AI Act: cosa deve contenere il piano formativo

AI Act art. 4: cosa deve contenere il piano formativo

A marzo 2025 l’AI Office, l’ufficio della Commissione europea che supervisiona l’applicazione del Regolamento UE 2024/1689, noto come AI Act, ha pubblicato una serie di domande e risposte operative sull’articolo 4. Chi in azienda decide come formare il personale sull’intelligenza artificiale ha ora un riferimento ufficiale su cosa deve contenere il programma minimo.

In sintesi

• L’art. 4 del Regolamento UE 2024/1689 (AI Act) obbliga fornitori e deployer, cioè chi usa i sistemi di IA nel proprio contesto operativo, ad adottare misure concrete di alfabetizzazione AI per il personale coinvolto.
• L’AI Office chiarisce che non esiste un programma standard universale: il contenuto minimo dipende dai rischi associati ai sistemi usati dall’organizzazione.
• Per i sistemi classificati ad alto rischio, il programma formativo deve prevedere misure aggiuntive rispetto al minimo base.
• L’approccio è flessibile e contestuale: dimensione dell’organizzazione, settore e ruoli del personale sono tutti fattori legittimi nella calibrazione.
• Il documento di chiarimento dell’AI Office è disponibile sul portale ufficiale della Commissione europea.

Perché l’AI Office ha pubblicato queste risposte

L’articolo 4 del Regolamento UE 2024/1689, entrato in vigore il 2 agosto 2024 con applicazione progressiva, impone a fornitori e deployer di sistemi di intelligenza artificiale di adottare misure a sostegno dello sviluppo dell’alfabetizzazione in materia di IA. Il testo, però, non specifica cosa debba contenere concretamente un programma formativo adeguato. Niente ore minime, niente formato, niente test obbligatori.

Da qui il problema pratico. Un imprenditore che ha integrato uno strumento AI nel gestionale, o un direttore di hotel che usa un chatbot (assistente conversazionale automatico) per le prenotazioni, non sa se quello che fa è sufficiente o no. Il chiarimento pubblicato a marzo 2025, accessibile sul portale ufficiale della strategia digitale della Commissione europea, colma questo vuoto. Non è una legge nuova. È la spiegazione di come applicare quella esistente.

Resta il fatto che il documento ha un peso concreto: in caso di ispezione, sarà il riferimento su cui un’autorità di controllo misura la tua posizione.

Cosa dice l’AI Office sul contenuto minimo

Il punto centrale è scomodo nella sua semplicità: non esiste un programma uguale per tutti. L’AI Office adotta un approccio basato sul rischio, il che significa che il livello e il contenuto della formazione devono essere proporzionali ai rischi associati ai sistemi che l’organizzazione usa.

In concreto, la distinzione che conta è questa:

• Sistemi a rischio minimo o limitato, come un filtro antispam o un chatbot di assistenza base: è sufficiente una formazione generale sull’uso responsabile dell’IA, sui limiti degli strumenti e sulle responsabilità del personale. Per un ristorante che usa un sistema automatico di risposta alle recensioni online, una sessione informativa documentata può bastare.
• Sistemi ad alto rischio, come definiti dall’Allegato III del Regolamento, cioè sistemi usati in ambito sanitario, nella selezione del personale, nel credito o nelle infrastrutture critiche: qui servono misure aggiuntive. Una clinica che usa un sistema di supporto alla diagnosi basato su AI deve garantire che i medici e il personale clinico capiscano come funziona lo strumento, quali errori può produrre e quando è necessario ignorarne il risultato.
• Personale non tecnico coinvolto nell’uso quotidiano: anche chi non configura il sistema ma lo usa ogni giorno rientra nell’obbligo. Un addetto al front desk di un hotel che lavora con un sistema di raccomandazione AI per le camere deve ricevere formazione adeguata al suo ruolo, non al ruolo del tecnico che ha installato il software.

Non sorprende che molte organizzazioni scoprano, solo a questo punto, di usare sistemi AI in più processi di quanto pensassero.

Flessibilità sì, ma documentata

L’AI Office esclude esplicitamente requisiti rigidi sul grado di alfabetizzazione da raggiungere, ritenendo necessario un certo margine di flessibilità. Nessun numero minimo di ore. Nessun formato obbligatorio tra corso in aula, e-learning e affiancamento. Nessun test standardizzato imposto dalla norma.

Il punto è un altro. Flessibilità non significa assenza di onere.

In caso di ispezione, la domanda che un’autorità di controllo porrà non è “avete fatto un corso?”. È “come avete valutato i rischi e come avete calibrato la formazione su quei rischi?”. Rispondere a questa domanda richiede un processo deliberato, non una risposta improvvisata il giorno prima del controllo.

Uno studio legale che usa un sistema di analisi documentale basato su AI, ad esempio, dovrà essere in grado di mostrare: quali sistemi usa, quale livello di rischio hanno secondo il Regolamento, chi li usa internamente, quali misure formative ha adottato per quelle persone e perché quelle misure sono proporzionate al rischio. Non è un audit complesso. È, però, un processo che va fatto prima, non dopo.

