AI Act art. 4: indicazioni AI Office su formazione

AI Act art. 4: cosa dice l’AI Office sulla formazione

L’AI Office della Commissione europea ha pubblicato a marzo 2025 un documento di domande e risposte sull’articolo 4 dell’AI Act, il regolamento europeo sull’intelligenza artificiale. Il documento chiarisce chi va formato, con quale profondità e come dimostrare di aver adempiuto. Non è vincolante, ma è citabile in caso di controllo.

In sintesi

• L’articolo 4 del Regolamento UE 2024/1689 (AI Act) obbliga fornitori e deployer, cioè chi usa sistemi AI nel proprio contesto operativo, a promuovere l’alfabetizzazione AI del personale coinvolto. Dopo la revisione del Digital Omnibus la norma non fissa più una soglia da raggiungere: quanto formare, e chi, lo decide chi guida l’azienda.
• Il documento Q&A dell’AI Office, marzo 2025, non crea nuovi obblighi: interpreta quelli esistenti e fornisce indicazioni operative utilizzabili come riferimento documentale.
• La profondità della formazione non è uniforme: varia in base al ruolo, all’esperienza pregressa e al tipo di sistema AI utilizzato.
• Non esiste un formato obbligatorio: corso, affiancamento, documentazione interna o sessione guidata possono essere tutti validi se proporzionati e tracciati.
• La responsabilità di dimostrare l’adeguatezza del programma ricade sull’azienda, non sul fornitore del software AI.

Chi deve formare chi, e su cosa

L’articolo 4 del Regolamento UE 2024/1689, noto come AI Act, è in vigore dal 2 agosto 2024. Da quella data, chi fornisce o usa sistemi di intelligenza artificiale deve adottare misure perché il proprio personale sia alfabetizzato sull’AI. Il testo oggi vigente, riscritto dal Digital Omnibus, non impone un livello specifico per nessuna persona: l’alfabetizzazione va promossa, e la calibratura resta in capo a chi guida l’azienda. Alfabetizzazione AI significa, concretamente, che le persone che lavorano con strumenti automatizzati capiscono cosa fanno quegli strumenti, dove possono sbagliare e quando serve l’intervento umano.

Il punto che più spesso viene frainteso è questo: l’obbligo non riguarda solo chi sviluppa o vende software AI. Riguarda anche chi lo usa. Un hotel che usa un sistema AI per gestire le prenotazioni è un deployer, termine tecnico per indicare chi utilizza un sistema AI nel proprio contesto operativo, e ha obblighi di formazione sul personale che ci lavora. Lo stesso vale per una clinica che usa un assistente automatico per il triage delle chiamate, uno studio legale che usa uno strumento AI per la ricerca giurisprudenziale, un ecommerce che usa algoritmi per personalizzare le raccomandazioni di prodotto. Tutti deployer. Tutti con obblighi formativi.

La distinzione tra fornitore, chi costruisce o immette sul mercato il sistema AI, e deployer, chi lo usa nel proprio contesto, è il primo elemento da chiarire internamente prima di costruire qualsiasi piano formativo. Capire in quale categoria ricade la tua azienda non è un esercizio teorico: da questa classificazione dipende chi risponde in caso di verifica.

La formazione non ha una taglia unica

Il Q&A pubblicato dall’AI Office a marzo 2025, disponibile sul portale della Commissione europea, chiarisce che la profondità della formazione deve essere proporzionale. Tre variabili guidano questa proporzionalità: le conoscenze già possedute dalla persona, il ruolo che ricopre nell’uso del sistema AI, e il livello di rischio del sistema stesso.

In pratica: un addetto al front-desk di un hotel che usa un chatbot, cioè un assistente virtuale automatico che risponde in linguaggio naturale, per gestire le domande degli ospiti non ha bisogno dello stesso percorso formativo del responsabile IT che configura e supervisiona quel sistema. Il primo deve capire cosa fa il sistema, quali sono i suoi limiti e quando deve intervenire una persona in carne e ossa. Il secondo deve avere una comprensione più ampia del funzionamento, dei dati usati e dei rischi operativi.

Stesso principio in uno studio di commercialisti: la segretaria che usa uno strumento AI per classificare i documenti in arrivo ha bisogni formativi diversi dal partner che decide quali processi automatizzare e con quali criteri. Non è una questione gerarchica. È una questione di esposizione al rischio e di profondità di interazione con il sistema.

Il documento non fissa un monte ore minimo né un elenco di argomenti obbligatori. Stabilisce un principio: la formazione deve essere adeguata al contesto. Questo lascia flessibilità alle aziende, ma sposta su di loro l’onere di dimostrare che le scelte fatte erano ragionevoli e documentate. La flessibilità, in questo caso, è una responsabilità.

Cosa conta come formazione valida

L’AI Office non prescrive corsi in aula, piattaforme certificate o credenziali specifiche. Riconosce che la formazione può avvenire in molte forme: sessioni strutturate, documentazione interna, affiancamento operativo, materiali di auto-apprendimento, o una combinazione di questi.

Tre requisiti concreti, però, valgono per qualsiasi formato scelto:

• proporzionato al ruolo e al sistema usato
• documentato in modo da poter essere mostrato in caso di verifica
• aggiornato quando cambiano i sistemi o i ruoli

Un ristorante con tre dipendenti che usa un sistema AI per la gestione degli ordini non ha bisogno di un programma formativo complesso. Ha bisogno di poter dimostrare che i dipendenti sanno cosa fa il sistema, ne conoscono i limiti e sanno quando non fidarsi dell’output. Una nota interna firmata, un breve verbale di sessione, un registro di accesso a materiali formativi: possono bastare, purché coerenti con il livello di rischio del sistema.

