La formazione sull’AI è obbligatoria. E l’obbligo è scattato prima di quello che tutti guardano.

Mentre le imprese italiane guardavano l’articolo 50 e la trasparenza, l’articolo 4 dello stesso regolamento era già in vigore da diciotto mesi. Chiede una cosa sola, e cioè che chi usa un sistema di intelligenza artificiale si occupi delle competenze di chi lo usa.

Questo pezzo scende in profondità su un punto che la guida agli obblighi dell’AI Act per le aziende e le PMI tocca solo di striscio. Parla di imprese, non di scuola pubblica, e finisce dove comincia il lavoro di un avvocato.

Chi ha l’obbligo, e da quando

L’articolo 4 del Regolamento (UE) 2024/1689 si rivolge ai fornitori e ai deployer di sistemi di IA. Si applica dal 2 febbraio 2025, perché l’articolo 113 stabilisce che il Capo I si applica da quella data, e l’articolo 4 chiude proprio il Capo I.

Il regolamento definisce deployer chi utilizza un sistema di IA sotto la propria autorità, tranne nel corso di un’attività personale non professionale. Un’impresa che usa un assistente sul sito, un modello che scrive testi o un sistema che trascrive chiamate rientra in quella definizione senza sforzo interpretativo.

L’obbligo non si ferma ai dipendenti. Il testo parla del personale e di qualsiasi altra persona che si occupa del funzionamento e dell’utilizzo dei sistemi per conto dell’impresa, e la Commissione europea chiarisce che qui rientrano appaltatori, fornitori di servizi e in certi casi i clienti.

Cosa dice esattamente l’articolo 4, dopo luglio 2026

Il Regolamento (UE) 2026/1744, l’omnibus digitale sull’IA pubblicato il 24 luglio 2026 ed entrato in vigore il terzo giorno successivo, ha sostituito integralmente l’articolo 4. L’obbligo di garantire un livello sufficiente è diventato l’obbligo di adottare misure volte a sostenere lo sviluppo dell’alfabetizzazione.

«Tale obbligo non impone ai fornitori o ai deployer di garantire un livello specifico di alfabetizzazione in materia di IA per alcuna persona.»
Regolamento (UE) 2026/1744, nuovo testo dell’articolo 4 dell’AI Act

Il considerando 8 dell’omnibus spiega la ragione senza giri di parole: obblighi rigidi non erano adatti a tutti i tipi di fornitori e deployer, e creavano un onere di conformità aggiuntivo in particolare per le imprese più piccole. La data di applicazione, invece, non è stata toccata.

Chi cerca oggi il testo dell’articolo 4 in una fonte non aggiornata trova ancora la formula vecchia, con il livello sufficiente da garantire. La differenza fra le due versioni cambia il modo in cui l’obbligo si dimostra, quindi conviene leggere la versione consolidata invece di un articolo di commento.

Se serve un corso certificato, e cosa si deve poter mostrare

Non serve alcun certificato, e nessun ente ne rilascia uno valido ai fini dell’articolo 4. Le risposte pubblicate dalla Commissione europea sull’alfabetizzazione in materia di IA lo dicono in modo diretto: le organizzazioni possono tenere un registro interno delle formazioni e delle altre iniziative di orientamento, e nessuna struttura di governance specifica è imposta.

La stessa fonte esclude altre due cose che circolano molto. Non esiste un obbligo di misurare la conoscenza dell’IA dei dipendenti, e non serve nominare un responsabile dell’IA sul modello del responsabile della protezione dei dati.

Un avvertimento però c’è, e riguarda la scorciatoia più comune. La Commissione scrive che limitarsi alle istruzioni per l’uso del sistema, o chiedere al personale di leggerle, in molti casi non basta: servono formazione e orientamento tarati sul gruppo di persone e sul contesto d’uso.

Una traccia interna utile contiene quattro elementi: quali sistemi di IA girano in azienda, chi li usa, cosa è stato spiegato a quelle persone e quando. Le prime due voci coincidono con la lista che serve anche per gli altri obblighi del regolamento, quindi il lavoro si fa una volta sola.

C’è un caso in cui quella traccia pesa molto di più. La Commissione osserva che una contestazione diventa più probabile quando esiste la prova di un incidente dovuto alla mancanza di formazione e orientamento del personale, e in quel momento la data sul registro vale più di qualsiasi dichiarazione di intenti.

Cosa vuol dire adeguato per sei persone e per duecento

Il regolamento non fissa ore, contenuti o formati. Chiede di prendere in considerazione quattro cose: conoscenze tecniche, esperienza, istruzione e formazione delle persone, e il contesto in cui i sistemi vengono usati. Da qui discende che due aziende di dimensione diversa possono essere entrambe in regola con misure molto diverse.

Impresa	Misura proporzionata	Come si dimostra
Sei personestrumenti generativi di terzi, nessun sistema ad alto rischio	Una sessione interna sugli strumenti effettivamente in uso, con i rischi concreti (risposte inventate, dati riservati incollati in un prompt) e una regola scritta su cosa non si incolla mai.	Una nota di una pagina con data, presenti e strumenti trattati. È il registro interno che la Commissione indica come sufficiente.
Duecento personereparti con esposizioni diverse	Percorsi differenziati per gruppo, perché l’articolo 4 invita a tenere conto di istruzione ed esperienza. Chi tratta dati di clienti e chi scrive testi non hanno gli stessi rischi davanti.	Registro per gruppo, materiali datati, e la traccia di chi ha ricevuto cosa. Nessun ente rilascia un bollino, la prova resta interna.
Chi usa sistemi ad alto rischioCapo III del regolamento	Qui l’articolo 4 non è l’unico riferimento. L’articolo 26 impone al deployer di sistemi ad alto rischio di affidare la sorveglianza umana a persone che abbiano competenza e formazione adeguate.	Materia diversa e più pesante, che chiede una lettura dedicata del Capo III e di solito un professionista.

