Formazione obbligatoria 2026 per le aziende: guida a NIS2, GDPR e AI Act
Le scadenze normative previste nel 2026 cambiano l’obiettivo dei corsi aziendali: da pratiche burocratiche di fine anno diventano la principale tutela pratica per mettere al riparo i dirigenti da sanzioni e responsabilità legali dirette.
Per chi gestisce il personale o guida i team tecnici, far convivere le richieste di NIS2, GDPR e AI Act significa spesso rincorrere obblighi diversi, rischiando di sprecare budget e ore di lavoro.
Questo documento spiega come strutturare un unico piano formativo che copra le tre direttive, definisca le competenze necessarie per ogni ruolo e permetta di dimostrare, in caso di controlli, l’effettiva erogazione dei corsi.
Le tre normative in sintesi: chi formare e perché
Le tre normative richiedono la formazione di figure in parte diverse e poggiano su basi giuridiche distinte, ma le evidenze da conservare si sovrappongono quasi del tutto.
Ecco un quadro riassuntivo degli obblighi di formazione aziendale:
| Norma di riferimento | Chi formare | Termini e Scadenze | Evidenze da conservare | Sanzioni previste |
| NIS2 (D.lgs. 138/2024) | Organi direttivi e di amministrazione (obbligo personale); dipendenti (formazione periodica per ruolo). | 31 ottobre 2026 (per soggetti in elenco dal 2025); 31 luglio 2027 (per entrati nel 2026). | Delibera CdA, registri presenza, programmi, attestati, report esercitazioni. | Fino a 10 mln € o 2% del fatturato; sospensione dei dirigenti nei casi gravi. |
| GDPR (Reg. UE 2016/679) | Tutti gli autorizzati al trattamento: dipendenti, collaboratori, IT, dirigenti. | Prima dell’accesso ai dati, aggiornamento periodico e a ogni cambio strumento. | Piano formativo, log di completamento, test, lettere di istruzione. | Fino a 10 mln € o 2% del fatturato (art. 83 par. 4). |
| AI Act e D.lgs. 179/2026 | Personale che usa l’IA; HR/Manager che supervisionano decisioni; lavoratori esposti ai rischi IA. | 2 febbraio 2025 (Art. 4); 27 luglio 2026 (riformulazione); 23 ottobre 2026 (Artt. 41-42). | Registro formazione IA, inventario sistemi, policy, DVR aggiornato. | Assenza sanzioni pecuniarie autonome, ma aggrava la responsabilità civile/penale. |
AI Act: l’alfabetizzazione IA dopo il Digital Omnibus
Le regole sulla formazione obbligatoria AI Act hanno subito importanti aggiornamenti normativi, rendendo obsoleto l’approccio dell’ultimo anno.
Inizialmente applicabile dal 2 febbraio 2025, l’obbligo di alfabetizzazione sull’intelligenza artificiale (Art. 4) è stato riscritto dal Regolamento UE 2026/1744 (Digital Omnibus), entrato in vigore il 27 luglio 2026. La nuova formulazione non richiede più di garantire un “livello sufficiente” per ogni singolo individuo, ma impone di adottare misure che ne sostengano lo sviluppo, per il personale e per chi opera per conto dell’organizzazione. Nessun livello individuale è prescritto.
L’obbligo vale per qualsiasi azienda, ente o studio che usi sistemi di IA nel lavoro, anche un assistente generativo per scrivere mail. Non ci sono soglie di rischio né di dimensione. Le misure vanno calibrate su conoscenze ed esperienza del personale, contesto d’uso e persone su cui il sistema incide.
> Leggi anche: “AI ACT e legge italiana sull’IA: una checklist di compliance per i Manager”
Il D.lgs. 179/2026 e l’informativa ai lavoratori (L. 132/2025)
Il d.lgs. 7 ottobre 2026, n. 179 è in vigore dal 23 ottobre 2026 e porta tre novità per chi si occupa delle Risorse umane:
- Supervisione umana (art. 41): assunzioni, sanzioni disciplinari, modifiche o cessazione del rapporto e valutazione delle prestazioni non possono essere decise solo da un sistema automatizzato. La decisione finale spetta a una persona fisica con potere effettivo e autonomo, a pena di nullità. Chi supervisiona va formato per leggere criticamente gli output e motivare le decisioni difformi dall’algoritmo.
- Sicurezza sul lavoro (art. 42). Se l’IA incide su organizzazione, ritmi o processi rilevanti per la sicurezza, i rischi devono essere inclusi nel DVR (d.lgs. 81/2008) e i lavoratori vanno formati sui rischi specifici.
- Informativa ai lavoratori (L. 132/2025, art. 11). Dal 10 ottobre 2025, chi usa l’IA per selezione, assegnazione di compiti, monitoraggio o valutazione deve informare per iscritto lavoratori e RSA/RSU prima dell’avvio.
I sistemi ad alto rischio dell’Allegato III, recruiting compreso, avranno obblighi propri dal 2 dicembre 2027.
