AI Act art. 4: Digital Omnibus cambia metro, non l'obbligo

Il pacchetto di semplificazione normativa chiamato “Digital Omnibus” è il Regolamento (UE) 2026/1744: adottato l’8 luglio 2026, pubblicato in Gazzetta Ufficiale dell’Unione europea il 24 luglio 2026, in vigore dal 27 luglio 2026. Modifica, tra gli altri, l’articolo 4 del Regolamento UE 2024/1689, il cosiddetto AI Act. La modifica è chirurgica: sparisce il termine “sufficiente” come soglia di alfabetizzazione AI. L’obbligo di formare il personale resta intatto.

In sintesi

• L’articolo 4 dell’AI Act, in vigore dal 1° agosto 2024, impone a fornitori e deployer (utilizzatori professionali di sistemi AI) di garantire che il personale che lavora con questi strumenti abbia una formazione adeguata.
• Il “Digital Omnibus”, Regolamento (UE) 2026/1744 in vigore dal 27 luglio 2026, ha eliminato il riferimento al livello “sufficiente” come soglia, ma non ha eliminato l’obbligo.
• Il testo vigente dell’articolo 4 dice che l’obbligo «non impone ai fornitori o ai deployer di garantire un livello specifico di alfabetizzazione in materia di IA per alcuna persona»: la soglia non c’è più, l’obbligo sì.
• La modifica sposta il problema dalla soglia fissa alla proporzionalità: non basta acquistare una licenza software, bisogna documentare le scelte formative in relazione al rischio del sistema usato.
• Chi non ha ancora avviato nessuna azione formativa è già potenzialmente esposto: l’obbligo non dipendeva dall’omnibus prima e non dipende da lui adesso.

Cosa prevede l’articolo 4 dell’AI Act oggi

L’AI Act è entrato in vigore il 1° agosto 2024. L’articolo 4 impone a due categorie di soggetti, i fornitori, ovvero chi sviluppa sistemi AI, e i deployer, ovvero chi li utilizza in contesto professionale o commerciale, di adottare misure concrete affinché il personale che interagisce con questi strumenti ne comprenda il funzionamento, i rischi e i limiti.

Il termine “sufficiente” ha generato incertezza fin dal primo giorno. Sufficiente rispetto a quale parametro? Chi lo certifica? Le linee guida operative della Commissione non avevano ancora risposto a queste domande quando l’omnibus è arrivato sul tavolo.

Concretamente, rientra nella definizione di deployer qualsiasi azienda che usa sistemi AI nei propri processi. Un hotel che gestisce le prenotazioni con un software predittivo. Una clinica che usa strumenti di supporto diagnostico. Uno studio commercialista che adotta un assistente per la redazione di dichiarazioni fiscali. Un ristorante che usa un gestionale con funzioni di previsione degli ordini. Tutti soggetti all’articolo 4, tutti oggi.

L’obbligo non è futuro. È già in vigore.

Cosa è cambiato con il Digital Omnibus

Il regolamento tocca più atti del pacchetto digitale. Per l’articolo 4 dell’AI Act, l’intervento è preciso: è stato eliminato il riferimento al livello “sufficiente” come requisito esplicito. Come chiarisce la stessa Commissione europea nella pagina dedicata alle domande frequenti sull’alfabetizzazione AI, la modifica mira a “garantire che l’alfabetizzazione in materia di IA rimanga un obbligo per i fornitori e i deployer di sistemi di IA, ma non sia richiesto alcun livello specifico o ‘sufficiente’”.

La logica è comprensibile. Il personale di una reception che usa un chatbot (assistente virtuale automatizzato) per rispondere alle richieste degli ospiti non ha bisogno della stessa preparazione di chi supervisiona un sistema di analisi predittiva in ambito medico. Fissare una soglia uguale per tutti non aveva senso pratico. Il testo vigente sostituisce il metro fisso con il principio di proporzionalità: la formazione deve stare in rapporto al contesto, al sistema usato, al ruolo di chi lo usa.

