Formazione AI per ruolo: HR, IT e management

A cura di Alessandro Veneziano · Legal & Compliance · Testo generato con AI, controlli automatici indipendenti · Responsabile editoriale: Alessandro Veneziano · Pubblicato 28 Ago 2026

L’Art. 4 del Regolamento UE 2024/1689, noto come AI Act, è in vigore dall’agosto 2024 con obbligo di alfabetizzazione decorrente dal 2 febbraio 2025. Non prevede un corso uguale per tutti. Prevede proporzionalità: il livello di formazione richiesto dipende da chi sei, cosa fai e quale sistema usi. Partire dal programma sbagliato non è neutro, è un rischio documentabile.

In sintesi

L’Art. 4 del Regolamento UE 2024/1689 (AI Act) obbliga i deployer, cioè le aziende che usano sistemi AI sviluppati da terzi, a promuovere l’alfabetizzazione AI del proprio personale
La legge non impone un livello specifico a nessuno: quello che chiede è proporzionalità rispetto al ruolo, al contesto e ai rischi specifici del sistema in uso
HR deve riconoscere il cosiddetto bias algoritmico, ovvero la tendenza dei sistemi AI a replicare discriminazioni presenti nei dati di partenza; IT deve valutare dove vanno i dati aziendali; il management deve capire cosa firma e cosa rischia
Un corso generico da due ore copre l’obbligo formale solo in apparenza: in caso di audit o contenzioso, la proporzionalità è il primo parametro che un ispettore verifica
Il punto di partenza non è scegliere un corso, ma mappare chi usa cosa e con quale grado di autonomia decisionale

Cosa dice davvero l’Art. 4 AI Act

L’Art. 4 del Regolamento UE 2024/1689, nel testo entrato in vigore nel 2024, stabiliva che fornitori e deployer di sistemi AI “adottano misure per garantire, nella misura del possibile, un livello sufficiente di alfabetizzazione in materia di AI del loro personale e di altre persone che si occupano del funzionamento e dell’uso dei sistemi AI per loro conto.” Il Digital Omnibus ha poi tolto la soglia del livello “sufficiente”: resta l’obbligo di promuovere l’alfabetizzazione, restano i criteri di proporzionalità.

La locuzione “nella misura del possibile” non è un’esimente generica. Il considerando 20 del Regolamento chiarisce che l’alfabetizzazione deve tenere conto delle competenze tecniche, dell’esperienza, dell’istruzione e della formazione del personale, nonché del contesto in cui i sistemi AI saranno usati. Non funziona così: non basta erogare un corso e archiviare l’attestato.

La norma costruisce un obbligo relazionale. Considera uno studio immobiliare milanese che usa un software AI per filtrare le richieste di affitto e proporre ai consulenti una lista di candidati. Il responsabile commerciale che valida quella lista ha bisogni formativi diversi dal tecnico che ha configurato il software e diversi ancora dall’amministratore che ha firmato il contratto con il fornitore. Tre ruoli, tre livelli di esposizione, tre percorsi distinti.

Cosa fai oggi: individua i sistemi AI già attivi in azienda, compresi quelli integrati in software gestionali, CRM, sigla inglese per Customer Relationship Management, ovvero il software che gestisce le relazioni con i clienti, o piattaforme di prenotazione. Per ciascuno annota chi lo usa, chi supervisiona l’output, chi risponde verso l’esterno in caso di errore. Questo elenco è la mappatura. Non serve altro per cominciare.

HR: il rischio che non si vede

Il personale delle risorse umane esposto a strumenti AI per screening dei curricula, analisi delle performance o pianificazione dei turni fronteggia un rischio specifico e poco visibile. Si chiama bias algoritmico, in inglese algorithmic bias, la tendenza di un sistema AI a produrre risultati sistematicamente svantaggiosi per certi gruppi, non per scelta deliberata, ma perché i dati su cui è stato addestrato riflettevano squilibri già esistenti.

