Formazione

Perché la formazione è un obbligo

L’art. 23 del D.Lgs. 138/2024 chiede agli organi di amministrazione e direttivi di seguire una formazione specifica: approvano le misure, ne sovrintendono l’attuazione e rispondono delle violazioni. La formazione del personale e l’igiene informatica sono a loro volta tra le misure di gestione del rischio.

Dal 2 febbraio 2025, inoltre, l’art. 4 dell’AI Act chiede a chi usa sistemi di intelligenza artificiale di garantire un livello sufficiente di alfabetizzazione AI del personale che li usa. Riguarda anche l’impiegato che usa un chatbot generativo per lavoro.

Per entrambi gli obblighi conta poter dimostrare cosa è stato fatto: chi ha partecipato, con quali contenuti, con quale esito. La formazione va quindi progettata anche come evidenza.

Le due norme si sovrappongono in parte: l’uso sicuro degli strumenti AI è anche un tema di cybersicurezza, e la stessa autorità, l’ACN, vigila su NIS2 e AI. Per questo i contenuti si possono progettare insieme, con un unico piano e un unico registro.

I percorsi

Ogni percorso parte da cosa fanno davvero le persone. Il magazziniere, la segreteria, il commerciale in trasferta e il consigliere di amministrazione hanno rischi diversi e serve dirlo con esempi diversi.

1. 01
   Organi di amministrazione

   Obblighi, responsabilità, sanzioni, come leggere un piano di adeguamento e un report sugli incidenti, quali domande fare ai tecnici. Linguaggio da consiglio di amministrazione, non da manuale.

2. 02
   Consapevolezza del personale

   Phishing, password e autenticazione a più fattori, uso dei dispositivi, segnalazione degli incidenti, sicurezza fisica in ufficio. Con esempi tratti dal tuo settore.

3. 03
   Simulazioni di phishing

   Campagne simulate per misurare i comportamenti reali e mirare la formazione su chi ne ha più bisogno, senza logiche punitive.

4. 04
   Alfabetizzazione AI

   Cosa sono e come funzionano gli strumenti AI, quali dati non inserire, come verificare gli output, cosa dice la policy aziendale. Per vertici e personale.

5. 05
   Ruoli tecnici e incidenti

   Per IT e referenti: procedure di notifica, playbook, esercitazioni tabletop.

Per il vertice prevediamo anche un momento dedicato alle decisioni: come leggere lo stato del piano di adeguamento, cosa chiedere dopo un incidente, quali risorse servono. Per il personale privilegiamo sessioni brevi e ripetute, con casi riconoscibili.

Come lavoriamo

1. 01
   Analisi dei destinatari

   Ruoli, sedi, strumenti usati, incidenti passati e livello di partenza. Una formazione utile parte da qui.

2. 02
   Piano formativo

   Chi forma, su cosa e con quale frequenza. Il vertice ha un percorso distinto da quello del personale.

3. 03
   Contenuti su misura

   Esempi presi dai tuoi processi, dalle tue procedure e dalla tua policy sull’uso dell’AI.

4. 04
   Erogazione

   In aula, a distanza o in formato misto, con sessioni brevi per il personale operativo.

5. 05
   Verifica e registro

   Test, attestati, partecipazione ed esiti delle simulazioni, raccolti come evidenza.

6. 06
   Aggiornamento

   Rivediamo i contenuti dopo un incidente, una nuova procedura o l’adozione di un nuovo strumento.

Cosa ricevi

• Un piano formativo annuale con destinatari, contenuti e frequenza.
• Le sessioni, in presenza o a distanza, adattate al tuo settore.
• Test di verifica e attestati di partecipazione.
• Il report delle simulazioni di phishing con indicatori nel tempo.
• Un registro della formazione da usare come evidenza per NIS2 e AI Act.

I materiali restano a disposizione dell’azienda, così da poterli usare per i richiami e per i nuovi ingressi. Il registro è strutturato per rispondere a una domanda semplice: chi è stato formato, su cosa e quando.

Per il vertice prepariamo anche una breve guida di riferimento con obblighi, scadenze e domande da porre nei riesami, da tenere a portata di mano tra una sessione e l’altra.

Gli errori più comuni

• Un corso generico uguale per tutti, dal consiglio di amministrazione al magazzino.
• Una formazione per il vertice ridotta a una presentazione, senza spazio per domande e decisioni.
• Nessun registro: la formazione c’è stata, ma non si può dimostrare.
• Alfabetizzazione AI rinviata perché “da noi l’AI non si usa”, mentre i dipendenti usano chatbot per lavoro.
• Simulazioni di phishing usate per sanzionare, con l’effetto di scoraggiare le segnalazioni.
• Nessun percorso di ingresso per i nuovi assunti.

Molti di questi errori nascono dall’idea che la formazione sia un adempimento da spuntare. Trattata come misura di sicurezza, con obiettivi e indicatori, diventa uno degli strumenti più efficaci per ridurre gli incidenti legati al comportamento delle persone.

Per chi è

La formazione non è un evento una tantum. Prevediamo richiami periodici, aggiornamenti quando cambiano procedure o strumenti, e un percorso di ingresso per i nuovi assunti. Chi cambia ruolo riceve la formazione legata alle nuove responsabilità.

Per i soggetti NIS2, che devono formare vertici e personale. Per qualunque impresa che usi strumenti di intelligenza artificiale, anche fuori perimetro NIS2. Per i fornitori che vogliono dimostrare ai clienti di avere personale formato.

Il percorso sull’intelligenza artificiale si collega alla policy aziendale d’uso dell’AI: si forma il personale sulle regole che valgono davvero in azienda, non su principi astratti. Se la policy non c’è ancora, la costruiamo con il servizio di Compliance AI.

Domande frequenti