AI Act: come documentare la formazione del personale

In sintesi

• L’art. 4 del Regolamento UE 2024/1689 obbliga fornitori e utilizzatori professionali di sistemi AI a garantire alfabetizzazione adeguata nel personale coinvolto.
• Non esiste un formato documentale obbligatorio, ma l’onere della prova ricade sull’azienda: senza documentazione, non puoi dimostrare nulla.
• Un registro della formazione, anche in formato semplice, è lo strumento minimo per tracciare chi ha fatto cosa e quando.
• Le policy interne sull’uso dell’AI completano il quadro: definiscono le regole operative e mostrano che l’azienda ha ragionato sul rischio.
• L’art. 99 del Reg. UE 2024/1689 non elenca l’art. 4 fra le violazioni con una multa propria: per la sola alfabetizzazione non c’è un importo dedicato, ma la formazione non documentata pesa su ogni altra contestazione.

---

L’articolo 4 del Regolamento UE 2024/1689, pubblicato nella Gazzetta Ufficiale dell’Unione Europea il 12 luglio 2024, impone a chi usa sistemi di intelligenza artificiale in azienda di promuovere l’alfabetizzazione AI del proprio personale. La norma non prescrive un formato unico, e dopo la revisione del Digital Omnibus non fissa nemmeno un livello da raggiungere: quanto formare lo decide chi guida l’azienda. In caso di controllo, però, tocca all’azienda dimostrare che le misure sono state adottate. Questo è il punto che molte realtà italiane continuano a sottovalutare, convinte che l’AI Act riguardi solo i grandi operatori tecnologici. Non è così: chiunque utilizzi professionalmente un sistema AI rientra nel perimetro degli obblighi, indipendentemente dalle dimensioni.

Cosa chiede davvero l’art. 4

La norma individua due categorie di soggetti obbligati: i fornitori, cioè chi sviluppa o immette sul mercato sistemi AI, e i deployer, termine usato nel testo di legge per indicare gli utilizzatori professionali che impiegano questi sistemi nel proprio lavoro quotidiano.

Entrambi devono adottare misure per promuovere l’alfabetizzazione AI nel personale e in chiunque operi per loro conto, senza che la legge imponga un livello specifico per alcuna persona. L’art. 4, comma 1 tiene conto delle dimensioni e del contesto dell’organizzazione: un grande gruppo industriale e uno studio professionale da cinque persone non hanno lo stesso perimetro di obbligo. Ma entrambi devono poter mostrare di aver ragionato sul tema e di aver agito di conseguenza.

Il problema è che la norma usa il termine “proporzionato” senza definirlo operativamente. Non è una svista: è una scelta deliberata del legislatore europeo, che ha preferito la flessibilità alla precisione. Il confronto con il GDPR è istruttivo: anche lì il principio di accountability lasciava ampi margini interpretativi, e ci sono voluti anni di decisioni del Comitato europeo per la protezione dei dati e sanzioni nazionali per costruire una prassi consolidata. Con l’AI Act siamo all’inizio dello stesso percorso. Fino a quando le autorità nazionali di vigilanza non avranno accumulato un corpus sanzionatorio sufficiente, il concetto di proporzionalità resterà una variabile aperta. Affidarsi a essa come scudo difensivo, nella speranza che il proprio livello di formazione sia giudicato “abbastanza” adeguato, è una scommessa che le aziende italiane non possono permettersi.

Cosa significa “alfabetizzazione AI” in pratica

L’art. 3, comma 1, lettera d) del Regolamento definisce l’alfabetizzazione AI come le competenze, le conoscenze e la comprensione necessarie per usare i sistemi AI in modo consapevole, comprenderne le capacità e i limiti, e valutare i rischi connessi.

Fuori dal testo normativo, questo si traduce in qualcosa di molto specifico. Si consideri una clinica privata con una quarantina di dipendenti che ha integrato un sistema di triage automatizzato: il software analizza i dati di accesso al pronto soccorso e suggerisce priorità di visita al personale infermieristico. Chi interagisce con questo sistema non è un tecnico informatico: è un infermiere che deve capire quando fidarsi dell’output e quando segnalare un’anomalia. La formazione rilevante non riguarda il funzionamento dell’algoritmo, ma i suoi limiti: in quali condizioni il sistema può sbagliare, quali segnali devono indurre a non seguire la raccomandazione automatica, e a chi rivolgersi in caso di dubbio. Un percorso di due ore su questi punti, documentato con registro e attestato, vale più di un corso generico sull’intelligenza artificiale da otto ore che non tocca mai il sistema specifico in uso.

Il registro della formazione: struttura minima

Non esiste un modello ufficiale. Un registro efficace, anche in formato foglio di calcolo o documento condiviso, deve contenere almeno: nome e cognome del partecipante, ruolo e reparto, data e durata della formazione, titolo e contenuto del percorso, modalità di erogazione, eventuale attestato allegato, conferma del partecipante.

Il registro va aggiornato ogni volta che si svolge nuova formazione e ogni volta che un nuovo dipendente entra in un ruolo che prevede uso di sistemi AI. Tornando alla clinica dell’esempio: se un nuovo infermiere viene assegnato al triage e il sistema automatizzato è già operativo, la formazione deve essere registrata prima che quella persona inizi a operare con lo strumento, non dopo.

Non serve un software dedicato. Serve disciplina nel tenerlo aggiornato.

