Linee Guida AgID sull’IA nella PA: quali competenze servono al personale e come dimostrarle

Le Linee Guida AgID per l’adozione di IA nella Pubblica Amministrazione sono il quadro operativo, vincolante ai sensi dell’art. 71 del CAD, che indica alle amministrazioni come introdurre sistemi di intelligenza artificiale in modo sicuro, trasparente e conforme all’AI Act. Sono state adottate con la Determinazione AgID n. 169 del 9 novembre 2026. Tra le quattro macroaree del documento, quella sulle competenze del personale è la meno tecnica e, con ogni probabilità, la più difficile da attuare.

La ragione è semplice. Un sistema di IA si acquista con una gara. La capacità di usarlo con giudizio critico, invece, non si compra: va costruita persona per persona, e poi va documentata.

Cosa prevedono le Linee Guida AgID sull’intelligenza artificiale nella PA

Il documento nasce dal Piano Triennale per l’Informatica nella Pubblica Amministrazione 2024-2026 ed è stato elaborato nel Tavolo di concertazione del Piano, con la partecipazione, tra gli altri, di ACN, ANAC, ANCI, Dipartimento della Funzione Pubblica, INPS, ISTAT e PagoPA. Il percorso è stato lungo: la prima bozza era stata adottata con la Determinazione n. 17/2025 e messa in consultazione pubblica tra febbraio e marzo 2025. Il testo definitivo arriva quindi dopo oltre venti mesi di confronto istituzionale.

Secondo la presentazione ufficiale di AgID, le linee guida si articolano in quattro macroaree:

• classificazione del rischio e conformità, con l’obbligo per le PA di classificare i sistemi secondo i livelli dell’AI Act e di garantire trasparenza, sorveglianza umana e responsabilità;
• modello di adozione basato sul ciclo PDCA (Plan-Do-Check-Act) e sullo standard ISO/IEC 42001, con strumenti di autovalutazione della maturità;
• qualità dei dati e sicurezza, con misure contro attacchi specifici dei sistemi di IA come evasion e poisoning;
• codice etico e competenze, con un modello antropocentrico fondato su alfabetizzazione digitale e valorizzazione dei profili specializzati negli UTD.

Il testo integrale è disponibile nella sezione Amministrazione trasparente di AgID. Per un inquadramento più ampio della normativa europea, abbiamo analizzato in un approfondimento dedicato cosa prevede l’AI Act per chi usa sistemi di IA.

Perché le competenze sono il vero banco di prova

Le prime tre macroaree parlano a uffici tecnici, responsabili della sicurezza e RTD. La quarta parla a tutti. Ed è qui che il divario tra norma e realtà si vede meglio.

L’IA è già entrata negli uffici pubblici, con o senza linee guida. Un’indagine del Dipartimento della Funzione Pubblica su oltre 8.000 dipendenti, presentata a fine settembre 2026, indica che il 75,2% del personale pubblico usa già strumenti di intelligenza artificiale e che l’80% li considera utili per automazione e analisi dei dati. Il dato più rilevante, però, è un altro: l’uso precede la formazione. Molti dipendenti hanno iniziato a lavorare con assistenti generativi prima che la propria amministrazione definisse regole, limiti e responsabilità.

Questo è il punto che le linee guida intercettano quando parlano di IA antropocentrica. La sorveglianza umana, richiesta per i sistemi ad alto rischio, presuppone persone in grado di capire quando un output è plausibile ma sbagliato, quando un sistema riproduce un pregiudizio presente nei dati, quando una decisione deve tornare a un funzionario. Senza queste competenze, la “supervisione umana” resta una firma in calce a una decisione presa da altri.

Lo stesso principio è scritto nella legge italiana. La legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, stabilisce all’art. 14 che nella pubblica amministrazione l’IA ha una funzione strumentale e di supporto all’attività dei funzionari, che restano gli unici responsabili dei provvedimenti. Una responsabilità che non si può esercitare senza conoscere lo strumento.

L’obbligo di alfabetizzazione IA: cosa dice oggi l’art. 4 dell’AI Act

Le linee guida AgID non creano dal nulla un obbligo formativo. Lo trovano già nel diritto europeo. L’art. 4 dell’AI Act (Regolamento (UE) 2024/1689) si applica dal 2 febbraio 2025 a fornitori e deployer di sistemi di IA. Una PA che usa un sistema di IA nella propria attività è un deployer: l’obbligo la riguarda in pieno, scuole comprese.

