UNI/PdR 193:2026, le nuove regole delle certificazioni digitali

UNI ha pubblicato oggi la Prassi di Riferimento 193:2026, che stabilisce come devono essere costruiti gli esami di certificazione delle competenze digitali secondo i due quadri europei Digital Competence Framework for Citizens (DigComp) e Digital Competence Framework for Educators (DigCompEdu). Il documento fissa la struttura delle prove, i metodi con cui si verifica l’identità di chi le sostiene, i rapporti di sorveglianza, i contenuti obbligatori del certificato e i comportamenti che gli organismi non devono tenere. L’hanno proposta IDCERT e Fondazione Italia Digitale. È il primo documento del genere prodotto da un ente di normazione al mondo: per gli specialisti informatici regole analoghe esistono da anni, per i cittadini e per chi insegna non ne esistevano.

Il lavoro è cominciato il 23 luglio 2025, quando UNI ha aperto il tavolo tecnico “Valutazione delle competenze digitali” affidandone la conduzione a Simone Aldo Buonporto, presidente di IDCERT, nel ruolo di project leader. Attorno a quel tavolo si sono seduti il Ministero dell’Istruzione e del Merito, ACCREDIA, FLC CGIL, CISL Scuola, DINTEC, ASSOTIC – Conforma – UNION, All Digital, EGInA, il Gruppo IQC-Pomiager e i due proponenti. Una consultazione pubblica aperta a febbraio 2026 e chiusa il 24 marzo ha raccolto le osservazioni del mercato, discusse una per una prima della stesura definitiva.

Sindacati della scuola, ente unico nazionale di accreditamento, ministero e rappresentanza delle imprese hanno firmato lo stesso testo. È una convergenza rara in qualunque materia, e rarissima in una dove circolano denaro e graduatorie. Ci è voluto poco più di un anno anche per questo.

Perché serviva.

Il Digital Competence Framework for Citizens, il quadro europeo delle competenze digitali dei cittadini che tutti chiamano DigComp, è il documento con cui la Commissione europea, attraverso il Joint Research Centre, ha descritto le ventuno competenze che servono a una persona per vivere e lavorare oggi: cercare informazioni e capire se sono attendibili, comunicare, proteggere i propri dati, riconoscere una truffa, usare i servizi pubblici online. Il Digital Competence Framework for Educators — il DigCompEdu — ne descrive ventidue per chi insegna. Sono documenti eccellenti e molto dettagliati sul contenuto delle competenze. Sul modo in cui si accerta che una persona le possieda, tacciono.

Il silenzio ha prodotto conseguenze concrete, e la prima riguarda la scuola. Dal 2024, per entrare nelle graduatorie di terza fascia del personale amministrativo e tecnico serve una certificazione internazionale di alfabetizzazione digitale, e chi non la consegue decade. Lo prevede l’Allegato A del contratto nazionale Istruzione e Ricerca firmato il 18 gennaio 2024, e il decreto ministeriale n. 89 del 21 maggio 2024 ne ha regolato l’applicazione alle graduatorie. Migliaia di persone l’hanno acquistata. La definizione che il contratto ne dà, nella Dichiarazione Congiunta n. 5, dice chi deve rilasciarla — un ente accreditato presso l’ente di accreditamento nazionale, in conformità ai framework europei — chiede che attesti il superamento di un test finale e ne elenca sommariamente i contenuti: sistemi operativi, videoscrittura, fogli elettronici, posta elettronica. Su come quel test debba essere costruito, su quante domande contenga, su come si verifichi che a rispondere sia davvero il candidato, il contratto tace.

Non è solo la scuola. Con il Piano nazionale di ripresa e resilienza l’Italia ha aperto oltre tremila punti di facilitazione digitale, presidi in cui una figura nuova, il facilitatore digitale, accompagna i cittadini a usare i servizi pubblici online: un investimento di oltre centotrenta milioni di euro. Le linee guida del Dipartimento per la trasformazione digitale definiscono con precisione le competenze che quella figura dovrebbe possedere, e lo fanno proprio con il DigComp: il livello cinque, quello che il Dipartimento descrive come «livello minimo in cui si hanno le competenze adeguate per guidare l’apprendimento di altri».

