Tra tutti gli obblighi dell'AI Act, l'alfabetizzazione AI è quello che riguarda il maggior numero di aziende: vale per chiunque usi sistemi di intelligenza artificiale nella propria attività, anche solo un assistente come ChatGPT o Copilot, a prescindere dal livello di rischio. Il Digital Omnibus del 2026 ne ha ammorbidito la formulazione, ma non l'ha eliminato. Vediamo cosa chiede oggi l'art. 4, chi riguarda e come impostare un programma di formazione proporzionato e documentabile.
Cosa dice l'art. 4 dopo il Digital Omnibus
Nella versione originale, in vigore dal 2 febbraio 2025, fornitori e deployer dovevano garantire un livello sufficiente di alfabetizzazione AI del proprio personale. Il Regolamento UE 2026/1744 (Digital Omnibus sull'AI), in vigore dal 27 luglio 2026, ha riscritto la norma: ora fornitori e deployer devono adottare misure per sostenere lo sviluppo dell'alfabetizzazione AI del personale e delle altre persone che si occupano del funzionamento e dell'uso dei sistemi per loro conto.
Le misure vanno calibrate tenendo conto di conoscenze tecniche, esperienza, istruzione e formazione delle persone, del contesto in cui i sistemi sono usati e delle persone su cui hanno effetto. Il nuovo testo precisa che l'obbligo non richiede di garantire un livello specifico di competenza di ogni singolo individuo.
In pratica: non serve dimostrare che ogni dipendente abbia raggiunto una certa preparazione, ma serve poter dimostrare che l'azienda ha fatto qualcosa di adeguato e mirato perché le persone usino l'AI in modo consapevole.
Chi è obbligato
- Tutti i fornitori e i deployer di sistemi AI, qualunque sia il livello di rischio. Un'azienda che mette a disposizione dei dipendenti un assistente AI, o che tollera l'uso di strumenti AI per lavoro, è deployer.
- Il personale che usa i sistemi o ne gestisce il funzionamento.
- Le altre persone che agiscono per conto dell'azienda: collaboratori esterni, consulenti, agenzie, fornitori che usano sistemi AI dell'azienda.
Non sono invece oggetto dell'obbligo i clienti o gli utenti finali che interagiscono con un sistema dell'azienda: per loro valgono gli obblighi di trasparenza dell'art. 50.
Da quando e con quali controlli
| Data | Cosa cambia |
|---|---|
| 2 febbraio 2025 | L'art. 4 si applica nella versione originale |
| 27 luglio 2026 | Si applica la nuova formulazione introdotta dal Digital Omnibus |
| 2 agosto 2026 | Le autorità nazionali di vigilanza possono controllare il rispetto dell'obbligo |
L'AI Act non prevede una sanzione specifica per la violazione dell'art. 4. Questo non rende l'obbligo irrilevante: le autorità possono chiedere conto delle misure adottate, e l'assenza di formazione pesa quando si valuta un'altra violazione, ad esempio un incidente causato da un uso scorretto dell'AI o una mancata supervisione umana su un sistema ad alto rischio. Pesa anche sul piano della responsabilità civile e in materia di protezione dei dati, se un dipendente inserisce dati personali in uno strumento non autorizzato.
In Italia la Legge 132/2025 dà grande peso all'alfabetizzazione e alla formazione sull'AI, anche in ambito lavorativo, e i decreti attuativi in corso di adozione disciplinano anche questo aspetto.
Cosa non serve
- Non serve una certificazione: né l'AI Act né le indicazioni della Commissione richiedono attestati rilasciati da enti specifici. Basta una documentazione interna delle iniziative svolte.
- Non serve lo stesso corso per tutti: anzi, la norma chiede di tenere conto del ruolo e del contesto.
- Non serve un percorso tecnico per chi usa l'AI solo come strumento: per la maggior parte del personale bastano poche ore ben fatte.