Il testo è cambiato nel 2026. Il Regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus sull’IA, è entrato in vigore il 27 luglio 2026 e ha sostituito integralmente l’art. 4. La versione originale chiedeva di garantire un livello “sufficiente” di alfabetizzazione; quella vigente chiede di adottare misure per sostenerne lo sviluppo e precisa che non è richiesto un livello specifico per alcuna persona.

Chi ha letto questa modifica come un alleggerimento ha letto male. L’obbligo è passato da un obbligo di risultato a un obbligo di mezzi, e un obbligo di mezzi si dimostra solo con evidenze: quali misure sono state adottate, per quali ruoli, con quali criteri di proporzionalità, con quali esiti. Per una pubblica amministrazione, abituata a rispondere ad ANAC, Corte dei conti e organismi di vigilanza, l’alfabetizzazione IA del personale diventa quindi un tema di documentazione, non solo di formazione. Ne abbiamo parlato in modo più esteso nell’articolo su come il Digital Omnibus ha cambiato l’AI Act.

Formazione e certificazione: due strumenti diversi

Qui si gioca la differenza tra un adempimento formale e una scelta efficace. La PA italiana ha fatto passi avanti notevoli sulla formazione: secondo il Dipartimento della Funzione Pubblica, le ore medie di formazione per dipendente sono passate da circa 6 all’anno fino al 2022 a 24, e la direttiva sulla formazione del 2025 ha fissato l’obiettivo di 40 ore annue. La piattaforma Syllabus eroga già moduli dedicati a intelligenza artificiale e sicurezza informatica.

La formazione, però, attesta una partecipazione. Un attestato di frequenza dice che una persona ha seguito un corso, non che sia in grado di riconoscere un’allucinazione di un modello linguistico o di valutare i rischi di un sistema che tratta dati personali.

Una certificazione delle competenze digitali rilasciata da un organismo accreditato secondo la norma ISO/IEC 17024 funziona in modo diverso. Lo schema di certificazione definisce in anticipo cosa la persona deve sapere e saper fare; l’esame verifica quelle competenze in modo indipendente e imparziale; l’organismo è sottoposto a controlli periodici da parte dell’ente di accreditamento. Il risultato è un’evidenza oggettiva, confrontabile e verificabile da terzi.

È bene essere precisi su un punto, perché la confusione è frequente. Le Linee Guida AgID e l’AI Act non impongono una certificazione: chiedono competenze e misure adeguate. La certificazione è uno strumento per dimostrarle, non un requisito di legge. Ma se l’obbligo è “adottare misure proporzionate e documentate”, pochi strumenti documentano una competenza in modo più solido di una verifica accreditata.

Vale anche la distinzione con la ISO/IEC 42001 citata dalle linee guida: quella norma riguarda il sistema di gestione dell’IA di un’organizzazione. La ISO/IEC 17024 riguarda invece la certificazione delle persone. Sono livelli complementari: la prima dice come l’ente governa l’IA, la seconda dice se le persone che la usano sanno farlo.

DigComp 2.2: il quadro europeo che include l’interazione con l’IA

Per misurare le competenze serve un riferimento condiviso. In Europa quel riferimento esiste già ed è il DigComp 2.2, il quadro delle competenze digitali dei cittadini pubblicato dal Joint Research Centre della Commissione europea. AgID ne cura la traduzione italiana ufficiale.

L’aggiornamento 2.2 ha aggiunto oltre 250 esempi di conoscenze, abilità e atteggiamenti, con un allegato specifico dedicato ai cittadini che interagiscono con sistemi di intelligenza artificiale. Tra gli esempi ci sono competenze che coincidono quasi alla lettera con le preoccupazioni delle linee guida AgID: sapere che gli algoritmi possono operare come una “scatola nera”, essere consapevoli che i dati di addestramento possono contenere pregiudizi, valutare criticamente contenuti generati o personalizzati da un sistema di IA, conoscere i rischi per la privacy.

DigComp, da solo, è un quadro di riferimento e non uno schema di certificazione. Diventa uno strumento di verifica quando un organismo accreditato costruisce su di esso uno schema d’esame. È ciò che fa la certificazione CIAD DigComp 2.2 di IDCERT, che traduce le aree del framework europeo in competenze verificabili e documentabili.

Gli UTD e i profili specializzati

Le linee guida dedicano attenzione esplicita agli Uffici per la Transizione al Digitale (UTD), chiamati a ospitare profili professionali specializzati sull’IA. È una scelta coerente con il disegno del CAD, che affida al Responsabile per la Transizione al Digitale il coordinamento dei processi di innovazione dell’ente.

