Cosa chiede l’art. 4 dell’AI Act
L’art. 4 dell’AI Act impone a chi utilizza sistemi di AI di garantire un livello sufficiente di alfabetizzazione AI del personale che li usa. L’obbligo si applica dal 2 febbraio 2025 ed è rimasto pienamente applicabile anche dopo il rinvio introdotto dal Digital Omnibus.
Vale per qualsiasi livello di rischio. Riguarda anche l’impiegato che usa un chatbot generativo per scrivere email o riassumere documenti. Se in azienda qualcuno usa uno strumento di AI per lavoro, l’obbligo ti riguarda, anche se non hai mai acquistato una licenza.
Cosa vuol dire “sufficiente”. Non esiste un corso unico valido per tutti. Il livello giusto dipende da chi usa lo strumento, per cosa e con quali conseguenze. Chi usa un assistente di scrittura ha bisogno di poche regole chiare. Chi usa un sistema che incide su persone, come la selezione del personale, deve capirne limiti, rischi e modalità di controllo.
Proporziona la formazione al ruolo e al rischio, e conserva la prova di averlo fatto. Per i dettagli del testo normativo fai riferimento al Regolamento (UE) 2024/1689 su EUR-Lex.
Chi deve essere formato
Il punto di partenza è sapere chi usa quali strumenti. Poi definisci contenuti diversi per profili diversi. Formare tutti allo stesso modo è inefficiente: annoia chi usa l’AI in modo marginale e lascia scoperti i ruoli più esposti.
| Profilo | Cosa deve sapere |
|---|---|
| Vertici e direzione | Quadro normativo, ruolo dell’impresa (fornitore o deployer), rischi e responsabilità, decisioni da prendere |
| Utenti di strumenti generativi | Come funzionano, limiti ed errori tipici, dati che non si possono inserire, verifica degli output, regole della policy aziendale |
| Chi usa sistemi che incidono su persone | Sorveglianza umana, gestione dei log, quando e come intervenire, obblighi di informazione verso lavoratori e clienti |
| IT, sicurezza e privacy | Rischi tecnici come fuga di dati e prompt injection, valutazione dei fornitori, collegamento con GDPR e NIS2 |
Conviene includere anche collaboratori esterni che usano strumenti AI per conto dell’azienda: le regole devono valere per chiunque tratti i tuoi dati.
Come strutturare un percorso proporzionato
- 01Censisci gli strumenti e gli utenti
Elenca i sistemi AI in uso, ufficiali e non, e chi li utilizza. Senza questa mappa la formazione resta generica.
- 02Raggruppa per profilo di rischio
Associa a ogni gruppo di persone il livello di rischio degli strumenti che usa.
- 03Definisci contenuti e durata
Un modulo base comune per tutti, più moduli specifici per i ruoli più esposti. Il modulo base può durare poco, se è concreto e legato agli strumenti che le persone usano davvero.
- 04Eroga e verifica
Formazione in aula o online con una verifica finale semplice, per avere evidenza che i contenuti sono stati compresi.
- 05Aggiorna nel tempo
Ripeti la formazione quando cambiano strumenti, ruoli o regole, e inseriscila nell’onboarding dei nuovi assunti.
Come documentare la formazione
In caso di controllo devi poter dimostrare cosa hai fatto e perché. Tieni un fascicolo con:
- l’inventario degli strumenti AI e degli utenti;
- il piano formativo, con i criteri usati per definire i diversi livelli;
- programmi, materiali e durata di ogni sessione;
- registri delle presenze, esiti delle verifiche e attestati;
- il calendario degli aggiornamenti previsti.
Se sei un soggetto NIS2, collega questo fascicolo alla documentazione sulla formazione in sicurezza già prevista dalle misure NIS2: un unico registro è più semplice da tenere aggiornato.
Policy d’uso dell’AI e shadow AI
La formazione funziona se insegna regole precise. Per questo va costruita insieme a una policy di utilizzo dell’AI che stabilisca strumenti ammessi, dati che si possono inserire, verifica degli output e responsabilità.
Il modulo base dovrebbe spiegare la policy punto per punto, con esempi tratti dal lavoro quotidiano: cosa posso incollare in un chatbot, come controllo un riassunto, chi avviso se un output è sbagliato.
Il rischio più diffuso è la shadow AI: strumenti usati dai dipendenti senza controllo, spesso con account personali. Il risultato tipico è la fuga di dati aziendali verso servizi esterni, a volte gestiti da fornitori extra-UE. Per i soggetti NIS2 è un rischio da includere nell’analisi dei rischi e nella gestione dei fornitori.
Se non offri un’alternativa autorizzata, le persone continueranno a usare gli strumenti che conoscono. Meglio scegliere strumenti approvati, spiegare perché e formare su come usarli.
Come possiamo aiutarti
Progettiamo percorsi di alfabetizzazione AI per vertici e personale, con attestazione e documentazione pronta per eventuali controlli. Li costruiamo partendo dall’inventario degli strumenti in uso e li colleghiamo alla policy d’uso dell’AI.
Scopri i nostri percorsi di formazione e il servizio di compliance AI, oppure scrivici.
Domande frequenti
L’obbligo di alfabetizzazione vale anche per le piccole imprese?
Sì. Si applica a chiunque utilizzi sistemi di AI nella propria attività, a prescindere dalle dimensioni. Cambia la proporzione: una piccola impresa che usa solo strumenti generativi può cavarsela con un percorso breve e ben documentato.
Basta un corso online generico?
Di solito no. Un corso generico può essere la base comune, ma va completato con le regole della tua policy e con contenuti specifici per chi usa strumenti a rischio più alto.
Il Digital Omnibus ha rinviato l’obbligo di alfabetizzazione?
No. Il rinvio riguarda soprattutto i sistemi ad alto rischio. L’alfabetizzazione AI è applicabile dal 2 febbraio 2025 e resta tale.
Contenuti informativi aggiornati a ottobre 2026: non sostituiscono la lettura dei testi ufficiali né un parere professionale sul caso specifico.