Formazione AI: l'AI Office chiarisce l'obbligo

In sintesi

• L’art. 4, par. 1 del Regolamento UE 2024/1689 (AI Act) obbliga fornitori e deployer, ovvero le organizzazioni che mettono in uso sistemi AI sviluppati da altri, ad adottare misure concrete di alfabetizzazione per il proprio personale.
• L’AI Office ha confermato che non esiste un livello minimo fisso: il contenuto della formazione dipende dai sistemi usati, dai rischi associati e dal ruolo specifico di ciascun dipendente.
• Per i sistemi ad alto rischio, come quelli usati in ambito medico, legale o HR, sono richieste misure aggiuntive rispetto alla formazione base.
• La flessibilità è esplicita nel testo normativo: vanno considerate conoscenze tecniche, esperienza, istruzione e formazione pregressa di ogni persona coinvolta.
• Un corso uguale per tutti non soddisfa l’obbligo: la modulazione per funzione aziendale è il requisito minimo di conformità.

---

A luglio 2025 l’AI Office, l’ufficio della Commissione europea che vigila sull’applicazione del Regolamento UE 2024/1689, ha pubblicato una serie di risposte alle domande frequenti sull’alfabetizzazione AI. Il messaggio centrale è scomodo per chi ha già spuntato la casella “formazione fatta”: non esiste un formato standard, non esiste un monte ore minimo, e un webinar aziendale uguale per tutti non costituisce adempimento. L’obbligo è proporzionale al rischio dei sistemi usati e al ruolo di chi li usa. Questo non è un dettaglio interpretativo. È la struttura dell’art. 4.

Cosa ha chiarito l’AI Office e perché cambia qualcosa

Fino a qualche mese fa molte organizzazioni italiane interpretavano l’art. 4 dell’AI Act come un obbligo generico di sensibilizzazione. Il chiarimento dell’AI Office smonta questa lettura in modo diretto: l’approccio deve essere basato sul rischio. Le organizzazioni sono tenute a modulare l’alfabetizzazione AI in funzione dei rischi associati ai sistemi che forniscono o distribuiscono, non in funzione di quante ore di corso riescono a organizzare.

Per i sistemi classificati ad alto rischio, come quelli che supportano decisioni in ambito clinico, valutazioni del credito, selezione del personale o gestione di infrastrutture critiche, potrebbero essere necessarie misure aggiuntive rispetto alla formazione base. Il chiarimento tocca in modo diretto qualunque organizzazione italiana che abbia già adottato strumenti AI, anche quelli acquistati da un fornitore esterno. Usare un sistema sviluppato da altri non esonera dall’obbligo formativo.

L’opinione scomoda che il chiarimento porta con sé è questa: l’AI Office ha definito il metodo senza definire i contenuti minimi, lasciando alle organizzazioni la responsabilità di dimostrare l’adeguatezza delle proprie scelte davanti alle autorità di vigilanza. In assenza di standard verificabili, il rischio concreto è che la conformità venga valutata ex post, dopo un incidente, con criteri che nessuno ha comunicato in anticipo. La flessibilità normativa, in questo caso, trasferisce il rischio interpretativo interamente sulle spalle di chi usa i sistemi.

Il testo normativo: cosa dice esattamente l’art. 4

L’art. 4, par. 1 del Regolamento UE 2024/1689, come riscritto dal Digital Omnibus, stabilisce che i fornitori e i deployer di sistemi di IA adottano misure per promuovere l’alfabetizzazione in materia di IA del loro personale e delle altre persone che si occupano del funzionamento e dell’uso dei sistemi di IA per loro conto. Il testo vigente aggiunge un punto che vale la pena leggere due volte: non è richiesto un livello specifico di alfabetizzazione per alcuna persona.

La norma specifica i criteri da considerare: le conoscenze tecniche, l’esperienza, l’istruzione e la formazione pregressa delle persone coinvolte, nonché il contesto d’uso. Non è una lista esaustiva. Indica la direzione: la formazione deve essere proporzionata alla persona e al sistema, non standardizzata per comodità organizzativa.

Il termine deployer indica chi mette in uso un sistema AI sviluppato da altri nel proprio contesto professionale. Uno studio legale che usa uno strumento di analisi contrattuale automatizzata è un deployer. L’obbligo dell’art. 4 si applica indipendentemente dal fatto che l’organizzazione abbia scritto una riga di codice.

Come si traduce in pratica: mappatura per funzione

Il chiarimento dell’AI Office impone un cambio di metodo nella progettazione dei piani formativi. Il punto di partenza non è quante ore di formazione erogare. È chi usa cosa e con quali conseguenze.

Un’agenzia immobiliare che usa un sistema di valutazione automatica degli immobili per alimentare le proposte commerciali agli acquirenti illustra bene la distinzione. Quel sistema influenza decisioni economiche rilevanti per i clienti, il che lo avvicina alle categorie di rischio più elevato. Gli agenti che lo usano devono capire come funziona, quali sono i suoi limiti, quando non fidarsi dell’output e come documentare la supervisione umana. Se la stessa agenzia usa anche un assistente per la redazione delle email, chi lo usa ha un profilo di rischio radicalmente diverso: una formazione base sui rischi generali dell’AI è sufficiente. Stessa organizzazione, due sistemi, due obblighi formativi distinti. Trattarli allo stesso modo non è solo inefficiente: non è conforme alla norma.

