Obbligo di formazione AI (art. 4 AI Act): cosa devono fare le aziende

C'è un obbligo dell'AI Act che è già in vigore, riguarda quasi tutte le aziende e viene sistematicamente ignorato: la formazione del personale che usa l'AI. Lo impone l'articolo 4 del Regolamento UE 2024/1689, in applicazione dal 2 febbraio 2025. Se nella tua azienda qualcuno usa ChatGPT, Copilot o qualunque software con funzioni AI per lavoro, questo obbligo ti riguarda oggi, non "quando arriverà l'AI Act".

In questa guida vediamo chi deve essere formato, cosa significa "livello sufficiente" di alfabetizzazione, come si dimostra la formazione in caso di controllo, quanto dovrebbe durare e come assolvere l'obbligo senza complicarti la vita.

Cosa dice l'articolo 4, in parole semplici

L'art. 4 chiede a fornitori (chi sviluppa o immette sul mercato sistemi AI) e deployer (chi li usa in un contesto professionale) di garantire un livello sufficiente di alfabetizzazione in materia di AI al proprio personale e alle altre persone che operano con i sistemi AI per loro conto.

Tradotto: chi lavora con l'AI deve sapere cosa sta usando, cosa può andare storto e come comportarsi. Il regolamento non prescrive un programma di studio né un monte ore: chiede un risultato — persone consapevoli — e lascia all'azienda il compito di dimensionare la formazione in base a conoscenze, esperienza e contesto d'uso.

Due cose da fissare subito:

• È già in vigore. Dal 2 febbraio 2025, insieme al divieto delle pratiche di AI inaccettabili. Non è tra gli obblighi che scattano nel 2026 o 2027.
• Vale anche se usi solo strumenti "di terzi". Non serve sviluppare AI: basta usarla per lavoro.

Riguarda anche la tua azienda? Quasi certamente sì

La distinzione chiave dell'AI Act è tra fornitore e deployer. La maggior parte delle PMI italiane è deployer: non sviluppa AI, la usa. E l'art. 4 si applica a entrambi.

Situazione	Sei coinvolto?
I commerciali usano ChatGPT per preparare offerte	Sì, sei deployer
Hai un chatbot sul sito che risponde ai clienti	Sì, sei deployer
Il gestionale o il CRM ha funzioni AI (suggerimenti, previsioni)	Sì, sei deployer
Usi AI per screening dei CV o valutazione del personale	Sì, e sei in area alto rischio (all. III)
Sviluppi e vendi software con AI	Sì, come fornitore
Nessuno in azienda usa strumenti AI per lavoro	No, ma verifica: spesso l'AI è già dentro i software che usi

Il punto cieco tipico è l'ultimo: molte aziende "non usano l'AI" ufficialmente, ma i dipendenti la usano per conto proprio, magari con account gratuiti e dati aziendali dentro. Anche quello è uso professionale, e anche quello va coperto da formazione e regole.

Cosa significa "livello sufficiente"

"Sufficiente" non vuol dire uguale per tutti. Il livello va tarato sul ruolo: chi scrive email con Copilot non ha bisogno della stessa preparazione di chi usa l'AI per selezionare candidati.

Una base comune per tutto il personale che tocca l'AI dovrebbe coprire:

• Cosa fa davvero un sistema AI e cosa no (senza tecnicismi inutili);
• I limiti: allucinazioni, risposte plausibili ma sbagliate, necessità di verificare gli output prima di usarli;
• I dati: cosa non va mai inserito in uno strumento AI (dati di clienti, informazioni riservate, dati personali) e perché;
• I bias: l'AI può replicare o amplificare discriminazioni, soprattutto su persone;
• Le regole aziendali: quali strumenti sono approvati, chi supervisiona, a chi segnalare i problemi.

Per i ruoli che usano AI in ambiti ad alto rischio — selezione e gestione del personale, accesso al credito, istruzione, sanità — serve un livello in più: capire gli obblighi specifici di quei sistemi e il ruolo della supervisione umana. Se ti riconosci in questi casi, parti dalla guida generale all'AI Act per PMI per inquadrare il resto degli obblighi.