Gli attestati

Un attestato non è obbligatorio per legge in senso formale. È però lo strumento più immediato per rispondere a una richiesta di verifica da parte di un’autorità, perché costituisce prova individuale nominativa con data e contenuto.

Un attestato valido ai fini della conformità all’art. 4 deve indicare: nome del partecipante, titolo e contenuto sintetico del percorso, data di completamento e durata in ore, ente o soggetto erogatore, modalità di verifica dell’apprendimento. Se la formazione è erogata internamente, l’azienda stessa può produrre l’attestato. Se è esterna, lo rilascia l’ente formatore. In entrambi i casi, va conservato e collegato al registro.

Per i professionisti iscritti a ordini, conviene verificare se l’ordine di appartenenza ha già recepito l’obbligo di alfabetizzazione AI nei propri regolamenti di aggiornamento professionale continuo. Alcuni stanno muovendosi in questa direzione.

Le policy interne: necessarie, ma non sufficienti da sole

Il registro e gli attestati dimostrano che la formazione è avvenuta. Le policy interne dimostrano che l’azienda ha ragionato su come usare i sistemi AI in modo responsabile. I due strumenti si completano e non si sostituiscono.

Una policy sull’uso dell’AI, anche di tre o quattro pagine, dovrebbe coprire almeno: quali sistemi AI sono autorizzati, chi può usarli e per quali attività, cosa non è consentito, come segnalare anomalie, chi è il responsabile interno. Riprendendo la clinica dell’esempio: una policy che vieta al personale di inserire dati clinici dei pazienti in strumenti AI non approvati dalla direzione sanitaria, e che obbliga a segnalare qualsiasi output anomalo del sistema di triage, costruisce insieme al registro un quadro di conformità coerente e verificabile.

Una policy senza formazione documentata non prova che il personale conosca le regole. Una formazione senza policy non prova che l’azienda abbia definito le regole da seguire. Entrambe le lacune, in sede di controllo, pesano.

Cosa rischia chi non documenta

Le sanzioni previste dall’art. 99 del Regolamento UE 2024/1689 arrivano fino a 15 milioni di euro o al 3% del fatturato mondiale annuo. Ma il rischio non è solo sanzionatorio: in caso di incidente o contestazione, l’assenza di documentazione rende impossibile dimostrare la diligenza adottata. L’onere della prova sta interamente dalla parte dell’azienda.

Chi acquista strumenti AI già pronti da terzi non è esonerato da questi obblighi. Acquistare un sistema già sviluppato significa comunque essere deployer a tutti gli effetti, con gli obblighi che ne derivano. Questa è la parte che molte aziende italiane non hanno ancora metabolizzato: l’AI Act non è un problema del fornitore del software. È un problema di chi lo usa.

L’azione concreta da fare adesso è mappare quali sistemi AI sono già in uso nell’organizzazione, identificare i ruoli che li utilizzano, e aprire un registro della formazione per ciascuno di quei ruoli. Tutto il resto, policy incluse, si costruisce su quella base.

---

Questo articolo non costituisce parere legale. Per valutazioni specifiche sulla situazione della tua azienda, rivolgiti a un professionista qualificato.

Domande correlate

Serve un attestato per dimostrare la formazione AI obbligatoria?

Non è obbligatorio per legge in senso formale, ma è lo strumento più diretto per rispondere a una verifica. Un attestato nominativo con data, contenuto e durata del percorso, conservato insieme al registro della formazione, è la prova più solida che un’azienda possa produrre in caso di controllo.

Quanto deve durare la formazione AI per essere considerata adeguata?

La norma non fissa un numero minimo di ore. Il criterio è la proporzionalità al ruolo e al sistema usato. Un addetto che usa un chatbot di assistenza clienti ha bisogni diversi da un responsabile che valuta output di un sistema di selezione del personale. La durata deve riflettere questa differenza.

Chi deve fare la formazione AI in azienda?

Tutti coloro che interagiscono con sistemi AI nell’esercizio del proprio lavoro, compresi i collaboratori esterni che operano per conto dell’azienda. La norma include esplicitamente chi prende decisioni operative per conto del deployer, non solo i dipendenti diretti.

Una policy interna sull’AI è sufficiente senza registro della formazione?

No. La policy definisce le regole, ma non prova che il personale le conosca. Il registro dimostra che le persone sono state messe nelle condizioni di capire e applicare quelle regole. I due strumenti si completano e non si sostituiscono a vicenda.

Cosa rischia un’azienda che non documenta la formazione AI?

Le sanzioni previste dal Regolamento UE 2024/1689 arrivano fino a 15 milioni di euro o al 3% del fatturato mondiale annuo (art. 99). La mancanza di documentazione non è solo un rischio sanzionatorio: in caso di incidente o contestazione, l’assenza di prove rende impossibile dimostrare la diligenza adottata.

Fonti:

• Regolamento UE 2024/1689 (AI Act), art. 3, art. 4, art. 99: https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX%3A32024R1689 (accesso agosto 2026)
• Giacomo Piva, “Alfabetizzazione IA: art. 4 AI Act”: https://www.giacomopiva.com/alfabetizzazione-ia-art-4-ai-act/ (accesso agosto 2026)
• WST Legal, “IA e obblighi di alfabetizzazione per le imprese”: https://www.wstlegal.eu/it/ia-e-obblighi-di-alfabetizzazione-per-le-imprese-i-recenti-chiarimenti-attuativi-della-commissione-ue/ (accesso agosto 2026)