Vale anche per chi usa soltanto ChatGPT in ufficio

Sì, e la domanda è posta in questa forma esatta nelle risposte della Commissione europea, nel caso di dipendenti che usano ChatGPT per scrivere testi pubblicitari o per tradurre. La risposta è affermativa, con l’indicazione di informare quelle persone dei rischi specifici dello strumento, a partire dalle risposte inventate.

È il caso che riguarda la grande maggioranza delle piccole imprese italiane, ed è anche quello in cui nessuno si sente coinvolto. Un modello generativo aperto dentro un browser non sembra un sistema di intelligenza artificiale adottato dall’azienda, e nella definizione del regolamento lo è.

Chi vuole capire quale strumento ha davvero in casa, e con quanta autonomia, trova la distinzione operativa nella pagina che confronta un agente AI e un chatbot e i termini spiegati nel glossario dell’AI e dell’automazione.

Chi vigila in Italia, e cosa comporta non averlo fatto

La vigilanza sull’articolo 4 non spetta all’ufficio per l’IA della Commissione, ma alle autorità nazionali di vigilanza del mercato, e la Commissione indica il 2 agosto 2026 come inizio della supervisione. In Italia l’articolo 20 della legge 132/2025 designa AgID e ACN come autorità nazionali per l’intelligenza artificiale.

Fra le due, la vigilanza vera sta all’ACN. La legge le attribuisce la responsabilità della vigilanza sui sistemi di intelligenza artificiale, ivi incluse le attività ispettive e sanzionatorie, mentre all’AgID restano notifica, valutazione, accreditamento e monitoraggio dei soggetti che verificano la conformità.

Sulle sanzioni serve una precisione che quasi nessuno fa. L’elenco dell’articolo 99, paragrafo 4, del regolamento, quello della fascia fino a 15 milioni di euro o il 3% del fatturato mondiale annuo, nomina gli articoli 16, 22, 23, 24, 26, 31, 33, 34 e 50. L’articolo 4 non c’è.

Le conseguenze passano quindi dal paragrafo 1 dello stesso articolo, che lascia agli Stati membri il compito di stabilire le sanzioni. In Italia quel passaggio non è ancora completo: l’articolo 24 della legge 132/2025 delega il Governo ad attribuire ad AgID e ACN i poteri sanzionatori previsti dal regolamento, entro dodici mesi dall’entrata in vigore della legge, cioè entro il 10 ottobre 2026.

La lettura onesta del quadro è questa: l’obbligo dell’articolo 4 è pieno da diciotto mesi, l’impianto sanzionatorio italiano è ancora in costruzione. Vale come motivo per prepararsi con calma adesso, non come motivo per rimandare.

Il punto umano, che la formazione da sola non copre

L’alfabetizzazione dell’articolo 4 lavora insieme al controllo umano, e le due cose si tengono. La legge 132/2025 chiede al datore di lavoro di informare chi lavora dell’utilizzo dell’intelligenza artificiale nei casi previsti dal decreto legislativo 152 del 1997, e un personale informato è anche il personale in grado di accorgersi che il sistema ha sbagliato.

Nei sistemi che Itria costruisce la regola è scritta e vale per ogni messaggio che impegna l’azienda: offerte, preventivi, prezzi e conferme partono solo dopo che una persona li ha letti e approvati. Le risposte su informazioni già approvate dal titolare, come orari e disponibilità, possono partire da sole, il titolare accende e spegne la funzione canale per canale, e la risposta dichiara di essere un sistema come richiede l’articolo 50, applicabile dal 2 agosto 2026.

Il principio esteso, con il perimetro di cosa non facciamo mai, sta nella pagina dei principi AI, e l’elenco dei sistemi che usiamo davvero nella pagina di trasparenza AI.

Le quattro domande da cui partire lunedì

La Commissione europea indica quattro passaggi minimi per un programma che rispetti l’articolo 4, e sono quattro domande prima ancora che quattro attività. Un’impresa piccola le percorre in una mattinata, senza consulenti e senza acquisti.

Uno, cosa gira qui dentro. Quali sistemi di IA sono in uso, come funzionano, quali opportunità e quali pericoli portano. Due, che ruolo abbiamo. Sviluppiamo sistemi di IA o usiamo sistemi sviluppati da altri, cioè siamo fornitori oppure deployer.

Tre, quanto rischio c’è. Cosa deve sapere chi usa quel sistema, quali rischi deve riconoscere, quali attenuazioni deve conoscere. Quattro, le misure. Costruire le azioni di alfabetizzazione sull’analisi precedente, calibrate sul livello reale delle persone e sul settore in cui il sistema viene usato.

La lista dei sistemi in uso è il documento che serve tre volte: per l’articolo 4, per la tracciabilità che chiede la legge italiana, e per decidere quale processo automatizzare per primo. Su quest’ultimo punto il metodo sta in quale processo conviene affidare all’AI per primo.

Domande e risposte

Questo articolo è una ricognizione operativa, non un parere legale. Sulle situazioni specifiche, e in particolare sui rapporti di lavoro e sui modelli di organizzazione, la risposta la dà un professionista che guarda la vostra azienda.