Questo non è un allentamento. È una responsabilità diversamente strutturata.

Una precisazione importante. Il testo giuridicamente vincolante oggi è l’articolo 4 come riscritto dal Regolamento (UE) 2026/1744: la soglia “sufficiente” non c’è più dal 27 luglio 2026. Chi ha aspettato l’omnibus per cominciare a muoversi ha aspettato nel posto sbagliato, perché l’obbligo c’era prima e c’è adesso.

Perché questa distinzione conta per chi gestisce un’azienda

Il rischio interpretativo più diffuso è leggere la modifica come un segnale di allentamento e rimandare qualsiasi iniziativa formativa in attesa di chiarimenti. È una lettura sbagliata su due livelli distinti.

Il primo: l’obbligo non è stato rimosso. Chi non può dimostrare di aver adottato misure concrete per formare il personale che interagisce con sistemi AI è già potenzialmente esposto a contestazioni, indipendentemente dalla soglia e dall’omnibus.

Il secondo: la proporzionalità non è più semplice da gestire rispetto a una soglia fissa. È diversamente complessa. Senza un metro esterno, l’azienda deve costruire un ragionamento documentato: quale sistema AI usiamo, chi lo usa, quali rischi comporta, quale formazione abbiamo erogato e perché la riteniamo adeguata. È un lavoro di analisi che richiede tempo e metodo, non una dichiarazione generica.

Pensate a uno studio di consulenza fiscale che ha adottato un software con funzioni di machine learning (apprendimento automatico da dati storici) per supportare la redazione di dichiarazioni. Se un’autorità di vigilanza chiedesse conto della formazione erogata ai collaboratori, non basterebbe mostrare la fattura della licenza. Servirebbe documentare chi ha ricevuto quale formazione, su quale strumento, in relazione a quale livello di rischio classificato.

Non funziona senza questa documentazione.

Cosa fare adesso che il testo è legge

Non c’è più nessuna finestra di attesa da usare come scusa: il regolamento è in vigore. Questo è il momento in cui le aziende più avvedute consolidano la propria posizione, non quello in cui si aspetta.

Tre azioni concrete che un’impresa può avviare adesso.

Mappare i sistemi AI in uso. Quali strumenti usate quotidianamente che rientrano nella definizione di sistema AI ai sensi dell’AI Act? Un chatbot per il servizio clienti, un software di analisi predittiva, uno strumento di selezione del personale, un sistema di raccomandazione per l’ecommerce: tutti potenzialmente rilevanti. Senza questa mappa, non si può valutare l’esposizione reale.

Identificare chi li usa e con quale ruolo. L’obbligo formativo non riguarda tutta l’azienda in modo uniforme. Riguarda il personale che interagisce con i sistemi AI in modo diretto e operativo. Un albergo che usa un gestionale con funzioni predittive per la gestione delle camere ha un profilo di rischio diverso da una società finanziaria che usa modelli di scoring (valutazione automatica del merito creditizio) per l’erogazione di credito.

Documentare le scelte formative già adottate. Se avete già erogato formazione, raccogliete le evidenze: date, contenuti, partecipanti, ore, sistema AI di riferimento. Se non l’avete ancora fatto, iniziate con un intervento proporzionato al rischio dei sistemi in uso. La documentazione è l’unica prova di adempimento che conta davanti a un controllo.

Il nodo della proporzionalità: chi decide cosa è adeguato

Con l’omnibus, la parola che sostituisce “sufficiente” è implicitamente “proporzionato”. Il peso decisionale si sposta sull’azienda. Ma l’assenza di un metro fisso non elimina il rischio di contestazione: se un’autorità di vigilanza ritiene che la formazione erogata fosse inadeguata rispetto al sistema utilizzato e al ruolo del personale, non avere una soglia di riferimento non protegge automaticamente.

