"I tuoi dipendenti hanno ricevuto formazione sull'uso dell'intelligenza artificiale?"
La formazione AI non è qualcosa a cui pensare “prima o poi”. Dal 2 febbraio 2025, l'Art. 4 del Regolamento UE 2024/1689 è in vigore: chi usa AI in azienda deve garantire un livello sufficiente di alfabetizzazione al personale.
La finestra per adeguarsi si chiude il 3 agosto 2026: da quella data le autorità nazionali di vigilanza - in Italia ACN e AgID, designate dalla Legge 132/2025 - iniziano formalmente l'enforcement. Chi a quella data non avrà ancora formato il personale non si troverà a dover "fare qualcosa prima di agosto". sarà già inadempiente da febbraio 2025, con l'enforcement diventato operativo.
La buona notizia: non serve un corso di tre giorni sulla normativa europea. Serve qualcosa che i dipendenti capiscano e applichino dal giorno dopo.
Per inquadrare l'obbligo di formazione nel contesto normativo più ampio, leggi prima la guida completa all'AI Act per le aziende.
Nota: questo articolo offre una panoramica operativa aggiornata. Per un piano di formazione specifico per la tua azienda, il punto di partenza corretto è un percorso strutturato con un partner esperto.
Cosa dice esattamente l'Art. 4: l'obbligo di alfabetizzazione AI
L'Art. 4 del Regolamento UE 2024/1689 stabilisce che fornitori e deployer di sistemi AI devono adottare misure per garantire, nella misura del possibile, un livello sufficiente di alfabetizzazione in materia di AI al proprio personale e a qualsiasi altra persona che si occupa del funzionamento e dell'utilizzo dei sistemi AI per loro conto.
Tre parole chiave da tenere a mente.
"Misure" - non necessariamente un corso formale. L'AI Office della Commissione europea, nelle Q&A aggiornate ad agosto 2025, ha chiarito che una formazione specifica non è obbligatoria come formato, ma che il semplice affidamento alle istruzioni d'uso dei sistemi è spesso insufficiente. Serve qualcosa di strutturato: materiali informativi, sessioni pratiche, policy scritte.
"Livello sufficiente" - proporzionato al ruolo e al contesto. Chi usa ChatGPT per scrivere bozze di email ha bisogno di una formazione diversa da chi usa un sistema AI per valutare candidati. Il Considerando 20 del Regolamento chiarisce che alfabetizzazione significa comprendere il funzionamento dei sistemi utilizzati, riconoscerne i limiti (allucinazioni, bias, errori sistematici), conoscere le implicazioni etiche e legali.
"Qualsiasi altra persona" - il perimetro è più ampio di quello che molti pensano. Include consulenti esterni, fornitori di servizi, appaltatori che usano sistemi AI per conto dell'organizzazione. Non solo i dipendenti interni.
Cosa non è richiesto: certificazioni formali, esami, un "AI officer" dedicato come il DPO nel GDPR. Quello che è richiesto, e che in sede di controllo fa la differenza, è la documentazione di ciò che è stato fatto.
Chi deve essere formato, e con quale profondità
L'obbligo non fa distinzioni tra grandi imprese e PMI. Una piccola azienda che usa ChatGPT per le email commerciali ha lo stesso obbligo di una multinazionale che usa AI per il recruiting. Quello che cambia è la profondità della formazione richiesta, proporzionata al rischio del sistema usato e al ruolo di chi lo usa.
Personale operativo (commerciali, marketing, amministrativi, assistenza clienti) che usa tool AI nel lavoro quotidiano: ChatGPT, Copilot, Gemini, tool AI integrati nei software che già usano. Formazione pratica su cosa si può e non si può fare, cosa non si inserisce mai in un prompt, come verificare l'output. 2-3 ore.
Responsabili di funzione e manager che supervisionano processi in cui viene usata AI, anche senza usarla direttamente: formazione aggiuntiva su responsabilità normativa, implicazioni GDPR, obblighi di supervisione umana per i sistemi ad alto rischio. 1-2 ore aggiuntive.
Direzione e imprenditore: inquadramento normativo complessivo (AI Act, GDPR, perimetro di responsabilità aziendale), scadenze operative, implicazioni commerciali. Più strategico, meno operativo.
Una precisazione importante Se nella tua azienda lavorano consulenti o fornitori che usano AI per svolgere lavoro per te, anche loro rientrano nel perimetro dell'obbligo. Non basta formare i dipendenti diretti.
