Formazione AI obbligatoria: come non sprecare tempo e budget sull'articolo 4 dell'AI Act

Nelle piccole e medie imprese italiane l'introduzione della formazione sull'intelligenza artificiale segue spesso due estremi opposti. Da un lato vi è la paralisi: l'attesa di decreti attuativi o la convinzione che la formazione sia necessaria soltanto per le aziende informatiche. Dall'altro vi è l'acquisto compulsivo di corsi da catalogo sul prompt engineering, somministrati a pioggia ai dipendenti nella speranza che imparino a produrre testi o email più velocemente.

Entrambi gli approcci trascurano la realtà operativa e normativa.

L'articolo 4 dell'EU AI Act (Regolamento UE 2024/1689) è entrato in vigore il 2 febbraio 2025. Da oltre 18 mesi l'alfabetizzazione in materia di intelligenza artificiale (AI literacy) costituisce un obbligo di legge per tutti i fornitori e gli utenti professionali (deployer) di sistemi AI. Tuttavia, la norma non richiede di trasformare l'organico in una squadra di programmatori, né impone di insegnare la sintassi raffinata delle istruzioni da inviare a un chatbot.

Per un decisore aziendale — CEO, Direttore HR o Operations Manager — la vera sfida non è erogare ore di aula generiche, ma strutturare un percorso formativo proporzionato, incentrato sulla riduzione del rischio operativo e sulla tutela del patrimonio informativo aziendale.

L'equivoco della formazione AI: perché il prompt engineering non salva dalle sanzioni

Molti percorsi formativi proposti sul mercato promettono di svelare i "trucchi" per scrivere prompt efficaci. Sebbene l'efficienza nell'uso degli strumenti sia un obiettivo desiderabile, focalizzare l'intervento aziendale soltanto sul prompt engineering presenta un limite strutturale: insegna a sollecitare una macchina, ma non insegna a valutare la criticità dei dati inseriti né la veridicità delle risposte ottenute.

La formazione AI richiesta dall'attuale contesto di mercato e regolatorio non è un esercizio di addestramento tecnico alla digitazione. È una misura di governance.

Quando un collaboratore inserisce una matrice dei costi clienti o un verbale di consiglio di amministrazione in un servizio di intelligenza artificiale generativa accessibile via browser, il problema non è se l'istruzione sia stata formulata con la sintassi migliore. Il problema riguarda:

• dove finiscono quei dati e se vengono utilizzati per l'addestramento di modelli terzi;
• se l'azienda sta violando gli impegni di riservatezza assunti verso clienti e fornitori;
• se il collaboratore è in grado di identificare una risposta plausibile ma del tutto inventata dal modello (allucinazione).

Insegnare a un dipendente a generare rapidamente un documento senza dargli gli strumenti per verificarne l'esattezza o la legittimità non aumenta la produttività aziendale: sposta semplicemente il rischio dalla fase di stesura alla fase di esecuzione.

Cosa richiede davvero l'articolo 4 dell'AI Act alle PMI

L'articolo 4 del Regolamento UE 2024/1689 stabilisce che i fornitori e gli utilizzatori di sistemi AI adottino misure per garantire, nella misura massima possibile, un livello sufficiente di alfabetizzazione del proprio personale e delle persone che utilizzano tali sistemi per loro conto.

Per comprendere come applicare questa disposizione senza appesantire la struttura aziendale, occorre leggere il testo normativo alla luce del Considerando 97 del Regolamento. La legge introduce tre criteri guida fondamentali:

1. Il principio di proporzionalità: il livello di alfabetizzazione deve prendere in considerazione le conoscenze tecniche, l'esperienza e la formazione del personale, nonché il contesto in cui i sistemi AI vengono impiegati.
2. L'impatto sui destinatari: la profondità della formazione deve essere commisurata ai soggetti sui quali i sistemi AI sono destinati a incidere.
3. La contestualizzazione dei ruoli: chi supervisiona un processo aziendale supportato da AI necessita di competenze diverse rispetto a chi si limita a consultare un report generato da un software gestionale.

L'articolo 4 non deve essere interpretato isolatamente. Esso si integra direttamente con le norme già previste dal GDPR (Regolamento UE 2016/679), in particolare con l'articolo 32 (sicurezza del trattamento) e l'articolo 29 (formazione degli autorizzati al trattamento). Per il Garante per la protezione dei dati personali e per le autorità di controllo, mettere a disposizione dei dipendenti strumenti di intelligenza artificiale senza un'adeguata istruzione sui limiti d'uso equivale a non adottare misure organizzative idonee a proteggere i dati personali.

L'obbligo normativo non chiede l'eccellenza accademica, ma la dimostrabilità di un percorso di sensibilizzazione sui rischi effettivi legato ai processi quotidiani.

I tre rischi operativi su cui concentrare l'alfabetizzazione

Un programma formativo utile per una PMI non si disperde nelle teorie sul funzionamento delle reti neurali. Si concentra su tre rischi operativi precisi.

