Il Consiglio UE ha approvato in via definitiva il Digital Omnibus, rinviando al 2027 gli obblighi sui sistemi ad alto rischio il 29 giugno 2026. Nel pacchetto c’è però un articolo che nessuno ha toccato: l’articolo 4 del Regolamento UE 2024/1689 (AI Act), in vigore dal 2 febbraio 2025, che impone a fornitori e deployer di garantire un sufficiente livello di alfabetizzazione AI al proprio personale. È l’obbligo più trasversale dell’intero regolamento, riguarda praticamente ogni impresa che usa l’AI, ed è anche il più ignorato: secondo l’Osservatorio del Politecnico di Milano solo il 7% delle PMI italiane ha programmi strutturati di formazione sull’AI, mentre il 47% dei lavoratori dichiara di usare strumenti di AI. Questo dossier spiega chi è obbligato, cosa significa in pratica quel dovere e come documentarlo.
Cosa dice l’articolo 4, parola per parola
Il testo è breve, e la brevità inganna.
L’articolo 4 stabilisce che i fornitori e i deployer di sistemi di AI adottano misure per garantire, nella misura del possibile, un sufficiente livello di alfabetizzazione AI del proprio personale e delle altre persone che si occupano del funzionamento e dell’uso dei sistemi per loro conto. La norma indica anche i parametri di taratura: le conoscenze tecniche, l’esperienza, l’istruzione e la formazione delle persone coinvolte, il contesto in cui i sistemi sono usati e le persone o i gruppi su cui sono usati.
Tre scelte lessicali meritano attenzione. La prima: si parla di misure, al plurale, non di un corso una tantum. La seconda: il perimetro include le persone che operano per conto dell’impresa, quindi anche collaboratori esterni, consulenti e fornitori di servizi che maneggiano i sistemi aziendali. La terza: il livello richiesto è relativo, non assoluto. Chi usa un chatbot per rispondere ai clienti ha bisogno di competenze diverse da chi supervisiona un sistema di selezione del personale; l’articolo 4 chiede a ciascuno il livello adeguato al proprio ruolo e al rischio che maneggia.
C’è poi la clausola che addolcisce l’obbligo: le misure vanno adottate nella misura del possibile. È un’obbligazione di mezzi, non di risultato. Nessuno pretende che ogni dipendente superi un esame; si pretende che l’impresa abbia fatto uno sforzo serio, proporzionato e dimostrabile. Il che, letto al contrario, definisce con precisione chi è fuori norma: chi non ha fatto nulla.
La definizione di alfabetizzazione AI sta nell’articolo 3 del regolamento: le competenze, le conoscenze e la comprensione che consentono di procedere a una diffusione informata dei sistemi, di acquisire consapevolezza delle opportunità e dei rischi e dei possibili danni. Non è saper programmare. È sapere cosa lo strumento fa, cosa non sa fare, e quando non fidarsi del suo output.
Chi è obbligato: la platea più larga dell’AI Act
Qui sta il punto che molte imprese italiane non hanno ancora registrato. Gli obblighi sull’alto rischio riguardano una minoranza di operatori; l’articolo 4 riguarda chiunque fornisca o utilizzi sistemi di AI in ambito professionale.
Lo studio legale che usa un assistente generativo per le bozze. L’agenzia di comunicazione che produce immagini sintetiche. La PMI manifatturiera con un modulo di manutenzione predittiva nel gestionale. L’ente pubblico con un chatbot di primo contatto. Tutti deployer, tutti dentro il perimetro.
Sul versante dei fornitori l’obbligo ha una sfumatura in più. Chi sviluppa, integra o rivende sistemi di AI deve garantire l’alfabetizzazione non solo dei tecnici, ma anche di chi vende, configura e assiste il cliente: sono queste le figure che traducono le capacità del sistema in promesse commerciali, ed è lì che nascono molti usi impropri a valle. Una software house che consegna un sistema a un cliente incapace di usarlo consapevolmente non ha scaricato il problema; lo ha moltiplicato.
