AI Act: chi formare sull'AI va oltre i dipendenti
AI Act: chi formare sull’AI va oltre i dipendenti
L’Art. 4 del Regolamento UE 2024/1689, noto come AI Act, impone di promuovere l’AI literacy (alfabetizzazione sull’intelligenza artificiale) di chiunque operi sui sistemi AI dell’organizzazione. Nel testo riscritto dal Digital Omnibus non c’è più una soglia da raggiungere, ma resta la domanda di sempre: chi va formato. Le FAQ ufficiali dell’AI Office europeo chiariscono un punto che molte aziende trascurano: l’obbligo non si ferma ai dipendenti in busta paga.
In sintesi
- L’Art. 4 del Regolamento UE 2024/1689 impone ai deployer, termine inglese per i soggetti che mettono in uso un sistema AI in contesto professionale, di garantire alfabetizzazione AI al proprio personale.
- Le FAQ dell’AI Office chiariscono che “personale” include appaltatori, fornitori di servizi e, in certi casi, clienti che operano sotto mandato organizzativo dell’azienda.
- Il criterio guida non è il contratto (dipendente o autonomo), ma la funzione: chi tocca i sistemi AI per conto dell’organizzazione rientra nell’obbligo.
- La mappatura delle persone da formare spetta all’azienda: nessuna lista arriva dall’esterno.
- Ignorare i collaboratori esterni espone a contestazioni in sede di verifica: l’art. 99 non prevede una multa propria per l’art. 4, ma la formazione mancante pesa su ogni altra violazione contestata.
Cosa dice davvero il testo di legge
L’Art. 4 del Regolamento UE 2024/1689 non usa la parola “dipendenti”. Usa “personale”. Non è una sfumatura trascurabile.
Nella tradizione giuridica comunitaria, il termine abbraccia categorie più ampie del solo rapporto di lavoro subordinato. Il legislatore europeo ha scelto quella parola deliberatamente, e le FAQ pubblicate dall’AI Office, ovvero l’ufficio della Commissione Europea che sovraintende all’applicazione dell’AI Act, sciolgono ogni dubbio residuo: la categoria rilevante è quella delle persone “ampiamente soggette al mandato organizzativo” dell’azienda.
L’AI Office cita esplicitamente tre figure: un appaltatore, un fornitore di servizi, un cliente. Tre categorie che non compaiono in nessun cedolino aziendale.
La domanda da porsi, quindi, non è “chi ho assunto?”. È “chi, nella pratica quotidiana, opera sui miei sistemi AI o per loro tramite?”. Sono due domande molto diverse, e confonderle è già un problema.
Perché la distinzione contrattuale non protegge
Questo è il punto che genera più sorpresa, e vale la pena essere diretti.
Un hotel che usa un sistema AI per la gestione delle prenotazioni e affida la configurazione e il monitoraggio a una società esterna di consulenza informatica non può limitarsi a formare i propri receptionist. Il consulente esterno che accede al sistema, interpreta i risultati e interviene sui parametri è, ai fini dell’Art. 4, una persona che opera sotto il mandato organizzativo dell’hotel. Punto.
Lo stesso vale per uno studio legale che usa uno strumento AI per l’analisi documentale e si affida a una segreteria in appalto: se quella segreteria interagisce con il sistema, rientra nell’ambito della formazione richiesta. O per una clinica che ha esternalizzato la gestione del software di triage AI, cioè il sistema che ordina per priorità i pazienti in ingresso, a un fornitore terzo: i tecnici di quel fornitore che operano concretamente sul sistema non sono fuori dall’equazione. Non basta dire “è roba loro”.
Quel che conta non è dove è stampato il contratto, ma cosa fa quella persona rispetto al sistema AI.
Questo non significa che l’azienda debba erogare formazione a chiunque nomini nei propri contratti. Significa ragionare su chi, in concreto, tocca i sistemi AI e con quale grado di autonomia decisionale. Un addetto alle pulizie che passa davanti a un monitor non è la stessa cosa di un operatore che inserisce dati e interpreta output. La distinzione che conta è operativa, non amministrativa.
La mappatura: un compito che nessuno farà al posto tuo
Nessuna autorità produrrà una lista delle persone da formare. Non arriverà per posta, non sarà allegata a nessun decreto attuativo. La mappatura è un compito interno, e la sua assenza è già di per sé una lacuna documentale rilevante in sede di verifica.
Un approccio pratico parte da tre domande.
