L'articolo 4 dell'AI Act presenta una caratteristica che può mettere in difficoltà molte imprese: impone di intervenire sull'alfabetizzazione in materia di intelligenza artificiale, ma non stabilisce un percorso formativo unico, non richiede un patentino e non prescrive una certificazione specifica. Dal 2 febbraio 2025, provider e deployer devono adottare misure adeguate nei confronti del personale e delle altre persone che utilizzano o gestiscono sistemi di IA per loro conto.

Il Regolamento lascia alle organizzazioni il compito di individuare le iniziative più appropriate in base alle competenze delle persone coinvolte, al contesto di utilizzo e ai possibili impatti dei sistemi impiegati. Il testo adottato con il Digital Omnibus mantiene l'obbligo, ma ne riformula la portata: provider e deployer devono adottare misure volte a sostenere lo sviluppo dell'AI Literacy, senza essere tenuti a garantire un livello specifico, uniforme o predeterminato per ogni singola persona. La formazione resta quindi centrale, ma deve essere proporzionata ai ruoli, agli strumenti utilizzati e al contesto operativo.

Questa flessibilità costituisce un vantaggio, perché consente di adattare il percorso alla realtà aziendale. Allo stesso tempo comporta un rischio: senza un modello obbligatorio, alcune organizzazioni possono limitarsi a iniziative occasionali o informali, difficili da dimostrare in occasione di una verifica. La domanda pratica non è soltanto: «Devo occuparmi dell'AI Literacy del personale?» La risposta è sì, quando l'organizzazione opera come provider o deployer di sistemi di IA. La domanda successiva è: «Come posso dimostrare di avere adottato misure adeguate e proporzionate?»

L'obbligo è già applicabile

L'articolo 4 si applica dal 2 febbraio 2025. Le regole relative alla vigilanza e all'applicazione da parte delle autorità nazionali diventano operative da agosto 2026. Secondo le indicazioni pubblicate dalla Commissione europea, la vigilanza sull'articolo 4 compete alle autorità nazionali di vigilanza del mercato, non direttamente all'AI Office.

Ciò non significa che dal 2 agosto 2026 diventi obbligatorio un determinato corso o che le imprese debbano possedere uno specifico attestato. Significa che le autorità potranno verificare se l'organizzazione abbia concretamente affrontato il tema e adottato misure coerenti con il proprio contesto.

Chi deve essere coinvolto

Il perimetro dell'articolo 4 non comprende soltanto i dipendenti assunti a tempo indeterminato. La disposizione riguarda:

  • il personale dell'organizzazione;
  • i collaboratori che utilizzano sistemi di IA per conto dell'impresa;
  • i consulenti e i professionisti esterni coinvolti nel funzionamento o nell'utilizzo dei sistemi;
  • le persone incaricate di configurare, controllare o supervisionare gli strumenti di IA;
  • i responsabili che devono valutare o approvare risultati prodotti con il supporto dell'IA.

Il criterio determinante non è la forma contrattuale, ma il fatto che la persona si occupi del funzionamento o dell'utilizzo di sistemi di IA per conto del provider o del deployer. I clienti e gli altri destinatari esterni che non operano per conto dell'organizzazione non rientrano normalmente nel perimetro formativo dell'articolo 4. Nei loro confronti possono però applicarsi altri obblighi, come quelli di trasparenza previsti dall'articolo 50.

L'obbligo riguarda anche strumenti generalisti

L'articolo 4 non si applica esclusivamente ai sistemi classificati ad alto rischio. Anche l'impiego professionale di strumenti generalisti, come assistenti generativi, chatbot o funzionalità di IA integrate nei software aziendali, può far assumere all'impresa il ruolo di deployer.

La profondità delle misure deve però essere proporzionata. Un dipendente che utilizza occasionalmente un assistente per migliorare una bozza di testo non richiede necessariamente lo stesso livello di preparazione di chi utilizza un sistema di IA per selezionare candidati, valutare persone, gestire servizi essenziali o supportare decisioni con effetti rilevanti. Il testo adottato del nuovo articolo 4 richiede infatti di considerare:

  • conoscenze tecniche;
  • esperienza;
  • istruzione e formazione pregresse;
  • contesto nel quale il sistema viene utilizzato;
  • persone o gruppi sui quali il sistema può produrre effetti.

