Misure effettive e proporzionate: come dimostrare la formazione AI

Il 27 luglio 2026 è entrato in vigore l'Omnibus digitale (Regolamento UE 2026/1744) e con lui è cambiato il testo dell'articolo 4 dell'AI Act. Prima dovevi «garantire un livello sufficiente di alfabetizzazione in materia di AI». Ora devi «adottare misure volte a sostenere lo sviluppo dell'alfabetizzazione», e quelle misure devono essere effettive e proporzionate rispetto a mansioni, esperienza e contesto di utilizzo. Se l'obbligo di formazione ti è nuovo, parti dalla guida completa sull'art. 4: qui non lo rispieghiamo. Questo articolo risponde a una sola domanda: cosa metti in mano a un ispettore per dimostrare che le tue misure sono effettive e proporzionate?

Una premessa per togliere ogni dubbio: l'obbligo resta in vigore dal 2 febbraio 2025 e non è tra quelli rinviati dall'Omnibus. I rinvii riguardano solo gli obblighi sui sistemi ad alto rischio (allegato III al 2 dicembre 2027, allegato I al 2 agosto 2028). L'art. 4 è pienamente applicabile oggi.

Cosa è cambiato davvero nel testo

Il cambio sembra cosmetico. Non lo è. Le due formulazioni chiedono cose diverse:

• Prima: «garantire un livello sufficiente di alfabetizzazione». Un obbligo di risultato: dovevi assicurare che le persone avessero raggiunto un certo livello. Ma chi decide cos'è "sufficiente"? Come lo misuri? Nessuno lo sapeva con certezza.
• Ora: «adottare misure volte a sostenere lo sviluppo dell'alfabetizzazione». Un obbligo di comportamento: devi fare cose concrete, e devono essere effettive e proporzionate a mansioni, esperienza tecnica e contesto in cui l'AI viene usata.

In pratica: prima l'ispettore poteva chiederti «i tuoi dipendenti sono abbastanza alfabetizzati?» — domanda a cui è quasi impossibile rispondere in modo oggettivo. Ora la domanda diventa: «cosa hai fatto, e perché è proporzionato ai ruoli delle tue persone?». È una domanda a cui si risponde con documenti, non con opinioni.

Ricorda il perimetro: l'obbligo vale per fornitori e deployer. Anche una PMI che usa solo ChatGPT o Copilot è deployer, e quindi dentro. Se in azienda questi strumenti girano senza regole, leggi anche come governare ChatGPT in azienda.

Perché il nuovo testo conviene a chi documenta

Può sembrare un alleggerimento generico. In realtà è un vantaggio selettivo: premia chi tiene traccia di quello che fa e lascia scoperto chi non fa nulla.

Con la vecchia formulazione, anche un'azienda diligente restava esposta: avevi fatto formazione, ma "il livello è sufficiente?" restava una domanda aperta. Con la nuova, se hai adottato misure sensate e le hai documentate, la tua posizione è difendibile per costruzione: mostri cosa hai fatto, spieghi perché è tarato sui ruoli, chiudi la discussione.

Il rovescio della medaglia: chi non ha fatto niente non può più nascondersi dietro l'ambiguità del "sufficiente". Zero misure è una violazione evidente e immediata da accertare. E la violazione dell'art. 4 rientra nelle sanzioni dell'art. 99: fino a 15 milioni di euro o al 3% del fatturato mondiale annuo — per le PMI si applica il valore più basso tra i due, ma resta una cifra che nessuna piccola impresa vuole vedere in una contestazione.

Il criterio di proporzionalità, poi, taglia in due direzioni. Da un lato ti protegge: nessuno pretende un master in machine learning per chi usa Copilot per riscrivere le email. Dall'altro non ti salva mai del tutto: zero formazione non è proporzionato a nessun contesto, nemmeno al più banale.

Le 4 evidenze da avere pronte

Se domani un ispettore ti chiedesse di dimostrare le tue «misure effettive e proporzionate», questi sono i quattro documenti che chiudono la partita.

