Formazione IA obbligatoria: cosa impone l’AI Act e come adeguarsi

L’intelligenza artificiale (IA) è entrata nei processi aziendali molto più in fretta di quanto la maggior parte delle organizzazioni sia riuscita a governarla. Oggi si usano assistenti generativi per redigere documenti, algoritmi per filtrare curriculum, chatbot per l’assistenza clienti. Spesso, però, questi strumenti vengono adottati senza una regia e senza che le persone che li utilizzano abbiano ricevuto una formazione adeguata. Il Regolamento (UE) 2024/1689 (AI Act) ha trasformato questa esigenza in un adempimento, attraverso l’obbligo di  alfabetizzazione in materia di IA, che impone a chi sviluppa e a chi utilizza sistemi di intelligenza artificiale di garantire che il proprio personale sia sufficientemente formato.

Indice

• Cos’è l’obbligo di alfabetizzazione IA?
• A chi si applica: fornitori, deployer e collaboratori esterni
• Cosa significa “livello sufficiente” di formazione
• Il quadro delle scadenze e il recepimento italiano
• Come adempiere nella pratica: dalla mappatura alla documentazione
• Rischi e sanzioni
• Conclusioni

Cos’è l’obbligo di alfabetizzazione IA?

L’articolo 4 dell’AI Act stabilisce che fornitori e utilizzatori professionali di sistemi di IA devono adottare misure per garantire, nella misura del possibile, un livello sufficiente di alfabetizzazione in materia di IA del proprio personale e di chiunque operi con questi sistemi per loro conto. La norma chiede di calibrare tali misure sulle conoscenze tecniche, l’esperienza, l’istruzione e la formazione delle persone coinvolte, oltre che sul contesto in cui i sistemi vengono utilizzati.

La definizione di alfabetizzazione si trova nel Regolamento, e identifica l’insieme di competenze, conoscenze e comprensione che permettono di utilizzare i sistemi di IA in modo informato e consapevole, acquisendo consapevolezza delle opportunità, dei rischi e dei possibili danni che questi sistemi possono causare.

Il punto centrale da comprendere è questo: l’obbligo di formazione è trasversale. Mentre la maggior parte degli adempimenti dell’AI Act si concentra sui sistemi classificati come “ad alto rischio”, l’articolo 4 si applica a tutti i sistemi di IA, indipendentemente dal loro livello di rischio.

Quindi anche un’azienda che si limita a usare uno strumento di IA generativa per redigere testi rientra pienamente nel perimetro della norma e dell’adempimento.

A chi si applica: fornitori, deployer e collaboratori esterni

L’obbligo si rivolge a due categorie di soggetti:

• Fornitori (provider) ovvero chi sviluppa, produce o immette sul mercato un sistema di IA; per loro la formazione riguarda il personale tecnico, i team di supporto e chiunque intervenga nel ciclo di vita del sistema;
• Utilizzatori professionali (deployer): chi impiega un sistema di IA nell’ambito della propria attività; è la categoria che riguarda la maggior parte delle imprese italiane: se la vostra organizzazione ha introdotto strumenti di IA generativa, di automazione o di analisi dati, siete deployer ai sensi del Regolamento.

Un aspetto spesso trascurato è che l’obbligo non si ferma ai dipendenti. La norma include espressamente “qualsiasi altra persona che si occupa del funzionamento e dell’utilizzo dei sistemi di IA” per conto dell’organizzazione: quindi anche collaboratori esterni, consulenti e personale in somministrazione che operano all’interno dei processi aziendali. Chiunque usi l’IA per svolgere un compito per conto dell’azienda deve possedere competenze proporzionate al ruolo. Va inoltre ricordato che, per i sistemi ad alto rischio, l’articolo 26 rafforza questo principio imponendo ai deployer di garantire che il personale sia formato in modo da assicurare un’effettiva sorveglianza umana. Affidarsi alle sole istruzioni per l’uso non è sufficiente.

Cosa significa “livello sufficiente” di formazione

Il Regolamento parla di “livello sufficiente” senza fissare un programma standard o un certificato obbligatorio. La scelta è deliberata dalla rapidità con cui la tecnologia evolve, in modo da non imporre corsi rigidi e uniformi, ma di indicare piuttosto una serie di contenuti minimi e un principio guida: la proporzionalità. L’AI Act chiarisce in altre sezioni cosa dovrebbe comprendere un percorso di alfabetizzazione adeguato:

• Comprendere il funzionamento di base dei sistemi utilizzati, non a livello di sviluppatore, ma sufficiente per un uso consapevole;
• Riconoscere i limiti dell’IA: allucinazioni, bias, errori sistematici;
• Conoscere i rischi per la protezione dei dati, la riservatezza e la sicurezza, un tema che si interseca direttamente con il GDPR e la sua documentazione, che deve essere aggiornata, recependo queste nuove gestioni;
• Applicare le regole d’uso interne definite dall’organizzazione;
• Esercitare pensiero critico sugli output prodotti dall’IA, evitando l’automation bias (la tendenza ad accettare acriticamente i risultati della macchina).