Meno di sei mesi dopo, il 9 luglio 2024, il Ministero del Lavoro ha adottato un decreto passato quasi inosservato. Il n. 115 ha inserito il DigComp, «versioni 2.1 e seguenti», nel repertorio delle qualificazioni di titolarità del Ministero, come riferimento per i livelli e i risultati di apprendimento delle competenze digitali. E ha stabilito che i certificati rilasciati, per singola professione, in conformità alla norma tecnica UNI CEI EN ISO/IEC 17024 da un ente accreditato sono equiparati al Documento di trasparenza del sistema nazionale di certificazione delle competenze. Lo Stato ha riconosciuto in pochi mesi il quadro europeo dentro il proprio repertorio e la certificazione accreditata come strumento, senza che nessuno avesse ancora scritto come si tengono insieme le due cose. È la lacuna che la Prassi colma.

Il vuoto è europeo, non italiano.

Il vuoto, peraltro, è europeo. Tra il settembre 2022 e il gennaio 2024 la Commissione ha valutato l’ipotesi di istituire un certificato europeo delle competenze digitali, e nel novembre 2024 ha pubblicato le conclusioni dello studio: i costi di un marchio di qualità europeo supererebbero i benefici attesi. Nell’ambito di quello stesso lavoro il Joint Research Centre ha mappato gli schemi di certificazione già esistenti nell’Unione, e il censimento, pubblicato il 17 marzo 2025, ne ha contati ventisette, attivi in tutti i Paesi membri e rilasciati da ministeri, fondazioni, associazioni e aziende private. Fra i ventisette non compare un solo ente di normazione.

In quello spazio è cresciuto un mercato molto disomogeneo. Convivono oggi organismi accreditati che costruiscono esami progressivi, sorvegliati e tracciabili; soggetti che rilasciano attestati con procedure semplificate o interamente automatizzate; e pacchetti in cui il corso e la certificazione sono lo stesso prodotto, venduto dalla stessa mano. Tutti si chiamano allo stesso modo e tutti citano il DigComp.

Le conseguenze ricadono su due lati. Da una parte c’è chi paga. Una persona che deve procurarsi quel titolo per lavorare o per restare in graduatoria si trova davanti offerte identiche nel nome e diverse in tutto il resto, con prezzi che vanno da poche decine a diverse centinaia di euro, e non ha alcuno strumento per sapere se sta comprando una valutazione o una ricevuta. Se sbaglia lo scopre tardi, quando il titolo gli serve davvero, e spesso deve rifarlo e pagarlo una seconda volta.

Dall’altra parte c’è chi quei documenti deve leggerli. Un dirigente scolastico che riceve venti candidature con venti attestati diversi non ha strumenti per distinguerli. Un ufficio del personale che valuta competenze digitali reali non sa a cosa corrisponda il foglio che ha davanti. Un’amministrazione che rende obbligatorio un titolo attribuisce valore a un contenitore di cui nessuno ha definito il contenuto. E in mezzo, chi ha studiato davvero risulta sulla carta identico a chi ha comprato un pomeriggio.

Cosa dice la Prassi.

Il principio che regge l’intero documento è anche il più scomodo per una parte del mercato: chi eroga la formazione non può essere chi valuta. La Prassi lo traduce in prescrizioni esplicite. Nessun percorso formativo può essere imposto come condizione per accedere all’esame. Il candidato non può essere vincolato all’acquisto di corsi, materiali o tutoraggi.

Il resto del testo entra nel dettaglio tecnico. L’identità di chi sostiene la prova va verificata con SPID, CIE, eIDAS o con una procedura documentata e tracciabile, escludendo il documento fotografato e spedito per posta elettronica. L’esame si sostiene per intero in una sessione continua, senza poter essere frazionato in più sedute né acquistato un livello o un’area alla volta. Per il DigComp la Prassi prevede almeno ottantaquattro domande su quattro step a difficoltà crescente e una durata di almeno centoventi minuti; per il DigCompEdu almeno centotrentadue domande su tre step e centonovanta minuti. La sorveglianza ha rapporti massimi fissati: un sorvegliante ogni cinquanta candidati negli esami da remoto, uno ogni trenta in presenza. Chi non supera uno step si ferma e ottiene il livello raggiunto fino a quel momento.

