AI Act: vanno formati anche fornitori e consulenti

Obbligo AI Act: anche fornitori e consulenti vanno formati

L’Art. 4 del Regolamento UE 2024/1689 sull’intelligenza artificiale non si limita ai dipendenti diretti. Chi gestisce sistemi AI per conto della tua azienda, inclusi appaltatori, agenzie e fornitori di servizi, rientra nell’obbligo di alfabetizzazione. La Commissione Europea lo ha chiarito esplicitamente.

In sintesi

• L’Art. 4 del Reg. UE 2024/1689 impone ai fornitori e ai deployer (chi mette in uso un sistema AI nella propria organizzazione) di promuovere l’alfabetizzazione AI delle persone che operano sotto il loro mandato organizzativo, senza imporre un livello valido per tutti.
• La Commissione Europea ha confermato che “persone che si occupano del funzionamento e dell’uso dei sistemi di IA” include appaltatori, fornitori di servizi e clienti, non solo i dipendenti con contratto diretto.
• L’obbligo è applicabile dal 2 febbraio 2025, data di entrata in vigore delle disposizioni generali del Regolamento, tra cui l’Art. 4.
• Non basta una clausola contrattuale: serve verificare che il livello di alfabetizzazione sia effettivamente adeguato al ruolo e al sistema usato.
• Chi non presidia questo perimetro espone l’organizzazione a rischi di non conformità difficili da dimostrare a posteriori.

Chi rientra nell’Art. 4: la risposta della Commissione

L’Art. 4 del Regolamento UE 2024/1689, il cosiddetto AI Act, stabilisce che fornitori e deployer adottino misure per promuovere l’alfabetizzazione AI delle persone che lavorano sotto la loro responsabilità. Nel testo riscritto dal Digital Omnibus la legge non impone un livello specifico per nessuna di queste persone: resta l’obbligo di attivarsi, e resta all’azienda il compito di decidere quanto. Con deployer il Regolamento intende qualsiasi organizzazione che mette in uso un sistema di intelligenza artificiale nel proprio contesto operativo, non solo chi lo costruisce.

La formulazione “sotto la loro responsabilità” è rimasta volutamente ampia nel testo normativo. La Commissione Europea ha poi delimitato il perimetro in modo diretto: nella sezione FAQ dedicata all’alfabetizzazione AI, pubblicata sul portale della strategia digitale europea, si precisa che “persone che si occupano del funzionamento e dell’uso dei sistemi di IA per conto di fornitori/datori di lavoro” non significa soltanto dipendenti con contratto subordinato. Include chiunque sia “ampiamente soggetto al mandato organizzativo”. Gli esempi espliciti citati dalla Commissione sono tre: un appaltatore, un fornitore di servizi, un cliente.

Il punto è chiaro. Per un’azienda italiana che affida la gestione delle campagne pubblicitarie a un’agenzia esterna che usa piattaforme con funzioni AI, o per uno studio legale che si avvale di un consulente informatico per un sistema di analisi documentale automatizzata, questo chiarimento ha implicazioni dirette. Il perimetro dell’obbligo si estende oltre la busta paga.

Cosa fare oggi? Prima di qualsiasi corso, serve capire chi, nella tua catena operativa, tocca sistemi AI per svolgere attività che riguardano la tua organizzazione.

Cosa cambia in concreto per chi gestisce collaboratori esterni

Non si tratta di un esercizio accademico. Rivedere come si strutturano i rapporti con l’esterno, quando è in gioco l’uso di sistemi AI, è una necessità operativa con scadenza già passata.

Facciamo tre esempi concreti, perché il perimetro può sembrare astratto finché non lo si applica al proprio settore.

Un hotel che affida la gestione delle prenotazioni a un revenue manager esterno, cioè un consulente che ottimizza i prezzi delle camere, e che usa strumenti di tariffazione dinamica basati su AI: quel professionista rientra nel perimetro dell’Art. 4. Una clinica privata che si avvale di un fornitore di software per la gestione delle liste d’attesa con funzioni predittive, ovvero sistemi che stimano i tempi di attesa o prioritizzano i pazienti in autonomia: i referenti di quel fornitore che operano sull’installazione rientrano nel perimetro. Un e-commerce che usa un’agenzia per la gestione del catalogo prodotti tramite strumenti di descrizione automatica generati da modelli linguistici, cioè sistemi AI che producono testo partendo da dati strutturati come schede tecniche o listini: anche qui, il perimetro si allarga.

Non è un obbligo di formare chiunque tocchi un computer. È un obbligo di garantire che chi opera con sistemi AI in modo funzionale all’organizzazione abbia una comprensione adeguata di cosa fa quel sistema, quali sono i suoi limiti, e quando è necessario un intervento umano. Il livello richiesto varia in base al ruolo e al tipo di sistema: lo stesso Art. 4 parla di livello “sufficiente” in relazione al contesto, non di una certificazione universale.

Resta il fatto che nessun settore è escluso. Uno studio commercialista che usa un software con funzioni AI per la riconciliazione contabile affidata a un collaboratore esterno: stesso ragionamento.

