Obbligo formazione AI per aziende: articolo 4 AI Act

Sì, l’obbligo di formazione AI per le aziende esiste: chi sviluppa sistemi di intelligenza artificiale o li usa per lavoro, anche solo con ChatGPT, Copilot o Claude, deve occuparsi dell’alfabetizzazione AI (AI literacy) del personale in base all’articolo 4 dell’AI Act. Da luglio 2026 l’obbligo è più leggero: si chiede di sostenere lo sviluppo delle competenze, non più di garantirne un livello sufficiente. Ecco cosa prevede oggi l’articolo 4, a chi si applica, cosa si rischia e come può muoversi una PMI.

In sintesi

Se il suo team usa l’AI sul lavoro e l’azienda opera nell’UE, l’articolo 4 dell’AI Act la riguarda. Da luglio 2026 servono misure ragionevoli e documentate per sostenere l’alfabetizzazione AI del personale: nessun certificato obbligatorio e nessun livello minimo da garantire. L’AI Act non fissa una sanzione specifica per l’articolo 4: le sanzioni dipendono dal diritto nazionale e in Italia la vigilanza spetta, in generale, all’ACN.

Cosa prevede l’articolo 4 dell’AI Act

Oggi l’articolo 4 dell’AI Act prevede che fornitori e deployer adottino misure per sostenere lo sviluppo dell’alfabetizzazione AI del personale e delle altre persone che usano sistemi di AI per loro conto; dopo l’Omnibus di luglio 2026 non devono più garantire un livello specifico di alfabetizzazione AI di alcuna persona.

L’AI Act, cioè il Regolamento (UE) 2024/1689, è entrato in vigore il 1° agosto 2024 e si applica per fasi. L’articolo 4, sull’alfabetizzazione in materia di IA, è tra le prime norme diventate applicabili, il 2 febbraio 2025. Nella versione originale, fornitori e deployer dovevano garantire, nella misura del possibile, “un livello sufficiente di alfabetizzazione in materia di IA” del personale e delle altre persone che usano sistemi di AI per loro conto.

L’Omnibus digitale sull’AI, il Regolamento (UE) 2026/1744, pubblicato nella Gazzetta ufficiale dell’Unione europea il 24 luglio 2026 e in vigore dal 27 luglio 2026, ha riscritto l’articolo. Ora fornitori e deployer devono adottare misure per sostenere lo sviluppo dell’alfabetizzazione AI del proprio personale e delle altre persone che si occupano del funzionamento e dell’uso dei sistemi di AI per loro conto. Il testo precisa che l’obbligo non richiede di garantire un livello specifico di alfabetizzazione AI di alcuna persona.

In pratica:

• Resta un obbligo. L’obbligo è stato attenuato, non eliminato.
• Conta l’impegno, non il risultato. Servono misure ragionevoli, ma non bisogna dimostrare che ogni dipendente abbia raggiunto un certo livello: il “livello sufficiente” è sparito.
• Il contesto pesa ancora. Le misure tengono conto di conoscenze tecniche, esperienza e formazione delle persone, del contesto d’uso e di chi subisce gli effetti dell’AI.
• Sostegno alle PMI. Commissione e Stati membri devono facilitare questi sforzi, in particolare per le piccole e medie imprese, e la Commissione pubblicherà esempi pratici.

L’articolo 3, punto 56, definisce l’alfabetizzazione AI come le competenze e le conoscenze per usare l’AI in modo informato, consapevoli di opportunità, rischi e possibili danni. Tradotto: sapere cosa fanno gli strumenti, dove sbagliano e come usarli con responsabilità.

A chi si applica l’obbligo di formazione AI

L’obbligo di formazione AI si applica a fornitori e deployer di sistemi di AI, quindi a quasi tutte le aziende che operano nell’UE e in cui il personale usa l’AI per lavoro. L’articolo 4 riguarda due ruoli:

• Fornitori: chi sviluppa un sistema di AI, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio.
• Deployer: chiunque utilizzi un sistema di AI sotto la propria autorità, salvo l’uso personale non professionale (articolo 3, punto 4).

