempio ipotetico

Un responsabile di funzione ha firmato come completata la formazione del suo team su un sistema AI di supporto alle vendite. Durante l'audit l'auditor gli chiede quali rischi del sistema il corso trattasse, come i collaboratori riconoscano un output da verificare e a chi segnalino un'anomalia. Alla terza domanda il responsabile ammette di non conoscere i contenuti del corso, e la non conformità riguarda sia l'evidenza della competenza sia il processo di approvazione. L'esempio è illustrativo e non descrive un caso reale.

La stessa lacuna, in una sede diversa

Un piano di formazione che non regge in audit ha da fine settembre un secondo luogo in cui può presentare il conto. Il decreto legislativo 160/2026, in vigore dal 30 settembre, consente al giudice di ordinare l'esibizione dei parametri e delle modalità di sorveglianza umana previsti dall'articolo 14 dell'AI Act, e stabilisce che la mancata esibizione senza giustificato motivo porta a considerare ammessi i fatti allegati da chi chiede il risarcimento.

Dimostrare la sorveglianza umana significa anche dimostrare che chi la esercitava era in grado di farlo. Le evidenze generiche descritte sopra, il registro presenze senza verifica di efficacia e l'approvazione senza comprensione, sono esattamente ciò che in quella sede non permette di sostenere che il presidio esisteva davvero. Il difetto è lo stesso che fa scattare un rilievo in audit, con conseguenze di natura diversa.

Chi prepara il piano per l'audit sta quindi preparando, senza saperlo, materiale che può servire altrove. Il contesto è descritto nell'articolo su accesso alle prove e nesso causale nel D.Lgs. 160/2026.

Prima dell'audit, un campionamento simulato

La verifica più utile consiste nel fare quello che farà l'auditor, qualche settimana prima e su un campione costruito con gli stessi criteri.

• Il piano corrisponde, modulo per modulo, a quanto risulta dai registri?
• Ogni evidenza è collegata al ruolo della persona nella matrice?
• Per ogni modulo, esiste una valutazione dell'efficacia distinta dal gradimento?
• Esiste un meccanismo che aggiorna il piano quando entra un nuovo sistema o una nuova persona?
• Chi approva la formazione ha seguito il percorso previsto per il suo livello?
• I contractor con accesso ai sistemi compaiono nel piano o nei contratti?
• Scelte tre persone con i criteri dell'auditor, sanno rispondere alle quattro domande tipiche?

L'ultimo punto è quello che dà l'informazione più affidabile, e richiede mezz'ora. Se due persone su tre esitano, il problema non è il loro, ed è meglio scoprirlo adesso.

Il passo successivo

La prevenzione di tutti gli errori di questo elenco passa da una formazione collegata ai ruoli e ai sistemi. I livelli sono descritti in la matrice ruoli-competenze per l'AI, il coordinamento con l'AI Act in AI literacy e competenze ISO 42001, e i requisiti completi della clausola in la clausola 7 spiegata senza gergo.

Se vuoi una verifica del tuo piano prima dell'audit, l'AI Rating è il punto di partenza, oppure puoi fissare un incontro di valutazione.