Sull’intelligenza artificiale la Prassi prende una posizione netta, e in questo momento è forse il punto più attuale del documento. I sistemi automatici di monitoraggio possono affiancare il sorvegliante umano, mai sostituirlo: le decisioni che incidono sull’esito della prova restano in capo a una persona e devono essere documentate. La Prassi chiede inoltre all’organismo di verificare se il sistema adottato rientri tra quelli ad alto rischio ai sensi dell’Allegato III del regolamento europeo sull’intelligenza artificiale, e in tal caso di adempiere agli obblighi conseguenti.

Il capitolo sulla sorveglianza è anche il punto in cui il documento entra, con una precisione inconsueta per un testo tecnico, nel terreno della privacy di chi sostiene la prova. Il Garante per la protezione dei dati personali ha chiarito che, in assenza di una base giuridica idonea, negli esami a distanza non si possono trattare dati biometrici e non sono ammessi sistemi che raccolgano il comportamento di chi viene esaminato — movimenti del corpo, operazioni sulla tastiera, click del mouse, attività su Internet — per elaborarne indici di rischio o segnali di allerta. La Prassi si muove nella stessa direzione, e lo mette per iscritto. Il riconoscimento del candidato avviene per confronto visivo in tempo reale da parte del sorvegliante, e il documento precisa che l’operazione non comporta estrazione né trattamento di dati biometrici. Gli strumenti che inibiscono copia e incolla devono limitarsi a bloccare la funzione senza tenere traccia di quello che il candidato digita, e non è ammessa l’installazione di software di controllo di terze parti. Chi non intende sottoporsi al monitoraggio automatico può sostenere l’esame in modalità alternativa, senza alcun effetto pregiudizievole sul processo di certificazione. E prima di adottare sistemi di intelligenza artificiale l’organismo deve svolgere una valutazione d’impatto sulla protezione dei dati.

Il certificato deve incorporare una verifica crittografica che consenta a chiunque di controllarne autenticità e integrità in modo autonomo, anche senza collegarsi ai sistemi dell’organismo che lo ha emesso, e deve risultare interoperabile con i sistemi europei di riconoscimento delle credenziali.

È la parte che nel tempo peserà di più, perché riguarda cosa succede al titolo dopo che è stato ottenuto. Un attestato in PDF vive dentro i confini di chi lo ha emesso: per sapere se è autentico occorre scrivere a quell’organismo e sperare in una risposta, e se domani quell’organismo chiude, il documento resta senza garante. La Prassi impone la direzione opposta. Il certificato può essere emesso come credenziale digitale verificabile secondo il modello W3C e allineato allo European Learning Model, il formato che la Commissione europea ha costruito dentro l’infrastruttura Europass: in quella forma il titolo descrive in modo strutturato e leggibile da una macchina il risultato di apprendimento conseguito, la valutazione sostenuta, l’organismo che lo ha rilasciato e l’accreditamento di cui dispone. Chi lo possiede può importarlo nel proprio profilo Europass, conservarlo in un portafoglio digitale e mostrarlo a un datore di lavoro o a un’amministrazione in qualunque Paese dell’Unione, dove l’autenticità viene verificata in automatico. Senza traduzioni, senza telefonate e senza dover chiedere nulla a chi ha emesso il titolo.

A questo si affianca un riscontro che in Italia esiste già: ACCREDIA pubblica una banca dati delle persone certificate sugli schemi DigComp 2.2 e DigCompEdu, alimentata dagli organismi accreditati, nella quale chiunque può controllare che un nome corrisponda a un titolo realmente rilasciato.

La Prassi fissa la validità del certificato a due anni, al termine dei quali l’esame si ripete per intero.

