Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
L'errore più comune che vediamo nelle pratiche di compliance che passano sul nostro tavolo non è l'assenza del piano formativo. È il contrario: il piano c'è, i corsi sono stati erogati, gli attestati di partecipazione sono firmati e archiviati. E l'ente viene condannato lo stesso.
Questo accade perché formazione pro forma e formazione efficace sono due cose diverse. La giurisprudenza del 2026 lo sta dicendo con chiarezza crescente. Vale per la responsabilità amministrativa degli enti ex D.Lgs. 231/2001, vale per il GDPR, vale per la NIS2, vale — dal 23 ottobre scorso — per l'AI Act. Il filo comune è sempre lo stesso: la formazione non è un adempimento documentale, è una misura sostanziale di gestione del rischio. Se non funziona davvero, non protegge.
Perché la formazione generica non vale come esimente nel 231
Il D.Lgs. 231/2001 prevede che l'ente — cioè la società, l'associazione, il consorzio — sia escluso dalla responsabilità amministrativa dipendente da reato se ha adottato ed efficacemente attuato un Modello di Organizzazione, Gestione e Controllo (MOG) idoneo a prevenire i reati della specie verificatasi. «Efficacemente attuato» non significa «scritto in un documento». Significa applicato nella realtà quotidiana. E la formazione è parte di quella realtà.
La Corte di Cassazione, Sez. I pen., con sentenza depositata il 17 agosto 2026, n. 31505, in materia di controllo giudiziario antimafia, ha confermato la valutazione di inidoneità di un MOG «del tutto generico», privo di protocolli e procedure calibrati sul tipo di società e sui suoi rischi: un modello di questo tipo non dimostra alcun reale percorso di prevenzione. Il principio si applica anche al piano formativo allegato al modello: se i corsi sono identici per l'operaio di magazzino, il responsabile acquisti e il direttore finanziario, il giudice li considera carta straccia.
La giurisprudenza di merito aveva già fissato questo punto in termini netti, affermando che il MOG non può ritenersi efficacemente attuato laddove non si differenzia la formazione a seconda che la stessa si rivolga ai dipendenti nella loro generalità o a quelli che operano in specifiche aree di rischio, e non ne prevede il contenuto, la frequenza e l'obbligatorietà della partecipazione.
Errore n. 1 — Formazione uguale per tutti
Il primo errore è quello della formazione indifferenziata: stesso modulo, stessa durata, stesso test per tutti i dipendenti indipendentemente dal ruolo e dalle aree di rischio presidiate. È l'errore più diffuso nelle PMI, e costa.
La logica è comprensibile: si vuole minimizzare costi e tempi. Ma dal punto di vista giuridico produce il risultato opposto a quello desiderato. Il dipendente dell'ufficio commerciale che gestisce contratti con la pubblica amministrazione ha un profilo di rischio — corruzione, turbativa d'asta, induzione indebita — completamente diverso da quello del magazziniere. Mescolarli in un corso unico di tre ore sulla legalità non copre né l'uno né l'altro.
La formazione efficace ai fini dell'esimente 231 deve essere modulata per livello gerarchico (apicali, dirigenti, dipendenti operativi) e per area di rischio presidiate (acquisti, finanza, HR, IT, commerciale estero). Non è un lusso: è il minimo che i giudici si aspettano.
Errore n. 2 — Nessuna verifica dell'apprendimento
Il secondo errore è l'assenza di una verifica reale dell'apprendimento. L'attestato di partecipazione certifica che il dipendente era in sala — o davanti allo schermo — nel momento in cui il corso veniva erogato. Non certifica che abbia capito qualcosa o che sia in grado di applicarlo.
La Corte di Cassazione, Sez. IV pen., sentenza 4 marzo 2026, n. 8397, ha chiarito che la responsabilità amministrativa dell'ente non discende automaticamente dall'assenza o dall'inidoneità del modello: occorre dimostrare la colpa di organizzazione, ovvero un deficit strutturale dell'assetto aziendale che ha reso possibile la commissione del reato. Ma ha anche valorizzato, tra gli elementi che integrano quella colpa, la mancata formazione professionale del lavoratore come indicatore di un assetto organizzativo inadeguato. In altri termini: la formazione erogata male è quasi come la formazione non erogata.
Un questionario finale con domande specifiche, registrato e conservato, è lo strumento minimo. Meglio ancora se accompagnato da una simulazione pratica o da un caso aziendale reale — per la compliance GDPR, ad esempio, una simulazione di data breach; per la compliance 231 in area salute e sicurezza, la ricostruzione di un quasi-incidente. Non serve un investimento enorme: serve che il risultato sia misurabile e documentabile.
Errore n. 3 — Formazione ferma al momento dell'adozione del MOG
Il terzo errore è il più insidioso, perché spesso nasce da buona fede: l'azienda ha fatto una formazione accurata cinque anni fa, quando ha adottato il modello, e da allora non l'ha più aggiornata. Nel frattempo sono arrivati nuovi reati presupposto, è cambiata la governance, sono entrati in vigore NIS2, AI Act, D.Lgs. 160/2026 sull'intelligenza artificiale e il 231.
Tempus regit actum: ogni condotta va valutata alla luce delle norme in vigore al momento in cui si verifica. Un piano formativo adottato prima dell'entrata in vigore di una nuova norma non copre i rischi che quella norma ha introdotto. L'Organismo di Vigilanza — il soggetto indipendente che ha il compito di vigilare sul funzionamento e sull'osservanza del MOG — ha l'obbligo di segnalare al vertice aziendale quando il piano formativo è diventato obsoleto rispetto al quadro normativo vigente.