Non c’è soglia dimensionale, non c’è esenzione per le microimprese, non c’è distinzione tra AI comprata e AI sviluppata in casa. E non c’è nemmeno la scusa del rinvio: mentre le scadenze dell’Allegato III slittavano a dicembre 2027, l’articolo 4 restava dov’era, applicabile da diciassette mesi. Un’impresa che oggi introduce strumenti generativi senza alcuna misura formativa non sta anticipando male una norma futura: sta inadempiendo a una norma vigente.
Quanto basta perché il livello sia sufficiente
Il regolamento non fissa un syllabus, e la Commissione europea ha scelto la strada della flessibilità: nelle indicazioni pubblicate dall’AI Office, incluso il repository vivente delle pratiche di alfabetizzazione raccolte dalle imprese europee, il messaggio costante è che non esiste un modello unico valido per tutti.
La sufficienza si misura sul rischio.
Un parametro spesso trascurato è l’ultimo dell’elenco normativo: le persone su cui i sistemi sono usati. Un’impresa il cui chatbot dialoga con consumatori anziani, o il cui strumento di valutazione tocca candidati e dipendenti, deve calibrare la formazione anche sulla vulnerabilità dei destinatari, non solo sulla complessità della tecnologia. È il tratto che distingue l’alfabetizzazione richiesta dall’AI Act da un generico corso di aggiornamento digitale.
In pratica, la lettura condivisa tra i commentatori individua tre livelli. Una base comune per tutto il personale che tocca strumenti di AI: cosa sono i sistemi generativi, quali dati non vanno inseriti, come riconoscere errori e allucinazioni, quali usi l’azienda consente. Un livello intermedio per chi usa l’AI in processi che incidono su persone: marketing, risorse umane, credito, assistenza clienti. Un livello avanzato per chi progetta, integra o supervisiona i sistemi, che deve conoscere anche gli obblighi normativi del proprio ruolo.
Le pratiche raccolte nel repository europeo confermano questa gradualità: c’è chi ha inserito un modulo AI nell’onboarding dei neoassunti, chi ha costruito percorsi differenziati per funzione aziendale, chi affianca alla formazione test periodici di comprensione. Nessuna di queste misure è obbligatoria in sé; insieme, disegnano lo standard di diligenza che si sta consolidando in Europa, e che un giudice o un’autorità useranno come metro di paragone quando dovranno valutare se un’impresa ha fatto abbastanza.
Conta poi l’aggiornamento. Un programma fatto una volta nel 2025 e mai rivisto difficilmente regge il test della sufficienza in un campo dove gli strumenti cambiano ogni trimestre. La misura ragionevole è un ciclo periodico, con richiami quando l’azienda introduce sistemi nuovi o quando la norma cambia, come è appena successo con il Digital Omnibus.
Come documentare l’alfabetizzazione: il fascicolo che fa la differenza
L’articolo 4 non prescrive formalmente una documentazione. Ma un obbligo non documentato, davanti a un’autorità o a un giudice, è un obbligo non dimostrabile. Il fascicolo minimo che un’impresa dovrebbe costruire contiene quattro elementi.
- Una mappatura di chi usa quali sistemi di AI, con i ruoli e i livelli di rischio associati.
- Un piano formativo differenziato per livello, con date, contenuti e destinatari.
- Le evidenze di partecipazione e, dove sensato, di verifica dell’apprendimento.
- Una policy d’uso interna che fissi strumenti ammessi, dati vietati e responsabilità.
Sul terzo punto pesa la qualità dell’attestazione. Un registro presenze interno vale poco; un’evidenza verificabile e spendibile vale molto di più. È la logica con cui AIPIA ha costruito il Corso AI Base con Credenziale Europea: al termine del percorso il partecipante riceve una Credenziale Digitale Europea (EDC) con sigillo eIDAS, un formato leggibile e verificabile in tutta l’Unione, che l’impresa può allegare al proprio fascicolo come prova strutturata delle misure adottate. Non un certificato di frequenza, una credenziale digitale interoperabile.
