La norma arriva il 30 aprile 2026
La prima reazione alla pubblicazione della UNI 11621-8, lo standard italiano che definisce i dodici profili professionali dell’intelligenza artificiale, dovrebbe essere il sospetto. Standardizzare i mestieri di un campo che cambia ogni sei mesi è un esercizio quasi paradossale, e farlo prima del resto d’Europa significa assumersi il rischio di sbagliare per primi. La norma è arrivata il 30 aprile 2026, firmata da UNINFO con il coordinamento del Dipartimento per la Trasformazione Digitale. L’aggancio normativo va al Regolamento UE 2024/1689, cioè l’AI Act, e alla Legge 132/2025 sull’IA. La Legge 4/2013 sulle professioni non regolamentate fa da scivolo per la certificazione.
Una parola che cercava un metro dal 2 febbraio
Per chi lavora di compliance ogni giorno è la chiusura di un cerchio rimasto aperto dal 2 febbraio 2025. Quel giorno l’articolo 4 dell’AI Act ha imposto a fornitori e deployer di garantire un livello sufficiente di alfabetizzazione del personale, senza spiegare cosa significasse, esattamente, l’aggettivo sufficiente. Negli ultimi mesi, mentre lavoravamo a progetti di compliance per clienti in settori ad alta regolazione, quella parola tornava in ogni conversazione come una domanda senza risposta. Nessun kit documentale o template DPIA riusciva a fissarne il significato senza ricorrere a circonlocuzioni. Cosa significa, esattamente, “competenze sufficienti”? Quando una richiesta del cliente è ragionevole, e quando è una pretesa che non ha ancora un metro? La UNI 11621-8 quel metro lo offre, lo offre in italiano, con nomi che il buyer di un’azienda sanitaria o di un assessorato regionale può leggere senza tradurli.
Dodici profili, dal CAIO al ricercatore
I dodici profili coprono lo spettro dalla governance alla ricerca. Si va dal Chief AI Officer all’AI Research Scientist. Per ogni profilo la norma specifica missione e compiti, oltre a una mappa delle competenze richieste con il livello atteso e gli indicatori di prestazione associati. La metodologia è quella consolidata della UNI 11621-1, e l’ancoraggio è all’e-Competence Framework europeo, lo UNI EN 16234-1. Tecnicamente il lavoro è solido, e questo è importante dirlo prima di passare ai problemi.
La materia che si codifica è ancora mobile
I problemi cominciano dalla materia che la norma prova a fissare. Una professione si codifica quando ha raggiunto un grado di stabilità sufficiente, e l’AI di oggi non lo ha. Il Prompt Engineer, presente nella lista come profilo separato, è già un caso interessante. Quando esisteva come ruolo distinto, ha avuto vita breve, ed è stato rapidamente assorbito dagli sviluppatori e dai product manager che lavorano direttamente con i modelli generativi. Tenerlo come profilo dedicato significa rincorrere una pratica che si è già evoluta altrove. Lo stesso vale, in misura diversa, per la separazione netta tra Data Scientist e Machine Learning Engineer, due ruoli che nella pratica reale si sovrappongono ampiamente. I confini delle figure professionali codificate sono molto più netti dei confini delle competenze che le persone effettivamente esercitano. Un buon Data Scientist tocca l’ML engineering, e un ML engineer competente sa muoversi nella pipeline dei dati. Quando un AI Security Specialist non capisce i modelli alla radice, smette di essere un professionista della sicurezza e diventa un revisore di documenti.
Chi scrive lo standard, e perché
C’è poi una questione più sottile, e riguarda l’origine delle norme di profilo professionale in Italia. Sono prodotte da commissioni in cui siedono enti di certificazione e fornitori di formazione, oltre alle associazioni di categoria. Soggetti legittimi, e tutti con un interesse economico nel risultato finale. Questo non rende lo standard meno utile, cambia il modo in cui dovrebbe essere letto. Sotto la veste tecnica c’è la costruzione di un mercato. Il mercato della certificazione professionale e della formazione accreditata. I percorsi ITS Academy si stanno allineando in queste settimane, e gli enti certificatori stanno preparando i propri schemi. La Legge 4/2013 fornisce l’aggancio, chi può certificare un profilo professionale guadagna da quella certificazione. La domanda non è se il sistema sia legittimo, lo è. La domanda è cosa stiamo davvero comprando quando spendiamo per certificare un Chief AI Officer interno.