Due scelte, infine, dicono parecchio dell’impostazione. L’esame è aperto dai quattordici anni e non prevede requisiti di accesso, né titoli di studio né ruoli professionali. E per chi si trova in condizioni di fragilità — disabilità, DSA, maternità, gravi motivi di salute — la Prassi impone misure compensative esplicite: tempo esteso, strumenti di supporto, la presenza di un facilitatore.

«Prima di cominciare abbiamo cercato se esistesse già, da qualche parte, un documento che dicesse come si certifica una persona sul DigComp e sul DigCompEdu. Non l’abbiamo trovato, e la Commissione europea ne aveva appena censiti ventisette, in tutta l’Unione, senza che nessuno fosse mai passato da un ente di normazione. Allora lo abbiamo scritto noi, in Italia. La parte di cui vado più orgoglioso, però, è un’altra: lo abbiamo scritto insieme a chi rappresenta gli insegnanti, le imprese e lo Stato, e ci è voluto più di un anno proprio perché nessuno dovesse firmare qualcosa in cui non credeva. Una certificazione è una promessa fatta a due persone insieme, a chi la ottiene e a chi dovrà fidarsene. Da oggi quella promessa ha delle regole.»

Simone Aldo Buonporto, Presidente di IDCERT e project leader del Tavolo UNI

Una Prassi di Riferimento ha davanti cinque anni per diventare norma a tutti gli effetti, e su questo il lavoro continua. Da oggi, però, chi vende una certificazione digitale può essere misurato con un metro che non ha scritto lui.

Chi ha scritto la Prassi

Simone Aldo Buonporto (IDCERT), project leader; Francesco Di Costanzo (Fondazione Italia Digitale); Paolo De Santis (Ministero dell’Istruzione e del Merito); Angelo Del Giudice ed Emanuele Riva (ACCREDIA); Flavia Bulletti (FLC CGIL); Roberto Calienno (CISL Scuola); Antonio Romeo (Unioncamere); Franco Fontana (ASSOTIC – Conforma – UN.I.O.N.); Stefano Kluzer (All Digital); Altheo Valentini (EGInA); Monica Trippodo (Gruppo IQC-Pomiager); Giovanni Renzi Brivio (UNI/CT 040 “Servizi”); Giancarlo Montico e Gerardo Perrone (IDCERT).

Un ringraziamento particolare va a UNINFO, l’ente federato UNI per le tecnologie informatiche, nelle persone del presidente Domenico Squillace e di Pasquale Popolizio, per il contributo e il sostegno dato a questo percorso.

Come riconoscere una certificazione fatta bene

Quattro domande da fare prima di pagare.

Chi mi identifica, e come? La risposta corretta contiene SPID, CIE, eIDAS o una procedura di verifica documentata e tracciabile. Se vi chiedono la foto del documento via mail, è il segnale sbagliato.

Il corso e l’esame li vendete voi? Se sì, e il corso è obbligatorio per accedere all’esame, la valutazione non è indipendente.

L’esame è intero e sorvegliato? Una certificazione che si compra “a livelli”, un’area alla volta, o che si sostiene senza vigilanza, non è conforme.

Il certificato lo può verificare chi lo riceve? Deve poterlo controllare chiunque, in autonomia, anche se domani l’organismo che l’ha emesso non ci fosse più. E il vostro nome deve comparire nella banca dati pubblica di ACCREDIA.

Per approfondimenti:

• Leggi anche: Guida pratica | UNI/PdR 193:2026
• Sei un istituto scolastico? Richiedi un incontro
• Sei un centro di formazione? Entra nella nostra rete
• Scarica il testo completo della UNI/PdR 193:2026
• DigComp — Digital Competence Framework for Citizens (JRC)
• DigCompEdu — Digital Competence Framework for Educators (JRC)
• UNI — Ente Italiano di Normazione
• UNI — Competenze digitali: al via i lavori per una nuova prassi di riferimento
• ACCREDIA — Ente unico nazionale di accreditamento
• Fondazione Italia Digitale — Certificazioni di competenze digitali: la nuova Prassi di riferimento UNI