Serve infine un responsabile. In molte organizzazioni l’alfabetizzazione AI cade nel vuoto tra risorse umane, IT e compliance, con il risultato che nessuno la presidia. La scelta ragionevole è nominare un referente interno che tenga aggiornati mappatura, piano e policy, e che risponda alle richieste di evidenze quando arrivano da clienti, auditor o autorità. Non serve una nuova figura a tempo pieno; serve che il compito abbia un nome e un cognome.
La sanzione che non c’è, e i costi che arrivano lo stesso
L’articolo 4 ha una particolarità che ne ha favorito la sottovalutazione: non compare nell’elenco delle violazioni direttamente sanzionate dall’articolo 99. Niente multa automatica, dunque. Ma concludere che l’inadempimento sia gratuito è un errore di prospettiva, per almeno tre ragioni.
La prima è il peso indiretto nei procedimenti. Quando un’autorità valuta una violazione sanzionata, ad esempio sulla trasparenza dell’articolo 50, i criteri di commisurazione includono il grado di diligenza dell’operatore: un’impresa senza alcuna misura di alfabetizzazione parte con un profilo di colpa aggravato, una con un programma documentato può giocarselo come attenuante.
La seconda è la responsabilità civile. Se un dipendente causa un danno usando male un sistema di AI, la mancata formazione diventa un argomento immediato per chi chiede il risarcimento: l’impresa non aveva adottato le misure che una norma europea vigente le imponeva. Con lo schema di decreto italiano sulla responsabilità civile da AI in arrivo entro ottobre, questo fronte è destinato a irrobustirsi.
La terza è contrattuale. Bandi pubblici e grandi committenti privati iniziano a chiedere evidenze di conformità all’AI Act nella catena di fornitura, e l’alfabetizzazione del personale è tra le prime cose verificabili su carta. Chi non ce l’ha perde punti, o gare. La guida operativa all’AI Act di AIPIA inquadra l’articolo 4 dentro questa mappa più ampia degli obblighi già applicabili.
C’è un precedente istruttivo: la formazione privacy. Anche il GDPR non sanziona direttamente la mancata formazione del personale, eppure in otto anni di applicazione l’assenza di formazione è diventata uno degli elementi ricorrenti nelle motivazioni dei provvedimenti sanzionatori, come indice del difetto di responsabilizzazione. Tutto lascia pensare che l’articolo 4 seguirà la stessa traiettoria: irrilevante sulla carta delle multe, decisivo nella pratica dei procedimenti.
Il 7% contro il 47%: il divario italiano
I due numeri dell’Osservatorio del Politecnico di Milano citati in apertura descrivono la distanza tra uso e governo dell’AI nelle imprese italiane. Il 47% dei lavoratori usa strumenti di AI; solo il 7% delle PMI ha un programma strutturato di formazione. Nello spazio tra le due percentuali vive la cosiddetta shadow AI: strumenti adottati dal basso, account personali usati per lavoro, dati aziendali caricati su servizi mai valutati da nessuno.
La shadow AI non è un problema disciplinare, è un problema di asimmetria: lo strumento è arrivato nelle mani prima che nella testa. Vietarlo non funziona, come dimostra il fatto che quel 47% include settori dove le policy restrittive esistono da anni. L’unica risposta compatibile con la realtà è portare l’uso alla luce e accompagnarlo con competenze adeguate, che è esattamente ciò che l’articolo 4 chiede.
È un divario di competenze prima che di tecnologia. E ha una caratteristica che lo distingue dagli altri ritardi digitali italiani: stavolta esiste una norma vigente che obbliga a colmarlo, con una data di partenza già passata da diciassette mesi. Anche il legislatore italiano ha spinto nella stessa direzione: la Legge 23 settembre 2025, n. 132 dedica attenzione esplicita alla formazione e all’educazione all’AI, segno che il tema è considerato infrastruttura del sistema produttivo, non benefit aziendale.
L’articolo 4 è, in fondo, la scommessa più lucida dell’AI Act: prima di regolare le macchine, pretende che le persone che le usano sappiano cosa stanno facendo. Le imprese che lo trattano come un adempimento minore stanno rimandando l’unico investimento che rende gestibili tutti gli altri obblighi in calendario.
