AI Act formazione obbligatoria: è legge dal 2 febbraio 2025 con l’articolo 4 del Regolamento (UE) 2024/1689, e le aziende che non si sono ancora messe in regola hanno sempre meno tempo. Al 2 agosto 2026 mancano pochi giorni. Da quella data il sistema sanzionatorio dell’AI Act diventa pienamente operativo: le autorità di vigilanza nazionali sono attive, i controlli possono partire, e gli obblighi di trasparenza sui sistemi che generano contenuti o interagiscono con le persone diventano vincolanti. Ma l’obbligo di formare il personale sull’intelligenza artificiale non nasce quel giorno. È in vigore dal 2 febbraio 2025, con l’articolo 4 del Regolamento (UE) 2024/1689. Molte aziende italiane ancora non lo sanno, o pensano di poterlo rimandare a quando “sarà davvero necessario”. Non è più così.
Cosa dice davvero l’articolo 4 dell’AI Act Formazione Obbligatoria
Il testo è breve, ma pesa. L’articolo 4 recita che “i fornitori e i deployer di sistemi di IA adottano misure per garantire nella misura del possibile un livello sufficiente di alfabetizzazione in materia di IA del loro personale nonché di qualsiasi altra persona che si occupa del funzionamento e dell’utilizzo dei sistemi di IA per loro conto”.
Tradotto in pratica: se in azienda qualcuno usa un sistema di intelligenza artificiale, chi lo gestisce deve assicurarsi che quella persona sappia cosa sta facendo. Non conta se il sistema è ad alto rischio o no. Non conta se l’azienda ha sviluppato l’AI internamente o si limita a usare uno strumento di terze parti. L’obbligo si applica a tutti i livelli di rischio, e questo è il punto che sorprende di più chi ne sente parlare per la prima volta: anche un team che usa ChatGPT o Gemini in modo informale per scrivere email o contenuti rientra nel perimetro della norma.
Chi deve formarsi, e su cosa
L’articolo 4 non fa differenze tra grandi gruppi e piccole imprese. Riguarda chiunque rientri nella definizione di fornitore o di deployer: chi sviluppa un sistema di IA e chi lo usa nella propria attività professionale. La distinzione conta perché la maggior parte delle PMI italiane rientra nella seconda categoria, quella dei deployer, e proprio per questo tende a sottovalutare l’obbligo: pensa che riguardi solo chi costruisce software di intelligenza artificiale, non chi si limita a usarlo per lavorare. Non è così. Usare uno strumento AI acquistato da terzi, anche gratuito, rende comunque un’azienda deployer, con tutti gli obblighi che ne derivano. Il personale coinvolto va dai dipendenti che usano l’AI ogni giorno fino ai manager che devono supervisionarne l’impiego, passando per i collaboratori esterni che operano sistemi di IA per conto dell’azienda.
Il contenuto della formazione dovrebbe coprire almeno questi punti:
- come funziona nel concreto lo strumento usato
- quali sono i suoi limiti (allucinazioni, bias, errori sistematici)
- quali rischi comporta per la protezione dei dati e la riservatezza
- quali regole interne l’azienda ha definito per il suo utilizzo
- come esercitare un giudizio critico sui risultati che produce
Non è un corso teorico sull’intelligenza artificiale in generale. È formazione legata agli strumenti realmente usati, dai ruoli di chi li usa.
Nella pratica quotidiana questo si traduce in esigenze molto diverse tra reparti. Un addetto al customer service che usa un chatbot per rispondere ai clienti deve sapere quando escalare a un operatore umano e come riconoscere una risposta imprecisa prima che arrivi al cliente. Un team marketing che genera contenuti con l’AI ha bisogno di capire i limiti del copyright sui testi generati e i rischi di pubblicare affermazioni non verificate. Un responsabile HR che valuta di usare l’AI per selezionare candidati si trova in un’area a rischio più alto, dove la formazione deve includere anche la consapevolezza dei bias nei dati di addestramento. E chi siede in consiglio di amministrazione ha bisogno di una visione d’insieme sulla governance, anche senza usare gli strumenti in prima persona, perché è comunque responsabile delle decisioni prese a valle.
Proporzionalità e documentabilità: le due parole chiave
L’AI Act non prescrive un corso specifico con un bollino ufficiale. Chiede due cose più esigenti: che la formazione sia proporzionata e che sia documentabile.
Proporzionata significa calibrata su quattro fattori: le conoscenze tecniche già presenti nel personale, l’esperienza pregressa con strumenti simili, il livello di istruzione, e il contesto in cui il sistema di IA viene usato. Un team marketing che genera contenuti ogni giorno con l’AI generativa ha esigenze diverse da un consiglio di amministrazione che deve governarne l’adozione a livello strategico. Un unico corso uguale per tutti, nella maggior parte dei casi, non basta.
Documentabile significa che l’azienda deve poter dimostrare con prove concrete cosa ha fatto, senza fermarsi a dichiararlo a parole. In caso di verifica, servono tracce concrete: ore di formazione erogate, contenuti trattati, presenze registrate, verifiche finali, attestati nominali con data e durata. Una formazione fatta una volta, senza registro né test, in caso di controllo vale poco più di niente.