Leggi anche: Cosa succede quando si caricano dati clienti su un LLM — e perché la responsabilità è dell'azienda
Cosa deve contenere una formazione efficace (il contenuto minimo)
Non serve un corso enciclopedico. Serve qualcosa che i dipendenti ricordino e applichino il lunedì mattina. Le FAQ dell'AI Office, aggiornate ad agosto 2025, indicano che il contenuto deve coprire aspetti tecnici, etici e legali e non scegliere solo uno dei tre.
Cos'è davvero l'AI e cosa non è.
Non è magia, non è infallibile, non è neutrale. È uno strumento statistico che produce output probabilistici. Questo significa che può sbagliare, e lo fa con la stessa sicurezza con cui ha ragione. La responsabilità degli errori ricade sull'azienda, non sul software. Questo è il punto culturale più importante da trasferire.
Cosa non inserire mai in un prompt.
Dati personali di clienti o dipendenti, bilanci non pubblicati, offerte riservate, codice sorgente proprietario, informazioni coperte da NDA. Con esempi concreti tratti dal lavoro quotidiano dei partecipanti e non esempi astratti. Il commerciale deve capire cosa succede se carica il suo CRM in ChatGPT. Il marketing manager deve capire cosa succede se chiede a Gemini di analizzare i dati di performance di una campagna con dati di utenti reali.
Come verificare l'output.
L'AI può inventare leggi, citare ricerche inesistenti, produrre dati numerici plausibili ma errati con grande sicurezza. Ogni output usato in un documento ufficiale, inviato a un cliente, pubblicato su un canale aziendale, deve essere verificato da una persona che se ne assume la responsabilità.
Le implicazioni normative essenziali.
AI Act e GDPR spiegati con un linguaggio semplice: non un corso di diritto, ma una comprensione pratica di cosa si può e non si può fare, e perché. Le Q&A dell'AI Office specificano che gli aspetti legali devono essere parte integrante del programma e non elementi facoltativi.
La policy aziendale.
Quali tool sono autorizzati, come si usano, cosa non si inserisce mai in un prompt, chi contattare in caso di dubbi. La policy deve essere distribuita e firmata, non basta comunicarla a voce.
Come documentare la formazione (e perché è fondamentale)
Il Regolamento non prevede obblighi di certificazione formale. Ma le Q&A dell'AI Office e la prassi già consolidata nel GDPR insegnano una cosa: in caso di controllo o contenzioso, chi non ha documentazione non ha niente.
Il fascicolo formativo minimo che ogni azienda dovrebbe avere:
Registro presenze per ogni sessione formativa: nome, cognome, ruolo, data, durata, argomenti trattati, firma del partecipante. Documento base, spesso sufficiente per dimostrare l'adempimento nelle PMI.
Policy AI aziendale firmata da ogni dipendente che usa strumenti AI. Documento che definisce strumenti autorizzati, regole d'uso, divieti espliciti, procedura per usi non standard. Firma individuale — non firma sul regolamento aziendale generico.
Materiali didattici utilizzati: slide, dispense, video, link a risorse. Da archiviare insieme al registro presenze come prova del contenuto effettivamente erogato.
Refresh documentato. Questo è il punto che quasi nessuna azienda gestisce correttamente: la formazione non è un adempimento una tantum. La mancata alfabetizzazione è considerata aggravante in caso di altre violazioni, e senza refresh documentati, il livello sufficiente si considera decaduto dopo 12-18 mesi. Un aggiornamento annuale di 4-8 ore, con nuovo registro presenze, mantiene il fascicolo aggiornato e la copertura normativa attiva.
Perché la formazione è la prima cosa da fare (e non l'ultima)
Ci sono percorsi di adeguamento AI Act che richiedono settimane o mesi: gap analysis, aggiornamento delle informative GDPR, strutturazione della disclosure per i contenuti, revisione dei contratti con i fornitori AI. La formazione del personale è l'unico intervento che:
- Si può fare subito, senza analisi preliminari, senza consulenze esterne complesse, senza mesi di lavoro. Una sessione di 2-3 ore ben strutturata è sufficiente per il personale operativo.
- Riduce il rischio immediato, ogni giorno in cui i dipendenti usano AI senza regole chiare è un giorno di esposizione reale. Un dipendente che carica dati clienti in ChatGPT senza policy, un manager che usa l'output di un sistema AI per prendere una decisione su un candidato senza supervisione documentata. Questi sono rischi operativi concreti, non rischi normativi astratti.
- È documentabile immediatamente: il registro presenze firmato il giorno stesso è già prova di adempimento. Per qualsiasi controllo formale dell'ACN, è il primo documento che viene richiesto.
- Amplifica l'efficacia di tutto il resto: un team formato capisce perché la policy AI esiste, perché le informative GDPR vengono aggiornate, perché la disclosure sui contenuti è necessaria. Senza formazione, ogni altro intervento di compliance è formalmente corretto ma praticamente ignorato.