> Leggi anche: “AI sycophancy e AI slop: come proteggere le decisioni aziendali”
NIS2: formazione per amministratori e dipendenti
L’articolo 23, comma 2, del d.lgs. 138/2024 prevede che i membri del CdA e i dirigenti dei soggetti essenziali e importanti seguano una formazione specifica sulla gestione dei rischi informatici. Il programma deve coprire il quadro normativo, le minacce e il loro impatto sul business, la gestione degli incidenti, i ruoli decisionali e l’escalation verso il CSIRT Italia.
Il razionale dietro questo obbligo è che spetta proprio all’organo di amministrazione approvare le misure di gestione del rischio e sovrintendere alla loro attuazione. Progettazione ed esecuzione si possono delegare al CISO, al responsabile IT o a consulenti esterni, ma la responsabilità legale resta al vertice e il CdA non può invocare la mancanza di competenze informatiche per sottrarsi.
Formazione periodica per i dipendenti
Gli organi di gestione devono garantire, per tutti i dipendenti e collaboratori, una formazione calibrata sui ruoli aziendali. I contenuti minimi includono:
- Riconoscimento di attacchi phishing, social engineering e allegati malevoli.
- Gestione sicura di password e autenticazione a più fattori (MFA).
- Procedure di segnalazione immediata all’IT in caso di anomalie.
> Leggi anche: “Formazione obbligatoria NIS2: guida per aziende e HR”
Le ispezioni ACN dal 31 ottobre 2026
Il 31 ottobre 2026 chiude la finestra di 18 mesi dalla comunicazione ACN ai soggetti inseriti nell’elenco nel 2025. Fino a questa data l’ACN ha accompagnato le organizzazioni verso la conformità; da qui partono le verifiche formali.
- Soggetti essenziali: vigilanza ex ante, con ispezioni regolari e sistematiche.
- Soggetti importanti: vigilanza ex post, attivata da incidenti, segnalazioni o anomalie.
Policy e piani scritti non bastano più: va dimostrata l’attuazione delle misure di base della Determinazione ACN 379907/2025. Le evidenze attese includono log di sistema centralizzati, test di ripristino dei backup, MFA attiva sugli accessi remoti e amministrativi, storico di vulnerabilità e patching, registri della formazione di vertice e personale, report delle simulazioni di risposta agli incidenti.
Per chi è entrato nel perimetro nel 2026 il termine delle misure di base è il 31 luglio 2027. Chiusa la fase iniziale, l’ACN estenderà misure a lungo termine modulate sulla categoria del soggetto.
> Leggi anche: “NIS 2: per chi è obbligatoria e quali sono i requisiti per le aziende”
GDPR: la formazione come misura di sicurezza organizzativa
L’articolo 29 vieta di trattare dati personali a chi agisce sotto l’autorità del titolare senza essere stato prima istruito. L’articolo 32, par. 4, colloca queste istruzioni tra le misure di sicurezza organizzative. La platea comprende dipendenti, collaboratori, responsabili di funzione, dirigenti e tecnici IT: chiunque acceda ai dati, anche in modo occasionale.
Il Gruppo di lavoro Articolo 29, include espressamente tra le misure di sicurezza la formazione di dirigenti, sviluppatori e responsabili commerciali. L’articolo 39 affida al DPO il compito di sorvegliare l’osservanza del Regolamento, comprese la sensibilizzazione e la formazione del personale.
> Scopri il nostro servizio di consulenza GDPR & DPO
Le tempistiche: quando erogare i corsi privacy
La prima formazione in materia di privacy deve precede il trattamento: va erogata prima dell’accesso ai dati, tipicamente all’assunzione o all’assegnazione della mansione. È un’applicazione della privacy by design (art. 25).
Sulla cadenza il GDPR chiede misure adeguate e dimostrabili, senza una periodicità fissa, fermo restando che la formazione va aggiornata ogni volta che cambiano trattamenti, strumenti (IA inclusa) o norme.
Un piano formativo unico per le tre normative
L’approccio più saggio e rispettoso del tempo dei lavoratori è creare un piano integrato, che distingua i ruoli ma unisca le tre normative in un solo tracciato didattico.
Il Modulo Base (per tutta l’azienda)
Un unico percorso base può coprire le tre norme per l’intera popolazione aziendale:
- AI Act: uso sicuro degli strumenti di IA generativa, dati riservati da non inserire nei prompt, verifica degli output e delle allucinazioni, rischi dell’IA per la sicurezza sul lavoro (art. 42 d.lgs. 179/2026).
- NIS2: igiene informatica, phishing e social engineering, gestione delle credenziali, MFA, segnalazione delle anomalie.
- GDPR: principi di riservatezza, regole di trattamento nelle mansioni quotidiane, riconoscimento ed escalation dei data breach.