Immagina due aziende che hanno organizzato lo stesso identico corso interno sull’uso dell’AI. La prima ha invitato tutti in sala riunioni, ha fatto vedere qualche slide e non ha lasciato traccia scritta di chi c’era. La seconda ha registrato le presenze con un sistema di identificazione univoca, ha chiuso il percorso con un test a risposta multipla e ha rilasciato un attestato nominale con data, durata e contenuti trattati. Di fronte a un’ispezione, solo la seconda può dimostrare la conformità in pochi minuti. La prima deve ricostruire tutto a memoria, sperando che basti.
Cosa rischia chi non si adegua
Qui vale la pena essere precisi, perché in giro circolano cifre di sanzioni che non riguardano specificamente l’articolo 4. Al momento il disegno di legge italiano di adeguamento all’AI Act non prevede una sanzione pecuniaria diretta e autonoma per la sola mancata alfabetizzazione del personale. Questo però non significa che il rischio sia nullo.
Se un sistema di IA usato in azienda causa un danno, per esempio una decisione discriminatoria in un processo di selezione o di credito, e le indagini successive rivelano che il personale coinvolto non era formato a sufficienza, la mancata alfabetizzazione diventa un elemento aggravante. Può contribuire a far scattare le sanzioni massime previste per la violazione sostanziale che ha causato il danno, non per l’assenza di formazione in sé. In Italia le autorità competenti sulla vigilanza, tra cui AgID, il Garante per la protezione dei dati personali e l’Agenzia per la Cybersicurezza Nazionale, hanno il compito di controllare l’osservanza degli obblighi e, in caso di inadempimento, di intervenire con misure correttive. I controlli sistematici sono attesi a partire dal 2026, ma un intervento su segnalazione è possibile già oggi.
Perché il 2 agosto 2026 cambia la cornice
Il 2 agosto 2026 non introduce l’obbligo di formazione, che come detto è già attivo da un anno e mezzo. Cambia però il contesto in cui quell’obbligo viene fatto rispettare. Da quella data diventano applicabili gli obblighi di trasparenza previsti dall’articolo 50 del regolamento, che riguardano i sistemi che interagiscono direttamente con le persone (come i chatbot) e quelli che generano contenuti sintetici, testi, immagini o audio. Soprattutto, il sistema sanzionatorio diventa pienamente operativo: le autorità nazionali di vigilanza sono attive su tutto il territorio e possono applicare le sanzioni previste dal regolamento.
Il pacchetto Digital Omnibus ha spostato in avanti alcune scadenze, in particolare quelle sui sistemi ad alto rischio dell’allegato III (lavoro, credito, servizi pubblici essenziali), rinviate a dicembre 2027, e quelle sull’allegato I, rinviate ad agosto 2028. Ma l’obbligo di alfabetizzazione dell’articolo 4 non rientra in questo rinvio: resta pienamente in vigore, e da agosto le autorità avranno gli strumenti operativi per farlo rispettare con più continuità.
Il resto del calendario che le aziende devono tenere a mente
L’articolo 4 non è un obbligo isolato, fa parte di un calendario che si sta srotolando su più anni e che vale la pena avere sotto controllo, anche solo per capire dove si colloca la propria azienda oggi. Dal 2 febbraio 2025, insieme all’obbligo di alfabetizzazione, sono diventati vincolanti anche i divieti sulle pratiche di IA considerate inaccettabili, come i sistemi di social scoring o il riconoscimento delle emozioni sul posto di lavoro. Dal 2 agosto 2025 sono scattati gli obblighi specifici per i fornitori di modelli di IA per finalità generali, i cosiddetti GPAI, quelli su cui si basano strumenti come ChatGPT, Claude o Gemini. Dal 2 agosto 2026, come detto, entrano in gioco gli obblighi di trasparenza sui sistemi che interagiscono con le persone o generano contenuti sintetici, e il sistema sanzionatorio diventa pienamente operativo. Gli obblighi più pesanti, quelli sui sistemi ad alto rischio elencati negli allegati del regolamento, sono stati spostati dal Digital Omnibus a dicembre 2027 e agosto 2028, a seconda della categoria.
Guardata così, la scadenza del 2 agosto 2026 è un punto di passaggio, non un traguardo. Le aziende che aspettano l’ultimo rinvio utile per mettersi in regola rischiano di trovarsi a rincorrere più obblighi contemporaneamente, invece di affrontarli uno alla volta mentre c’è ancora margine.
Quanto tempo e quanto costa mettersi in regola
È la domanda che quasi ogni imprenditore si fa non appena capisce che l’obbligo lo riguarda davvero. La risposta onesta è che dipende dalla dimensione dell’azienda e dal numero di ruoli coinvolti, ma il punto di ingresso non richiede mesi di lavoro né budget da grande gruppo. Un corso di alfabetizzazione di base per tutto il personale richiede in genere dalle quattro alle sei ore, erogabili anche in una sola giornata o distribuite in moduli online al ritmo di ciascuno. I percorsi più verticali, penso alla compliance operativa per manager e HR o alla governance per chi dirige, richiedono qualche ora in più, ma restano percorsi mirati, non corsi di laurea.