Formazione obbligatoria o misure di alfabetizzazione?

L'articolo 4 non stabilisce che ogni organizzazione debba acquistare uno specifico corso. Parla più ampiamente di misure volte a sostenere lo sviluppo dell'AI Literacy. Tali misure possono comprendere:

  • corsi strutturati;
  • sessioni di orientamento;
  • istruzioni operative;
  • linee guida interne;
  • policy sull'utilizzo dell'IA;
  • materiali informativi;
  • esercitazioni su casi concreti;
  • aggiornamenti periodici;
  • formazione differenziata per ruolo.

La Commissione europea chiarisce che la semplice lettura delle istruzioni del sistema può risultare insufficiente e che formazione e orientamento devono essere adattati ai gruppi destinatari, alle loro conoscenze e alle finalità per le quali l'IA viene utilizzata. In molte imprese, quindi, un percorso formativo strutturato rappresenta la misura più diretta e verificabile. Non è però necessariamente l'unica misura da adottare.

Perché documentare le iniziative

La documentazione non è formalmente il "cuore" dell'obbligo: il cuore dell'articolo 4 è l'adozione effettiva di misure adeguate. Tuttavia, senza documentazione può diventare difficile dimostrare:

  • quali valutazioni siano state effettuate;
  • quali persone siano state coinvolte;
  • quali contenuti siano stati trattati;
  • perché il percorso scelto sia stato ritenuto proporzionato;
  • come l'organizzazione abbia verificato l'efficacia delle iniziative.

La Commissione europea precisa che non è richiesto uno specifico certificato e indica espressamente che le organizzazioni possono conservare registri interni della formazione e delle altre iniziative di orientamento. Conservare registri interni della formazione e delle altre iniziative adottate costituisce quindi una misura organizzativa e probatoria fortemente consigliata.

Esiste una sanzione specifica per l'articolo 4?

L'articolo 99 dell'AI Act non inserisce espressamente l'articolo 4 tra le violazioni alle quali sono associati i massimali pecuniari specifici previsti per le pratiche vietate, per determinati obblighi degli operatori e per gli obblighi di trasparenza. Questo non significa però che l'articolo 4 sia privo di effetti o che possa essere ignorato.

L'articolo 99 consente agli Stati membri di prevedere anche avvertimenti e misure di esecuzione non pecuniarie, che devono essere effettive, proporzionate e dissuasive. In occasione di una verifica, l'assenza completa di iniziative può inoltre rendere più difficile per l'impresa dimostrare di avere adottato un'organizzazione diligente e coerente con i rischi derivanti dall'utilizzo dell'IA.

Non è però corretto affermare in termini generali che la mancata formazione costituisca automaticamente un'aggravante ai sensi dell'AI Act o del GDPR. Ogni eventuale conseguenza deve essere valutata sulla base della violazione concreta, delle misure adottate e delle circostanze del caso.

Cosa può contenere un fascicolo formativo

Il Regolamento non prescrive un fascicolo standard. Un dossier organizzativo ragionevolmente solido può però contenere i seguenti elementi.

1. Valutazione iniziale. Un breve documento che descriva: quali sistemi di IA vengono utilizzati; da quali reparti; per quali finalità; quali ruoli sono coinvolti; quali possibili rischi sono stati individuati; quale livello di preparazione è stato ritenuto appropriato. La formazione dovrebbe derivare da questa valutazione e non essere scelta in modo astratto o identico per tutti.

2. Programma formativo. Il programma dovrebbe indicare: obiettivi; destinatari; durata; argomenti; modalità di erogazione; eventuali differenziazioni per ruolo.

3. Elenco dei partecipanti. È opportuno registrare: nome e cognome; funzione aziendale; reparto; data di partecipazione; modulo seguito; eventuale completamento del test finale.

4. Materiali utilizzati. Il fascicolo può includere: slide; dispense; videolezioni; esercitazioni; policy aziendali; istruzioni operative; esempi di prompt; casi di utilizzo corretti e non corretti.

5. Evidenze di partecipazione. A seconda della modalità formativa, possono essere conservati: registri delle presenze; tracciamenti della piattaforma e-learning; report di completamento; dichiarazioni di partecipazione; attestati. L'attestato non rappresenta una certificazione legale della conformità all'articolo 4. Costituisce però una delle evidenze che documentano la partecipazione al percorso.