L’effetto di sostituzione, come per il DPO
Una terza cautela riguarda l’effetto di sostituzione, che è probabilmente il rischio più serio. Avere profili UNI-conformi non significa avere governance AI competente. La storia recente del GDPR è piena di organizzazioni che avevano un DPO certificato e processi disastrosi, perché il DPO era una casella amministrativa, non una funzione operativa. Lo stesso può succedere con il Chief AI Officer e con il Security Specialist. La compliance per checklist produce comfort organizzativo e poca sicurezza reale. Se la UNI 11621-8 verrà letta come adempimento documentale, avremo aziende con tabelle pulite e sistemi AI fragili. Se verrà letta come scheletro intorno a cui costruire pratica vera, avremo qualcosa di utile.
Una traiettoria che abbiamo già visto
Detto tutto questo, la pubblicazione della norma vale la pena di essere presa sul serio. Per un motivo che ha poco a che fare con la tecnica, e molto con il timing del mercato regolato. Lo schema, in Italia, lo abbiamo già visto. La Strategia Cloud Italia del 2021 ha generato un framework di classificazione dei dati e dei servizi PA. Quel framework è poi diventato regolamento ACN nel 2022-2023. Il catalogo dei servizi cloud qualificati è infine entrato nelle procedure di acquisto della PA, fino al Consip MEPA. Le clausole sulla sicurezza dei servizi cloud, all’inizio vaghe, sono diventate requisiti tecnici verificabili e condizioni di partecipazione. Chi è arrivato dopo ha competuto da fornitore generico contro fornitori già qualificati, e ha perso gare significative. La UNI 11621-8, applicata alla cornice dell’AI Act, segue una traiettoria analoga. Lo standard parte come riferimento volontario e finisce nei capitolati di gara. Il passaggio per gli atti di indirizzo del Dipartimento è quasi un dettaglio amministrativo. La finestra utile è quella che si apre adesso, e si chiude quando il primo capitolato significativo cita la norma.
Dentro un kit di compliance multi-framework
Per chi, come noi a Oltrematica, lavora di compliance multi-framework, lo standard è prima di tutto uno strumento di documentazione difendibile. La matrice RACI di un progetto AI ad alto rischio, costruita sopra i profili UNI, diventa un’evidenza che regge in sede di audit. Anche il piano di formazione interno aziendale, se mappato sui profili, smette di essere un costo amministrativo e diventa parte integrante del programma di gestione del rischio AI. La forma che stiamo dando ai nostri kit documentali interni assorbe lo standard senza fatica, perché parla la stessa lingua dei framework che già usiamo, dal GDPR al Cyber Resilience Act.
Una mappa imperfetta, ma una mappa
C’è una linea di lavoro più interessante della pura conformità, e probabilmente meno redditizia nel breve. Lo standard è una occasione di intelligibilità interna. Permette alle organizzazioni che adottano AI di parlarne con un vocabolario condiviso, prima ancora che con i regolatori o con gli enti certificatori. È un vocabolario imperfetto, in parte datato e costruito attorno a interessi economici riconoscibili. Ma è il primo vocabolario disponibile, e la sua imperfezione è inferiore alla sua utilità. La questione vera, quella che deciderà se la UNI 11621-8 sarà una buona norma o una cattiva norma, non è scritta nel testo. Si scriverà nei prossimi mesi, nelle interpretazioni che le organizzazioni le daranno, e nei capitolati che la useranno per filtrare i fornitori.
Nel frattempo, vale la pena leggerla per quello che è. Una mappa imperfetta del territorio che stiamo già attraversando, che almeno propone una toponomastica condivisa per non perderci tutti allo stesso modo.
Cosa ti porti a casa
La UNI 11621-8 codifica dodici profili professionali per l’AI con aggancio normativo all’AI Act (Reg. UE 2024/1689) e alla Legge 132/2025. Pubblicata il 30 aprile 2026, è la prima norma nazionale europea sui mestieri dell’intelligenza artificiale. Per chi lavora di compliance offre il metro che mancava all’articolo 4 dell’AI Act sulla alfabetizzazione sufficiente del personale.
Tecnicamente lo standard è solido, metodologia UNI 11621-1, ancoraggio all’e-Competence Framework europeo (UNI EN 16234-1), missione e compiti per ciascun profilo con livello atteso e indicatori. I dodici profili coprono dal Chief AI Officer all’AI Research Scientist.
La materia che lo standard prova a fissare è ancora mobile. Il Prompt Engineer come ruolo distinto è stato già assorbito dagli sviluppatori e dai product manager. Data Scientist e Machine Learning Engineer si sovrappongono nella pratica reale. I confini delle figure codificate sono più netti dei confini delle competenze esercitate.