Il costo reale non sta tanto nelle ore di formazione, quanto nel tempo che si perde a rincorrere la conformità dopo un controllo o dopo un incidente, quando mancano registri, attestati e tracciabilità. Investire prima, in modo proporzionato, costa meno che rincorrere dopo.
Da dove iniziare: un percorso in quattro passi
Mettersi in regola non richiede di fermare l’azienda per mesi. Richiede un metodo.
Il primo passo è mappare gli strumenti di intelligenza artificiale realmente in uso, anche quelli adottati in modo informale da singoli reparti: chi usa cosa, per fare cosa, con quali dati.
Il secondo è segmentare il personale per ruolo e livello di esposizione all’AI, perché non tutti hanno bisogno dello stesso tipo di formazione.
Il terzo è scegliere un percorso formativo proporzionato al ruolo e documentabile fin dall’inizio, con registri, test e attestati nominali. Chi vuole adottare soluzioni AI in modo conforme parte quasi sempre da qui, prima ancora di introdurre nuovi strumenti.
Il quarto passo, spesso dimenticato, è l’aggiornamento: l’AI Act entra in applicazione a scaglioni e gli strumenti cambiano ogni trimestre, quindi una formazione fatta una volta e mai rivista perde valore in fretta.
La soluzione che abbiamo costruito: Articolo 4
Per rispondere in modo concreto a questo obbligo, Digital Runner ha lanciato Articolo 4, un progetto dedicato interamente alla formazione sull’intelligenza artificiale conforme all’AI Act.
Quattro corsi verticali, dall’alfabetizzazione di base per tutto il personale fino alla governance per chi dirige, ciascuno costruito da chi l’AI la applica ogni giorno nei progetti dei clienti.
Ogni percorso nasce già tracciabile: identificazione del discente, registri elettronici delle presenze, test finali con banca domande randomizzata, attestati nominali con data, durata e contenuti trattati. Esattamente quello che serve per rispondere a una verifica. I contenuti vengono rivisti ogni sei-dodici mesi, perché un corso sull’AI vecchio di un anno smette di essere aggiornato molto prima di quanto si pensi. Il catalogo copre tre pubblici diversi, con percorsi per privati, edizioni dedicate per le aziende e soluzioni in licenza per gli enti formativi che vogliono offrire questa formazione ai propri clienti.
Non aspettare il controllo per iniziare
L’obbligo dell’articolo 4 è già legge da un anno e mezzo. Il 2 agosto 2026 non lo crea, ma segna il momento in cui le autorità hanno finalmente gli strumenti per verificarlo su larga scala. Chi ha già mappato i propri strumenti AI e formato il personale in modo documentabile arriva a quella data senza pensieri. Chi non l’ha fatto ancora ha ancora il tempo per farlo bene, non per farlo in fretta.
Se vuoi confrontarti su come impostare un piano di formazione proporzionato alla tua azienda, o più in generale su come integrare l’AI nei tuoi processi in modo corretto, puoi prenotare una consulenza gratuita con il nostro team.
FAQ
La formazione AI è davvero obbligatoria per tutte le aziende? Sì, per chiunque rientri nella definizione di fornitore o deployer di sistemi di intelligenza artificiale, indipendentemente dalla dimensione dell’azienda o dal livello di rischio del sistema usato. L’obbligo, previsto dall’articolo 4 del Regolamento (UE) 2024/1689, è in vigore dal 2 febbraio 2025.
Da quando è in vigore l’obbligo di alfabetizzazione AI? Dal 2 febbraio 2025. Il 2 agosto 2026 non introduce l’obbligo, ma segna l’entrata in vigore piena del sistema sanzionatorio dell’AI Act e di nuovi obblighi di trasparenza, previsti dall’articolo 50, per chatbot e contenuti generati dall’AI.
Cosa succede se un’azienda non forma il proprio personale? Al momento non è prevista una sanzione pecuniaria diretta e autonoma per la sola mancata formazione nel disegno di legge italiano di adeguamento. La mancata alfabetizzazione diventa però un fattore aggravante se un sistema di IA causa un danno, ad esempio una decisione discriminatoria, e può contribuire alle sanzioni massime previste per quella violazione.
Serve un corso certificato specifico per essere in regola? No. L’AI Act non impone un corso con un bollino ufficiale, ma richiede una formazione proporzionata al ruolo e al contesto d’uso, e documentabile con registri, verifiche finali e attestati nominali.
Chi controlla il rispetto dell’obbligo in Italia? Le autorità competenti includono AgID, il Garante per la protezione dei dati personali e l’Agenzia per la Cybersicurezza Nazionale. I controlli sistematici sono attesi a partire dal 2026, ma interventi su segnalazione sono possibili già oggi.
Da dove conviene iniziare per mettersi in regola? Mappando gli strumenti di intelligenza artificiale realmente usati in azienda, anche quelli adottati informalmente dai singoli reparti, e scegliendo un percorso formativo segmentato per ruolo, documentabile fin dall’inizio e da aggiornare ogni sei-dodici mesi.