1. La mappatura di chi usa l'AI e per cosa. Un documento — basta un foglio strutturato — che elenca ruoli e persone, quali strumenti AI usano e per quali attività. È la base di tutto: senza sapere chi fa cosa, non puoi dimostrare che le misure sono proporzionate. È anche il documento che l'ispettore leggerà per primo, perché gli dice che hai capito il problema. Se non l'hai mai fatta, la nostra autovalutazione gratuita ti aiuta a partire.

2. La formazione differenziata per ruolo. Qui si gioca la parola "proporzionate". Chi scrive email con Copilot ha bisogno di basi: cos'è un LLM, quando sbaglia, cosa non incollare nel prompt. Chi usa l'AI per selezionare CV o per decisioni che toccano le persone ha bisogno di molto di più: bias, obblighi specifici, supervisione umana. Un corso identico per tutti dimostra il contrario di quello che vorresti: che non hai valutato i contesti. Il nostro corso di AI literacy copre la base comune per tutto il personale, con attestato nominale e registro delle evidenze già pronti; per i ruoli a rischio più alto aggiungi un approfondimento mirato e lo annoti nel registro.

3. Attestati nominali e registro delle evidenze con date. Ogni persona formata deve avere un attestato con nome, data e contenuti del percorso. E tu devi tenere un registro unico: chi ha fatto cosa, quando, con quale materiale. La formazione fatta ma non registrata, ai fini della dimostrazione, non esiste. Le date contano: provano che ti sei mosso quando dovevi, non la settimana prima del controllo.

4. L'aggiornamento quando cambiano strumenti o norme. Le misure devono restare effettive nel tempo. Se introduci un nuovo strumento AI, se un team inizia a usare l'AI per attività nuove, o se cambia la norma (come è appena successo con l'Omnibus), il registro deve mostrare un aggiornamento corrispondente. Basta una riga: cosa è cambiato, chi è stato riformato, quando.

Quattro documenti. Non serve altro, ma serve tutto questo: ognuno copre un pezzo della domanda "effettive e proporzionate" che gli altri non coprono.

Gli errori che rendono una misura "non effettiva"

L'aggettivo "effettive" esclude le misure di facciata. Tre errori tipici che trasformano una formazione fatta in una formazione indifendibile:

• La formazione una tantum mai aggiornata. Un corso fatto nel 2025 e mai più toccato, mentre nel frattempo hai adottato tre strumenti nuovi e la norma è cambiata, non è una misura effettiva: è un ricordo. L'evidenza invecchia con gli strumenti che copre.
• Il corso uguale per tutti. Se il magazziniere e la responsabile HR hanno seguito lo stesso video da 40 minuti, hai dimostrato di non aver fatto l'analisi dei contesti — cioè esattamente ciò che il nuovo art. 4 richiede. Paradossalmente, è una prova contro di te.
• Nessuna registrazione. La riunione in cui "ne abbiamo parlato", la circolare inviata via email e mai tracciata, il corso senza attestati: se non c'è un'evidenza scritta con nomi e date, davanti a un ispettore vale zero. Non conta cosa hai fatto: conta cosa puoi dimostrare di aver fatto.

Il filo comune: una misura è effettiva se è viva, tarata e tracciata. Se manca una delle tre, l'ispettore ha un appiglio.

Da dove partire questa settimana

Non serve un progetto di sei mesi. Serve iniziare a produrre le evidenze, nell'ordine giusto:

1. Oggi: fai la mappatura. Un'ora con i responsabili di area: chi usa quali strumenti AI, per quali attività. Se vuoi una traccia guidata, parti dall'autovalutazione.
2. Entro venerdì: dividi le persone in 2-3 fasce di rischio (uso generico, uso su dati sensibili, uso su decisioni che toccano persone) e decidi cosa serve a ciascuna fascia.
3. Entro fine mese: eroga il primo percorso formativo differenziato e apri il registro delle evidenze — anche un semplice foglio con nome, data, percorso, attestato.
4. A regime: metti in calendario una revisione ogni volta che adotti uno strumento nuovo, e comunque una verifica periodica del registro.

Il nuovo art. 4 ha reso la conformità dimostrabile invece che opinabile. È la miglior notizia possibile per una PMI organizzata: la domanda dell'ispettore ha una risposta scritta, e quella risposta puoi costruirla in una settimana. Chi aspetta, invece, ora è più esposto di prima.