Sotto la veste tecnica si costruisce un mercato. Le commissioni di norma includono enti di certificazione e fornitori di formazione, tutti soggetti legittimi e tutti con un interesse economico nel risultato. La Legge 4/2013 sulle professioni non regolamentate fornisce l’aggancio commerciale per certificare i profili.
Il rischio più serio è l’effetto di sostituzione, lo stesso visto col GDPR. Avere il Chief AI Officer certificato non significa avere governance AI competente, come avere il DPO non ha significato avere processi privacy decenti. La compliance per checklist produce comfort organizzativo e poca sicurezza reale.
La traiettoria è quella di Cloud Italia, riferimento volontario nel 2021, regolamento ACN nel 2022-2023, requisiti tecnici in capitolato Consip MEPA dopo. Chi è arrivato dopo ha competuto da fornitore generico contro fornitori già qualificati. La UNI 11621-8 segue probabilmente lo stesso percorso, accelerato dall’AI Act.
Domande e risposte
Cosa cambia, per chi fa compliance, con la UNI 11621-8?
Cambia che dal 2 febbraio 2025 l’articolo 4 dell’AI Act chiede ai fornitori e ai deployer di garantire una alfabetizzazione sufficiente del personale, senza dire cosa significhi sufficiente. La norma offre quel metro in italiano, con nomi che il buyer di un’azienda sanitaria o di un assessorato regionale può leggere senza tradurli. Non è la sola lettura possibile dell’articolo 4, ma è la prima disponibile su carta italiana.
Quali sono i dodici profili?
Vanno dalla governance alla ricerca, includono Chief AI Officer, AI Architect, AI Engineer, AI Developer, Data Scientist, Machine Learning Engineer, AI Security Specialist, AI Auditor, AI Ethics Specialist, Prompt Engineer, AI Trainer, AI Research Scientist. Per ciascuno la norma specifica missione, compiti, competenze richieste con livello atteso e indicatori di prestazione, secondo la metodologia UNI 11621-1 e l’ancoraggio all’e-Competence Framework europeo (UNI EN 16234-1).
Perché diffidare della codifica di profili in un campo che cambia ogni sei mesi?
Perché una professione si codifica quando ha raggiunto stabilità, e l’AI di oggi non l’ha. Il Prompt Engineer come ruolo separato ha avuto vita breve ed è stato rapidamente assorbito dagli sviluppatori e dai product manager che lavorano con i modelli generativi. La separazione netta tra Data Scientist e Machine Learning Engineer non corrisponde alla pratica reale, in cui i due ruoli si sovrappongono ampiamente. Lo standard codifica figure che le persone non esercitano in quella forma.
Chi scrive queste norme, e cosa cambia il sapere chi le scrive?
Sono prodotte da commissioni in cui siedono enti di certificazione, fornitori di formazione e associazioni di categoria. Tutti soggetti legittimi, e tutti con un interesse economico nel risultato finale. Non rende lo standard meno utile, cambia il modo in cui dovrebbe essere letto. Sotto la veste tecnica si costruisce un mercato della certificazione professionale e della formazione accreditata. La domanda non è se il sistema sia legittimo, lo è. La domanda è cosa stiamo comprando quando spendiamo per certificare un Chief AI Officer interno.
Il rischio di sostituzione, in concreto?
Il GDPR è pieno di organizzazioni con il DPO certificato e processi disastrosi, perché il DPO era una casella amministrativa, non una funzione operativa. Lo stesso può succedere con il Chief AI Officer e con il Security Specialist. Se la UNI 11621-8 verrà letta come adempimento documentale, avremo aziende con tabelle pulite e sistemi AI fragili. Se verrà letta come scheletro intorno a cui costruire pratica vera, avremo qualcosa di utile.
Quando lo standard entrerà nei capitolati di gara?
La traiettoria probabile è quella che abbiamo già visto. La Strategia Cloud Italia del 2021 ha generato un framework di classificazione, è diventata regolamento ACN tra il 2022 e il 2023, è entrata nelle procedure di acquisto della PA fino al Consip MEPA. Le clausole sulla sicurezza dei servizi cloud, all’inizio vaghe, sono diventate requisiti tecnici verificabili e condizioni di partecipazione. La UNI 11621-8, applicata alla cornice dell’AI Act, segue una traiettoria analoga. La finestra utile per attrezzarsi è ora, e si chiude quando il primo capitolato significativo cita la norma.
L'autore