Come si dimostra: attestati e registro delle evidenze

Qui casca l'asino. Fare una riunione informale sull'AI non basta: in caso di controllo o di contenzioso devi poter dimostrare la formazione con evidenze documentali. La forma più solida è la coppia attestato + registro.

Cosa registrare	Perché serve
Chi è stato formato (nome, ruolo)	Dimostra la copertura del personale coinvolto
Quando e per quanto tempo	Colloca la formazione rispetto all'obbligo (in vigore dal 2/2/2025)
Su quali contenuti	Dimostra che la formazione è pertinente all'AI, non generica
Con quale esito (test, verifica)	Dimostra che non è stata una firma su un foglio
Attestato nominale rilasciato	Evidenza spendibile anche verso clienti e in gara

Il registro va tenuto vivo: nuovo assunto che userà l'AI, nuova formazione; nuovo strumento adottato, aggiornamento. Un registro fermo a due anni fa dimostra poco.

Quanto deve durare la formazione

Il regolamento non fissa una durata minima: conta il risultato, non le ore in aula. Nella pratica, per la generalità del personale bastano poche ore ben progettate, abbastanza per coprire limiti, dati, bias e regole interne con esempi concreti, senza trasformarsi in un corso universitario. Per i ruoli a contatto con sistemi ad alto rischio ha senso aggiungere un modulo dedicato.

Meglio un corso compatto con test finale e piccoli aggiornamenti periodici che una maratona una tantum che nessuno ricorda: l'obiettivo dell'art. 4 è la consapevolezza reale, e le evidenze devono rifletterlo.

Cosa rischia chi lo ignora

Il quadro sanzionatorio dell'AI Act diventa pienamente operativo dal 2 agosto 2026. Per la violazione degli obblighi del regolamento diversi dalle pratiche vietate, le sanzioni possono arrivare fino a 15 milioni di euro o al 3% del fatturato mondiale; per le PMI si applica il valore più basso tra i due. Cifre pensate per le multinazionali, ma anche la fascia bassa fa male a una PMI.

Il rischio più concreto e immediato, però, è un altro: il contenzioso. Un licenziamento contestato dove l'AI ha avuto un ruolo, un errore verso un cliente causato da un output non verificato, un dato riservato finito in uno strumento gratuito. In tutti questi casi, la prima domanda sarà: l'azienda aveva formato le persone e poteva dimostrarlo? Se la risposta è no, la posizione dell'azienda si complica parecchio.

C'è anche un rovescio positivo: sempre più clienti strutturati e bandi chiedono ai fornitori come gestiscono l'AI. Attestati e registro diventano una risposta pronta invece di un problema.

Come assolvere l'obbligo, in pratica

1. Censisci chi usa l'AI e per cosa. Non solo gli strumenti dichiarati: chiedi ai reparti cosa usano davvero.
2. Definisci i livelli. Formazione base per tutti gli utilizzatori, un modulo aggiuntivo per chi tocca ambiti ad alto rischio.
3. Eroga la formazione con verifica finale. Un test chiude il cerchio e genera l'evidenza dell'esito.
4. Rilascia attestati e compila il registro. Nome, data, durata, contenuti, esito: tutto in un unico documento aggiornabile.
5. Programma gli aggiornamenti. Nuovi assunti, nuovi strumenti, novità normative: il registro deve seguire la realtà.

Se non vuoi costruirti tutto da zero, il corso AI Literacy del portale è pensato esattamente per l'art. 4: contenuti tarati sulle PMI, test finale, attestati nominali e registro delle evidenze già pronto da conservare. Trovi i costi nella pagina prezzi, senza sorprese.

Da dove cominciare

Prima di comprare qualunque cosa, misura dove sei: la autovalutazione gratuita ti dice in pochi minuti se l'obbligo di formazione ti riguarda, per quali ruoli e cosa ti manca per essere in regola — formazione compresa, ma non solo. Da lì decidi il passo successivo con i dati alla mano.