Obbligo di formazione AI Act: cosa devono fare le aziende
L'articolo 4 dell'AI Act obbliga fornitori e utilizzatori di sistemi di IA a formare il personale sull'uso consapevole dell'IA. Si applica dal 2 febbraio 2025, non impone un monte ore e dal 27 luglio 2026 non richiede più un livello «sufficiente»: chiede misure documentabili.
In breve
- L'obbligo riguarda anche chi compra l'IA: se i dipendenti usano ChatGPT, Copilot o un gestionale con funzioni di IA, l'azienda è un deployer.
- Nessun monte ore e nessun corso prescritto: servono misure adeguate a conoscenze, contesto e rischi.
- Dal 27 luglio 2026 il testo è cambiato: il Regolamento (UE) 2026/1744 ha eliminato il livello «sufficiente»; l'obbligo resta.
- Non serve un certificato: basta un registro interno delle iniziative.
- Nessuna multa dedicata all'articolo 4, ma le autorità possono ordinare di eliminare l'infrazione; dal 23 ottobre 2026 si aggiunge l'obbligo italiano sui rischi specifici.
Cosa prevede l'articolo 4 e da quando si applica
L'articolo 4, paragrafo 1, del Regolamento (UE) 2024/1689 chiede a fornitori e deployer di adottare misure per sostenere l'alfabetizzazione in materia di IA del personale e di chiunque si occupi dei sistemi di IA per loro conto, calibrate su conoscenze, esperienza, istruzione, formazione, contesto d'uso e persone su cui il sistema viene applicato.
I capi I e II, e quindi l'articolo 4, si applicano dal 2 febbraio 2025; il resto del regolamento dal 2 agosto 2026, quando partono i poteri di vigilanza del mercato. Il Regolamento (UE) 2026/1744, l'omnibus digitale sull'IA, in vigore dal 27 luglio 2026, ha modificato l'articolo 4 e rinviato i sistemi ad alto rischio al 2 dicembre 2027 (allegato III) e al 2 agosto 2028 (allegato I).
Chi usa l'IA per selezionare personale o valutare credito ha davanti il calendario lungo; chi usa un assistente per scrivere o tradurre è già dentro l'articolo 4 e, dal 2 agosto 2026, nella trasparenza dell'articolo 50.
Chi è deployer: anche la PMI che usa ChatGPT o Copilot
«Deployer» è chi utilizza un sistema di IA sotto la propria autorità, salvo l'uso personale non professionale (articolo 3, paragrafo 4). Non conta chi ha costruito il sistema: conta chi lo mette al lavoro nell'organizzazione.
La Commissione risponde direttamente: un'impresa i cui dipendenti usano ChatGPT per scrivere testi pubblicitari o tradurre deve rispettare il requisito e informare sui rischi specifici, come le allucinazioni. Lo stesso vale per un assistente integrato in un gestionale o in una suite di ufficio.
L'obbligo non si ferma ai dipendenti: riguarda «qualsiasi altra persona che si occupa dei sistemi di IA per loro conto», cioè appaltatori, fornitori e clienti.
Da qui la prima attività concreta: la mappa dei sistemi, con strumenti, utenti, finalità e dati. Senza mappa la formazione resta generica e difficile da difendere.
«Livello sufficiente»: cosa chiedeva la norma e cosa chiede oggi
Il testo del 2024 chiedeva di garantire, per quanto possibile, «un livello sufficiente di alfabetizzazione in materia di IA». Sembrava una soglia, senza dire quale.
L'omnibus ha riscritto la frase: oggi l'articolo 4 chiede misure per sostenere lo sviluppo dell'alfabetizzazione e precisa che l'obbligo «non impone ai fornitori o ai deployer di garantire un livello specifico di alfabetizzazione in materia di IA per alcuna persona».
Restano tre cose. L'obbligo non è un invito. Le misure devono essere motivate dal contesto: chi usa l'IA per decisioni che incidono sulle persone deve fare più di chi la usa per bozze di email. Per i sistemi ad alto rischio l'articolo 26 continua a chiedere personale formato per la sorveglianza umana.
L'articolo 4 non obbliga a misurare le conoscenze: devi spiegare perché le misure sono adeguate al tuo uso, non somministrare un test con una soglia.
Cosa insegnare e come documentarlo
Non esistono linee guida vincolanti: la Commissione indica quattro passaggi nel suo documento di domande e risposte. capire cosa è l'IA e quale IA si usa in azienda; chiarire il ruolo dell'organizzazione, fornitore o deployer; valutare il rischio dei sistemi e cosa devono sapere le persone che li maneggiano; costruire le azioni formative su queste basi, distinguendo per conoscenze, esperienza e contesto.
Per chi non sviluppa IA la scaletta diventa: come funziona uno strumento generativo, cosa produce e cosa no, quali errori sono tipici, quali dati non vanno inseriti, chi controlla l'output, cosa fare quando qualcosa va storto.