La formazione, quindi, non può essere “unica”. Un responsabile HR che usa l’IA per la selezione del personale ha esigenze formative molto diverse rispetto a chi la utilizza per redigere bozze di testo. La prassi consolidata distingue almeno tre livelli:

• Alfabetizzazione di base, per chi usa l’IA in modo occasionale;
• Alfabetizzazione operativa, per chi la integra nei flussi di lavoro quotidiani;
• Alfabetizzazione avanzata, per ruoli decisionali, tecnici e per il vertice aziendale (la cosiddetta directorial AI literacy).

Un elemento importante è la frequenza, ovvero la formazione non è un evento una tantum. L’IA evolve rapidamente, e un livello di competenza acquisito oggi tende a considerarsi superato senza aggiornamenti periodici. Prevedere aggiornamenti regolari è parte integrante della conformità.

Il quadro delle scadenze e il recepimento italiano

L’obbligo di formazione diverrà pienamente operativo, comprensivo delle attività di controllo, a partire dal 3 agosto 2026, momento in cui le imprese devono farsi trovare pronte. Entro quella data ogni azienda dovrebbe aver messo a disposizione dei propri dipendenti percorsi di formazione capaci di far comprendere i rischi, le potenzialità e il funzionamento etico degli strumenti di IA, ed essere in grado di dimostrarlo. La vigilanza è affidata all’ACN, con poteri ispettivi e sanzionatori, affiancata dall’AgID.

Come adempiere nella pratica: dalla mappatura alla documentazione

L’alfabetizzazione richiede un approccio strutturato, ovvero non è sufficiente condividere un video o una guida online. I passaggi concreti comportano:

• Mappare i sistemi di IA in uso: il primo passo è capire quanto l’IA sia già presente in azienda. Spesso emerge che i dipendenti usano strumenti di IA generativa in autonomia, senza procedure ufficiali. Occorre censire quali sistemi vengono utilizzati, in quali processi e con quale livello di rischio;
• Identificare i destinatari della formazione: chi utilizza, gestisce o è esposto ai sistemi di IA? La mappatura deve includere dipendenti, dirigenti, membri del board e collaboratori esterni;
• Progettare percorsi differenziati: la formazione va calibrata sul ruolo e sul contesto d’uso;
• Documentare tutto: il Regolamento non richiede un certificato obbligatorio, ma richiede che il livello di formazione sia dimostrabile;
• Prevedere l’aggiornamento periodico: aggiornamenti regolari mantengono il fascicolo formativo attuale e coerente con l’evoluzione degli strumenti;

Rischi e sanzioni

L’AI Act non prevede una sanzione pecuniaria diretta e specifica per la violazione del solo articolo 4, ma la formazione è un presupposto di fatto per rispettare adempimenti più strutturati. Senza personale competente è difficile garantire la sorveglianza umana, la gestione del rischio o la qualità dei dati, esponendo l’organizzazione a rischi operativi concreti, quali errori decisionali, violazioni di dati personali, danni reputazionali, che prescindono dalla sanzione formale.

Inoltre dal 2 agosto 2026 le autorità nazionali iniziano ad applicare il sistema sanzionatorio del Regolamento. La mancata alfabetizzazione del personale, pur non sanzionata di per sé, viene considerata un elemento aggravante in caso di altre violazioni dell’AI Act o del GDPR. Il quadro sanzionatorio generale del Regolamento è severo: fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le pratiche vietate, e fino a 15 milioni o al 3% per la violazione di altri obblighi.

Conclusioni

L’obbligo di alfabetizzazione in materia di IA segna un cambio di paradigma: usare l’intelligenza artificiale non è più solo una questione di innovazione e produttività, ma anche di conformità normativa. E’ ora indispensabile avviare un percorso formativo strutturato, proporzionato ai ruoli e, soprattutto, documentato. Chi lo fa non solo si mette al riparo da rischi sanzionatori e reputazionali, ma costruisce le competenze per sfruttare davvero le opportunità dell’IA.

Ecloga Italia affianca imprese e professionisti nell’adeguamento all’AI Act e alle normative connesse (GDPR, NIS2, sicurezza sul lavoro), con percorsi di formazione modulari e supporto documentale per dimostrare la conformità. Per una consulenza sulle vostre esigenze contattateci senza impegno.