Alfabetizzazione AI: chiarimenti della Commissione UE

In sintesi

• La Commissione Europea ha confermato l’assenza di requisiti rigidi sul formato della formazione AI richiesta dal Regolamento UE 2024/1689.
• L’obbligo riguarda chi usa sistemi AI in contesti professionali: l’azienda deve garantire un livello sufficiente di alfabetizzazione, proporzionato al ruolo e al tipo di sistema impiegato.
• Non esiste un attestato standardizzato da produrre: serve documentazione interna che dimostri le misure adottate e la loro coerenza con i rischi del sistema usato.
• La flessibilità non significa assenza di obblighi: chi non documenta nulla è esposto a sanzioni che per gli operatori arrivano fino a 15 milioni di euro o al 3% del fatturato annuo mondiale.
• Il calendario di applicazione del Regolamento è scaglionato fino al 2027, ma alcune disposizioni sono già operative: agire ora riduce il rischio di trovarsi impreparati alle scadenze successive.

La Commissione Europea ha pubblicato FAQ ufficiali sull’alfabetizzazione AI, disponibili sul portale della strategia digitale europea, che chiariscono come leggere gli obblighi pratici del Regolamento UE 2024/1689. Il messaggio centrale è scomodo per chi sperava in una lista di controllo: non esiste un corso tipo, una durata minima, né un attestato standard. Esiste solo la documentazione di ciò che hai fatto, valutata in proporzione al sistema AI usato e al ruolo di chi lo usa. Per molte aziende italiane che hanno adottato strumenti AI integrati in software già in uso senza che nessuno abbia mai pronunciato la parola “intelligenza artificiale” durante la vendita, questo significa che l’obbligo è già scattato e nessuno lo sa.

Flessibilità come scelta tecnica, non come regalo

Il Regolamento UE 2024/1689 è entrato in vigore il 1° agosto 2024. L’applicazione è progressiva: alcune disposizioni sono già operative, altre entreranno in vigore nel 2026 e nel 2027. Le FAQ pubblicate dalla Commissione — accessibili sul portale della strategia digitale europea — chiariscono che non vengono previsti requisiti rigidi riguardo al “livello sufficiente di alfabetizzazione all’IA”, riconoscendo la necessità di flessibilità considerata l’ampiezza della materia e la rapida evoluzione tecnologica.

Questa scelta ha una logica precisa che vale la pena esplicitare, perché spesso viene fraintesa come un alleggerimento. Imporre un formato unico a settori radicalmente diversi sarebbe inapplicabile: un medico che usa un sistema di supporto diagnostico ha bisogno di sapere cose molto diverse rispetto a un receptionist che gestisce prenotazioni tramite un chatbot. La flessibilità serve a rendere l’obbligo reale, non a svuotarlo. Il rischio, però, è che senza un benchmark chiaro le autorità di vigilanza finiscano per applicare criteri disomogenei tra stati membri, trasformando la flessibilità in incertezza strutturale per le aziende che operano su più mercati europei.

Fornitore e operatore: una distinzione che cambia tutto

Confondere queste due figure è l’errore più diffuso, e da quella confusione dipendono obblighi molto diversi.

Il fornitore è chi sviluppa o immette sul mercato un sistema AI. I suoi obblighi riguardano la progettazione, la documentazione tecnica, la marcatura CE per i sistemi ad alto rischio. L’operatore è chi mette in uso il sistema AI in un contesto professionale specifico, ed è su di lui che ricade l’obbligo di garantire un livello sufficiente di alfabetizzazione per le persone che usano il sistema, disciplinato principalmente dall’Art. 26 del Regolamento.

Uno studio di commercialisti che usa uno strumento AI per l’analisi dei bilanci è un operatore. I professionisti devono capire i limiti del sistema, i casi in cui l’output va verificato manualmente, le responsabilità che restano in capo al commercialista anche quando è la macchina a produrre il primo risultato. Questo caso è utile da sviluppare perché concentra il problema reale: non si tratta di sapere cos’è un algoritmo, ma di sapere quando non fidarsi di quello specifico algoritmo, in quello specifico contesto, con quelle specifiche conseguenze per il cliente. Una formazione generica sull’AI non risponde a questa domanda. Una sessione di due ore con il fornitore del software, documentata con data, partecipanti e argomenti trattati, e collegata esplicitamente al sistema in uso, sì.