Il rischio concreto di una lettura troppo stretta

Molte organizzazioni stanno affrontando l’Art. 4 come se fosse un obbligo di formazione interna, simile alla sicurezza sul lavoro: si organizza un corso, si raccolgono le firme, si archivia. Questo approccio è insufficiente. Per due ragioni precise.

Prima ragione: i collaboratori esterni non sono coperti da quella formazione interna, e se usano sistemi AI per conto dell’organizzazione, il gap rimane aperto.

Seconda ragione: la norma non chiede solo che la formazione sia erogata, ma che il livello di alfabetizzazione sia “sufficiente”. Questo implica una valutazione, non solo un’erogazione. Un’impresa che in caso di controllo o contenzioso non riesce a dimostrare di aver verificato la competenza dei propri collaboratori esterni si trova in una posizione difficile da sostenere.

L’Art. 99 del Regolamento elenca le violazioni sanzionabili, e l’Art. 4 non compare in quell’elenco con una multa propria: per la sola alfabetizzazione non esiste un importo dedicato. Le fasce fino a 15 milioni di euro o al 3% del fatturato mondiale annuo riguardano altri obblighi, e non sono soglie pensate solo per le grandi multinazionali. Il Regolamento si applica a chiunque metta in uso sistemi AI nel mercato europeo, indipendentemente dalle dimensioni aziendali. Un ristorante che usa un sistema AI per la gestione degli ordini online, affidato a un’agenzia di sviluppo esterna, è dentro questo perimetro tanto quanto una società da mille dipendenti.

Tre passaggi operativi da fare adesso

Il punto di partenza non è un corso. È una mappatura.

Primo passaggio: censire chi usa sistemi AI per conto tuo. Agenzie, consulenti, fornitori di software con funzioni AI attive, professionisti esterni che operano su tuoi dati o processi con strumenti automatizzati. Non serve un inventario perfetto. Serve un inventario onesto.

Secondo passaggio: verificare il livello di alfabetizzazione esistente. Per i collaboratori interni si può fare con un test o un colloquio strutturato. Per gli esterni, si può richiedere documentazione della formazione ricevuta o inserire nei contratti di servizio un obbligo esplicito di alfabetizzazione AI adeguata al ruolo, con possibilità di verifica da parte tua.

Terzo passaggio: documentare. L’AI Act, come il GDPR, il Regolamento UE 2016/679 sulla protezione dei dati personali, premia chi può dimostrare di aver agito con diligenza. Tenere traccia di chi è stato formato, su cosa, con quale strumento e con quale esito è la base minima per una difesa credibile in caso di contestazione. Non esiste un formato obbligatorio: conta la tracciabilità e la coerenza con il rischio del sistema usato.

Chi decide non può delegare questa verifica al responsabile IT o all’ufficio HR. È una scelta organizzativa che riguarda il perimetro di responsabilità dell’intera attività.

Domande correlate

L’obbligo di formazione AI vale anche per i fornitori occasionali?

La norma parla di persone che operano “sotto il mandato organizzativo” dell’azienda. Un fornitore occasionale che non usa sistemi AI nell’esecuzione del servizio non rientra. Se invece usa strumenti AI per svolgere attività per conto tuo, anche in modo saltuario, il perimetro si applica. La valutazione va fatta caso per caso in base al ruolo effettivo.

Posso inserire l’obbligo di alfabetizzazione AI nei contratti con i fornitori?

Sì, ed è una delle strade più pratiche. Una clausola contrattuale che impegna il fornitore a formare il personale che opera sui tuoi sistemi o dati sposta parte della responsabilità operativa, pur non eliminando il tuo obbligo di verifica. Va abbinata a un meccanismo di controllo, anche semplice.

Da quando è in vigore l’obbligo dell’Art. 4?

L’Art. 4 del Reg. UE 2024/1689 è applicabile dal 2 febbraio 2025, data di entrata in applicazione delle disposizioni generali del Regolamento, incluso il Capo I che contiene l’Art. 4 sull’alfabetizzazione AI.

Come si dimostra di aver rispettato l’Art. 4 in caso di controllo?

Serve documentazione: registro delle persone formate o verificate, descrizione del percorso formativo, data e modalità. Per i collaboratori esterni, contratti con clausole esplicite e, dove possibile, attestazioni della formazione ricevuta. Non esiste un formato obbligatorio: conta la tracciabilità e la coerenza con il rischio del sistema usato.

Un cliente che usa un mio sistema AI rientra nell’obbligo?

Dipende dal ruolo. Se il cliente usa il sistema in autonomia, senza operare “per conto” della tua organizzazione, l’obbligo ricade su di lui come deployer. Se invece opera come estensione del tuo processo, ad esempio in un rapporto di mandato o outsourcing, il perimetro dell’Art. 4 può estendersi. È uno dei casi in cui vale la pena di un’analisi specifica.

Fonti:

• Commissione Europea, FAQ sull’alfabetizzazione AI (AI literacy), Digital Strategy Portal: https://digital-strategy.ec.europa.eu/it/faqs/ai-literacy-questions-answers (accesso agosto 2026)
• Regolamento UE 2024/1689 del Parlamento Europeo e del Consiglio, Art. 4 e Art. 99, Gazzetta Ufficiale dell’Unione Europea, 12 luglio 2024: https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=OJ:L_202401689 (accesso agosto 2026)

Non costituisce parere legale.