Approfondisci leggendo Il perimetro normativo completo: AI Act, GDPR e Codice del Consumo e
Sito web e AI marketing: cosa cambia
In sintesi
- L'obbligo di alfabetizzazione AI (Art. 4, Regolamento UE 2024/1689) è in vigore dal 2 febbraio 2025. Chi non ha formato il personale è già inadempiente.
- Dal 3 agosto 2026 le autorità nazionali di vigilanza (ACN e AgID in Italia) iniziano formalmente l'enforcement. È la scadenza operativa reale.
- Il perimetro include dipendenti, consulenti esterni, fornitori e appaltatori che usano AI per conto dell'organizzazione e non solo i dipendenti interni.
- La formazione non deve essere un corso formale certificato: deve essere strutturata, documentata e proporzionata al ruolo. Il registro presenze firmato è il documento minimo.
- La formazione non è una tantum: senza refresher documentati (annuali, 4-8 ore), il livello sufficiente si considera decaduto dopo 12-18 mesi.
- L'inadempimento dell'Art. 4 è aggravante in caso di altre violazioni AI Act o GDPR, e può comportare sanzioni fino a 15 milioni di euro o il 3% del fatturato mondiale annuo.
FAQ
Dal 2 febbraio 2025 o dal 3 agosto 2026: quando scatta esattamente l'obbligo?
L'obbligo è in vigore dal 2 febbraio 2025. Da quella data le aziende devono già avere adottato misure di alfabetizzazione AI. Il 3 agosto 2026 è la data da cui le autorità nazionali di vigilanza iniziano formalmente l'enforcement: possono aprire procedimenti, comminare sanzioni, richiedere documentazione. Chi non ha ancora formato il personale è inadempiente da oltre un anno, e tra poche settimane quella inadempienza diventa verificabile e sanzionabile.
Chi deve partecipare alla formazione?
Tutti i dipendenti e collaboratori che usano strumenti AI nel lavoro quotidiano, non solo il team IT. Commerciali con ChatGPT, amministrativi con Copilot, marketing con tool AI per i contenuti, HR che usa software con funzioni AI per il recruiting. Il perimetro include anche consulenti esterni, fornitori di servizi e appaltatori che operano con sistemi AI per conto dell'azienda.
Quanto deve durare il corso?
Non esiste un requisito di durata minima nella norma. L'AI Office specifica che la formazione deve essere proporzionata al ruolo e al contesto d'uso del sistema AI. In pratica: 2-3 ore per il personale operativo sono sufficienti per una prima formazione efficace. Manager e direzione richiedono contenuti aggiuntivi più strategici. Il refresh annuale è più breve: 4-8 ore.
Serve un docente esterno o basta un interno?
Non è obbligatorio un docente esterno. Ma è consigliato per due motivi pratici: un esperto esterno porta contenuti aggiornati e indipendenti e, soprattutto, è più difficile ignorare la domanda "ma davvero dobbiamo farlo?" quando viene da qualcuno di fuori. Un responsabile interno che fa formazione spesso non viene percepito come fonte autorevole dagli stessi colleghi.
Cosa rischio concretamente se non lo faccio?
Sul fronte sanzionatorio: l'inadempimento dell'Art. 4 rientra nella fascia intermedia delle sanzioni AI Act - fino a 15 milioni di euro o il 3% del fatturato mondiale annuo per le imprese. In aggiunta, la mancata formazione è considerata aggravante in caso di altre violazioni del Regolamento o del GDPR. Sul fronte operativo: ogni incidente causato da un dipendente non formato - un trasferimento di dati non autorizzato, un output AI usato senza verifica, una decisione presa su persone senza supervisione - ha responsabilità che ricadono interamente sull'azienda.
La formazione deve essere ripetuta ogni anno?
Sì, se vuoi mantenere la copertura normativa. Senza aggiornamenti documentati, il livello di alfabetizzazione si considera decaduto dopo 12-18 mesi, soprattutto considerando la velocità con cui gli strumenti AI e il quadro normativo evolvono. Un refresh annuale di 4-8 ore con nuovo registro presenze è il modo più pratico per mantenere il fascicolo aggiornato.
Devo formare anche i consulenti esterni che lavorano per me?
Sì, se usano sistemi AI per svolgere attività per conto della tua azienda. Le Q&A dell'AI Office aggiornate ad agosto 2025 specificano esplicitamente che il perimetro include appaltatori, fornitori di servizi e consulenti esterni che operano con AI nell'ambito organizzativo dell'azienda. In pratica: verifica che abbiano già fatto formazione adeguata, o includili nel tuo piano formativo.