I Moduli Specifici per Ruolo
Ogni figura aziendale aggiungerà al tronco comune competenze mirate:
| Ruolo | AI Act e d.lgs. 179/2026 | NIS2 | GDPR |
| Utenti operativi dell’IA | Prompting sicuro, limiti dei modelli, trasparenza sui contenuti generati (art. 50 AI Act) | Divieto di strumenti non autorizzati (es: shadow AI), credenziali delle piattaforme SaaS | Clausole che escludono il riuso dei dati per addestrare i modelli del fornitore, minimizzazione |
| IT e cybersecurity | Censimento dei sistemi di IA, tutela di algoritmi e dataset come segreti aziendali (art. 52) | MFA, vulnerabilità e patching, backup, notifica al CSIRT entro 24 e 72 ore | Misure tecniche ex art. 32, log degli accessi, supporto alla DPIA |
| HR, Legal, Compliance, DPO | Supervisione umana (art. 41), informativa ai lavoratori, diritto alla spiegazione, DVR (art. 42) | Sicurezza dei fornitori e clausole contrattuali | DPIA per strumenti HR di valutazione o monitoraggio, nomine ex art. 28, lettere di istruzione |
| CdA e direzione generale | Policy aziendale sull’IA, approvazione dell’inventario | Formazione personale obbligatoria (art. 23), approvazione e vigilanza sulle misure | Accountability del titolare, approvazione del piano formativo e delle risorse |
Per gli iscritti agli ordini professionali, l’art. 47 del d.lgs. 179/2026 prevede moduli obbligatori sull’IA nei regolamenti di formazione continua, da adeguare entro il 23 aprile 2027.
Come documentare la formazione: il Fascicolo di Accountability
In sede di ispezione (da parte di ACN, AgID o Garante Privacy), non conta solo chi è stato formato, ma come l’azienda può dimostrarlo. La documentazione va raccolta in un Fascicolo di Accountability costantemente aggiornato, che deve contenere:
- Delibera del CdA, ovvero l’approvazione il piano formativo e attesta la partecipazione diretta degli amministratori (NIS2).
- Registro unico della formazione: partecipanti, ruoli, date, ore e moduli su IA, NIS2 e GDPR.
- Report di completamento della piattaforma e-learning, esiti dei test finali e recuperi svolti.
- Policy e Inventari: inventario dei sistemi IA attivi e DVR aggiornato.
- Lettere di istruzione individuali e attestazioni di informativa ai lavoratori.
- Gli attestati nominativi restano una best practice essenziale per provare l’impegno individuale in tutte e tre le normative.
Potresti chiederti perché il primo step per mettersi in regola con la formazione NIS2 debba includere un ripasso del GDPR. La risposta risiede nella natura stessa delle minacce informatiche: un attacco ransomware o una mail di phishing (minacce cyber) non violano solo l’infrastruttura di rete, ma sfociano quasi sempre in un data breach (violazione della privacy).
In altre parole, la NIS2 protegge il “contenitore” (i sistemi), mentre il GDPR protegge il “contenuto” (i dati personali). Per questo motivo, formare i dipendenti con un pacchetto unificato che fonda Cybersecurity Awareness e regole GDPR fornisce loro uno scudo cognitivo completo. Affrontare questi temi in un unico percorso e-learning rappresenta il primo step fondamentale e strategico per la compliance NIS2: ottimizzi il tempo sottratto al lavoro, eviti di duplicare i corsi e metti al sicuro l’azienda su due fronti normativi con un solo tracciamento.
Per aiutarti a superare agilmente il primo step della compliance senza appesantire l’operatività aziendale, Kinetikon ha sviluppato uno starter pack con livelli di scontistica in base alle utenze acquistate.
Questa soluzione chiavi in mano è pensata appositamente per coprire gli obblighi trasversali di tutta la popolazione aziendale in un unico percorso tracciabile.
FAQ – Domande frequenti sulla formazione in materia di NIS2, GDPR e AI ACT
Chi deve fare la formazione NIS2?
I membri del CdA e i dirigenti (in prima persona) e, in misura proporzionata al ruolo, tutti i dipendenti e collaboratori.
Il CdA può delegare la formazione al CTO o al CISO?
Può delegare la progettazione tecnica del piano, ma la formazione personale degli amministratori e la responsabilità legale restano in capo al CdA.
Serve un attestato obbligatorio per l'AI Act?
No, né il regolamento né i decreti italiani prevedono enti di certificazione obbligatori. Tuttavia, serve un "registro della formazione IA" dettagliato per dimostrare l'avvenuta alfabetizzazione.
Ogni quanto si deve rifare la formazione privacy (GDPR)?
Il GDPR non fissa una data di scadenza esatta. Le best practice consigliano cicli annuali o biennali, e obbligano a un aggiornamento in caso di cambio mansione o introduzione di nuovi strumenti informatici.
Che cosa succede dopo il 31 ottobre 2026 per la NIS2?
L'ACN termina la fase di "accompagnamento" e inizia le ispezioni regolari. Verranno richieste evidenze tracciabili sulle misure implementate, formazione inclusa.