La documentazione è l’unica prova che conta

In assenza di un attestato standard, la documentazione interna diventa il solo strumento per dimostrare la conformità. Se un’autorità di vigilanza chiede prova che i dipendenti abbiano ricevuto formazione adeguata sull’uso di un sistema AI, non basta dichiarare di aver fatto una riunione. Serve un documento che riporti data, partecipanti, contenuti trattati, sistema AI di riferimento, eventuale materiale distribuito. La stessa logica della formazione sulla sicurezza sul lavoro, o della privacy: l’obbligo esiste, la prova dell’adempimento è documentale.

Le sanzioni per gli operatori che non rispettano gli obblighi previsti dal Regolamento arrivano fino a 15 milioni di euro o al 3% del fatturato annuo mondiale, a seconda di quale importo sia maggiore. Per violazioni più gravi, come l’uso di sistemi vietati o il mancato rispetto dei requisiti per i sistemi ad alto rischio, il massimo sale a 35 milioni di euro o al 7% del fatturato. Sono cifre calibrate sui grandi gruppi, ma il meccanismo percentuale si applica a qualsiasi dimensione aziendale. Un’azienda italiana con cinque milioni di fatturato esposta a una contestazione sul 3% non è al sicuro per il solo fatto di essere piccola.

Resta una questione aperta che le FAQ non risolvono: chi valuta se la documentazione è “sufficiente”? Il Regolamento non fissa soglie quantitative, e le autorità nazionali di vigilanza non hanno ancora prodotto linee guida operative uniformi. Questo significa che, almeno nella fase iniziale di enforcement, la qualità della documentazione sarà giudicata caso per caso, con margini di discrezionalità ampi. Per le aziende, questo è un argomento per documentare più, non meno.

Come iniziare

L’azione più utile in questo momento non è cercare un corso certificato. È costruire un registro interno, anche in forma di foglio di calcolo, che per ogni sistema AI in uso riporti: chi lo usa, con quale frequenza, quali decisioni supporta, quali rischi comporta un errore, e quando è stata fatta l’ultima sessione formativa con chi vi ha partecipato. Partire dai sistemi più usati, non da quelli più sofisticati. Quella struttura, aggiornata nel tempo, è la prova documentale che il Regolamento richiede e che nessun attestato esterno può sostituire.

Domande correlate

Serve un attestato esterno per dimostrare la formazione AI?

No. La Commissione Europea ha chiarito nelle FAQ sull’alfabetizzazione AI che non esiste un formato obbligatorio. Un attestato esterno può essere utile come prova documentale, ma non è l’unico strumento valido. Conta la documentazione interna delle misure adottate, coerente con il ruolo e il sistema AI usato.

Chi è responsabile della formazione AI in azienda: il fornitore del software o l’azienda che lo usa?

L’obbligo di garantire l’alfabetizzazione ricade sull’operatore, cioè sull’azienda che usa il sistema AI in un contesto professionale. Il fornitore del software ha obblighi distinti, legati alla progettazione e alla documentazione tecnica del sistema, disciplinati da articoli diversi del Regolamento UE 2024/1689.

L’AI Act si applica già o devo aspettare il 2027?

Il Regolamento è in vigore dall’agosto 2024 con un calendario di applicazione progressivo. Alcune disposizioni, incluse quelle sui sistemi vietati, si applicano già. Gli obblighi per i sistemi ad alto rischio entreranno in vigore per fasi fino al 2027. Agire ora sulla documentazione riduce il rischio di trovarsi impreparati alle scadenze successive.

Quanto deve durare una sessione di formazione AI per essere valida?

Il Regolamento non fissa una durata minima. La formazione deve essere proporzionata al ruolo e al sistema usato. Una sessione breve e ben documentata su un sistema a rischio limitato è più difendibile di un corso generico non collegato ai sistemi realmente in uso.

Un ristorante o un negozio che usa AI per le prenotazioni deve fare formazione?

Dipende dal tipo di sistema e dal suo livello di rischio. Per sistemi a rischio limitato o minimo, gli obblighi sono ridotti. Documentare anche una breve informativa agli addetti è una buona pratica che non richiede sforzo significativo e riduce l’esposizione in caso di contestazione.

Fonti:

• Commissione Europea, FAQ sull’alfabetizzazione AI: https://digital-strategy.ec.europa.eu/it/faqs/ai-literacy-questions-answers (accesso settembre 2026)
• Regolamento UE 2024/1689 (AI Act), testo ufficiale: https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32024R1689 (accesso settembre 2026)
• WST Legal, analisi degli obblighi di alfabetizzazione AI: https://www.wstlegal.eu/it/ia-e-obblighi-di-alfabetizzazione-per-le-imprese-i-recenti-chiarimenti-attuativi-della-commissione-ue/ (accesso settembre 2026)

Non costituisce parere legale.