Formazione AI obbligatoria: cosa chiede l'AI Act

La risposta breve

Sì, esiste un obbligo. No, non è l’obbligo di comprare un corso.

L’articolo 4 dell’AI Act, il regolamento (UE) 2024/1689, chiede a fornitori e utilizzatori di sistemi di intelligenza artificiale (IA) di adottare misure per sostenere l’alfabetizzazione del personale. In inglese si parla di AI literacy. Si applica dal 2 febbraio 2025.

Nel luglio 2026 l’articolo è stato riscritto. Molte pagine che si trovano in rete descrivono ancora la versione precedente, più severa, e parlano di livelli da garantire e di multe automatiche. Questa guida segue il testo oggi in vigore e i chiarimenti pubblicati dalla Commissione europea.

Che cosa dice oggi l’articolo 4

Il testo in vigore dal 27 luglio 2026 dice, in sostanza, tre cose.

1. Fornitori e utilizzatori adottano misure per sostenere lo sviluppo dell’alfabetizzazione in materia di AI del proprio personale e delle altre persone che usano i sistemi per loro conto. Nel farlo tengono conto delle conoscenze tecniche, dell’esperienza e della formazione di quelle persone, e del contesto in cui i sistemi vengono usati.
2. Non va garantito un livello specifico di alfabetizzazione per nessuna persona. È scritto nel testo.
3. Commissione e Stati membri aiutano le imprese, in particolare le PMI, anche pubblicando esempi pratici di come adempiere.

Aspetto	Fino al 26 luglio 2026	Dal 27 luglio 2026
Che cosa si chiede	Garantire, nella misura del possibile, un livello sufficiente	Adottare misure per sostenere lo sviluppo dell’alfabetizzazione
Livello da raggiungere	“Sufficiente”	Nessun livello specifico
Sostegno pubblico	Non previsto nell’articolo	Esempi pratici e raccomandazioni europee, con attenzione alle PMI
È un obbligo?	Sì	Sì

L’obbligo, quindi, resta. È cambiato il modo in cui si misura: non più un risultato da garantire, ma un impegno da dimostrare.

A chi si applica

A quasi tutte le aziende che usano strumenti di intelligenza artificiale.

Chi usa un sistema di AI sotto la propria autorità è utilizzatore, in inglese deployer. Non serve aver sviluppato nulla: basta usare un assistente, un programma di traduzione, una funzione di AI dentro il gestionale. La Commissione europea porta proprio l’esempio dell’azienda i cui dipendenti usano ChatGPT per scrivere testi o tradurre: l’obbligo vale, e le persone vanno informate sui rischi specifici, a partire dalle risposte inventate.

Le misure riguardano il personale e le altre persone che usano i sistemi per conto dell’azienda: un collaboratore esterno, un appaltatore, un fornitore di servizi, un cliente a cui l’azienda mette a disposizione il sistema.

Che cosa vuol dire “misure”

Il regolamento non le elenca. La Commissione indica quattro passi da considerare.

1. Una comprensione generale dell’AI in azienda. Che cos’è, come funziona, quali strumenti si usano, quali opportunità e quali pericoli comportano.
2. Il ruolo dell’azienda. Sviluppa sistemi di AI o usa sistemi sviluppati da altri?
3. Il rischio dei sistemi usati. Che cosa devono sapere le persone che li adoperano, e quali rischi devono saper riconoscere e ridurre.
4. Azioni costruite su questa analisi, tenendo conto delle differenze tra le persone e del contesto: in quale settore, per quale scopo, su chi ricadono gli effetti.

Ne discendono due conseguenze pratiche. La formazione può essere diversa per ruoli diversi: la Commissione lo ammette in modo esplicito. E far leggere le istruzioni d’uso non basta: in molti casi, scrive la Commissione, può essere inefficace.

Serve un corso? Serve un attestato?

Un corso, non per forza. Non esistono formati obbligatori né programmi imposti. Conta che le persone ricevano formazione e indicazioni adatte al loro ruolo e agli strumenti che usano.

