AI Act si applica ai liberi professionisti senza staff

Sì. L’obbligo di alfabetizzazione AI previsto dall’articolo 4 del Regolamento (UE) 2024/1689 vale anche per chi lavora da solo, senza un dipendente. La norma non guarda al numero di persone in studio: guarda a chi usa un sistema di intelligenza artificiale nella propria attività, in qualità di deployer, il soggetto che utilizza il sistema AI nella propria attività professionale. È un equivoco comune, e costa caro fraintenderlo.

In sintesi

• L’articolo 4 dell’AI Act si applica a fornitori e deployer di sistemi AI, senza soglia minima di dipendenti: riguarda anche il professionista solista.
• Il Regolamento è entrato in vigore il 2 agosto 2024, venti giorni dopo la pubblicazione in Gazzetta Ufficiale UE del 12 luglio 2024.
• Gli obblighi legati ai sistemi ad alto rischio, dove è collocato l’articolo 4, decorrono da agosto 2026, con periodo di transizione di 24 mesi.
• Le pratiche vietate si applicano già da febbraio 2025, le norme di governance da agosto 2025: tre scadenze diverse, non una sola.
• Non serve un corso certificato. Serve poter dimostrare, con tracce scritte, che chi usa l’AI nello studio ne capisce funzionamento, limiti e rischi.

Cosa dice davvero l’articolo 4

L’articolo 4 impone a fornitori e deployer di sistemi di intelligenza artificiale di adottare misure che garantiscano un livello sufficiente di alfabetizzazione AI. Riguarda il proprio personale, dove c’è, e chiunque si occupi del funzionamento dei sistemi AI per loro conto.

Il problema è la parola “personale”. Molti la leggono come una norma pensata per aziende con dipendenti da formare, e si sentono fuori dal perimetro se lavorano da soli. Non è così. Il testo, disponibile su EUR-Lex, definisce il deployer come qualunque persona fisica o giuridica che usa un sistema AI sotto la propria autorità, nell’ambito di un’attività professionale. Non parla di dipendenti. Parla di chi usa lo strumento.

Un avvocato che usa un software di ricerca giurisprudenziale basato su AI generativa per costruire la prima bozza di un parere è deployer, con o senza collaboratori in studio. Per chi lavora da solo la conseguenza è pratica: niente delega a “quelli dell’IT”, perché quelli dell’IT semplicemente non esistono. Il professionista è deployer, e deve capirlo lui, lo strumento.

Le tre scadenze che vanno tenute separate

Circolano date sovrapposte che confondono chi deve organizzarsi. Il Regolamento è stato pubblicato in Gazzetta Ufficiale dell’Unione Europea il 12 luglio 2024 ed è entrato in vigore il 2 agosto 2024, venti giorni dopo, secondo la regola standard dell’articolo 113 sull’entrata in vigore degli atti UE. Non il 1° agosto: il conteggio dei venti giorni parte dal 12 luglio e arriva al 2.

Da quella data, però, gli obblighi non partono tutti insieme. Il Regolamento li scaglia su tre binari distinti, e confonderli porta a organizzarsi nel momento sbagliato. Le pratiche vietate sono in vigore da febbraio 2025: riguardano i sistemi AI a rischio inaccettabile, come il riconoscimento biometrico di massa negli spazi pubblici o i sistemi che manipolano le persone senza che se ne rendano conto. I sistemi ad alto rischio, dove è collocato l’articolo 4 sull’alfabetizzazione AI, hanno un periodo di transizione di 24 mesi dall’entrata in vigore, quindi applicazione piena da agosto 2026. Governance e sanzioni sono in vigore da agosto 2025.

L’obbligo di alfabetizzazione dell’articolo 4 è scritto nel Regolamento fin dal 2024, ma la finestra per adeguarsi arriva fino ad agosto 2026. Non è un obbligo già scaduto il 2 febbraio 2025, come talvolta si legge in giro: quella data riguarda solo le pratiche vietate, una categoria diversa e molto più ristretta.

L’AI Office e la Commissione hanno chiarito i contorni pratici dell’obbligo tramite FAQ ufficiali, senza toccare il testo del Regolamento. Non risultano proposte legislative formali che abbiano rimosso il termine “sufficiente” dall’articolo 4. Il testo vigente resta quello del 2024. Qualunque voce su modifiche successive va verificata sulla fonte primaria prima di crederci.

