Formazione AI: quali documenti conservare per l'ispezione
L’articolo 4 del Regolamento UE 2024/1689, comunemente noto come AI Act, obbliga le aziende che usano sistemi di intelligenza artificiale a promuovere l’alfabetizzazione AI del proprio personale. La norma non prescrive un formato specifico, e dopo il Digital Omnibus non impone nemmeno un livello valido per tutti. Ma in caso di ispezione, se non hai nulla da mostrare, la formazione che hai fatto non esiste.
In sintesi
- L’articolo 4 del Regolamento UE 2024/1689 (AI Act) obbliga i deployer, cioè le organizzazioni che usano sistemi di intelligenza artificiale in contesti operativi, a promuovere l’AI literacy (alfabetizzazione AI) del proprio personale. Il testo vigente non fissa un livello specifico per nessuno: la calibratura è una scelta dell’azienda, ed è una scelta che va potuta mostrare.
- L’AI Act non prescrive un formato di documentazione, ma le autorità nazionali di vigilanza possono richiedere prove in qualsiasi momento.
- I documenti minimi da conservare sono: registro dei partecipanti, materiali formativi, date e durata delle sessioni, attestati o prove di completamento.
- Un audit interno annuale riduce il rischio di contestazioni e consente di aggiornare la documentazione prima di eventuali ispezioni.
- L’art. 99 non prevede una multa propria per l’obbligo di alfabetizzazione: una documentazione carente pesa pero su ogni altra contestazione, dove le sanzioni arrivano a cifre milionarie.
Cosa chiede davvero l’AI Act sulla formazione
Il Regolamento UE 2024/1689, entrato in vigore il 1° agosto 2024 con applicazione progressiva, fissa all’articolo 4 un obbligo chiaro: chi usa sistemi di intelligenza artificiale in azienda deve garantire che il personale coinvolto abbia una comprensione adeguata di quegli strumenti. La norma usa il termine inglese AI literacy, che in italiano significa alfabetizzazione AI, cioè la capacità di capire cosa fa uno strumento, dove può sbagliare e come usarlo in modo consapevole.
Resta il fatto che la norma non dice come documentare. Non esiste un modulo ufficiale, non c’è un registro con campi prestabiliti. La Commissione europea ha chiarito in documenti attuativi recenti che spetta all’organizzazione scegliere gli strumenti, ma deve poter dimostrare l’adempimento su richiesta dell’autorità competente.
Per un direttore HR o un responsabile compliance (gestione degli obblighi normativi) di uno studio professionale, di una clinica privata o di un hotel, questo si traduce in una cosa concreta. Se arriva un’ispezione e non hai nulla da mostrare, il fatto che la formazione sia avvenuta davvero non conta. Conta quello che puoi provare.
Pensa a una clinica privata che usa un software AI per il triage delle prenotazioni telefoniche, cioè per classificare automaticamente le richieste dei pazienti per urgenza. Il sistema funziona, il personale lo usa ogni giorno. Ma se nessuno ha firmato un foglio presenze, se nessun log di accesso alla piattaforma formativa è stato conservato, per l’autorità di vigilanza quella formazione non è mai avvenuta.
L’obbligo di formazione AI e le implicazioni pratiche per chi gestisce il personale sono analizzati in dettaglio nella guida sull’obbligo di formazione AI ex Art. 4.
I documenti minimi che devi avere oggi
Non esiste una lista ufficiale tassativa. Per reggere a un’ispezione, però, servono almeno quattro categorie di prove.
Registro delle attività formative. Un documento, anche un semplice foglio di calcolo, che riporti nome e ruolo di ogni partecipante, titolo del corso o della sessione, data, durata in ore, modalità (in presenza, online, mista). Va aggiornato ogni volta che si svolge un’attività formativa. Ricostruirlo a posteriori è un errore che le autorità riconoscono subito.
Materiali formativi conservati. Slide, video, quiz, moduli e-learning (formazione online), dispense: tutto ciò che costituisce il contenuto della formazione deve essere archiviato in forma consultabile. Se la formazione è stata erogata da un fornitore esterno, conserva il contratto e il programma dettagliato.
Prove di partecipazione individuale. Firme di presenza per le sessioni fisiche, log di accesso per le piattaforme digitali, risultati dei test di verifica. Un attestato finale è utile, ma non sufficiente da solo. Serve la traccia del percorso, non solo dell’esito.
Documentazione sui sistemi AI in uso. L’alfabetizzazione AI non è generica. Deve essere adeguata ai sistemi effettivamente usati in azienda. Tieni un registro aggiornato dei sistemi di intelligenza artificiale che il tuo personale utilizza, con indicazione di chi li usa e per quale funzione. Un hotel che usa un sistema automatizzato di gestione delle prenotazioni e un chatbot (programma automatizzato di risposta ai clienti) sul sito deve documentare che il personale coinvolto conosce il funzionamento, i limiti e i rischi di quegli strumenti specifici, non dell’intelligenza artificiale in astratto.
Come strutturare un audit interno
Un audit interno sulla formazione AI, cioè una verifica periodica e documentata, non è un esame accademico. È una procedura operativa da fare almeno una volta all’anno. Risponde a tre domande.
Chi usa sistemi AI in azienda e per quale scopo? Mappa i ruoli e gli strumenti. In uno studio legale, potrebbe essere il software di analisi documentale usato dai praticanti. In un ecommerce, il sistema di raccomandazione prodotti o il chatbot sul sito. Non basta sapere che “usiamo l’AI”: serve sapere chi la usa, come, e con quale frequenza.