6. Verifica dell'apprendimento. Un test finale non è espressamente obbligatorio, ma può essere utile per dimostrare che l'iniziativa non si sia limitata alla semplice distribuzione di materiale. La verifica può consistere in: questionari; esercitazioni; analisi di casi aziendali; simulazioni; conferme di presa visione delle regole interne.

7. Registro degli aggiornamenti. Il fascicolo dovrebbe indicare anche: aggiornamenti successivi; nuovi moduli; modifiche degli strumenti utilizzati; cambiamenti normativi; nuove persone inserite nel percorso; revisioni delle policy.

Quali contenuti dovrebbe coprire la formazione

Non esiste un programma universale valido per qualsiasi organizzazione. Un percorso di base dovrebbe comunque permettere ai partecipanti di comprendere:

  • che cosa si intende per sistema di IA;
  • quali strumenti vengono utilizzati nell'organizzazione;
  • opportunità e limiti dell'IA;
  • possibilità di errori, allucinazioni e risultati non affidabili;
  • rischi di distorsione e discriminazione;
  • protezione dei dati e riservatezza;
  • sicurezza delle informazioni;
  • proprietà intellettuale;
  • necessità della supervisione umana;
  • regole interne per l'utilizzo degli strumenti;
  • modalità di segnalazione di errori o incidenti.

Per i ruoli più esposti devono essere previsti contenuti specifici, collegati alle attività concretamente svolte.

La formazione non deve diventare automaticamente annuale

L'AI Act non impone un aggiornamento annuale generalizzato. La necessità e la frequenza degli aggiornamenti devono essere determinate in funzione di:

  • evoluzione degli strumenti;
  • introduzione di nuovi sistemi;
  • cambiamenti nelle mansioni;
  • aggiornamenti normativi;
  • incidenti o utilizzi impropri;
  • esito delle verifiche interne;
  • livello di rischio degli impieghi.

Un richiamo annuale può rappresentare una buona scelta organizzativa per molte imprese, ma non deve essere presentato come una periodicità obbligatoria prevista dalla norma. In alcuni contesti può essere sufficiente un aggiornamento più leggero; in altri, soprattutto quando cambiano sistemi o processi sensibili, può essere necessario intervenire prima.

Un'opportunità per le PMI italiane

Le imprese italiane possono valutare l'utilizzo dei fondi interprofessionali per finanziare attività di formazione continua. L'adesione a un fondo è volontaria e le modalità di finanziamento dipendono dal fondo scelto, dal conto formativo disponibile e dagli avvisi aperti. Lo 0,30% del contributo integrativo versato dai datori di lavoro all'INPS viene attribuito al fondo al quale l'impresa aderisce, al netto dei costi amministrativi, per finanziare interventi di qualificazione e riqualificazione dei lavoratori.

Non è quindi possibile affermare che qualsiasi corso di AI Literacy sia automaticamente finanziabile o completamente gratuito. È necessario verificare preventivamente: adesione dell'impresa; disponibilità delle risorse; caratteristiche del piano formativo; destinatari ammissibili; regole del fondo; eventuale avviso applicabile.

In sintesi

L'articolo 4 non impone un patentino né un modello formativo unico. Impone però a provider e deployer di adottare misure proporzionate per sostenere lo sviluppo dell'AI Literacy delle persone che utilizzano o gestiscono sistemi di IA per loro conto. La formazione rappresenta spesso la misura principale, ma deve essere inserita in un percorso coerente con gli strumenti utilizzati, i ruoli coinvolti e i rischi dell'organizzazione.

Il modo più efficace per dimostrare di avere preso seriamente in carico l'obbligo è costruire e conservare un fascicolo che documenti: valutazione iniziale; programma; destinatari; partecipazione; materiali; verifiche; attestati; aggiornamenti.

L'articolo 4 non chiede necessariamente un timbro. Chiede che l'organizzazione adotti misure concrete e proporzionate. La documentazione consente di dimostrare che tali misure non sono rimaste soltanto sulla carta.

Articolo a cura della redazione, basato sul Regolamento (UE) 2024/1689, sul testo adottato PE-CONS 30/26 e sulle indicazioni ufficiali della Commissione europea in materia di AI Literacy. Il testo è stato redatto con l'ausilio di sistemi IA nelle operazioni di ricerca del materiale normativo per la ricerca di fonti autorevoli.