Studio Cravero Consulting
Cosa richiede esattamente l'art. 4 dell'AI Act
L'articolo 4 del Regolamento (UE) 2024/1689 impone a fornitori e utilizzatori di sistemi di intelligenza artificiale di adottare misure per garantire «nella misura del possibile, un livello sufficiente di alfabetizzazione in materia di IA» del proprio personale e di chiunque si occupi del funzionamento e dell'uso dei sistemi per loro conto.
È una norma breve, e proprio per questo viene sottovalutata. Tre caratteristiche la rendono più impegnativa di quanto sembri:
- È già applicabile. Vale dal 2 febbraio 2025, insieme ai divieti dell'art. 5. Non è tra gli obblighi rinviati dal Digital Omnibus: quelli riguardano i sistemi ad alto rischio, spostati al 2 dicembre 2027 e al 2 agosto 2028.
- Non ha soglie. Non distingue per numero di dipendenti, fatturato o settore. Uno studio professionale con tre persone che usa un assistente conversazionale rientra esattamente come una multinazionale.
- Non dipende dal livello di rischio. Anche i sistemi a rischio minimo, che non hanno obblighi propri, non esonerano dall'alfabetizzazione del personale che li utilizza.
La definizione di alfabetizzazione è all'art. 3, punto 56: le competenze, le conoscenze e la comprensione che consentono di utilizzare i sistemi con cognizione di causa, di rendersi conto delle opportunità e dei rischi e dei possibili danni che possono provocare. Non è un corso di informatica: è la capacità di capire cosa può e cosa non può fare lo strumento che si ha in mano.
Chi è obbligato e chi va formato
L'obbligo grava sull'organizzazione, sia che agisca come fornitore (sviluppa o immette sul mercato un sistema con il proprio nome) sia come utilizzatore o deployer (usa sotto la propria autorità un sistema di altri). La seconda ipotesi copre la grande maggioranza delle imprese, degli studi e degli enti italiani.
Le persone da formare non sono solo i dipendenti in senso stretto. La norma parla di chi si occupa del funzionamento e dell'uso dei sistemi «per loro conto», e quindi include collaboratori, professionisti incaricati, somministrati e stagisti che usano gli strumenti nell'ambito dell'attività dell'organizzazione.
Il punto pratico che emerge quasi sempre nei primi incontri è un altro: l'organizzazione non sa quali strumenti di IA siano davvero in uso. Il personale adotta assistenti conversazionali, trascrittori di riunioni e generatori di testo di propria iniziativa, senza passare dall'IT. Se non hai ancora una mappa affidabile, la formazione va preceduta — o accompagnata — dall'assessment e inventario dei sistemi di IA.
Cosa significa «livello sufficiente»
Il Regolamento non fissa un monte ore né un programma minimo. Chiede che il livello sia commisurato a quattro fattori: le conoscenze tecniche, l'esperienza e la formazione delle persone coinvolte; il contesto in cui i sistemi sono utilizzati; il livello di rischio dei sistemi stessi; e le categorie di persone su cui i sistemi vengono impiegati.
Tradotto in pratica, significa che un programma unico e identico per tutti non soddisfa la norma. Chi decide di adottare uno strumento ha bisogno di contenuti diversi da chi lo usa quotidianamente, e un sistema che incide su selezione del personale o su pazienti richiede una preparazione più approfondita di un filtro antispam.
Per questo il percorso che propongo è articolato su livelli, non su un corso unico.
I documenti che ti consegno
La formazione senza tracce documentali, dal punto di vista della vigilanza, equivale a non averla fatta. L'evidenza è parte del servizio, non un accessorio.
Piano di formazione differenziato per ruoli
Documento che individua i gruppi omogenei nella tua organizzazione (vertice decisionale, utilizzatori operativi, funzioni di controllo), i contenuti e le ore assegnate a ciascuno, con la motivazione delle scelte rispetto ai quattro criteri dell'art. 4.