Un programma di alfabetizzazione in cinque passi
1. Mappare strumenti e persone
Partire dall'inventario dei sistemi AI usati in azienda, compresi quelli adottati spontaneamente dai dipendenti, e annotare per ciascuno chi lo usa e per fare cosa. È lo stesso inventario che serve per la classificazione del rischio.
2. Definire i profili
Raggruppare le persone in base a quanto e come usano l'AI. Uno schema che funziona per molte PMI:
| Profilo | Chi | Contenuti |
|---|---|---|
| Base | Tutto il personale che usa strumenti AI | Cos'è un modello linguistico e quali sono i suoi limiti, errori e "allucinazioni", quali dati non inserire, come verificare le risposte, la policy aziendale |
| Utilizzatori intensivi | Chi usa l'AI ogni giorno per produrre testi, analisi o codice | Scrivere richieste efficaci, controllare le fonti, diritto d'autore, riservatezza, quando non usare l'AI |
| Decisori | Responsabili che usano risultati dell'AI per decisioni su persone, clienti o investimenti | Bias e discriminazioni, supervisione umana, responsabilità della decisione, obblighi di trasparenza |
| Tecnici | IT e chi configura o integra i sistemi | Sicurezza (prompt injection, fughe di dati), log e monitoraggio, aggiornamento dei modelli, obblighi del fornitore |
| Privacy e compliance | DPO, ufficio legale, HR | AI Act, GDPR, DPIA e FRIA, informativa ai lavoratori, gestione degli incidenti |
3. Scrivere una policy d'uso dell'AI
La formazione funziona meglio se si appoggia a regole chiare: quali strumenti sono autorizzati, quali dati si possono inserire e quali no, come si segnala un errore o un uso improprio, chi è il riferimento interno. Una pagina ben scritta vale più di un manuale che nessuno legge.
4. Formare con esempi del proprio lavoro
Le sessioni più efficaci usano documenti e casi reali dell'azienda: lo stesso errore dell'AI fa più effetto se compare in un preventivo vero che in un esempio generico. Per i sistemi interni, la formazione va fatta sullo strumento che le persone useranno davvero.
5. Documentare e aggiornare
Tenere un registro semplice: data, partecipanti, profilo, contenuti, materiali usati, eventuale verifica finale. Rivedere il programma quando si introduce un nuovo strumento, quando cambia l'uso di uno esistente e almeno una volta l'anno. È la documentazione da mostrare in caso di controllo, a un cliente che chiede garanzie o in sede di audit.
Il legame con l'informativa ai lavoratori
La formazione non sostituisce gli obblighi di informazione. La Legge 132/2025 richiede al datore di lavoro di informare i lavoratori sull'uso di sistemi di intelligenza artificiale, e per i sistemi ad alto rischio usati sul luogo di lavoro l'AI Act chiede di informare in anticipo lavoratori e loro rappresentanti. Conviene gestire le due cose insieme: l'informativa spiega quali sistemi sono in uso e perché, la formazione spiega come usarli bene.
Formazione e sistemi AI interni
Quando l'AI è installata in azienda la parte di formazione dedicata alla riservatezza si semplifica, perché i dati non escono dalla rete e la regola "non incollare dati riservati" diventa meno critica. Restano invece essenziali i contenuti sui limiti dei modelli e sulla verifica delle risposte. Nei progetti Gaulin la formazione e l'affiancamento sono inclusi: li descriviamo nella pagina Servizi.
Il quadro completo degli obblighi è nella pagina Normative AI, e la checklist AI Act e GDPR inserisce la formazione nella sequenza degli adempimenti.
Nota. Contenuto informativo aggiornato a ottobre 2026 (art. 4 AI Act come modificato dal Reg. UE 2026/1744). Non costituisce consulenza legale.
Vuoi capire come impostare la governance AI della tua azienda?
30 minuti con un tecnico Gaulin: parliamo del tuo caso specifico, senza pressioni commerciali.
Valuta il progetto della tua azienda →Il servizio è rivolto ad aziende, professionisti ed enti.