1. Riservatezza dei dati e tutela della proprietà intellettuale

La prima causa di incidente nelle PMI non è l'attacco cibernetico esterno, ma la condivisione involontaria di informazioni riservate. La formazione deve chiarire in modo inequivocabile la differenza tra strumenti AI consumer (in cui le informazioni inserite possono essere riutilizzate dal fornitore per l'addestramento dei modelli) e ambienti AI enterprise segregati (coperti da specifici accordi sulla protezione dei dati - DPA). I collaboratori devono comprendere quali categorie di dati non possono mai essere inserite in un prompt: dati personali sensibili, segreti commerciali, formule industriali, liste clienti e dati finanziari non pubblici.

2. Validazione degli output e gestione delle allucinazioni

I modelli di intelligenza artificiale generativa sono progettati per produrre sequenze di testo o calcoli probabilisticamente coerenti, non per garantire la verità storica o matematica. La formazione deve sviluppare nei dipendenti il senso critico necessario per validare ogni risultato prima del suo utilizzo. Il principio guida deve essere chiaro: l'intelligenza artificiale suggerisce, l'operatore umano risponde e valida. Qualsiasi errore contenuto in un documento inviato a un cliente o a un organo di vigilanza rimane di responsabilità esclusiva dell'azienda e della persona che lo ha firmato.

3. Trasparenza, Shadow AI e rispetto delle policy

Il terzo pilastro riguarda la disciplina d'uso. I dipendenti devono comprendere perché l'impiego di strumenti personali o non censiti dall'azienda (Shadow AI) espone l'organizzazione a vulnerabilità legali e operative. La formazione deve illustrare la policy aziendale, spiegare quali tool sono approvati, per quali finalità e con quali modalità, ed evidenziare l'obbligo di dichiarare la presenza di componenti AI nella creazione di contenuti stampati o distribuiti all'esterno quando richiesto dalle norme sulla trasparenza (Art. 50 AI Act).

Il Framework di Formazione Proporzionata AI per PMI

Per evitare di somministrare lo stesso corso a figure con responsabilità ed esigenze completamente diverse, proponiamo un impianto di formazione articolato su tre livelli aziendali.

Matrice di Proporzionalità della Formazione AI

Divisione e declinazione dei moduli:

• Livello Operativo: dedicato al personale che utilizza gli strumenti nella quotidianità aziendale. Il focus è al 80% su cosa non fare (riservatezza, limiti d'uso, divieti) e al 20% su come verificare l'attendibilità dei risultati prodotti dagli strumenti autorizzati.
• Livello Middle Management: rivolto ai responsabili di area. La formazione verte su come integrare gli strumenti nei flussi di lavoro di reparto, come definire procedure di controllo a campione sugli output del team e come identificare tempestivamente l'emergere di esigenze operative non coperte dagli strumenti ufficiali.
• Livello Executive: pensato per la direzione generale e i proprietari d'impresa. L'attenzione è rivolta alla compliance normativa (AI Act, GDPR, responsabilità del produttore), alla valutazione degli investimenti in tecnologia e alla costruzione di una governance capace di bilanciare innovazione e controllo dei rischi.

Come strutturare il percorso formativo in 4 fasi senza bloccare l'organizzazione

Pianificare l'alfabetizzazione AI in una PMI di 20, 50 o 150 dipendenti non richiede mesi di interruzione dell'attività. Un intervento efficace si sviluppa in quattro passaggi sequenziali.

Fase 1: Mappatura dell'uso reale (Assessment iniziale)

Prima di erogare qualsiasi corso, occorre comprendere cosa sta già accadendo in azienda. Attraverso brevi interviste o un questionario anonimo, si rileva quali strumenti AI (ufficiali o personali) i dipendenti stanno già impiegando, per quali compiti e con quali tipologie di dati. Questa mappatura definisce il punto di partenza e individua i rischi più urgenti.

Fase 2: Definizione della policy aziendale d'uso

Nessuna formazione è efficace se manca un sistema di regole chiaro. L'azienda deve formalizzare una linea guida sintetica (2–3 pagine) che chiarisca quali strumenti sono approvati, quali dati sono vietati e quali procedure seguire per richiedere l'uso di un nuovo software.

Fase 3: Erogazione di sessioni brevi e pratiche

È preferibile evitare lunghi corsi teorici. Funzionano molto meglio sessioni di 90–120 minuti, suddivise per ruolo, basate su casi reali estrapolati dalla vita aziendale quotidiana:

• mostrare esempi concreti di prompt che hanno causato o rischiano di causare data leakage;
• analizzare un caso reale di allucinazione su un testo tecnico o commerciale;
• simulare la correzione e la validazione di una risposta generata dall'AI.

Fase 4: Formalizzazione, tracciamento e registro HR

Ai fini della dimostrabilità della conformità (accountability prevista sia dall'AI Act che dal GDPR), la partecipazione ai corsi e la presa visione della policy aziendale devono essere tracciate. È necessario conservare i registri di presenze, i programmi dei corsi e le verifiche sintetiche dell'apprendimento. Questo materiale costituisce la documentazione formale da esibire in sede di audit o ispezione.

