Obbligo di formazione AI per le aziende: cosa dice davvero l'Art. 4 dell'AI Act

Se nella tua azienda qualcuno usa ChatGPT, Copilot, Claude o un qualsiasi strumento basato sull'intelligenza artificiale — e nel 2026 è quasi certo che sia così — l'AI Act ti riguarda già. Non tra qualche anno: adesso.

Cosa prevede l'Articolo 4

L'Art. 4 del Regolamento (UE) 2024/1689 ("AI Act") stabilisce che fornitori e utilizzatori (deployer) di sistemi di AI devono adottare misure per garantire, "nella misura del possibile", un livello sufficiente di alfabetizzazione in materia di AI del proprio personale e di chiunque operi con tali sistemi per loro conto.

Il livello richiesto non è uguale per tutti: va calibrato su conoscenze tecniche, esperienza, istruzione e formazione delle persone, e sul contesto d'uso dei sistemi. Tradotto: chi approva l'adozione di uno strumento AI ha bisogno di una formazione diversa da chi lo usa ogni giorno per scrivere email o analizzare dati.

Da quando si applica

• 2 febbraio 2025 — l'obbligo di alfabetizzazione AI (Art. 4) è applicabile, insieme al divieto delle pratiche di AI vietate.
• 2 agosto 2025 — diventano applicabili le regole su governance e modelli di AI per finalità generali (GPAI).
• 2 agosto 2026 — il regolamento diventa applicabile nella sua interezza e l'apparato di vigilanza nazionale è pienamente operativo. In Italia le autorità designate sono ACN (vigilanza) e AgID (notifica), ai sensi della Legge 132/2025.

Il punto chiave: l'obbligo formativo è già in vigore. Agosto 2026 non è la data da cui "iniziare a pensarci", ma quella da cui un'ispezione può chiederti di dimostrare cosa hai fatto.

Cosa rischia chi non si adegua

L'Art. 4 non ha una sanzione dedicata nel regolamento, ma questo non lo rende facoltativo. L'alfabetizzazione del personale è il presupposto di quasi tutti gli altri obblighi dell'AI Act, e la sua assenza pesa in tre modi molto concreti:

• In sede di vigilanza: la documentazione della formazione erogata è tra le prime evidenze richieste per dimostrare la diligenza dell'organizzazione.
• In caso di danno: se un uso scorretto dell'AI causa un danno (a un cliente, a un dipendente, a terzi), l'assenza di formazione documentata aggrava la posizione dell'azienda.
• Nella catena di fornitura: sempre più bandi, capitolati e clienti enterprise chiedono ai fornitori evidenza di conformità all'AI Act, formazione inclusa.

Per gli obblighi sanzionati direttamente, il regolamento prevede multe fino a 35 milioni di euro o il 7% del fatturato globale per le pratiche vietate e fino a 15 milioni o il 3% per la violazione degli altri obblighi principali: numeri pensati per le big tech, ma proporzionati anche sul fatturato di una PMI.

Cosa deve fare in pratica una PMI

1. Mappare l'uso reale dell'AI in azienda: strumenti ufficiali e "shadow AI" usata dai singoli senza policy.
2. Definire una AI Usage Policy: cosa si può fare, con quali dati, con quali strumenti.
3. Formare le persone per ruolo: direzione (strategia e rischi), manager e team operativi (uso corretto e produttivo), referenti compliance (governance).
4. Documentare tutto: programmi, ore, partecipanti, attestati. Senza evidenza documentale, la formazione "fatta" non esiste.

Come possiamo aiutarti

Il portfolio formativo Atheneum è costruito esattamente su questa logica: CUSTODIA Essentials è il corso online di alfabetizzazione AI Act (6 ore, con attestato, 149€), mentre il percorso PRIMUS → CONSILIUM → INITIUM copre le quattro aree dell'alfabetizzazione AI richieste dall'Art. 4, dalla strategia alla pratica operativa. Se non sai da dove partire, la Mappa di Maturità AI gratuita ti dà una fotografia in 3 minuti.

Domande frequenti

L'obbligo vale anche se usiamo solo ChatGPT ogni tanto?

Sì. L'Art. 4 si applica a chi utilizza sistemi di AI nell'attività professionale, a prescindere dall'intensità d'uso. Cambia la profondità della formazione necessaria, non l'esistenza dell'obbligo.

Basta un corso online generico?

Dipende dal contesto. La norma chiede un livello di alfabetizzazione adeguato a ruolo e uso effettivo: per l'uso quotidiano di strumenti generativi un corso strutturato con attestato è un buon punto di partenza; per chi definisce strategia e policy serve un percorso dedicato.

La formazione AI si può finanziare?

Sì, tramite i fondi interprofessionali (Fondimpresa, For.Te., FonARCom e altri). Ne parliamo in dettaglio in un articolo dedicato del Commentarium.

Chi controlla, in Italia?

La Legge 132/2025 designa l'Agenzia per la Cybersicurezza Nazionale (ACN) come autorità di vigilanza e AgID come autorità di notifica. Il regime di piena operatività scatta con l'applicabilità generale del regolamento, dal 2 agosto 2026.