Cosa significa in pratica per chi lavora da solo

L’avvocato dell’esempio precedente, se lavora da solo, deve poter dimostrare, se richiesto, di aver capito cosa fa lo strumento AI che usa, quali sono i suoi limiti, quali rischi comporta per il cliente finale. Non serve un attestato rilasciato da un ente di formazione. Serve una traccia scritta: che documento produce l’AI, chi lo controlla prima che esca dallo studio, cosa succede se lo strumento sbaglia.

Il punto centrale della norma, secondo l’analisi pubblicata dall’avvocato Giacomo Piva sul suo sito professionale, non è la formazione in sé ma la capacità di dimostrarla nel momento in cui viene richiesta. Basta una nota interna, anche di mezza pagina, che spieghi perché è stato scelto quello strumento, cosa il professionista controlla sempre a mano prima di firmare, e come vengono corretti gli errori quando capitano. Quella nota deve esistere, e deve essere vera, non scritta il giorno del controllo.

Fornitore o deployer: un confine che può muoversi

Le obbligazioni cambiano peso in base al ruolo che si occupa. Chi costruisce o personalizza pesantemente un sistema AI, il fornitore, ha responsabilità più ampie di chi lo usa semplicemente come attrezzo di lavoro, il deployer. Il professionista solista che usa un software di terzi senza modificarne il funzionamento è quasi sempre deployer. Ma se lo personalizza pesantemente, per esempio addestrandolo sui propri archivi documentali tramite un addestramento mirato del modello sui propri dati, la qualificazione può cambiare: un notaio che allena un modello sui vent’anni di atti del proprio studio non è più nella stessa casella di chi apre un abbonamento e lo usa così com’è.

Qui vale una lettura meno indulgente della norma. Un obbligo che si accontenta di “misure proporzionate” e di una nota interna di mezza pagina, senza standard minimi verificabili né un organismo terzo che controlli la qualità reale della comprensione, rischia di restare più un esercizio di compliance documentale che una garanzia sostanziale di competenza. La flessibilità voluta dal legislatore europeo è comprensibile, per non schiacciare i professionisti solisti sotto oneri sproporzionati, ma lascia anche ampio margine per adempimenti puramente formali: una nota scritta bene non dimostra che chi l’ha scritta capisca davvero cosa succede dentro lo strumento che usa ogni giorno.

Cosa fare, concretamente

Chi lavora da solo e usa già strumenti AI nella propria attività dovrebbe, prima di agosto 2026, scrivere quella nota interna: due paragrafi che spieghino quale strumento si usa, perché è stato scelto, cosa viene controllato manualmente prima che il lavoro esca dallo studio. È la prova che serve se qualcuno chiede conto dell’obbligo previsto dall’articolo 4.

Domande correlate

Da quando decorre l’obbligo dell’articolo 4 per i professionisti?

L’articolo 4 riguarda i sistemi ad alto rischio, che hanno un periodo di transizione di 24 mesi dall’entrata in vigore del Regolamento, avvenuta il 2 agosto 2024. L’applicazione piena decorre quindi da agosto 2026, data diversa da febbraio 2025, valida solo per le pratiche vietate.

Un consulente senza dipendenti è deployer secondo l’AI Act?

Sì. La definizione di deployer nel Regolamento non richiede una soglia minima di personale. Basta usare un sistema AI sotto la propria autorità nell’ambito di un’attività professionale. Un consulente individuale rientra nella definizione come una società con cento persone.

Serve un certificato per rispettare l’articolo 4?

No. Il Regolamento non impone un formato standard di formazione né un attestato specifico. Chiede misure proporzionate al contesto d’uso e documentabili: una nota interna sullo strumento, i controlli applicati e le verifiche effettuate basta spesso per un professionista solista.

Cosa rischia chi non si adegua all’articolo 4?

Le sanzioni per la violazione degli obblighi di governance sono proporzionate al fatturato e al tipo di violazione, secondo i meccanismi descritti nel Regolamento.

Questo articolo non costituisce parere legale. Per una valutazione specifica della propria situazione professionale si raccomanda la consulenza di un legale specializzato.

Fonti:

• Regolamento (UE) 2024/1689 (AI Act), testo integrale - https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32024R1689 (accesso settembre 2026)
• L’AI Act ridefinisce il rapporto tra tecnologia e controllo interno - https://www.fiscoetasse.com/approfondimenti/16864-alfabetizzazione-digitale-e-ai-act-nuovi-obblighi-per-imprese-e-operatori.html (accesso settembre 2026)
• Alfabetizzazione IA e art. 4 AI Act - https://www.giacomopiva.com/alfabetizzazione-ia-art-4-ai-act/ (accesso settembre 2026)