Test di competenze digitali EPSO: formato, trabocchetti e come prepararsi

Le competenze digitali sono il test EPSO che è cambiato di più nei concorsi recenti. Non è più una semplice verifica formale della capacità di usare un foglio di calcolo: è una valutazione strutturata di quanto sai muoverti con sicurezza all'interno del quadro di politica digitale dell'UE — GDPR, AI Act, direttiva sull'accessibilità del web, licenze Creative Commons e le cinque aree di competenza di DigComp 2.2. Il tuo punteggio confluisce direttamente nella classifica, alla pari del ragionamento verbale, numerico e astratto.

Che cosa misura

Il test di competenze digitali è ancorato al quadro DigComp 2.2 della Commissione europea, il riferimento ufficiale per la competenza digitale dei cittadini. Il quadro è organizzato in cinque aree di competenza, e le domande EPSO sono scritte per mapparsi nettamente su di esse. Raramente vedrai domande del tipo "indica il nome del quadro"; ogni quesito ti chiede invece di applicare una competenza a uno scenario istituzionale realistico.

Area 1 — Alfabetizzazione su informazioni e dati: ricerca con operatori booleani, valutazione delle fonti, riconoscimento della selezione algoritmica, gestione di metadati e archivi.
Area 2 — Comunicazione e collaborazione: scelta del canale corretto, condivisione sicura, netiquette, gestione dell'identità digitale, partecipazione civica tramite i portali dell'UE.
Area 3 — Creazione di contenuti digitali: produzione di contenuti strutturati, integrazione di fonti, copyright e Creative Commons, accessibilità (WCAG 2.1 AA), pensiero algoritmico.
Area 4 — Sicurezza: protezione dei dispositivi, tutela dei dati conforme al GDPR, benessere digitale e diritto alla disconnessione, impronta ambientale dell'attività digitale.
Area 5 — Risoluzione di problemi: risoluzione tecnica strutturata, adeguamento degli strumenti ai bisogni, uso creativo delle tecnologie digitali, individuazione delle lacune di competenza.
Elementi trasversali sull'IA: DigComp 2.2 ha aggiunto voci di conoscenza esplicite sull'IA generativa — allucinazioni, prompt engineering, verifica umana — che si mappano sulle competenze 1.2, 2.1 e 3.2.
Diritto UE incorporato: aspettati riferimenti diretti al GDPR, all'AI Act dell'UE, alla direttiva sull'accessibilità del web (UE) 2016/2102 e alla direttiva RAEE inseriti negli scenari.

La regola d'oro. Le competenze digitali sono un test di conoscenza travestito da test di competenza. Ogni risposta corretta è ancorata a una specifica sotto-competenza DigComp, a un articolo del GDPR, a un livello di rischio dell'AI Act o a una clausola di licenza CC. Se non sai indicare l'ancora, non puoi eliminare in modo affidabile i distrattori.

I trabocchetti ricorrenti

Su centinaia di quesiti di esercitazione, si ripetono le stesse famiglie di trappole. Imparare a riconoscerle a colpo d'occhio è gran parte della battaglia:

Metadati vs telemetria vs contenuti strutturati. Una domanda sui nomi degli autori nascosti in un file Word pubblicato è una questione di igiene dei metadati; una sui log di utilizzo di CPU e larghezza di banda è telemetria; una sulle colonne di un CSV è contenuto strutturato. EPSO inserisce abitualmente tutte e tre le etichette tra le opzioni.
Confusione tra i principi del GDPR. I candidati confondono limitazione della finalità (art. 5, par. 1, lett. b — raccolti per una finalità specificata), minimizzazione dei dati (art. 5, par. 1, lett. c — solo ciò che è necessario) e limitazione della conservazione (art. 5, par. 1, lett. e — conservati non oltre il necessario). I distrattori sfruttano questo a proprio vantaggio.
Confusione tra i livelli di rischio dell'AI Act. Il regolamento prevede quattro livelli — inaccettabile (vietato: social scoring, raccolta non mirata di immagini facciali), alto rischio (regolamentato: selezione del personale, identificazione biometrica, infrastrutture critiche), limitato (obblighi di trasparenza: chatbot, deepfake) e minimo (nessun obbligo specifico). Scambiare il limitato per l'alto rischio è l'errore classico.
Modelli di erogazione cloud (IaaS / PaaS / SaaS). La trappola è chi gestisce cosa. IaaS = il fornitore gestisce l'hardware e tu gestisci il sistema operativo verso l'alto; PaaS = il fornitore gestisce il runtime e tu distribuisci solo il codice; SaaS = configuri solo l'app. I distrattori scambiano le responsabilità a un livello.
CC vs CCN nelle email. Mettere indirizzi esterni in CC espone l'indirizzo email di ciascun destinatario a tutti gli altri — una violazione del GDPR di routine e del tutto evitabile. CCN nasconde i destinatari l'uno all'altro. La trappola compare in scenari relativi a comunicazioni multistakeholder.
Compressione con perdita vs senza perdita. Per documenti istituzionali insostituibili (PDF firmati, fogli di calcolo master, video sorgente) la risposta è senza perdita (ZIP, PNG, FLAC, ProRes). Per anteprime e miniature destinate ai cittadini, va bene con perdita (JPEG, MP3, H.264). Il distrattore inverte i due contesti.