Prima: quali sistemi AI sono attivi in azienda, anche se acquistati come servizi già pronti all’uso? Un software di scoring del credito, ovvero un sistema che assegna un punteggio di affidabilità finanziaria al cliente, un chatbot, cioè un assistente conversazionale automatico, per il servizio clienti, uno strumento di selezione dei curriculum: tutti rientrano nella definizione di sistema AI ai sensi del Regolamento. Molti imprenditori sono sorpresi di scoprire quanti sistemi AI usano già, spesso integrati in software gestionali acquistati anni fa.
Seconda: chi interagisce con questi sistemi in modo non puramente passivo? Chi inserisce dati, chi interpreta output, chi decide sulla base di quanto il sistema suggerisce, chi configura o monitora: queste persone operano “per conto” dell’organizzazione, indipendentemente da dove sia stampato il loro cedolino.
Terza: qual è il livello di rischio del sistema? L’AI Act classifica i sistemi per livello di rischio, e per i sistemi ad alto rischio, ovvero quelli che incidono su decisioni rilevanti per le persone come l’accesso al credito, la selezione del personale o la gestione sanitaria, l’obbligo formativo è più stringente. Per capire dove si colloca ogni sistema, la guida alla classificazione del rischio AI Act offre un quadro operativo utile prima di avviare la mappatura.
Tre azioni concrete da fare oggi
Estendere il perimetro della mappatura. Rivedere l’elenco delle persone da formare includendo i collaboratori esterni che interagiscono con sistemi AI aziendali. Consulenti IT, agenzie che gestiscono strumenti di marketing automatizzato, fornitori di software con componenti AI integrate: tutti vanno censiti, non per creare burocrazia, ma per sapere dove sei esposto.
Verificare i contratti di servizio. I contratti con fornitori esterni che operano su sistemi AI dovrebbero contenere clausole che definiscono le responsabilità formative. Chi forma il personale del fornitore? Chi documenta quella formazione? In assenza di clausole esplicite, l’onere ricade sull’azienda che usa il sistema. Non è un’interpretazione estensiva: è la logica del Regolamento.
Documentare tutto. L’Art. 4 non prescrive un formato specifico, ma la logica del Regolamento è chiara: ciò che non è documentato non è dimostrabile. Un registro delle attività formative che includa anche i collaboratori esterni, con data, contenuto e destinatari, è la base minima per reggere a una verifica. Su come strutturare questa documentazione in modo che sia effettivamente utile, la guida su come dimostrare la formazione AI fornisce indicazioni pratiche.
Resta il fatto che adempiere non è solo una questione di sanzioni. Un’azienda che sa chi usa i propri sistemi AI, e con quale competenza, è anche un’azienda che gestisce meglio quei sistemi. La formazione non è un costo burocratico. È la condizione minima per non perdere il controllo di strumenti che prendono decisioni al tuo posto.
Domande correlate
L’obbligo di formazione AI vale anche per i liberi professionisti che collaborano?
Sì, se operano concretamente sui sistemi AI dell’azienda. Il criterio non è la forma contrattuale ma la funzione: chi usa o gestisce un sistema AI sotto il mandato organizzativo di un’azienda rientra nell’ambito dell’Art. 4, indipendentemente dal fatto che sia dipendente, collaboratore o libero professionista.
Chi è responsabile della formazione dei collaboratori esterni?
La responsabilità primaria ricade sull’azienda che usa il sistema AI, definita come deployer dal Regolamento. Può contrattualmente trasferire parte dell’onere al fornitore esterno, ma deve verificare che la formazione avvenga e documentarla.
Cosa rischia un’azienda che non forma i collaboratori esterni?
L’Art. 99 del Regolamento UE 2024/1689 elenca le violazioni sanzionabili e l’Art. 4 non è nell’elenco: per la sola alfabetizzazione non esiste una multa propria. La mancata copertura dei collaboratori esterni è una lacuna documentale che può emergere in sede di audit o ispezione.
Come si dimostra che un collaboratore esterno è stato formato?
Con documentazione: attestati, registri di partecipazione, dichiarazioni del fornitore, verbali di formazione. Il formato non è prescritto dalla norma, ma deve essere verificabile. L’assenza di documentazione equivale, in pratica, all’assenza di formazione.
Non costituisce parere legale.
Fonti:
- AI Office, Commissione Europea, FAQ sull’alfabetizzazione AI (AI Literacy), https://digital-strategy.ec.europa.eu/it/faqs/ai-literacy-questions-answers (accesso luglio 2026)
- Regolamento UE 2024/1689 (AI Act), Art. 4 e Art. 99, https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32024R1689 (accesso luglio 2026)