Sulla documentazione la Commissione è pragmatica: nessun certificato, solo un registro interno di corsi e iniziative. Un registro vero collega ogni iniziativa ai sistemi e alle persone.
| Voce | Cosa annotare |
|---|---|
| Sistemi di IA | nome, fornitore, funzione usata, dove è integrato |
| Finalità e rischio | uso interno, verso clienti, su persone |
| Persone | chi usa, chi controlla gli output, chi decide |
| Dati | cosa si può inserire, cosa è escluso |
| Formazione | data, contenuti, ore, docenti, partecipanti |
| Controllo umano | chi autorizza, chi corregge, dove restano le prove |
Se devi capire quali costi puoi coprire e con quale avviso, la formazione finanziata parte dalla verifica del fondo scelto e delle risorse già accantonate.
Esempio: piano per una PMI di 25 persone
Esempio ipotetico: impresa di servizi con un assistente generalista, una suite di ufficio con IA e un gestionale con riconciliazione assistita. Le ore sono una proposta, non un obbligo.
| Gruppo | Persone | Ore | Contenuti |
|---|---|---|---|
| Vertice | 1 | 4 | articoli 4 e 42, responsabilità, criteri di scelta, policy d'uso |
| Responsabili | 4 | 6 | mappatura, valutazione del rischio, revisione output, sorveglianza umana |
| Utenti quotidiani | 15 | 4 | uso dello strumento, allucinazioni, dati esclusi, verifica |
| Amministrazione e HR | 3 | 6 | dati personali, decisioni sulle persone, informative |
| Referente AI e IT | 2 | 8 | registro, incidenti, aggiornamenti, fornitori |
| Totale | 25 | 122 |
Il conto: 4 + 24 + 60 + 18 + 16 = 122 ore, circa cinque a persona. Struttura sostenibile: sessione base nel primo trimestre, approfondimento per i ruoli esposti, richiamo annuale.
L'ordine conta più della durata: prima la mappa, poi la policy su dati e output, poi la formazione. Un corso AI Act costruito prima del censimento spende ore e non chiude il rischio.
Sanzioni e vigilanza: cosa rischia l'azienda
Il D.Lgs. 179/2026, in vigore dal 23 ottobre 2026, designa AgID e ACN come autorità nazionali per l'IA: AgID per la notifica, ACN per la vigilanza del mercato e come punto di contatto unico, con Banca d'Italia, CONSOB, IVASS e Garante privacy per i rispettivi ambiti.
Sulle multe la risposta è articolata: l'articolo 4 non ha una sanzione pecuniaria dedicata. Non compare nell'elenco dell'articolo 99 del regolamento, che prevede fino a 35 milioni di euro o il 7% del fatturato per le pratiche vietate e fino a 15 milioni o il 3% per gli altri obblighi elencati; e non compare nemmeno nell'articolo 23 del decreto italiano, che riproduce quei massimali.
Non vuol dire che non succeda nulla. Le autorità possono imporre sanzioni e altre misure sulla base del diritto nazionale; il decreto prevede misure non pecuniarie, come l'ordine di eliminare l'infrazione o la dichiarazione pubblica della violazione. La Commissione segnala che un intervento è più probabile quando un incidente dimostra una formazione inadeguata, e che il regolamento non crea un diritto autonomo al risarcimento: l'eventuale azione segue il diritto nazionale.
Si aggiunge un obbligo italiano distinto, in vigore dal 23 ottobre: informazione e formazione dei lavoratori sui rischi specifici dell'IA e sulle misure di prevenzione (articolo 42, comma 3), con i sistemi che incidono su organizzazione e ritmi dentro la valutazione dei rischi del D.Lgs. 81/2008.
Non è un parere legale: per selezione, valutazione o controllo dei lavoratori serve una valutazione specifica.
Come finanziarla con i fondi interprofessionali
Il meccanismo è già pagato. Ogni datore di lavoro versa all'INPS un contributo dello 0,30% sulle retribuzioni insieme al contributo integrativo per la disoccupazione (articolo 25 della legge 845/1978); la legge 388/2000 destina quella quota alla formazione continua. Se l'azienda aderisce a un fondo interprofessionale, la quota viene trasferita al fondo; altrimenti resta dovuta e confluisce nei fondi rotativi del Ministero del lavoro e del MEF. L'adesione è volontaria, si esprime una volta con il flusso Uniemens ed è revocabile.
Con Fondimpresa il fondo accantona sul Conto formazione il 70% del contributo, elevabile all'80% su richiesta; le risorse si usano entro i due anni successivi a quello di accredito, altrimenti passano al Conto di sistema, il canale degli avvisi. L'adesione si fa in Uniemens con il codice FIMA, non costa nulla in più e va ripetuta per ogni matricola INPS.
Non è un rimborso automatico: serve un piano formativo condiviso con le parti sociali e ammissibile secondo l'avviso. Tre finestre verificate: l'Avviso 4/2025 di Fondimpresa dedicato all'IA (5 milioni, sportello 25 febbraio-28 maggio 2026, chiuso in anticipo); l'Avviso 3/2026 sull'innovazione digitale (20 milioni, sportello 29 settembre-30 ottobre 2026, chiuso in anticipo); l'Avviso 4/2026 su competenze avanzate e sicurezza (30 milioni, piani dal 1° al 22 dicembre 2026).