La proporzionalità va dimostrata, non solo affermata. La documentazione deve contenere il ragionamento, non solo il risultato. Perché quel corso specifico, per quante ore, per quali figure professionali, in relazione a quale sistema e a quale livello di rischio classificato.

Il punto di partenza è sempre la classificazione del rischio del sistema AI in uso. L’AI Act distingue sistemi a rischio minimo, limitato, alto e inaccettabile. Un sistema a rischio minimo richiede meno di un sistema ad alto rischio. Entrambi richiedono qualcosa. Questa è la logica che un’azienda deve saper ricostruire per iscritto.

Resta il fatto che costruire questa documentazione oggi, prima che arrivi un controllo, è incomparabilmente più semplice che farlo sotto pressione. Il punto è chiaro.

Domande correlate

L’omnibus digitale ha eliminato l’obbligo di formazione AI?

No. Il Regolamento (UE) 2026/1744 ha modificato l’articolo 4 dell’AI Act eliminando il riferimento al livello “sufficiente”, ma ha confermato l’obbligo di alfabetizzazione AI del personale per fornitori e deployer. L’obbligo resta, cambia il criterio di misura: dalla soglia fissa alla proporzionalità rispetto al contesto d’uso e al livello di rischio del sistema adottato.

Da quando vale la modifica dell’omnibus digitale?

Dal 27 luglio 2026. Il Digital Omnibus è il Regolamento (UE) 2026/1744, adottato l’8 luglio 2026 e pubblicato in Gazzetta Ufficiale dell’Unione europea il 24 luglio 2026. Da quella data il riferimento al livello “sufficiente” non è più nel testo dell’articolo 4: il testo vigente dice che l’obbligo «non impone ai fornitori o ai deployer di garantire un livello specifico di alfabetizzazione in materia di IA per alcuna persona».

Chi è considerato deployer ai fini dell’articolo 4 dell’AI Act?

Il deployer, termine che in italiano indica l’utilizzatore professionale, è qualsiasi soggetto, pubblico o privato, che utilizza un sistema AI in un contesto professionale o commerciale. Include hotel, studi professionali, cliniche, esercenti e qualsiasi azienda che adotta strumenti AI nei propri processi operativi, indipendentemente dalle dimensioni.

Come si dimostra di aver rispettato l’obbligo di alfabetizzazione AI?

Con documentazione: date e contenuti della formazione erogata, elenco dei partecipanti, ore, sistema AI di riferimento, ragionamento sulla proporzionalità rispetto al rischio classificato. Non esiste un formato obbligatorio, ma l’assenza di documentazione equivale all’assenza di prova davanti a un controllo.

L’obbligo vale anche per le piccole aziende con pochi dipendenti?

Sì. L’AI Act non prevede esenzioni dimensionali per l’articolo 4. La proporzionalità riguarda l’intensità della formazione, non l’esenzione dall’obbligo. Un’azienda con tre dipendenti che usa un sistema AI è comunque tenuta a formare chi lo usa, in misura proporzionata al proprio contesto.

---

Fonti:

• Commissione europea, FAQ sull’alfabetizzazione AI e Digital Omnibus: https://digital-strategy.ec.europa.eu/it/faqs/ai-literacy-questions-answers (accesso agosto 2026)
• Regolamento (UE) 2026/1744 (Digital Omnibus), adottato l’8 luglio 2026, pubblicato in Gazzetta Ufficiale dell’Unione europea il 24 luglio 2026, in vigore dal 27 luglio 2026
• Regolamento UE 2024/1689 del Parlamento europeo e del Consiglio (AI Act), articolo 4, pubblicato in GU UE il 12 luglio 2024: https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=OJ:L_202401689 (accesso agosto 2026)

---

Il contenuto di questo articolo ha finalità informativa e non costituisce parere legale. Per valutazioni specifiche sulla propria situazione, rivolgersi a un professionista qualificato.