Quella persona ha ricevuto formazione adeguata a quell’uso specifico? Un corso generico da trenta minuti sull’intelligenza artificiale non dimostra nulla di concreto. La norma richiede adeguatezza rispetto al contesto operativo. Un addetto alle prenotazioni di un hotel che usa un sistema AI per rispondere alle email degli ospiti deve capire quando il sistema può sbagliare, come correggere le risposte, quando passare la gestione a un operatore umano.
La documentazione è completa e aggiornata? Se hai assunto personale negli ultimi sei mesi, ha già fatto la formazione? Se hai introdotto un nuovo strumento AI, hai aggiornato il registro e organizzato una sessione specifica? Queste sono le lacune che un’ispezione trova per prime.
L’output dell’audit, cioè il risultato documentato, è un report sintetico con le lacune identificate e le azioni correttive pianificate. Anche questo report va conservato. Dimostra che l’azienda non si limita ad adempiere una volta sola, ma monitora nel tempo.
Dove conservare i documenti e per quanto
L’AI Act non fissa un termine di conservazione specifico per la documentazione sulla formazione. In assenza di indicazione specifica, il criterio prudenziale è allinearsi ai termini già previsti dal diritto del lavoro italiano e dal Regolamento UE 2016/679, noto come GDPR (sigla inglese per General Data Protection Regulation, ovvero regolamento europeo sulla protezione dei dati personali): in genere cinque anni per i documenti formativi aziendali, con attenzione alla minimizzazione dei dati personali contenuti nei registri.
La conservazione deve avvenire in modo che i documenti siano recuperabili rapidamente. Un’ispezione non aspetta settimane. Che tu usi un gestionale HR, una cartella condivisa o un sistema di document management (gestione documentale), l’importante è che il responsabile compliance sappia dove trovare tutto in meno di un’ora.
Per le aziende con più sedi o con personale in smart working (lavoro da remoto), la documentazione deve coprire tutti i dipendenti indipendentemente dalla sede. Un ristorante con tre punti vendita che usa sistemi AI per la gestione degli ordini deve avere la prova che il personale di tutti e tre i locali è stato formato. Non solo quello della sede principale.
L’errore più comune che vediamo
La maggior parte delle imprese che si rivolgono a noi per un assessment, cioè una valutazione della situazione attuale rispetto agli obblighi normativi, ha fatto la formazione. Il problema è che non l’ha documentata.
Hanno organizzato una riunione. Hanno mostrato qualcosa. Hanno detto ai dipendenti di fare attenzione. Ma non c’è traccia scritta, non c’è registro, non ci sono firme. In caso di ispezione, quella formazione non esiste.
Il secondo errore più frequente è la formazione generica non ancorata ai sistemi in uso. Non funziona così. Un corso online sull’intelligenza artificiale in generale non dimostra che il tuo personale sa usare in modo consapevole lo strumento specifico che ha davanti ogni giorno. Le autorità di vigilanza valuteranno l’adeguatezza rispetto al contesto operativo concreto, non rispetto a un programma formativo astratto.
Il punto è chiaro: documentare non è burocrazia. È lo scudo che distingue un’azienda che ha adempiuto da una che non può dimostrarlo.
Domande correlate
Quali documenti bastano per dimostrare la formazione AI in caso di ispezione?
Il minimo necessario comprende un registro con nomi, ruoli, date e durata delle sessioni; i materiali formativi conservati; le prove di partecipazione individuale come firme, log digitali e risultati di test. Un attestato finale da solo non è sufficiente senza la traccia del percorso.
L’AI Act si applica anche alle piccole aziende che usano ChatGPT o strumenti simili?
Sì. L’obbligo di alfabetizzazione AI dell’articolo 4 si applica a qualsiasi organizzazione che usa sistemi di intelligenza artificiale, indipendentemente dalla dimensione. L’intensità della documentazione richiesta è proporzionale al rischio, ma l’obbligo di base vale per tutti i deployer.
Con quale frequenza devo aggiornare la documentazione sulla formazione AI?
Almeno una volta all’anno con un audit interno, e ogni volta che si introduce un nuovo sistema AI o cambia il personale che lo utilizza. La documentazione deve riflettere la situazione attuale, non quella di due anni fa.
Posso usare una piattaforma e-learning esterna come prova sufficiente?
Sì, a condizione che la piattaforma rilasci log di accesso individuali, durata delle sessioni e risultati dei test. Conserva anche il contratto con il fornitore e il programma del corso. La piattaforma esterna non esime dall’obbligo di tenere un registro interno aggiornato.
Chi è responsabile in azienda della documentazione sulla formazione AI?
L’AI Act non assegna un ruolo specifico. Nella pratica, la responsabilità ricade su chi gestisce la compliance o le risorse umane. In assenza di una figura dedicata, il titolare o l’amministratore delegato risponde in prima persona dell’adempimento.
Fonti:
- Regolamento UE 2024/1689 (AI Act), Art. 4 e Art. 99: https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32024R1689 (accesso agosto 2026)
- Sistema Impresa, “Documentare la formazione AI”: https://www.sistema-impresa.org/leggiArticolo.php?articolo=1829 (accesso agosto 2026)
- WST Legal, “IA e obblighi di alfabetizzazione per le imprese”: https://www.wstlegal.eu/it/ia-e-obblighi-di-alfabetizzazione-per-le-imprese-i-recenti-chiarimenti-attuativi-della-commissione-ue/ (accesso agosto 2026)
Questo articolo ha finalità informative e non costituisce parere legale. Per valutare la situazione specifica della tua organizzazione, rivolgiti a un professionista qualificato.