Per le realtà più strutturate, la documentazione deve essere più articolata. Uno studio professionale con più reparti che usano strumenti AI diversi, o un ecommerce che usa sistemi di raccomandazione automatica e assistenza clienti automatizzata, dovrà costruire un registro formativo più dettagliato, con evidenza di chi ha ricevuto quale formazione e quando. Non è burocrazia fine a sé stessa: è l’unica difesa concreta in caso di contestazione.

Il documento Q&A non è legge, ma pesa

Va detto con precisione. Il documento dell’AI Office non ha natura vincolante. Non è un regolamento, non è una direttiva, non è una decisione. È un documento interpretativo, pubblicato da un’autorità tecnica della Commissione europea per orientare l’applicazione pratica di una norma già in vigore.

Non lo rende irrilevante. Anzi.

In caso di verifica da parte di un’autorità nazionale di vigilanza, poter dimostrare di aver seguito le indicazioni operative dell’AI Office è un elemento di difesa concreto. Dimostra buona fede, approccio sistematico, attenzione alla conformità. Il contrario, cioè non aver fatto nulla e non avere documentazione, espone a contestazioni difficili da contrastare anche con il miglior avvocato.

L’articolo 99 del Regolamento UE 2024/1689 elenca le violazioni sanzionabili, e l’alfabetizzazione dell’articolo 4 non è fra quelle: non ha una multa propria. La fascia fino a 15 milioni di euro o al 3% del fatturato mondiale annuo riguarda altri obblighi di governance di fornitori e deployer. Si applica la cifra più alta tra le due. Per un’azienda con fatturato rilevante, il 3% pesa molto di più del tetto fisso. Non è un rischio astratto: è una riga nel bilancio.

Tre passi da fare oggi, prima di una verifica

Il Q&A di marzo 2025 è un’occasione concreta per fare un punto interno. Tre passaggi operativi che non richiedono consulenze esterne per iniziare.

Mappare i sistemi AI in uso. Quali strumenti automatizzati usa il personale? Chi li usa e con quale frequenza? Una clinica, per esempio, potrebbe avere un sistema AI per la gestione degli appuntamenti, un altro per l’analisi delle immagini diagnostiche e un chatbot per il primo contatto con i pazienti: tre sistemi, tre livelli di rischio diversi, tre esigenze formative distinte. Questa mappatura è il punto di partenza per qualsiasi piano sensato.

Classificare i ruoli per esposizione. Chi usa il sistema AI in modo diretto e continuativo? Chi lo supervisiona? Chi ne riceve solo gli output senza interagire? La profondità della formazione segue questa distinzione, non l’organigramma.

Documentare ciò che già esiste. Molte aziende fanno già formazione informale sui nuovi strumenti senza tracciarla. Iniziare a farlo, anche in forma semplice, è già un passo verso la conformità dimostrabile. Un foglio di presenza, un’email di conferma, un file condiviso con i materiali usati: tutto conta, purché datato e conservato.

La decisione su quale formato adottare, con quale frequenza aggiornare i contenuti e come strutturare la documentazione resta in capo al responsabile aziendale. Il documento dell’AI Office fornisce il quadro. Le scelte operative appartengono a chi conosce il contesto reale dell’azienda.

Domande correlate

Chi è il “deployer” ai sensi dell’AI Act?

Il deployer è chiunque utilizzi un sistema AI nel proprio contesto operativo, indipendentemente dal fatto che lo abbia sviluppato. Un’azienda che acquista o sottoscrive un abbonamento a uno strumento AI di terze parti e lo usa con i propri dipendenti è un deployer e ha obblighi di formazione sul personale coinvolto.

Il documento Q&A dell’AI Office è obbligatorio da seguire?

No, non è vincolante sul piano giuridico. È un documento interpretativo che orienta l’applicazione dell’articolo 4 dell’AI Act. Seguirlo non garantisce conformità automatica, ma dimostra un approccio sistematico e in buona fede, utile in caso di verifica da parte delle autorità nazionali.

Quanto deve durare un corso di formazione AI per essere adeguato?

L’AI Act e il Q&A dell’AI Office non fissano un monte ore minimo. La durata deve essere proporzionata al ruolo, al sistema usato e al livello di rischio. Per ruoli operativi con sistemi a basso rischio, anche sessioni brevi e documentate possono essere sufficienti.

Cosa rischia un’azienda che non forma il personale sull’AI?

Le sanzioni per violazioni degli obblighi di governance dell’AI Act arrivano fino a 15 milioni di euro o al 3% del fatturato mondiale annuo (art. 99, Reg. UE 2024/1689). L’assenza di documentazione formativa è un elemento aggravante in caso di contestazione.

Serve un consulente esterno per adeguarsi all’art. 4?

Non necessariamente, almeno nella fase iniziale. La mappatura dei sistemi in uso e la documentazione delle attività formative già esistenti sono passi che un responsabile interno può avviare autonomamente. Il supporto esterno diventa utile per sistemi ad alto rischio o per strutturare programmi formali in aziende più complesse.

---

Fonti:

• Commissione europea, AI Office, AI Literacy: Questions and Answers, marzo 2025: https://digital-strategy.ec.europa.eu/it/faqs/ai-literacy-questions-answers (accesso luglio 2026)
• Regolamento UE 2024/1689 del Parlamento europeo e del Consiglio (AI Act), articoli 4 e 99: https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32024R1689 (accesso luglio 2026)
• WST Legal, IA e obblighi di alfabetizzazione per le imprese: i recenti chiarimenti attuativi della Commissione UE: https://www.wstlegal.eu/it/ia-e-obblighi-di-alfabetizzazione-per-le-imprese-i-recenti-chiarimenti-attuativi-della-commissione-ue/ (accesso luglio 2026)

Non costituisce parere legale.