Materiale didattico personalizzato
Slide ed esempi costruiti sui sistemi di IA effettivamente in uso presso di te, non su casi generici. Restano a disposizione dell'organizzazione anche per l'inserimento di nuovo personale.
Attestati nominativi
Per ogni partecipante: contenuti trattati, durata, data ed estremi del docente con le relative credenziali. È il documento che si esibisce in caso di verifica.
Registro delle presenze e delle ore
Traccia consolidata di chi ha partecipato a cosa e quando, mantenuta nel tempo. Serve a dimostrare la copertura dell'intera popolazione aziendale interessata.
Test di verifica dell'apprendimento
Questionario con esiti registrati. Non è richiesto dalla norma, ma trasforma un'affermazione («abbiamo formato il personale») in una misura verificabile del livello raggiunto.
Procedura di aggiornamento
Documento che stabilisce quando la formazione va ripetuta: periodicità ordinaria, nuovi sistemi introdotti, modifiche d'uso sostanziali, nuove scadenze normative. Evita che l'adempimento resti fermo al primo anno.
Istruzioni operative per gli utilizzatori
Sintesi pratica di una pagina per ogni gruppo: cosa è consentito, cosa no, quali dati non vanno mai inseriti negli strumenti, a chi rivolgersi nei casi dubbi. È la parte che il personale usa davvero.
Relazione finale per la direzione
Documento di sintesi che collega la formazione erogata all'obbligo dell'art. 4 e segnala le aree residue di rischio emerse durante le sessioni. Utile anche in sede di governance e Modello 231.
Il programma tipo
I contenuti si adattano al settore e ai sistemi in uso, ma la struttura di base è questa:
- Cos'è un sistema di IA secondo la definizione del Regolamento, e perché molti strumenti aziendali già in uso vi rientrano senza che nessuno se ne sia accorto.
- Le quattro classi di rischio e il posizionamento concreto degli strumenti dell'organizzazione, con la logica della classificazione spiegata in questa pagina sull'AI Act.
- Limiti e modalità di errore dei sistemi generativi: allucinazioni, bias, dipendenza dai dati di addestramento, non riproducibilità dei risultati.
- Sorveglianza umana: cosa significa in concreto non delegare la decisione allo strumento, e come si documenta il controllo.
- Confini con il GDPR: quali dati non vanno immessi negli strumenti, come si valuta un fornitore, quando serve una valutazione d'impatto.
- Obblighi di trasparenza: cosa cambia dal 2 agosto 2026 per chi usa chatbot o pubblica contenuti generati con IA, con rinvio all'adeguamento all'art. 50.
- Casi pratici del settore e sessione di domande aperte, che è quasi sempre la parte da cui emergono gli usi non dichiarati.
Le sessioni si svolgono in videoconferenza, in gruppi contenuti per permettere la discussione. Per le organizzazioni con personale distribuito su più sedi è la modalità che garantisce la copertura più uniforme.
L'errore più comune: scambiare la formazione GDPR per AI literacy
Molte organizzazioni ritengono di essere in regola perché hanno erogato formazione privacy negli ultimi due anni. Sono obblighi distinti, con basi normative diverse e contenuti che si sovrappongono solo in parte.
La formazione GDPR riguarda il trattamento dei dati personali: basi giuridiche, diritti degli interessati, misure di sicurezza, gestione delle violazioni. L'AI literacy riguarda il funzionamento e i limiti dei sistemi di intelligenza artificiale, indipendentemente dal fatto che trattino dati personali. Un modello che stima i consumi energetici di un impianto non tratta dati personali, ma richiede comunque personale alfabetizzato.
Le due formazioni possono essere erogate nella stessa giornata, e spesso conviene farlo. Ma vanno progettate e documentate separatamente, perché in caso di verifica rispondono ad autorità e a norme diverse.