Allena le tue competenze digitali

Domande realistiche in stile EPSO su dati, sicurezza, IA e creazione di contenuti, con spiegazioni per ogni risposta.

Inizia a esercitarti → Primo set gratuito · nessun costo

Come prepararsi

Tre riferimenti canonici rispondono in modo silenzioso alla maggior parte delle domande che incontrerai. Leggili una volta, non come bigini d'esame, ma per interiorizzarne il vocabolario. Il primo è il quadro DigComp 2.2 stesso, pubblicato dal Centro comune di ricerca — in particolare le cinque aree di competenza, i verbi che il quadro utilizza ("valutare", "condividere", "sviluppare", "proteggere", "risolvere") e gli elementi di conoscenza sull'IA aggiunti nella revisione 2.2. Il secondo è il GDPR, con attenzione all'articolo 5 (i sei principi di trattamento), all'articolo 9 (categorie particolari) e all'articolo 30 (registri delle attività di trattamento). Il terzo è l'AI Act dell'UE — in particolare i livelli di rischio e le pratiche che il regolamento vieta esplicitamente.

Oltre ai riferimenti, la preparazione più affidabile è la pratica cronometrata con spiegazioni scritte con cura. Le domande di competenze digitali premiano chi sa indicare l'ancora: quando leggi un quesito su una email di phishing, devi subito registrare "competenza 4.1, protezione dei dispositivi"; quando ne leggi uno su un modulo di iscrizione a un evento, "articolo 5, par. 1, lett. c, minimizzazione dei dati". L'ancora ti dice quale distrattore è la trappola. Senza di essa, risposte sbagliate ma plausibili sono molto difficili da escludere sotto pressione di tempo.

Un consiglio pratico: quando un'opzione menziona un numero, una data o uno specifico strumento dell'UE per nome (direttiva RAEE, direttiva (UE) 2016/2102, regolamento (UE) 2019/788), si tratta quasi sempre della risposta corretta o di una trappola accuratamente piazzata. Trattali come dettagli portanti, non come colore di sfondo.

Esempi svolti

Tre esempi nel formato EPSO reale — breve scenario istituzionale, quattro opzioni, solo una pienamente corretta. Leggi ciascun quesito, scegli la tua risposta, poi rivela la spiegazione — prestando particolare attenzione a quale trappola è costruita dietro ogni distrattore.

Esempio 1 — Confusione tra metadati, phishing e ransomware

Scenario. Un rapporto pronto per la pubblicazione contiene ancora revisioni nascoste e nomi degli autori; come si chiama questo rischio?

Raccolta di credenziali tramite phishing.
Esposizione accidentale di metadati sensibili.
Iniezione di payload ransomware.
Esposizione a denial-of-service distribuito.

Mostra la risposta

Risposta: B. I documenti Office memorizzano notevoli metadati oltre al testo visibile — nomi degli autori, cronologia delle modifiche, revisioni tracciate, commenti, percorsi dei file, persino coordinate GPS sulle foto incorporate. Pubblicare un file senza ripulirlo è il classico errore di divulgazione accidentale, ancorato alla competenza DigComp 4.2 Protezione dei dati personali e della privacy. La soluzione è eseguire il controllo documento ("Verifica documento → Controlla documento") prima della pubblicazione.

Perché ogni distrattore è errato:
• A — phishing è un attacco di ingegneria sociale in entrata che induce l'utente a cedere le credenziali; lo scenario descrive un incidente di pubblicazione in uscita, la direzione opposta del rischio.
• C — ransomware cifra i file per estorcere un pagamento; le revisioni tracciate non sono un payload e il file in questione viene pubblicato, non eseguito.
• D — DDoS inonda un servizio per renderlo non disponibile; non ha alcuna dimensione legata all'igiene documentale.

Schema della trappola. Tre delle quattro opzioni sono termini di sicurezza reali ma nella categoria sbagliata. EPSO verifica regolarmente se sai collocare un rischio nella famiglia corretta (igiene dei dati vs malware vs attacco di rete) prima di ricorrere all'etichetta tecnica.

Esempio 2 — Minimizzazione dei dati del GDPR in un modulo di iscrizione

Scenario. In base al principio di minimizzazione dei dati del GDPR, quali campi dovrebbe richiedere un modulo di iscrizione a un evento?

