AI Act e Alfabetizzazione AI: l’obbligo dell’art. 4 per aziende e professionisti

Di cosa parla questa guida

L’alfabetizzazione AI non è più una buona pratica facoltativa: è un obbligo di legge. L’articolo 4 del Regolamento UE 2024/1689, l’AI Act, impone a chi fornisce e a chi utilizza sistemi di intelligenza artificiale di garantire un livello sufficiente di competenza alle persone che li usano per suo conto.

Quasi tutti gli altri obblighi del regolamento colpiscono chi costruisce sistemi complessi e ad alto rischio. Questo no: è orizzontale. Riguarda lo studio legale che prepara bozze con un assistente generativo, la PMI che adotta un software di selezione del personale, il comune con un chatbot per i cittadini, l’agenzia che genera contenuti.

La guida spiega cosa dice davvero il testo, da quando si applica, chi coinvolge e come un’organizzazione si mette in regola con un programma di formazione tracciabile e difendibile. Lo standard è proporzionato: uno studio di tre persone e una multinazionale hanno possibilità diverse, e la norma lo riconosce, ma nessuna delle due può invocare l’impossibilità per giustificare l’inerzia.

Tre idee dalla guida

Le date che contano, e perché non conviene aspettare

L’articolo 4 si applica dal 2 febbraio 2025, senza periodo di tolleranza scritto nel regolamento: l’obbligo è già pienamente vigente. Il sistema di vigilanza e il regime sanzionatorio diventano invece operativi dal 2 agosto 2026, quando entrano in funzione le autorità nazionali. Tra le due date c’è una finestra che sarebbe un errore leggere come una vacanza dagli adempimenti. Un programma serio richiede mesi tra analisi dei ruoli, contenuti, erogazione e verifica; avviarlo prima produce registri datati che dimostrano diligenza tempestiva; e gli incidenti da uso scorretto accadono ogni giorno, a prescindere dal calendario sanzionatorio.

Alfabetizzazione non significa saper usare un chatbot

L’articolo 3 parla di competenze, conoscenze e comprensione. Tradotto in dimensioni operative: capire cosa è e cosa non è un sistema di AI, e perché produce risposte plausibili ma false; saper formulare richieste efficaci e riconoscere quando lo strumento non è adatto; valutare criticamente l’output verificando fonti e numeri; sapere quali dati non vanno mai inseriti in un servizio esterno; conoscere almeno nei principi gli obblighi normativi ed etici; sapere chi decide cosa e a chi segnalare un problema. Una persona può essere bravissima a ottenere risposte e al tempo stesso pericolosa, se non sa cosa sta esponendo.

Ciò che non è documentato, non è avvenuto

Davanti a un’autorità o a un giudice la conformità non si dimostra a parole. Le prove essenziali sono tre: la policy interna che fissa strumenti autorizzati, regole sui dati e responsabilità; il registro della formazione, che dice chi ha ricevuto cosa, quando e con quale esito; gli attestati e le credenziali rilasciati. Il registro non deve essere complicato, deve essere completo, datato e aggiornato, con un responsabile chiaramente incaricato di tenerlo, la data del prossimo aggiornamento per ciascuno e il rispetto del GDPR sui dati delle persone formate.