Sì, se la tua azienda usa l'intelligenza artificiale (anche solo ChatGPT per scrivere email) devi formare chi la usa. Lo prevede l'art. 4 dell'AI Act, in vigore dal 2 febbraio 2025: non servono certificazioni ufficiali, ma devi poter dimostrare di aver fatto qualcosa di concreto e adatto ai rischi.
È l'obbligo più diffuso dell'intero regolamento, perché riguarda praticamente tutte le aziende. Ed è anche il più sottovalutato: molti pensano di essere a posto con un video visto una volta, senza lasciare traccia. In questa guida vediamo chi è obbligato, cosa insegnare a chi, cosa non serve e come costruire la prova.
Cosa dice l'art. 4 dell'AI Act sull'alfabetizzazione
L'art. 4 del Regolamento UE 2024/1689 riguarda l'alfabetizzazione sull'IA (in inglese AI literacy): la capacità di usare i sistemi di IA in modo consapevole, conoscendone opportunità, limiti e rischi.
Con il Digital Omnibus (Reg. UE 2026/1744, in vigore dal 27 luglio 2026) il testo è stato riformulato: aziende e professionisti devono adottare misure a sostegno dell'alfabetizzazione di chi usa i sistemi di IA per loro conto. In pratica è un obbligo di mezzi: nessuno ti chiede di garantire che ogni dipendente diventi un esperto, ma devi aver messo in campo misure ragionevoli e saperle documentare.
Se vuoi un quadro generale del regolamento, parti da cos'è l'AI Act e dall'elenco degli obblighi per le aziende.
Chi è obbligato a fare la formazione sull'IA?
Tutti i deployer, cioè chi usa un sistema di IA nell'ambito della propria attività professionale, e naturalmente i fornitori che li sviluppano. Non conta la dimensione né il settore. Sei obbligato se in azienda qualcuno usa:
- chatbot generalisti come ChatGPT, Claude, Gemini o Microsoft Copilot;
- funzioni di IA integrate in gestionali, CRM, software di contabilità o di selezione del personale;
- strumenti di traduzione, trascrizione o generazione di immagini;
- un chatbot sul sito che risponde ai clienti.
Un dettaglio che molti trascurano: se i dipendenti usano l'IA senza autorizzazione, il problema non sparisce. È il fenomeno della shadow AI, e la formazione è proprio uno degli strumenti per farla emergere e governarla.
Chi va formato: anche i collaboratori esterni?
Sì. Le indicazioni della Commissione UE (FAQ "AI Literacy – Questions & Answers", 2025) chiariscono che la formazione riguarda non solo i dipendenti, ma anche chi usa l'IA per conto dell'azienda: consulenti, collaboratori, agenzie, personale in somministrazione.
Per gli esterni hai due strade: includerli nella tua formazione oppure chiedere nel contratto che dimostrino di aver ricevuto una formazione adeguata. In entrambi i casi conserva la documentazione.
Cosa deve contenere la formazione per ogni ruolo
La Commissione indica che il contenuto va adattato a tre fattori: il ruolo dell'organizzazione (fornitore o deployer), i rischi dei sistemi usati e le competenze del personale. Non esiste un programma unico valido per tutti. Ecco uno schema di partenza per un'azienda che usa l'IA (deployer):
| Chi | Cosa deve sapere |
|---|---|
| Tutto il personale | Cos'è l'IA generativa e come funziona in termini semplici; errori e "allucinazioni"; obbligo di verifica umana; quali strumenti sono autorizzati dalla policy aziendale; a chi rivolgersi in caso di dubbio. |
| Chi usa chatbot e assistenti | Differenza tra versione consumer e business; impostazioni di addestramento e conservazione dei dati; cosa non inserire mai; come scrivere prompt senza dati riservati; quando i contenuti generati vanno dichiarati. |
| Chi tratta dati personali | Basi del GDPR applicate all'IA: minimizzazione, dati particolari (art. 9), fornitore con DPA (art. 28), trasferimenti fuori UE; come riconoscere e segnalare un possibile data breach. |
| Responsabili e decisori | Quadro normativo (AI Act, Legge 132/2025, GDPR); pratiche vietate (art. 5); obblighi di trasparenza (art. 50); informazione ai lavoratori (art. 11 L. 132/2025); scelta dei fornitori, policy e controlli. |
Se il tuo personale usa l'IA per attività delicate (selezione dei curriculum, valutazioni, comunicazioni con i clienti), la formazione di quei ruoli va approfondita di conseguenza. Chi lavora in uno studio professionale, ad esempio, deve sapere anche come informare il cliente ai sensi dell'art. 13 della Legge 132/2025.