Un attestato, no. Non serve un certificato. Le organizzazioni possono tenere una traccia interna delle attività di formazione e delle altre iniziative.

Un responsabile dell’AI, nemmeno. L’articolo 4 non impone una struttura di governo né una figura dedicata.

Misurare le conoscenze di ciascuno, neppure. L’articolo non obbliga a verificare che cosa sa ogni dipendente.

Chi controlla, e che cosa si rischia

La vigilanza spetta alle autorità nazionali di vigilanza del mercato, non all’Ufficio europeo per l’AI, e parte dall’inizio di agosto 2026. Le sanzioni per questo obbligo si basano sulle leggi nazionali e devono essere proporzionate: contano la natura e la gravità della violazione e il fatto che sia intenzionale o dovuta a negligenza. La Commissione osserva che una sanzione è più probabile quando un incidente risulta legato alla mancanza di formazione e di indicazioni adeguate.

In Italia la legge 132/2025 designa l’Agenzia per la cybersicurezza nazionale (ACN) come autorità di vigilanza del mercato e l’Agenzia per l’Italia digitale (AgID) come autorità di notifica. Il decreto legislativo 7 ottobre 2026, n. 179, in Gazzetta Ufficiale l’8 ottobre e in vigore dal 23 ottobre 2026, ne fissa poteri e sanzioni. Per l’alfabetizzazione non prevede multe: le sanzioni pecuniarie riguardano le pratiche vietate, gli obblighi di fornitori e utilizzatori di sistemi ad alto rischio, la trasparenza e le informazioni scorrette alle autorità. Per le violazioni lievi l’autorità può ordinare di rimediare entro un termine; chi non lo fa paga la multa, aumentata fino a un terzo. Il decreto chiede però ai datori di lavoro due cose che riguardano la formazione: valutare nel documento di valutazione dei rischi i sistemi di AI che incidono su organizzazione, ritmi e sicurezza del lavoro, e dare ai lavoratori informazione e formazione sui rischi specifici di questi sistemi (articolo 42). Agli ordini professionali chiede di inserire l’alfabetizzazione sull’AI nella formazione obbligatoria, con un monte ore minimo (articolo 47).

C’è poi la responsabilità verso chi subisce un danno. L’AI Act non crea un diritto al risarcimento, ma se un errore nasce dall’uso impreparato di uno strumento, la mancanza di formazione può pesare in un giudizio secondo le regole nazionali. In Italia, dal 30 settembre 2026, il decreto legislativo 160/2026 prevede che quando il danno deriva dalla violazione di obblighi dell’AI Act il nesso di causalità tra violazione e danno si presuma, salvo prova contraria: ne parliamo nella guida sull’AI Act.

Gli altri obblighi da non confondere

• Sorveglianza umana sui sistemi ad alto rischio. Chi usa sistemi ad alto rischio, per esempio per selezionare o valutare i lavoratori, deve affidare la sorveglianza a persone competenti e formate. Questi obblighi si applicano dal 2 dicembre 2027.
• Informazione ai lavoratori. L’articolo 11 della legge 132/2025 obbliga il datore di lavoro a informare i lavoratori quando usa sistemi decisionali o di monitoraggio integralmente automatizzati che incidono su assunzione, gestione del rapporto, assegnazione dei compiti, sorveglianza o valutazione dei lavoratori. È un obbligo di informare, diverso da quello di formare.

Il quadro completo è nella guida AI Act: cosa deve fare un’azienda manifatturiera.

• Decisioni sul rapporto di lavoro. Dal 23 ottobre 2026 (decreto legislativo 179/2026, articolo 41) le decisioni finali su assunzione, modifica o cessazione del rapporto, i provvedimenti disciplinari e le valutazioni non possono essere prese solo da un sistema automatizzato: decide una persona, e il licenziamento in violazione è nullo.
• Formazione sui rischi per la salute e la sicurezza. L’articolo 42 dello stesso decreto chiede al datore di lavoro informazione e formazione dei lavoratori sui rischi specifici dei sistemi di AI che incidono su organizzazione, ritmi e sicurezza del lavoro. È un obbligo del sistema della sicurezza sul lavoro, diverso dall’alfabetizzazione dell’AI Act, e si documenta nello stesso registro.

