Formazione IA in azienda: l'obbligo dell'AI Act e come organizzarla

Che cosa dice l'articolo 4 dopo la modifica del 2026

L'articolo 4 del Regolamento (UE) 2024/1689 riguarda fornitori e deployer di sistemi di IA. Il deployer è chi usa un sistema di IA sotto la propria responsabilità in un contesto professionale: se la tua azienda usa un assistente come ChatGPT o Claude per lavoro, rientri in questa definizione.

Il testo originale chiedeva di garantire, nella misura del possibile, un livello sufficiente di alfabetizzazione del personale. Il Regolamento (UE) 2026/1744, pubblicato in Gazzetta ufficiale dell'Unione europea il 24 luglio 2026, ha sostituito l'articolo. Ora le aziende devono adottare misure volte a sostenere lo sviluppo dell'alfabetizzazione in materia di IA. La Commissione europea spiega che non è più imposto un livello specifico, né un livello «sufficiente».

Chi va formato: anche i collaboratori esterni

L'obbligo non riguarda solo i dipendenti. Secondo le FAQ della Commissione europea, le persone che si occupano del funzionamento e dell'uso dei sistemi di IA per conto dell'azienda non sono per forza assunte: possono essere un appaltatore o un fornitore di servizi, purché stiano nell'ambito organizzativo dell'azienda. Anche per loro servono le competenze adatte al compito.

Vale quindi la pena fare un elenco di chi, in pratica, usa l'IA per te: titolari, impiegati, agenzie, freelance, il commercialista che usa un assistente per le bozze.

Cosa rischi se non lo fai

Le regole di vigilanza e di applicazione dell'AI Act si applicano dall'agosto 2026. Le autorità nazionali, spiega la Commissione, possono imporre sanzioni e altre misure per le violazioni dell'articolo 4, e ogni sanzione deve essere proporzionata. Il quadro delle sanzioni passa dalle norme dei singoli Stati.

Per l'Italia chiedi al tuo consulente legale o al tuo DPO lo stato dei decreti attuativi della legge 132/2025: qui non indichiamo importi, perché non ne abbiamo uno confermato da una fonte ufficiale.

Non esiste un corso obbligatorio né un certificato

La Commissione è esplicita: non serve un certificato. Non ci sono nemmeno corsi obbligatori o programmi standard. Il contenuto dipende dal contesto: chi usa un assistente per scrivere testi pubblicitari o tradurre deve sapere, per esempio, che il sistema può inventare (le «allucinazioni»).

La Commissione raccoglie in un archivio, il «living repository», esempi di oltre 40 iniziative di formazione sull'IA. Servono come ispirazione: copiarle non dà una presunzione automatica di conformità.

Come organizzare la formazione per ruoli

Un unico corso uguale per tutti spreca tempo. Funziona meglio dividere le persone in tre gruppi, con un percorso diverso per ciascuno:

• Chi usa gli strumenti ogni giorno: come funziona un modello linguistico, dove sbaglia (cifre, date, fonti, norme), come si scrive una richiesta, cosa si può e non si può inserire. Servono casi reali del tuo lavoro, non teoria.
• Chi decide e acquista: come si sceglie uno strumento, cosa chiedere al fornitore, quali compiti si affidano all'IA e quali no, chi risponde se l'uscita è sbagliata. Qui si decide la policy d'uso.
• Chi gestisce dati di clienti, lavoratori e fornitori: quali dati non escono mai dall'azienda, cosa dice l'informativa privacy, come si controlla un'uscita prima di usarla.
• Chi supervisiona sistemi ad alto rischio, se ne hai: la Commissione ricorda che per i deployer di questi sistemi resta l'obbligo che il personale sia formato alla sorveglianza umana.

Un esempio: un'azienda di 12 persone

Immagina un'impresa con 12 persone, due delle quali usano ogni giorno un assistente per scrivere offerte e mail, un'altra gestisce l'amministrazione e un'agenzia esterna cura i social. È un esempio inventato, per rendere l'idea.

Il titolare decide la policy: quali strumenti si usano, quali dati non si inseriscono mai e chi rilegge prima dell'invio. Poi si fa una sessione di due ore con tutti, con tre casi presi dal lavoro vero. L'agenzia riceve la policy e firma di averla letta. A fine sessione si compila il registro: data, argomenti, presenti. In questo modo l'azienda può dimostrare di avere adottato misure, ed è proprio quello che chiede l'articolo.

Gli errori da evitare

Quattro sbagli da non fare quando si imposta la formazione:

• comprare un corso generico online per tutti e non verificare se risponde a come l'azienda usa davvero l'IA;
• dimenticare i collaboratori esterni e le agenzie, che spesso sono quelli che usano di più questi strumenti;
• fare la formazione una volta e non lasciare traccia: senza registro non puoi dimostrare nulla;
• vietare l'IA senza controllare: le persone la usano comunque, con account personali e senza regole.

Cosa documentare

Non c'è un modello ufficiale. La Commissione indica che puoi tenere un registro interno delle formazioni e delle altre iniziative. In pratica bastano quattro cose, tenute in una cartella sola:

• un registro delle sessioni con data, durata, docente, argomenti e presenti;
• i materiali usati (slide, schede, esempi) nella versione consegnata;
• la policy d'uso dell'IA dell'azienda, con data e firma di chi l'ha letta;
• l'elenco dei sistemi di IA in uso e di chi li usa, aggiornato quando ne arriva uno nuovo.

Ogni quanto aggiornare

Tieni presente che l'IA cambia in fretta: strumenti nuovi, funzioni nuove, regole nuove. Una formazione di due anni fa non descrive più quello che usi oggi. Né l'articolo né le FAQ fissano una frequenza. Un criterio ragionevole, che è una scelta di buon senso e non un obbligo, è ripetere la sessione quando entra una persona nuova, quando cambia in modo sostanziale uno strumento e almeno una volta l'anno.

Se vuoi un percorso su misura, guarda la pagina della formazione (Formazione AI e innovazione) e la proposta di ZOOM Academy (ZOOM AI Academy). Per il quadro generale degli obblighi leggi anche AI Act: cosa devono fare davvero le imprese sarde nel 2026 (AI Act: cosa devono fare davvero le imprese sarde nel 2026).

Domande frequenti