Serve un attestato o una certificazione ufficiale?
No, nessuna certificazione formale è obbligatoria. La Commissione UE lo dice in modo esplicito: non serve un titolo rilasciato da un ente accreditato, e non è nemmeno obbligatorio misurare con test il livello di conoscenza dei dipendenti.
Questo però non significa che basti la parola. Le stesse indicazioni chiariscono che sono sufficienti registrazioni interne della formazione: sessioni svolte, materiali usati, partecipanti, date. L'attestato non è un requisito di legge, ma è il modo più semplice per avere una prova individuale, ordinata e facile da esibire.
Attenzione a chi vende "la certificazione AI Act obbligatoria". Non esiste. Un corso serio ti dà contenuti adatti al tuo contesto e una documentazione chiara di chi lo ha seguito, non un bollino che la legge non prevede.
Come documentare la formazione in caso di controllo
Da agosto 2026 la vigilanza sull'art. 4 spetta alle autorità nazionali di vigilanza del mercato; in Italia è l'ACN (Agenzia per la Cybersicurezza Nazionale), mentre il Garante privacy resta competente per tutto ciò che riguarda i dati personali. Se qualcuno ti chiede di dimostrare cosa hai fatto, devi avere un fascicolo pronto. Ecco la checklist minima:
- Registro della formazione: titolo, data, durata, modalità (aula, online, e-learning), docente o piattaforma.
- Elenco dei partecipanti per ogni sessione, compresi i collaboratori esterni.
- Materiali usati: slide, dispense, video, con la versione e la data.
- Attestati individuali o firme di presenza.
- Collegamento con la policy aziendale: quali strumenti sono autorizzati e quando il dipendente ne ha preso visione.
- Piano di aggiornamento: quando è prevista la prossima sessione e per chi.
Con l'abbonamento AI ACT ITALIA la formazione del personale rilascia un attestato per ogni partecipante, così hai già pronta la parte più faticosa da ricostruire a posteriori: chi ha seguito cosa e quando. Trovi i dettagli nella pagina dei servizi.
Ogni quanto va aggiornata la formazione sull'IA?
La norma non fissa una scadenza. Ma l'alfabetizzazione deve restare adeguata ai sistemi che usi e ai rischi, e l'IA cambia in fretta. In pratica conviene aggiornare la formazione:
- quando introduci un nuovo strumento di IA o una nuova funzione (ad esempio un assistente integrato nella posta);
- quando cambia la normativa (il Digital Omnibus del 2026 ne è un esempio) o la tua policy interna;
- quando entra una persona nuova o qualcuno cambia ruolo;
- comunque con una cadenza periodica, ad esempio una volta l'anno, per non lasciare la formazione ferma al primo corso.
Gli errori più comuni delle aziende
- Il video una tantum. Un webinar generico visto anni prima da metà del personale non dimostra misure adeguate ai rischi attuali.
- Nessuna traccia. La formazione è stata fatta, ma non esistono elenchi, date né materiali. Davanti a un controllo è come non averla fatta.
- Formare solo l'IT. Chi usa davvero ChatGPT ogni giorno spesso è in amministrazione, marketing, commerciale o risorse umane.
- Dimenticare gli esterni. Il consulente che prepara documenti con l'IA per tuo conto rientra nel perimetro.
- Formazione scollegata dalle regole. Spiegare l'IA senza dire quali strumenti sono ammessi e quali dati sono vietati lascia il dipendente senza indicazioni pratiche. Per questo la formazione va abbinata a una policy aziendale sull'IA.
Come mettersi in regola in 5 passi
- Mappa gli strumenti: quali sistemi di IA usa l'azienda, ufficialmente e non, e in quali reparti.
- Individua i ruoli: chi usa solo chatbot, chi tratta dati personali, chi prende decisioni con l'aiuto dell'IA, quali collaboratori esterni sono coinvolti.
- Prepara o scegli i contenuti per ruolo, partendo dalla tabella sopra e collegandoli alla tua policy.
- Eroga la formazione e conserva le prove: registro, partecipanti, materiali, date, attestati.
- Pianifica l'aggiornamento e ripeti la formazione per i nuovi assunti e i nuovi strumenti.
Vuoi sapere se la tua formazione basta? La checklist gratuita di conformità ti mostra in pochi minuti cosa manca, formazione compresa. Se preferisci partire subito, l'abbonamento AI ACT ITALIA include la formazione del personale con attestato, il generatore dell'informativa sull'uso dell'IA e il manuale operativo: scopri cosa include.