Cosa è cambiato con il Regolamento 2026/1744
| Fino al 26 luglio 2026 | Dal 27 luglio 2026 |
|---|
| Natura dell’obbligo | Adottare misure per garantire, nella misura del possibile, un livello sufficiente di alfabetizzazione | Adottare misure di alfabetizzazione; la conformità non richiede di garantire un livello specifico |
| Chi è obbligato | Fornitori e utilizzatori di sistemi di IA | Invariato |
| Da quando | 2 febbraio 2025 | Invariato: l’obbligo non è stato rinviato |
| Cosa si verifica | Il livello raggiunto dalle persone | Le misure adottate e la loro adeguatezza |
La modifica toglie un obbligo di risultato difficile da dimostrare, ma non toglie l’obbligo. Chi non ha fatto nulla resta scoperto esattamente come prima; chi ha fatto qualcosa ora deve soprattutto poterlo documentare.
Chi va formato
L’obbligo è dell’organizzazione, che sia fornitore (sviluppa un sistema o lo mette sul mercato con il proprio nome) o, molto più spesso, utilizzatore (usa sotto la propria autorità un sistema di altri). Le persone da coinvolgere non sono solo i dipendenti: la norma parla di chi si occupa del funzionamento e dell’uso dei sistemi per conto dell’organizzazione, quindi anche collaboratori, professionisti incaricati, somministrati e tirocinanti.
Il primo passo, quasi sempre, è scoprire quali strumenti si usano davvero: assistenti generativi, trascrittori di riunioni, funzioni di IA dentro i gestionali. Senza questo inventario la formazione rischia di parlare di strumenti che nessuno usa.
Come proporzionare le misure
Il Regolamento non fissa un monte ore né un programma minimo. Il testo originario dell’art. 4 indicava quattro criteri, che restano il modo più ragionevole per decidere quanto approfondire:
- le conoscenze tecniche, l’esperienza e la formazione delle persone;
- il contesto in cui i sistemi sono usati;
- il livello di rischio dei sistemi;
- le persone su cui i sistemi vengono usati, per esempio pazienti, candidati, studenti, clienti.
Ne segue che un corso unico uguale per tutti è la scelta più debole. Funziona meglio un percorso per gruppi: chi decide di adottare gli strumenti, chi li usa ogni giorno, chi li controlla.
Cosa conservare
Dopo la modifica del 2026 la documentazione è il cuore dell’adempimento. Il minimo che consiglio:
- piano di formazione con gruppi, contenuti e motivazione delle scelte;
- materiale costruito sugli strumenti realmente in uso;
- registro delle presenze con date e durata;
- istruzioni operative brevi: cosa si può fare, cosa no, quali dati non inserire mai;
- regola di aggiornamento: quando si introduce un nuovo strumento o cambia l’uso di uno esistente.
Per l’art. 4 non esiste una sanzione dedicata, ma la formazione pesa nella valutazione complessiva della diligenza dell’organizzazione, anche ai fini del GDPR quando negli strumenti finiscono dati personali.
Gli errori più frequenti
- Il corso online generico sull’intelligenza artificiale, senza legame con gli strumenti dell’azienda.
- Formare solo l’ufficio IT, quando gli strumenti li usano amministrazione, commerciale e reparti operativi.
- Nessuna regola sui dati: il rischio più concreto non è l’errore dello strumento ma il documento riservato incollato in un servizio esterno.
- Formazione una tantum, mai aggiornata quando cambiano gli strumenti.
Domande frequenti
La formazione sull'IA per i dipendenti è obbligatoria?
Sì. L'art. 4 dell'AI Act è applicabile dal 2 febbraio 2025 e obbliga chi usa sistemi di IA ad adottare misure di alfabetizzazione per le persone che li utilizzano. Dal Regolamento (UE) 2026/1744, applicabile dal 27 luglio 2026, la conformità non richiede di garantire un livello specifico per ogni persona.
Vale anche per una piccola azienda o uno studio professionale?
Sì. L'art. 4 non prevede soglie di dimensione o di fatturato: basta che l'organizzazione usi sistemi di intelligenza artificiale nel lavoro, anche solo un assistente generativo.
Quante ore di formazione servono?
Nessuna norma fissa un numero di ore. Le misure vanno proporzionate a conoscenze delle persone, contesto d'uso, rischio dei sistemi e persone su cui i sistemi sono usati. Conta poter dimostrare cosa si è fatto e perché.
Cosa succede se non si fa la formazione?
Per l'art. 4 non è prevista una sanzione dedicata, ma l'assenza di misure pesa nella valutazione della diligenza complessiva dell'organizzazione, anche ai fini del GDPR quando negli strumenti finiscono dati personali.
Approfondimenti: formazione AI Act · policy aziendale sull’IA · assessment e inventario · AI Act in sanità.
A cura del Dott. Pietro Cravero, DPO certificato (IDcert, Master II livello in Trattamento dei Dati Personali — Università Roma Tre). Chi sono.
Vuoi un percorso sugli strumenti che usate davvero?
Nella prima videocall, gratuita, contiamo i gruppi da formare e ti dico cosa manca. Poi ricevi un preventivo scritto.
Studio Cravero Consulting