Chi deve fare cosa: fornitore o deployer

L’obbligo dell’art. 4 vale sia per i fornitori, cioè le aziende che sviluppano e immettono sul mercato sistemi di IA, sia per i deployer, cioè le organizzazioni che usano quei sistemi nel proprio contesto operativo. Per la grande maggioranza delle imprese italiane, il ruolo che conta è il secondo: comprano o si abbonano a uno strumento AI e lo integrano nei propri processi.

Come deployer, l’obbligo formativo riguarda il personale interno che opera con il sistema. Non basta ricevere la documentazione tecnica dal fornitore. L’organizzazione deve attivare in modo autonomo le misure di alfabetizzazione per il proprio contesto specifico.

Un esempio concreto: un ecommerce che usa un sistema di raccomandazione prodotti basato su AI, cioè un algoritmo che suggerisce cosa mostrare a ogni cliente, non può limitarsi a consegnare il manuale del software al responsabile marketing. Deve assicurarsi che quella persona capisca come il sistema produce i suggerimenti, dove può sbagliare e quando serve intervenire manualmente. La responsabilità è dell’organizzazione che usa il sistema, non di chi lo ha venduto.

Tre passi concreti per essere in regola oggi

Sulla base del chiarimento dell’AI Office, la sequenza logica è questa.

Primo: mappare i sistemi di IA in uso. Elencare tutti gli strumenti che usano componenti di intelligenza artificiale, inclusi quelli integrati in software gestionali o piattaforme cloud. Molte organizzazioni scoprono di usarne più di quanto pensassero: un sistema di pianificazione turni, un tool di analisi delle vendite, un assistente per la redazione di testi. Tutti rientrano nell’obbligo se usano componenti AI.

Secondo: classificare il rischio di ciascun sistema. Per ogni strumento, verificare se ricade nelle categorie ad alto rischio dell’Allegato III del Regolamento UE 2024/1689. Questo passaggio determina il livello di formazione richiesto. Per orientarsi, la guida alla classificazione del rischio AI Act che abbiamo predisposto offre un riferimento operativo.

Terzo: progettare e documentare il programma formativo. Definire chi deve ricevere quale formazione, in quale formato e con quale frequenza. Conservare la documentazione: attestati, registri di partecipazione, verbali di riunione in cui il tema è stato affrontato. Dimostrare questa formazione in modo concreto è l’aspetto che più spesso viene sottovalutato. Su questo punto abbiamo una guida specifica.

Domande correlate

Cosa rischia un’azienda che non forma il personale sull’AI Act?

L’art. 99 del Regolamento UE 2024/1689 elenca le violazioni sanzionabili e l’art. 4 non compare in quell’elenco: per la sola alfabetizzazione non esiste una multa propria. Il rischio concreto è un altro: davanti a una contestazione su qualunque obbligo del Regolamento, una formazione carente o non documentata pesa contro l’azienda, e lì le sanzioni arrivano a cifre milionarie.

La formazione deve essere certificata da un ente esterno?

No. L’AI Office non impone certificazioni esterne obbligatorie per l’alfabetizzazione AI generale. L’importante è che la formazione sia documentata, proporzionata ai rischi e dimostrabile in caso di controllo. Per sistemi ad alto rischio potrebbero essere raccomandate verifiche più strutturate, ma non è un requisito generale.

I liberi professionisti sono soggetti all’art. 4 dell’AI Act?

Sì, se usano sistemi di IA nel proprio lavoro e rientrano nella definizione di deployer del Regolamento. Un commercialista o un avvocato che usa strumenti AI per analisi documentale è soggetto agli obblighi di alfabetizzazione per sé stesso e per eventuali collaboratori.

Quanto deve durare un programma formativo minimo?

L’AI Office non fissa una durata minima. La durata deve essere proporzionale alla complessità del sistema usato e al ruolo del personale. Per sistemi a rischio limitato, una sessione informativa documentata può essere sufficiente. Per sistemi ad alto rischio, è ragionevole aspettarsi percorsi strutturati e periodicamente aggiornati.

Il documento dell’AI Office è vincolante come una legge?

No. Le domande e risposte dell’AI Office sono chiarimenti interpretativi, non atti normativi. Hanno valore orientativo e possono essere usati come riferimento in caso di ispezione, ma l’obbligo giuridico deriva direttamente dall’art. 4 del Regolamento UE 2024/1689, che è direttamente applicabile in tutti gli Stati membri.

---

Non costituisce parere legale.

Fonti:

• Commissione europea, AI Office, “AI Literacy: Questions and Answers”, marzo 2025: https://digital-strategy.ec.europa.eu/it/faqs/ai-literacy-questions-answers (accesso agosto 2026)
• Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, art. 4 e Allegato III: https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32024R1689 (accesso agosto 2026)
• WST Legal, “IA e obblighi di alfabetizzazione per le imprese: i recenti chiarimenti attuativi della Commissione UE”: https://www.wstlegal.eu/it/ia-e-obblighi-di-alfabetizzazione-per-le-imprese-i-recenti-chiarimenti-attuativi-della-commissione-ue/ (accesso agosto 2026)