L’esempio più diretto: una clinica privata che usa un software AI per selezionare candidati infermieri, addestrato su storico di assunzioni degli ultimi dieci anni, tenderà a penalizzare profili con percorsi di carriera discontinui, spesso donne rientrate dopo maternità, non perché il sistema “voglia” discriminare, ma perché ha imparato a replicare il passato. Chi in HR usa questi strumenti senza conoscere questo meccanismo non è in grado di esercitare la supervisione umana che l’Art. 14 AI Act richiede esplicitamente per i sistemi ad alto rischio.

I sistemi di selezione del personale rientrano in questa categoria ad alto rischio. Allegato III, punto 4 del Regolamento. Non è una classificazione opinabile: è scritta nel testo.

La formazione per HR non è quindi un corso di cultura digitale generale. Deve includere come leggere criticamente un output AI, quando non fidarsi di una raccomandazione automatica e come documentare la decisione finale in modo che risulti chiaramente umana e motivata. Puoi approfondire gli obblighi specifici nella guida alla classificazione del rischio AI Act per capire in quale categoria ricadono i sistemi che la tua azienda già usa.

Cosa fai oggi: verifica se i software HR in uso hanno una componente AI dichiarata dal fornitore. Se sì, chiedi la documentazione tecnica prevista dall’Art. 13 AI Act, l’obbligo di trasparenza verso chi usa il sistema, e usala come base per costruire il modulo formativo specifico per il team. Se il fornitore non sa risponderti, è già una risposta.

IT: capire i modelli per gestirli

Il personale tecnico ha bisogni formativi quasi opposti rispetto a HR. Conosce già gli strumenti. Manca spesso di un quadro normativo in cui collocarli. La formazione per IT deve coprire il funzionamento dei modelli AI a un livello sufficiente a valutare i rischi operativi, non a svilupparli da zero.

Concretamente: un sistemista che integra un’API, sigla inglese per Application Programming Interface, ovvero un’interfaccia che permette a due software di comunicare tra loro, di un modello linguistico in un gestionale aziendale deve sapere cosa succede ai dati inviati al modello. Dove vengono elaborati. Se vengono usati per addestrare versioni future del sistema. Quali clausole contrattuali con il fornitore regolano questi aspetti.

Questi non sono dettagli tecnici marginali. Incidono direttamente sugli obblighi previsti dal GDPR, il Regolamento UE 2016/679 sulla protezione dei dati personali, e sulla responsabilità del deployer ai sensi dell’AI Act.

Un hotel di catena che ha integrato un sistema AI per la gestione delle prenotazioni e delle preferenze degli ospiti deve sapere, a livello IT, se quei dati escono dall’Unione Europea e con quali garanzie. La risposta non è tecnica nel senso tradizionale. È giuridico-tecnica, e richiede una formazione che attraversi entrambi i piani. Resto convinto che questo sia il punto più sottovalutato: i tecnici sanno configurare, ma quasi nessuno ha letto il contratto con il fornitore cloud.

Cosa fai oggi: chiedi al team IT di elencare ogni integrazione con servizi AI esterni attiva in azienda, incluse quelle “minori” come plugin di traduzione automatica o assistenti di scrittura. Per ciascuna, verifica dove vengono elaborati i dati e se il contratto con il fornitore include le clausole richieste dall’Art. 28 GDPR per i responsabili del trattamento.

Management: responsabilità, non cultura digitale

Il management non ha bisogno di capire come funziona un modello linguistico nel dettaglio. Ha bisogno di capire cosa firma, cosa rischia e come strutturare la governance interna per non trovarsi esposto in caso di incidente o ispezione.

I numeri sono precisi. L’Art. 99 del Regolamento UE 2024/1689 prevede sanzioni fino a 35 milioni di euro o al 7% del fatturato globale per le violazioni più gravi. Per la mancata alfabetizzazione del personale, invece, non c’è una fascia dedicata: l’Art. 4 non compare nell’elenco delle violazioni sanzionabili. La fascia fino a 15 milioni di euro o al 3% del fatturato riguarda altri obblighi di fornitori e deployer. Queste cifre non riguardano solo i grandi gruppi. Riguardano qualsiasi azienda che usa sistemi AI classificati a rischio limitato o alto, e la maggior parte delle aziende italiane che usano software di gestione moderni rientra già in questa platea.