Non si parte dal corso, ma dall'avviso aperto e dalle competenze ammesse: l'articolo 4 non prescrive un formato.
Domande frequenti
L'obbligo di formazione dell'AI Act è ancora in vigore dopo il Digital Omnibus?
Sì. Il Regolamento (UE) 2026/1744 ha modificato l'articolo 4 ma non lo ha abrogato: l'alfabetizzazione resta un obbligo per fornitori e deployer. La modifica ha eliminato il livello «sufficiente» e chiarito che nessun livello specifico è richiesto.
Un'azienda che usa solo ChatGPT deve formare i dipendenti?
Sì, se l'uso è professionale. La Commissione risponde a questa domanda: un'impresa i cui dipendenti usano ChatGPT per scrivere testi pubblicitari o tradurre deve rispettare l'articolo 4 e informare sui rischi specifici, come le allucinazioni. Conta chi usa lo strumento, non chi lo ha sviluppato.
Quante ore di formazione servono?
Nessuna norma fissa un monte ore. L'articolo 4 chiede misure adeguate a conoscenze, esperienza, contesto e rischi. In una PMI di 25 persone un impianto ragionevole sta tra le quattro e le sei ore a persona nel primo anno, con un richiamo annuale più breve.
Serve un certificato o un attestato di formazione?
No. La Commissione chiarisce che non serve un certificato: le organizzazioni possono tenere un registro interno dei corsi e delle iniziative di orientamento. Un attestato può servire per il piano finanziato, non sostituisce il registro.
C'è una multa per chi non forma il personale sull'IA?
Non c'è una sanzione pecuniaria dedicata all'articolo 4: non compare né nell'articolo 99 del regolamento né nell'articolo 23 del D.Lgs. 179/2026. Restano le misure delle autorità di vigilanza, come l'ordine di eliminare l'infrazione, e la responsabilità civile se un danno deriva dalla formazione inadeguata.
Da quando si applica l'obbligo di alfabetizzazione IA?
Dal 2 febbraio 2025: i capi I e II del regolamento si applicano da quella data, prima della generale applicazione del 2 agosto 2026. I rinvii dell'omnibus riguardano i sistemi ad alto rischio, non l'articolo 4.
La formazione sull'AI Act si può finanziare con i fondi interprofessionali?
Sì, se rientra in un piano formativo ammissibile secondo l'avviso o il canale del fondo. Le risorse arrivano dal contributo dello 0,30% versato tramite Uniemens e, con Fondimpresa, sono accantonate sul Conto formazione. Non è un rimborso automatico: ogni avviso ha regole e scadenze proprie.
L'obbligo riguarda solo chi sviluppa sistemi di IA?
No. Riguarda fornitori e deployer, cioè anche le aziende che usano sistemi sviluppati da altri. Per i sistemi ad alto rischio si aggiunge la formazione del personale incaricato della sorveglianza umana (articolo 26). Per le PMI che comprano IA già pronta, l'articolo 4 è il primo obbligo che le riguarda.
Fonti
- Regolamento (UE) 2024/1689, articolo 4, testo consolidato — AI Act Service Desk
- Regolamento (UE) 2024/1689, articolo 3 — AI Act Service Desk
- Regolamento (UE) 2024/1689, articolo 99 (sanzioni) — AI Act Service Desk
- Regolamento (UE) 2024/1689, articolo 113 — AI Act Service Desk
- Regolamento (UE) 2026/1744, omnibus digitale sull'IA — EUR-Lex
- Commissione europea, Alfabetizzazione AI — Domande e risposte — digital-strategy.ec.europa.eu
- Commissione europea, Talenti e alfabetizzazione in materia di IA — digital-strategy.ec.europa.eu
- D.Lgs. 7 ottobre 2026, n. 179 (GU 8 ottobre 2026) — Gazzetta Ufficiale
- D.Lgs. 179/2026, articolo 23 (sanzioni pecuniarie) — Gazzetta Ufficiale
- D.Lgs. 179/2026, articolo 42 (IA e sicurezza sul lavoro) — Gazzetta Ufficiale
- Ministero del lavoro, Fondi alle imprese per la formazione continua — lavoro.gov.it
- Fondimpresa, Conto formazione — fondimpresa.it
- Fondimpresa, Come aderire — fondimpresa.it
- Fondimpresa, Avviso 4/2025 Intelligenza artificiale — fondimpresa.it
- Fondimpresa, Avviso 3/2026 Innovazione — fondimpresa.it
- Fondimpresa, Avviso 4/2026 Competenze avanzate — fondimpresa.it
Approfondimenti
- Strumenti AI per PMI: i migliori nel 2026 — cosa comprano le imprese.
- Come scegliere un consulente AI — le domande prima di firmare.
- Controllo di gestione per PMI — i numeri del mese.
- AI locale con LM Studio — quando i documenti non devono uscire dall'ufficio.
- Agenti AI per i processi aziendali — automazioni e mappa dei sistemi.
Se devi mettere in ordine mappa dei sistemi, registro della formazione e piano da finanziare, scrivici: partiamo da cosa usi oggi e da chi lo usa.