C'è un obbligo di legge che quasi nessuno ha notato
Mentre tutti discutevano dei divieti e dei sistemi ad alto rischio, l'AI Act ha introdotto un obbligo che riguarda molte più aziende di quante pensino: la formazione del personale sull'intelligenza artificiale.
Non è una raccomandazione. È l'Articolo 4 del Regolamento UE 2024/1689, in vigore dal 2 febbraio 2025. E a differenza di buona parte dell'AI Act, che entra in applicazione in modo scaglionato fino al 2027, questo obbligo è già operativo oggi.
La logica è semplice: non puoi usare una tecnologia potente come l'IA se le persone che la usano non sanno cosa stanno facendo. Per questo abbiamo costruito una pagina dedicata all'obbligo di formazione dell'AI Act, ma in questo articolo entriamo nel dettaglio della norma.
Cosa dice esattamente l'Articolo 4
Il testo è breve. Tradotto dall'inglese ufficiale, recita:
"I fornitori e i deployer di sistemi di IA adottano misure per garantire, nella misura del possibile, un livello sufficiente di alfabetizzazione in materia di IA del loro personale e di chiunque si occupi del funzionamento e dell'uso dei sistemi di IA per loro conto, tenendo conto delle loro conoscenze tecniche, esperienza, istruzione e formazione, nonché del contesto in cui i sistemi di IA devono essere utilizzati."
Tradotto in italiano pratico: se la tua azienda usa l'IA, devi assicurarti che le persone che la usano abbiano competenze adeguate al loro ruolo. Cosa sia l'IA, come funziona, quali rischi comporta, cosa si può e non si può fare con i dati.
Chi è obbligato: provider e deployer (cioè quasi tutti)
L'obbligo si rivolge a due categorie, e la seconda è molto più ampia di quanto sembri.
I fornitori (provider) sono chi sviluppa o personalizza sistemi di IA. Se costruisci un prodotto che integra un modello, o personalizzi un sistema per i tuoi clienti, sei un fornitore.
I deployer sono chi utilizza sistemi di IA sotto la propria responsabilità. Qui rientra la maggior parte delle aziende: se il tuo marketing genera testi con l'IA, se l'ufficio HR usa strumenti di screening, se il finance analizza dati con un assistente, la tua organizzazione è un deployer.
Il punto che molti non colgono: l'obbligo non riguarda solo chi sviluppa l'IA. Basta usarla. Se i tuoi team lavorano con ChatGPT, Claude o Copilot, l'obbligo di formarli è già tuo.
Devi mettere in regola la tua azienda?
30 minuti per discutere il tuo caso specifico.
Cosa significa "livello sufficiente di alfabetizzazione"
La norma non fissa un benchmark preciso. Non dice quante ore di corso servono né impone un programma standard. Chiede misure proporzionate, calibrate su tre fattori: le competenze tecniche già presenti, il contesto d'uso e il livello di rischio.
In concreto significa che la formazione va differenziata. Un dirigente che usa l'IA per sintetizzare documenti ha bisogni diversi da uno sviluppatore che costruisce agenti, che a sua volta ha bisogni diversi da un addetto al customer care.
Questa flessibilità è un'arma a doppio taglio. Da un lato lascia libertà. Dall'altro toglie l'alibi del "ho fatto il corso obbligatorio": quello che conta non è la spunta, è che le persone abbiano davvero capito. Su come strutturare i percorsi abbiamo scritto una guida pratica alla formazione AI obbligatoria.
Non serve un certificato, ma serve la documentazione
Buona notizia: la legge non impone certificazioni formali, né una figura obbligatoria tipo il DPO del GDPR, né una struttura di governance dedicata.
È però fortemente raccomandato documentare internamente le iniziative svolte: chi è stato formato, su cosa, quando, con quali contenuti. Questa documentazione non è un adempimento burocratico fine a se stesso. È la prova che, in caso di controllo o contenzioso, dimostra che hai adempiuto all'obbligo.
Il parallelo con il GDPR è istruttivo. Anche lì la formazione non era direttamente sanzionabile, ma la sua assenza è stata centrale in molti procedimenti: un'azienda che non forma il personale è un'azienda negligente. La stessa logica vale per l'IA.
Le scadenze: già in vigore, sanzioni dal 2026
Due date contano.
Il 2 febbraio 2025 l'Articolo 4 è entrato in vigore. L'obbligo è già attivo: non è qualcosa che arriverà, è qualcosa che c'è.
Il 2 agosto 2026 inizia la supervisione da parte delle autorità nazionali di sorveglianza, che potranno vigilare e sanzionare. Le sanzioni dell'AI Act sono proporzionate alla gravità della violazione e alla dimensione dell'azienda, fino a un massimo di 35 milioni di euro o il 7% del fatturato globale annuo.
Siamo quindi nella finestra in cui l'obbligo esiste ma i controlli non sono ancora partiti. È il momento giusto per mettersi in regola con calma, invece di rincorrere. Per le aziende italiane c'è un livello in più: la Legge 132/2025 e il quadro normativo nazionale.