Quasi tutte le aziende sono deployer: basta che in ufficio si usi ChatGPT per scrivere email, Copilot per riassumere riunioni o Claude per analizzare documenti. Nelle sue domande e risposte sull’alfabetizzazione AI la Commissione europea fa un esempio simile: se i dipendenti usano ChatGPT per testi pubblicitari o traduzioni, vanno informati dei rischi specifici, come le allucinazioni.

Tre dettagli che sfuggono spesso:

• Vale per tutti i sistemi di AI, non solo per quelli ad alto rischio.
• Non solo i dipendenti. La Commissione cita anche collaboratori esterni, fornitori di servizi e perfino clienti che usano l’AI per conto dell’azienda.
• Non solo le aziende europee. L’AI Act copre anche fornitori e deployer fuori dall’UE quando l’output del sistema è utilizzato nell’Unione (articolo 2).

AI Act e sanzioni: cosa rischia chi non forma i dipendenti

Chi non forma i dipendenti rischia le sanzioni eventualmente previste dal diritto nazionale: l’AI Act non fissa una sanzione specifica per l’articolo 4 e lascia la materia agli Stati membri. La vigilanza spetta alle autorità nazionali di vigilanza del mercato; secondo la Commissione, queste regole si applicano da agosto 2026. L’articolo 99 stabilisce gli importi massimi per altri obblighi, come le pratiche vietate e la trasparenza, e lascia agli Stati membri sanzioni e altre misure, che possono includere semplici avvertimenti. La Commissione conferma che le autorità nazionali potrebbero sanzionare le violazioni dell’articolo 4, nel rispetto della proporzionalità.

In Italia la Legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, ha designato come autorità nazionali per l’intelligenza artificiale l’Agenzia per l’Italia digitale (AgID) e l’Agenzia per la cybersicurezza nazionale (ACN). Secondo l’articolo 20, la vigilanza, comprese le attività ispettive e sanzionatorie, è affidata all’ACN, mentre Banca d’Italia, CONSOB e IVASS mantengono il proprio ruolo nei rispettivi settori. Le conseguenze concrete di una violazione dell’articolo 4 dipendono dalla normativa italiana di attuazione: conviene verificarla aggiornata, insieme alle regole degli altri Paesi in cui si opera.

Le multe non sono l’unico aspetto: se un errore legato all’AI causa un danno (dati riservati incollati in uno strumento non autorizzato, un numero inventato inviato a un cliente), ciò che l’azienda ha fatto per preparare le persone può pesare nella valutazione della responsabilità.

Formazione AI per i dipendenti: le misure in pratica

In pratica le misure seguono di solito quattro passaggi: mappare l’uso dell’AI, formare per ruolo, documentare e aggiornare. Non esiste un programma ufficiale: secondo la Commissione non c’è una soluzione valida per tutti e non viene imposta una formazione specifica, quindi le misure vanno adattate al ruolo dell’azienda, ai rischi dei sistemi usati e alle conoscenze delle persone. I quattro passaggi nel dettaglio:

1. Mappare l’uso dell’AI. Quali strumenti si usano (compresi gli account aperti dai dipendenti di propria iniziativa), chi li usa e per cosa.
2. Formare per ruolo. Le basi per tutti, un approfondimento per i ruoli più delicati. Contenuti tipici:
   • cosa sa fare l’AI generativa e dove non è affidabile;
   • le allucinazioni: perché una risposta sicura di sé può essere sbagliata e come verificarla;
   • GDPR e riservatezza: cosa non inserire mai in uno strumento di AI e quali account sono autorizzati, come i piani business di ChatGPT, Claude o Gemini;
   • i bias, soprattutto quando l’AI tocca decisioni sulle persone, come la selezione del personale;
   • il diritto d’autore su ciò che si inserisce e su ciò che l’AI produce;
   • la policy aziendale: strumenti approvati, regole di revisione, a chi rivolgersi.
3. Documentare. Chi ha partecipato, quando, con quali contenuti e con quale versione della policy. Secondo la Commissione non serve un certificato: basta una registrazione interna.
4. Aggiornare. Rivedere la formazione quando cambiano strumenti, usi o regole, e inserire le basi dell’AI nell’onboarding.