In pratica, molte amministrazioni dovranno ragionare su due livelli. Il primo è l’alfabetizzazione di base per tutto il personale che usa strumenti di IA, anche solo un assistente per redigere testi. Il secondo è la competenza avanzata di chi seleziona, valuta, configura e monitora i sistemi: personale degli UTD, referenti privacy, responsabili della sicurezza, dirigenti che firmano gli acquisti. Il secondo livello sarà ancora più rilevante quando AgID completerà l’adozione delle linee guida dedicate allo sviluppo e al procurement di sistemi di IA nella PA, già passate in consultazione pubblica nella primavera 2026.

L’errore da evitare è trattare i due livelli con lo stesso strumento. Un corso generalista per 3.000 dipendenti non forma un responsabile di progetto IA, e un percorso specialistico non serve a chi deve solo sapere quando non incollare dati personali in un chatbot.

La scuola è PA: lo stesso quadro vale per gli istituti

Spesso lo si dimentica, ma le istituzioni scolastiche sono pubbliche amministrazioni. Una scuola che usa sistemi di IA nella didattica o nella segreteria è un deployer ai sensi dell’AI Act e ricade nel perimetro delle linee guida AgID, accanto alle indicazioni specifiche del Ministero dell’Istruzione e del Merito. Abbiamo confrontato i due quadri nell’approfondimento sulle linee guida MIM per l’IA nelle scuole.

Per i docenti il riferimento europeo specifico è il DigCompEdu, il quadro delle competenze digitali degli educatori. Anche in questo caso la logica è identica: definire le competenze, formarle, verificarle. Chi lavora nella scuola può approfondire il percorso di certificazione DigCompEdu.

Da dove iniziare: un approccio pragmatico per le amministrazioni

Le linee guida propongono un modello PDCA, e lo stesso ciclo si applica bene alle competenze. Nella fase di pianificazione, l’ente mappa chi usa sistemi di IA e con quale ruolo, distinguendo uso occasionale, uso operativo e responsabilità di governo. Nella fase di esecuzione, attiva percorsi formativi proporzionati, usando anche l’offerta pubblica di Syllabus. Nella fase di verifica, misura le competenze acquisite con strumenti oggettivi. Nella fase di azione correttiva, aggiorna piano e percorsi in base ai risultati e all’evoluzione dei sistemi adottati.

La fase di verifica è quella che più spesso manca, ed è proprio quella che trasforma la formazione in un’evidenza spendibile davanti a un organismo di controllo. Se la vostra amministrazione o il vostro istituto sta impostando questo percorso, potete contattare IDCERT per valutare lo schema di certificazione più adatto ai diversi profili.

Domande frequenti

Le Linee Guida AgID sull’IA sono obbligatorie per le pubbliche amministrazioni?

Sì. Sono state emanate secondo l’iter dell’art. 71 del Codice dell’Amministrazione Digitale, che disciplina le linee guida tecniche vincolanti per le PA. Sono state adottate con la Determinazione AgID n. 169 del 9 novembre 2026.

Le linee guida obbligano i dipendenti pubblici a certificare le competenze sull’IA?

No. Le linee guida e l’art. 4 dell’AI Act chiedono misure di alfabetizzazione e competenze adeguate al ruolo, non una certificazione specifica. La certificazione accreditata è uno strumento per documentare quelle competenze in modo oggettivo.

Il Digital Omnibus ha eliminato l’obbligo di formazione sull’IA?

No. Il Regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026, ha riscritto l’art. 4 dell’AI Act trasformandolo in un obbligo di mezzi: chi usa sistemi di IA deve adottare misure per sostenere l’alfabetizzazione del personale, senza dover garantire un livello predefinito.

Le scuole devono rispettare le Linee Guida AgID sull’IA?

Sì, perché le istituzioni scolastiche sono pubbliche amministrazioni. Una scuola che usa sistemi di IA è anche un deployer ai sensi dell’AI Act e deve adottare le misure di alfabetizzazione previste dall’art. 4.

Quale quadro europeo misura le competenze digitali legate all’IA?

Il riferimento principale è il DigComp 2.2 del Joint Research Centre della Commissione europea, che include oltre 250 esempi di conoscenze e abilità, tra cui un allegato dedicato all’interazione dei cittadini con i sistemi di intelligenza artificiale.