La formazione per il management deve coprire la distinzione tra fornitore e deployer, ovvero chi costruisce il sistema e chi lo usa, con obblighi distinti per ciascuno. Deve coprire la catena di responsabilità interna, come documentare le decisioni che coinvolgono AI e come strutturare un registro delle attività AI che possa reggere a un’ispezione. L’obbligo di formazione AI, come dettagliato nella guida all’Art. 4 AI Act, ricade sul deployer, non solo sul fornitore del software.

Prendilo come fatto: se usi il sistema, sei responsabile di come viene usato.

Cosa fai oggi: porta in agenda del prossimo consiglio di amministrazione o riunione di direzione una voce specifica: “mappatura sistemi AI in uso e responsabilità associata.” Non è un tema IT. È un tema di governance, e rimandarlo non riduce il rischio, lo accumula.

Domande correlate

Chi è obbligato dalla formazione AI dell’Art. 4 AI Act?

L’obbligo riguarda i fornitori e i deployer di sistemi AI, cioè anche le aziende che usano strumenti AI sviluppati da terzi. Non è limitato alle grandi imprese: qualsiasi organizzazione che usa sistemi AI nel proprio processo operativo o decisionale è soggetta all’Art. 4 del Regolamento UE 2024/1689.

Un corso online da due ore è sufficiente per adempiere all’obbligo?

Dipende dal ruolo e dal sistema AI usato. Per personale che usa AI solo come strumento di supporto a basso rischio può essere sufficiente. Per chi supervisiona sistemi ad alto rischio, come quelli di selezione del personale o scoring creditizio, il corso generico non regge a un audit: serve documentare la proporzionalità tra formazione erogata e rischi del sistema in uso.

Come si documenta la formazione AI per dimostrare conformità?

Occorre conservare il programma del corso con i contenuti specifici per ruolo, l’elenco dei partecipanti con la funzione svolta, la data di erogazione e, idealmente, una valutazione dell’apprendimento. La documentazione deve essere collegabile ai sistemi AI effettivamente in uso in azienda, non generica.

Cosa rischia un’azienda che non forma il personale sull’AI?

Le sanzioni per violazione degli obblighi di alfabetizzazione rientrano nella fascia prevista dall’Art. 99 AI Act: fino a 15 milioni di euro o 3% del fatturato globale annuo. Oltre alla sanzione, in caso di danno causato da un sistema AI, la mancata formazione del personale può aggravare la responsabilità civile del deployer.

La formazione AI va ripetuta nel tempo o basta farla una volta?

L’AI Act non fissa una periodicità esplicita, ma il principio di proporzionalità implica che la formazione vada aggiornata quando cambiano i sistemi in uso, i ruoli del personale o il quadro normativo. Un’azienda che ha formato il personale nel 2024 e nel 2026 usa sistemi AI diversi non può considerarsi in regola senza un aggiornamento.

Fonti:

Regolamento UE 2024/1689 (AI Act), Art. 4, Art. 13, Art. 14, Art. 99, Allegato III, Considerando 20: https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32024R1689 (accesso agosto 2026)
Regolamento UE 2016/679 (GDPR), Art. 28: https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32016R0679 (accesso agosto 2026)
Sistema Impresa, “Formazione AI per ruolo”: https://www.sistema-impresa.org/leggiArticolo.php?articolo=1829 (accesso agosto 2026)
FiscoeTasse, “Alfabetizzazione digitale e AI Act: nuovi obblighi per imprese e operatori”: https://www.fiscoetasse.com/approfondimenti/16864-alfabetizzazione-digitale-e-ai-act-nuovi-obblighi-per-imprese-e-operatori.html (accesso agosto 2026)

Non costituisce parere legale.