Chi usa l’AI in ambiti classificati ad alto rischio ha, oltre all’articolo 4, obblighi più severi, che l’Omnibus ha in gran parte rinviato al 2 dicembre 2027 (allegato III) e al 2 agosto 2028 (allegato I).

Alfabetizzazione AI nelle PMI: un piano semplice

Una PMI può coprire l’essenziale dell’articolo 4 con sei passi, senza un ufficio compliance:

1. Nominare una persona responsabile dell’uso dell’AI e della formazione.
2. Elencare strumenti di AI e casi d’uso in azienda.
3. Scrivere una policy di una pagina: strumenti approvati, dati da non condividere mai, cosa controllare prima che un output dell’AI arrivi a un cliente.
4. Organizzare una sessione di base per chi usa l’AI e, dove serve, sessioni per ruolo (commerciale, assistenza clienti, risorse umane, amministrazione, sviluppo).
5. Tenere un registro: data, partecipanti, contenuti, versione della policy.
6. Informare i collaboratori esterni che usano l’AI per conto dell’azienda e rivedere tutto quando si adotta un nuovo strumento.

Come rendere efficace la formazione AI

La formazione AI funziona quando è costruita sulle attività reali di ogni team, non su una presentazione una tantum. La conformità è il minimo, non l’obiettivo: lo stesso Omnibus osserva che l’alfabetizzazione AI dovrebbe essere una priorità strategica, a prescindere da obblighi e sanzioni. Una presentazione lascia una traccia nel registro ma cambia poco il modo di lavorare; funzionano meglio esercizi su email, report e fogli di calcolo di tutti i giorni, una policy chiara e qualcuno a cui chiedere dopo. Ne parliamo in Formazione AI per aziende: da ChatGPT all’uso quotidiano.

Domande frequenti

Cosa dice l’articolo 4 dell’AI Act?

L’articolo 4 dell’AI Act (Regolamento (UE) 2024/1689) riguarda l’alfabetizzazione AI: nella versione modificata dall’Omnibus digitale, in vigore dal 27 luglio 2026, chiede a fornitori e deployer di sistemi di AI di adottare misure per sostenere lo sviluppo dell’alfabetizzazione AI del personale e delle altre persone che usano l’AI per loro conto, senza dover garantire un livello specifico. Nella versione originale, applicabile dal 2 febbraio 2025, chiedeva invece di garantire “un livello sufficiente di alfabetizzazione in materia di IA”.

La formazione AI è obbligatoria per le aziende?

Sì, nel senso che le aziende che forniscono o usano sistemi di AI nell’UE devono adottare misure per sostenere l’alfabetizzazione AI del personale (articolo 4 dell’AI Act). Dopo la modifica di luglio 2026 è un obbligo di mezzi: nessun formato, numero di ore o livello da garantire, ma l’azienda deve poter dimostrare che cosa ha fatto.

Serve un certificato di alfabetizzazione AI per i dipendenti?

No. Secondo le domande e risposte della Commissione europea non serve un certificato: basta una registrazione interna della formazione e delle altre iniziative. Un attestato può far parte della documentazione, ma non è richiesto.

Cosa succede se l’azienda non forma i dipendenti?

Le autorità nazionali vigilano sull’articolo 4 da agosto 2026 e le sanzioni dipendono dal diritto nazionale, quindi variano da Paese a Paese; in Italia l’autorità di vigilanza designata è, in generale, l’ACN. E se un errore legato all’AI causa un danno, l’assenza di qualsiasi misura può pesare contro l’azienda.

UsualMatrix organizza formazione pratica sull’AI per i team, costruita sulle loro attività reali: cosa l’AI sa fare e cosa no, allucinazioni e verifica, protezione dei dati e una policy sull’AI pensata per l’azienda. La formazione si svolge in cinese, spagnolo o inglese. Scopra il nostro servizio di soluzioni di intelligenza artificiale oppure ci contatti per organizzare la formazione del suo team.

Nota: questo articolo è un’informazione di carattere generale aggiornata al 29 settembre 2026 e non costituisce consulenza legale. L’AI Act e le norme nazionali di attuazione sono in evoluzione: verifichi il testo vigente e le regole del suo Paese, oppure si rivolga a un avvocato.