Con il D.Lgs. 4 settembre 2024, n. 138 (NIS2), i soggetti essenziali e importanti devono garantire che i membri degli organi di gestione seguano una formazione specifica in materia di cybersicurezza e promuovano periodicamente analoga formazione ai dipendenti. Dal 1° novembre 2026 la fase di accompagnamento dell'ACN — l'Agenzia per la Cybersicurezza Nazionale — si è conclusa: siamo in piena fase di enforcement. Chi non ha ancora aggiornato il piano formativo alla NIS2 è già fuori tempo massimo.
Con il D.Lgs. 7 ottobre 2026, n. 179 (decreto attuativo italiano dell'AI Act), le imprese che sviluppano o utilizzano sistemi di intelligenza artificiale ad alto rischio devono integrare nei propri programmi formativi le specifiche prescrizioni dell'AI Act: conoscenza dei divieti, delle categorie ad alto rischio, degli obblighi di supervisione umana, dei meccanismi di notifica. Non farlo non è solo un rischio formale: le sanzioni operative dal 23 ottobre 2026 arrivano fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le violazioni più gravi.
Errore n. 4 — Omessa formazione come elemento del nesso causale
Il quarto errore riguarda un profilo che molte aziende sottovalutano: la formazione omessa — o erogata in modo insufficiente — può diventare essa stessa la prova del nesso causale tra la condotta dell'ente e il danno verificatosi.
La Cassazione penale, Sez. IV, con sentenza 17 marzo 2026, n. 14188, ha stabilito che la condotta imprudente del lavoratore deceduto per infortunio sul lavoro non interrompe il nesso causale tra l'omissione degli obblighi formativi e informativi del datore di lavoro e l'evento morte. In altre parole: se il dipendente ha fatto qualcosa di pericoloso che non avrebbe fatto se fosse stato formato correttamente, il fatto che abbia scelto di farlo non assolve il datore di lavoro. L'obbligo formativo era previsto proprio per prevenire quel comportamento.
Lo stesso ragionamento si trasferisce al GDPR. Il Garante Privacy, nel provvedimento del 27 febbraio 2025, n. 114 (doc. web n. 10114967), ha chiarito che l'articolo 29 del Regolamento impone non solo di formare il personale prima dell'incarico, ma anche di provvedere a periodiche attività di aggiornamento personalizzate sulla base delle mansioni svolte in concreto. Quando un data breach deriva da un errore umano di un dipendente non formato, la responsabilità rimane integralmente in capo all'azienda.
Cosa fare adesso: la lista dei controlli minimi
Un'analisi onesta del piano formativo attuale richiede di rispondere a queste domande: i corsi sono differenziati per ruolo e area di rischio? Sono previste verifiche dell'apprendimento con conservazione dei risultati? Il piano è stato aggiornato dopo l'entrata in vigore di NIS2 e AI Act? I nuovi assunti ricevono formazione prima di essere adibiti a trattamenti di dati o ad aree di rischio 231? L'OdV ha verificato l'effettività della formazione nell'ultimo anno?
Se anche una sola risposta è negativa, l'esimente è a rischio.
Dal punto di vista pratico, il piano formativo efficace ha quattro componenti: una matrice rischi-ruoli che individui chi deve sapere cosa; un calendario annuale obbligatorio con sessioni di recupero; un sistema di verifica dell'apprendimento tracciabile; un meccanismo di aggiornamento automatico che si attiva ogni volta che cambia il quadro normativo di riferimento. Non occorre un sistema informatico costoso: basta un foglio Excel aggiornato con disciplina.
La formazione compliance serve esattamente a colmare lo scarto tra la norma scritta e la condotta reale.
Nota dall'esperienza dello studio
Nelle pratiche che seguiamo in materia di compliance e responsabilità degli enti, l'errore più frequente non è la totale assenza di formazione ma la sua concentrazione nel momento iniziale di adozione del modello, seguita da un lungo silenzio. Il piano formativo viene elaborato con cura nel primo anno, poi viene rinnovato in modo automatico senza verificarne l'attualità. Quando arriva un'ispezione o un procedimento, ci si accorge che l'ultimo aggiornamento risale a prima di NIS2. A quel punto è difficile recuperare la credibilità dell'intero sistema.
Domande frequenti
La formazione online vale come quella in presenza ai fini del 231?
Sì, la modalità di erogazione — presenza, e-learning, videoconferenza — è irrilevante ai fini dell'esimente. Ciò che conta è che sia obbligatoria, differenziata per ruolo, verificata nel risultato e documentata. Un corso e-learning con test finale conservato in archivio è più solido, sul piano probatorio, di un seminario in aula senza registrazione dei presenti né verifica dell'apprendimento.
Con quale frequenza deve essere aggiornato il piano formativo?
Non esiste una frequenza minima fissa valida per tutti i regimi normativi. Come regola pratica, il piano va aggiornato ogni volta che: entra in vigore una norma che introduce nuovi reati presupposto o nuovi obblighi di compliance; cambia significativamente l'organigramma o le aree di rischio dell'azienda; l'OdV segnala carenze nella comprensione delle procedure da parte del personale. Come minimo, una revisione annuale è necessaria per mantenere credibile l'esimente.
Se un dipendente non frequenta il corso obbligatorio, l'azienda perde l'esimente 231?
Non automaticamente. L'azienda deve dimostrare che la formazione era organizzata, obbligatoria, e che la mancata partecipazione del singolo è stata gestita con sessioni di recupero o misure disciplinari. Se invece la mancata partecipazione è sistematica e tollerata, il giudice vi legge un segnale di ineffettiva attuazione del modello — e in quel caso l'esimente viene meno. La tracciabilità individuale delle presenze è, anche per questo motivo, uno strumento di tutela per l'ente.
Redazione - Staff Studio Legale MP