FAQ — Le domande concrete dei decisori aziendali sull'Articolo 4

Esiste un monte ore minimo o un certificato ufficiale previsto dalla legge per l'Articolo 4?

No. L'articolo 4 dell'EU AI Act non fissa un numero rigido di ore né richiede certificazioni rilasciate da enti esterni. La legge impone un obbligo di risultato e di adeguatezza: la formazione deve essere sufficiente ed efficace rispetto al contesto di rischio dell'impresa. Per una PMI, il valore della formazione si misura sulla pertinenza dei contenuti erogati e sulla capacità di tracciare l'avvenuta formazione, non sul costo o sulla durata formale del corso.

La formazione vale anche per chi usa solo strumenti d'ufficio comuni come Copilot, DeepL o ChatGPT?

Sì. L'obbligo di AI literacy riguarda l'utilizzo di qualsiasi sistema di intelligenza artificiale integrato nei processi aziendali, compresi i software di produttività individuale o di traduzione. Se un collaboratore impiega un tool basato su AI per riassumere email, tradurre contratti o stendere documenti di lavoro, deve essere istruito sui rischi di riservatezza e sulla validazione dei contenuti.

Chi è responsabile in azienda se un dipendente commette un errore grave usando l'AI?

La responsabilità legale e contrattuale verso terzi resta sempre in capo all'azienda. Qualora l'azienda non abbia provveduto a erogare la formazione obbligatoria prevista dall'Articolo 4 e non abbia adottato una policy d'uso adeguata ex Art. 32 GDPR, la direzione risponde anche della mancata adozione delle misure organizzative di sicurezza, esponendosi a contestazioni da parte delle autorità di controllo e dei committenti.

È possibile finanziare questi percorsi formativi tramite i Fondi Interprofessionali?

Sì. I percorsi di formazione dedicati all'alfabetizzazione digitale, alla sicurezza dei dati e alla compliance normativa rientrano pienamente tra le attività finanziabili dai principali Fondi Paritetici Interprofessionali (es. Fondimpresa, Fondir, Forte). È tuttavia fondamentale che i piani formativi presentati siano strutturati con obiettivi specifici e legati all'innovazione dei processi aziendali, evitando descrizioni generiche.

Dal vincolo normativo dell'Articolo 4 alla cultura della responsabilità AI

Considerare l'articolo 4 dell'AI Act come una mera incombenza burocratica significa ripetere lo stesso errore commesso da molte aziende al momento dell'entrata in vigore del GDPR: compilare moduli pro-forma destinati ad essere dimenticati in un cassetto, lasciando inalterati i comportamenti operativi quotidiani.

L'alfabetizzazione AI, se progettata con metodo e proporzionalità, rappresenta un'opportunità di razionalizzazione. Permette alla PMI di pulire i propri flussi di lavoro, identificare l'uso disordinato delle tecnologie, proteggere il patrimonio informativo e fornire al personale regole chiare dentro cui muoversi con sicurezza.

Un'azienda in cui le persone sanno quali dati proteggere, come verificare i risultati e quando affidarsi agli strumenti automatici è un'azienda che innova senza esporre la propria operatività a rischi sproporzionati.

Prima di acquistare pacchetti formativi standardizzati, la direzione aziendale dovrebbe porsi tre domande di verifica:

1. Abbiamo definito in modo chiaro quali dati e quali strumenti sono autorizzati in azienda?
2. La formazione che stiamo pianificando affronta i rischi reali dei nostri processi o si limita a spiegare come funziona la tecnologia?
3. Siamo in grado di dimostrare a un auditor esterno che il nostro personale è stato istruito in modo proporzionato al suo ruolo?

Costruire risposte concrete a queste domande è il primo passo per trasformare un obbligo normativo in un reale presidio di governance aziendale.

Per approfondire le implicazioni operative per la tua impresa, consulta le nostre guide correlate: AI Act e PMI: cosa cambia davvero e cosa no e Shadow AI e governance: perché il divieto non funziona.

Fonti e riferimenti normativi

1. Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio (AI Act) — Articolo 4 (Alfabetizzazione in materia di IA), Considerando 97 (Principio di proporzionalità e contesto d'uso nella formazione), Articolo 50 (Obblighi di trasparenza). EUR-Lex — Regolamento UE 2024/1689 (AI Act)
2. Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio (GDPR) — Articolo 32 (Sicurezza del trattamento e misure organizzative), Articolo 29 (Trattamento sotto l'autorità del titolare o del responsabile e istruzione degli autorizzati). EUR-Lex — Regolamento UE 2016/679 (GDPR)
3. Garante per la protezione dei dati personali (Italia) — Schede informative e orientamenti su intelligenza artificiale, privacy e formazione del personale autorizzato al trattamento. Garante Privacy — Temi Intelligenza Artificiale
4. European Data Protection Board (EDPB) — Linee guida e pareri sul rapporto tra sistemi AI generativi, principio di responsabilizzazione (accountability) e misure organizzative di sicurezza. EDPB — Taskforce on Generative AI