Una mappatura operativa minima prevede tre passaggi: censire i sistemi AI in uso distinguendo quelli a rischio limitato da quelli che rientrano nelle categorie ad alto rischio elencate nell’Allegato III del Regolamento; associare a ciascun sistema le persone che lo operano, lo supervisionano o ne usano gli output per prendere decisioni; calibrare il contenuto formativo su questa mappa, non sull’organigramma generale.

Cosa non costituisce formazione adeguata

L’AI Office non ha fornito un elenco negativo esplicito, ma la logica del chiarimento esclude alcune pratiche comuni. Un corso online generico sull’intelligenza artificiale, uguale per tutta l’organizzazione, non dimostra che l’organizzazione ha considerato i rischi specifici dei propri sistemi. Una policy interna sull’uso dell’AI, senza formazione associata, non soddisfa l’obbligo di “adottare misure”. Una singola sessione informativa annuale, senza aggiornamento al variare dei sistemi in uso, non copre la natura dinamica dell’obbligo.

La parola “misure” usata nell’art. 4 è intenzionalmente ampia. Include formazione, ma anche procedure operative, supervisione, accesso a documentazione tecnica. La conformità si costruisce su più livelli, non su un unico evento formativo.

Il problema dell’inventario invisibile

Le organizzazioni italiane che stanno affrontando il problema in modo più strutturato riferiscono di trovarsi davanti a una difficoltà comune prima ancora di progettare qualsiasi piano formativo: non sanno con precisione quanti e quali sistemi AI stanno usando. Strumenti adottati autonomamente dai singoli dipendenti, spesso senza un processo di acquisto formale, allargano il perimetro in modo imprevedibile. Alcune organizzazioni scoprono di usare più sistemi AI di quanti ne abbiano autorizzati, e alcuni di quei sistemi rientrano in categorie che richiedono attenzione specifica.

Questo è il punto in cui la conformità all’art. 4 smette di essere un problema di formazione e diventa un problema di governance. Prima di decidere cosa insegnare e a chi, serve sapere cosa gira nell’organizzazione. L’inventario dei sistemi AI in uso è il prerequisito che nessun piano formativo può sostituire. Le disposizioni dell’art. 4 sono applicabili dal 2 agosto 2026 per la maggior parte dei sistemi, con scadenze differenziate per i sistemi ad alto rischio: il tempo per costruire quell’inventario esiste, ma si sta riducendo.

Domande correlate

Cosa deve contenere un programma di formazione AI per l’art. 4?

Non esiste un contenuto minimo fisso stabilito per legge. Il Regolamento UE 2024/1689 richiede che la formazione sia proporzionata al ruolo, all’esperienza pregressa e ai sistemi AI usati. Per i sistemi ad alto rischio servono contenuti specifici sui limiti del sistema, sulla supervisione umana e sulla documentazione delle decisioni.

Un corso online generico sull’AI è sufficiente per essere conformi?

Dipende dal contesto. Per chi usa solo strumenti a rischio minimo può essere un punto di partenza. Per chi opera sistemi ad alto rischio, un corso generico non dimostra che l’organizzazione ha considerato i rischi specifici dei propri sistemi. L’AI Office ha escluso approcci uniformi non contestualizzati.

Chi è responsabile della formazione AI in azienda?

L’art. 4 dell’AI Act pone l’obbligo in capo all’organizzazione in quanto fornitore o deployer. Nella pratica, la responsabilità operativa ricade tipicamente su chi gestisce HR, compliance o sistemi informativi, ma la scelta su come strutturare il piano è una decisione aziendale, non tecnica.

Quando scatta l’obbligo di formazione AI per un’azienda italiana?

Le disposizioni dell’art. 4 del Regolamento UE 2024/1689 sono applicabili dal 2 agosto 2026 per la maggior parte dei sistemi, ma i sistemi ad alto rischio hanno scadenze differenziate. Alcune categorie sono già soggette a obblighi anticipati. Verificare la classificazione del proprio sistema è il primo passo.

La formazione va documentata?

Il Regolamento non prescrive un formato specifico di documentazione per l’art. 4, ma la logica della conformità basata sul rischio implica che l’organizzazione debba poter dimostrare di aver adottato misure concrete e documentate. Conservare evidenza dei contenuti erogati, dei partecipanti e della data è una precauzione minima consigliata.

Fonti:

• AI literacy: domande e risposte, Commissione europea, AI Office (accesso agosto 2026)
• Regolamento UE 2024/1689 (AI Act), art. 4, EUR-Lex (accesso agosto 2026)
• IA e obblighi di alfabetizzazione per le imprese: i recenti chiarimenti attuativi della Commissione UE, WST Legal (accesso agosto 2026)

Non costituisce parere legale.