Obbligo di formazione AI Act: la guida all'articolo 4 per le aziende

Tutte le organizzazioni che forniscono o utilizzano sistemi di intelligenza artificiale, senza soglie dimensionali. L'articolo 4 non distingue tra la software house che sviluppa AI e l'officina metalmeccanica dove l'ufficio tecnico usa ChatGPT: entrambe devono garantire un "livello sufficiente di alfabetizzazione in materia di AI" al personale che opera con questi sistemi.

Nella pratica, l'AI generativa è già entrata in quasi ogni azienda con almeno una funzione impiegatizia, spesso senza che il titolare lo sappia (il cosiddetto "shadow AI"). Se in azienda c'è un PC, con ogni probabilità c'è anche l'obbligo.

L'articolo 4 richiede misure che garantiscano, "nella misura del possibile", un livello sufficiente di alfabetizzazione AI di dipendenti e collaboratori, tenendo conto di conoscenze tecniche, esperienza, istruzione, formazione e contesto d'uso. Tradotto in pratica aziendale, servono tre cose:

• Formazione effettiva del personale che usa sistemi AI: cosa sono, cosa possono e non possono fare, quali rischi comportano (errori, bias, dati).
• Proporzionalità: contenuti adeguati al ruolo, perché l'impiegata amministrativa e il progettista non hanno bisogno dello stesso livello di approfondimento.
• Evidenza documentabile: in caso di verifica devi poter dimostrare chi è stato formato, quando, su quali contenuti e con quale esito. Una riunione informale non lascia traccia; un corso tracciato con attestato sì.

L'obbligo è applicabile dal 2 febbraio 2025. In Italia la legge 132/2025 ha designato ACN e AgID come autorità di riferimento; i decreti attuativi su vigilanza e sanzioni sono in corso di approvazione e il quadro si completa in vista del 2 agosto 2026, quando il regime sanzionatorio dell'AI Act diventa pienamente operativo.

Un corso una tantum copre la formazione delle persone presenti oggi, sui contenuti di oggi. Ma l'adempimento è un processo: i nuovi assunti vanno formati, la normativa si aggiorna, gli attestati invecchiano. E l'articolo 4 è solo una parte del quadro: un'azienda diligente deve anche sapere quali sistemi AI usa (registro dei sistemi AI) e regolarne l'uso (policy interna).

È la differenza tra comprare un corso e gestire un adempimento: l'abbiamo messa nero su bianco nel confronto corso vs abbonamento.

Il nostro corso di alfabetizzazione copre in ~4 ore, con circa 30 micro-video: fondamenti dell'AI e limiti degli strumenti, rischi concreti (errori, allucinazioni, bias, riservatezza dei dati), quadro normativo (AI Act, obblighi del deployer, L. 132/2025) e regole pratiche d'uso in azienda.

Ogni modulo si chiude con un quiz con soglia di superamento: l'attestato nominale viene rilasciato solo a verifica superata. Questo distingue una "formazione verificata" da una semplice erogazione, ed è ciò che regge in caso di controllo. L'attestato riporta contenuti, versione del corso, data e esito; il registro formazione dell'azienda è esportabile in ogni momento.

Sul piano diretto, l'inosservanza degli obblighi dell'AI Act espone a sanzioni amministrative rilevanti (per gli obblighi generali, fino a 15 milioni di euro o il 3% del fatturato mondiale; per le PMI si applica il minore dei due). Sul piano indiretto, che per una PMI è spesso il più concreto:

• in un contenzioso (incidente, contestazione disciplinare, danno da output AI errato), la mancata formazione documentata pesa come colpa organizzativa;
• clienti e capofila di filiera iniziano a chiedere evidenze di conformità AI ai fornitori, come già avvenuto con GDPR e ISO;
• le assicurazioni valutano il presidio dei rischi AI nelle polizze cyber e RC.