Nessun campo strutturato — solo una casella di testo libero.
Nome, email, indirizzo di residenza, religione e opinioni politiche.
Dati completi della carta di credito anche se l'evento è gratuito.
Solo i dati necessari a organizzare l'evento, come nome, email e organizzazione.

Mostra la risposta

Risposta: D. L'articolo 5, par. 1, lett. c, del GDPR richiede che i dati personali siano "adeguati, pertinenti e limitati a quanto necessario" rispetto alla finalità del trattamento — il principio di minimizzazione dei dati, centrale nella competenza DigComp 4.2 Protezione dei dati personali e della privacy. Il test prima di inserire un campo è concreto: potremmo comunque organizzare l'evento senza questo dato? Se sì, ometti il campo.

Perché ogni distrattore è errato:
• A — solo testo libero è una trappola sui dati non strutturati: raccoglie informazioni personali che il titolare non può delimitare né trattare lecitamente, violando lo stesso articolo 5, par. 1, lett. c.
• B — religione e opinioni politiche sono categorie particolari ai sensi dell'articolo 9 del GDPR; richiedono consenso esplicito e una base giuridica separata. Raccoglierle per "completare un profilo" è l'eccesso canonico in materia di GDPR.
• C — dati della carta di credito per un evento gratuito sono per definizione non necessari; raccoglierli aumenta l'esposizione a violazioni senza alcuna finalità e viola direttamente la minimizzazione dei dati.

Schema della trappola. Ogni risposta sbagliata è una diversa modalità di violazione del GDPR — raccolta non strutturata, eccesso su categorie particolari, raccolta gratuita eccessiva. Memorizza le tre per riconoscerle a colpo d'occhio sotto pressione di tempo.

Esempio 3 — Creative Commons BY-NC-ND a un evento a pagamento

Scenario. Un grafico con licenza CC BY-NC-ND può essere utilizzato nelle slide per una conferenza pubblica a pagamento organizzata da un partner esterno?

Sì — i grafici di politica pubblica sono esenti dal diritto d'autore in tutto il mondo.
Sì — tutte le licenze Creative Commons consentono un uso senza restrizioni.
No — "NC" vieta i contesti commerciali e "ND" vieta le modifiche.
Sì, a condizione di modificare i colori di sfondo.

Mostra la risposta

Risposta: C. La competenza DigComp 3.3 Diritto d'autore e licenze richiede di leggere ciascuna clausola CC separatamente. BY = attribuzione; NC = solo uso non commerciale; ND = nessuna opera derivata. Una conferenza a pagamento è un contesto commerciale indipendentemente dal fatto che il partner UE sia senza scopo di lucro — il test della commercialità riguarda l'evento, non il licenziatario — quindi NC è violata. ND vieta inoltre qualsiasi modifica, compresi ritaglio, ricolorazione o traduzione delle etichette.

Perché ogni distrattore è errato:
• A — "esenzione di politica pubblica" è una categoria inventata — i grafici sono espressioni protette dei dati anche quando i numeri sottostanti sono pubblici.
• B — "tutte le licenze CC consentono un uso senza restrizioni" confonde Creative Commons con il pubblico dominio (CC0); le licenze CC standard impongono obblighi reali.
• D — ricolorazione non aggira ND, ma lo attiva. Qualsiasi modifica è un'opera derivata, compreso un cambio di colore.

Schema della trappola. Tre delle quattro risposte sbagliate fanno leva sul presupposto del candidato che "aperto", "pubblico" o "modifica minore" giustifichino il mancato rispetto della licenza. Leggi il codice a quattro lettere (BY / NC / ND / SA) alla lettera, ogni volta.

Questi esempi sono scritti esattamente nello stile della nostra banca di pratica Set 1–4 — stessa lunghezza del quesito, stesso formato a quattro opzioni, stessa classificazione delle trappole utilizzata nelle spiegazioni. Non sono domande EPSO ufficiali.

Domande frequenti

Quante domande di competenze digitali ci sono nel test EPSO AD-5?

Quaranta domande in 60 minuti, con punteggio da 0 a 40. Il punteggio di competenze digitali confluisce direttamente nella classifica, accanto alle altre componenti di ragionamento e di conoscenza dell'UE.

Le competenze digitali contano per la mia classifica?

Sì. Il test di competenze digitali è pienamente valutato e contribuisce alla classifica finale — non è una prova di sbarramento. Ogni punto conta per la tua posizione rispetto agli altri candidati.

Qual è l'errore più comune?

Confondere i metadati con la telemetria, oppure trattare l'output di uno strumento di IA come autorevole senza verificarne la fonte. Il test chiede ripetutamente di distinguere le categorie di informazione digitale e di applicare la verifica umana ai contenuti generati dalle macchine.

Il modo più rapido per migliorare è esercitarsi in condizioni realistiche e cronometrate. Il primo set è gratuito.