Che cosa fare, in pratica

Per un’azienda che usa assistenti e qualche strumento di AI negli uffici, cinque mosse sono un punto di partenza adeguato.

1. Fare l’elenco degli strumenti. Quelli comprati dall’azienda e quelli che le persone usano per conto proprio. È lo stesso censimento che serve per decidere come organizzare l’adozione.
2. Dire chi usa che cosa. Ruoli, compiti, dati coinvolti.
3. Dare a tutti una formazione di base. Come funzionano questi strumenti, che cosa sbagliano, quali dati non vanno inseriti, come si controlla una risposta prima di usarla.
4. Approfondire dove il rischio è maggiore. Chi usa strumenti che toccano clienti, lavoratori o decisioni importanti ha bisogno di più. Se l’AI entra in produzione o cambia i ritmi di lavoro, la formazione sui rischi specifici va nel piano della sicurezza (articolo 42 del decreto legislativo 179/2026).
5. Scrivere poche regole e tenere traccia. Una pagina di regole d’uso, come nell’esempio della guida Policy AI aziendale, e un registro di ciò che è stato fatto.

La formazione non si fa una volta sola: va ripresa quando cambiano gli strumenti o arrivano persone nuove.

Vanno nella stessa direzione le linee guida del Ministero del Lavoro per l’AI nel mondo del lavoro, adottate nel dicembre 2025 e non vincolanti, che indicano alle imprese di fare l’inventario dei sistemi di AI in uso, indicare un referente, formare e informare i lavoratori. Per le PMI contengono anche un vademecum sull’uso dell’AI generativa. Il decreto legislativo 179/2026 non rende obbligatoria questa figura.

Il registro: che cosa annotare

Non esiste un modello ufficiale. Una tabella come questa può bastare a documentare che cosa l’azienda ha fatto.

Data	Iniziativa	A chi	Contenuti	Documenti conservati
14 ottobre	Incontro di base, due ore	Uffici commerciale e amministrazione	Come funziona un assistente, errori tipici, dati da non inserire	Presentazione, elenco dei presenti
21 ottobre	Regole d’uso consegnate a tutti	Tutto il personale	Strumenti ammessi, dati vietati, a chi chiedere	Testo delle regole, conferma di lettura
11 novembre	Approfondimento	Chi usa l’agente nel gestionale	Conferme, controlli, casi in cui fermarsi	Istruzioni operative

Le date e le iniziative sono un esempio.

A che punto sono le aziende

Secondo l’Osservatorio Artificial Intelligence del Politecnico di Milano oltre una grande impresa su due, tra quelle analizzate, ha avviato iniziative di alfabetizzazione, ma solo il 15% ha un progetto strutturato di adeguamento all’AI Act. Tra le PMI, secondo l’Osservatorio Innovazione Digitale nelle PMI dello stesso Politecnico, solo il 7% ha avviato programmi strutturati di formazione sull’AI.

I falsi allarmi

• “Senza attestato si rischia la multa.” Il regolamento non chiede attestati.
• “Servono tot ore per dipendente.” Nessun numero di ore è prescritto.
• “Riguarda solo chi sviluppa intelligenza artificiale.” Riguarda anche chi la usa.
• “Dal luglio 2026 l’obbligo è stato cancellato.” È stato alleggerito, non cancellato.
• “Basta far firmare un foglio.” Serve che le persone sappiano davvero che cosa fare e che cosa evitare.

Come lavoriamo noi

Nel nostro metodo, e quindi nella nostra consulenza AI per aziende, la formazione è parte del secondo passo: una giornata di lavoro insieme in cui guardiamo i processi con chi li svolge e diamo a tutti le basi per usare l’AI in modo consapevole, con esempi del loro lavoro. Dopo quella giornata consegniamo anche una proposta di regole d’uso, e la giornata stessa, con partecipanti e temi, è la prima riga del registro della formazione. Il percorso è descritto nella pagina Strategia e consulenza AI.