Perché farla fare a un DPO
L'AI Act non richiede che la formazione sia erogata da una figura specifica. Ma nella pratica i sistemi di IA quasi sempre trattano dati personali, e le domande che il personale pone durante le sessioni riguardano tanto l'AI Act quanto il GDPR: se posso caricare un documento con dati di clienti in un assistente, se posso trascrivere una riunione, se posso usare uno strumento per selezionare candidature.
Un docente che conosce solo una delle due normative lascia metà delle domande senza risposta. È la stessa ragione per cui, sul piano organizzativo, conviene che GDPR e AI Act facciano capo alla stessa figura.
Quanto costa
Il costo dipende dal numero di gruppi da formare, dal livello di approfondimento richiesto dai sistemi in uso e dall'eventuale necessità di un inventario preliminare. Un percorso per una PMI con un solo gruppo omogeneo è un intervento contenuto; un ente pubblico con più aree e sistemi a contatto con i cittadini richiede un'articolazione maggiore.
La prima valutazione è gratuita: in una videocall stabiliamo quanti gruppi servono e cosa manca davvero, e ricevi un preventivo scritto. Richiedi un preventivo personalizzato.
Domande frequenti sulla formazione AI Act
La formazione AI Act è obbligatoria?
Sì. L'art. 4 del Regolamento (UE) 2024/1689 è applicabile dal 2 febbraio 2025 e obbliga fornitori e utilizzatori di sistemi di IA a garantire un livello sufficiente di alfabetizzazione del personale che se ne occupa. Non esiste una soglia dimensionale: l'obbligo riguarda anche le microimprese e gli studi professionali, purché usino sistemi di intelligenza artificiale.
Serve anche se usiamo solo ChatGPT o Copilot?
Sì. Usare uno strumento di IA generativa in ambito lavorativo rende l'organizzazione un utilizzatore ai sensi dell'AI Act, e l'obbligo dell'art. 4 si applica indipendentemente dal livello di rischio del sistema. È anzi il caso più diffuso: strumenti a rischio minimo, ma personale da formare.
La formazione GDPR che abbiamo già fatto è sufficiente?
No. Sono due obblighi distinti con contenuti diversi. La formazione GDPR riguarda il trattamento dei dati personali; l'AI literacy riguarda il funzionamento dei sistemi di IA, i loro limiti, i rischi di errore e allucinazione, la sorveglianza umana e gli obblighi dell'AI Act. Possono essere erogate insieme, ma vanno documentate separatamente.
Che valore ha l'attestato di formazione AI Act?
L'AI Act non prevede un albo, una certificazione di Stato o un attestato a validità legale. L'attestato serve come evidenza documentale: dimostra all'autorità di vigilanza che l'organizzazione ha adempiuto all'obbligo dell'art. 4, indicando chi è stato formato, su quali contenuti, per quante ore e in quale data.
Ogni quanto va ripetuta la formazione?
Il Regolamento non fissa una periodicità. La prassi ragionevole è un aggiornamento annuale, più una sessione straordinaria ogni volta che l'organizzazione introduce un nuovo sistema di IA, cambia in modo sostanziale l'uso di uno esistente o entrano in vigore nuovi obblighi, come quelli di trasparenza del 2 agosto 2026.
Chi va formato all'interno dell'organizzazione?
Il personale che si occupa del funzionamento e dell'uso dei sistemi di IA per conto dell'organizzazione, inclusi i collaboratori esterni che li utilizzano sotto la sua autorità. In pratica: chi usa gli strumenti, chi li supervisiona, chi decide di adottarli e chi risponde delle conseguenze. Il livello di approfondimento va differenziato per ruolo.
Aggiornamento agosto 2026. I decreti attuativi italiani agganciano la formazione sull'IA ai circuiti formativi obbligatori di sanità, scuola e PA.
Il personale che usa l'IA è già formato?
Se la risposta è no, l'obbligo è scoperto da oltre un anno. Richiedi una valutazione gratuita: stabiliamo quanti gruppi formare e in quanto tempo.