Alfabetizzazione AI obbligatoria (art. 4 AI Act): come formare e documentare il team

Avete attivato Microsoft 365 Copilot per l’ufficio commerciale, qualche collega usa ChatGPT per le bozze e sul sito gira un chatbot per l’assistenza. Tutto funziona, la produttività è salita. Poi il consulente legale, durante il rinnovo del modello GDPR, vi chiede una cosa apparentemente banale: “Avete formato le persone che usano questi strumenti? Avete le evidenze?”. Silenzio. È esattamente il punto cieco che l’art. 4 dell’AI Act colpisce, ed è un obbligo già in vigore, non una scadenza futura.

Questa guida spiega cosa richiede l’alfabetizzazione AI obbligatoria, a chi va erogata la formazione, quali contenuti coprire e soprattutto come documentarla per essere a posto in caso di controllo, chiudendo il tutto in una settimana.

Cos’è l’art. 4 dell’AI Act e perché riguarda la vostra PMI

L’art. 4 del Regolamento (UE) 2024/1689 (l’AI Act) introduce l’obbligo di alfabetizzazione in materia di IA (in inglese AI literacy). In sintesi: fornitori e deployer di sistemi di intelligenza artificiale devono adottare misure per garantire, “nella misura del possibile”, un livello sufficiente di alfabetizzazione AI del proprio personale e di chiunque utilizzi i sistemi per loro conto, tenendo conto delle competenze, dell’esperienza e del contesto d’uso.

Due aspetti rendono questo obbligo particolarmente rilevante per le PMI italiane:

• Vale per gli utilizzatori, non solo per chi sviluppa AI. Anche un’azienda che si limita a usare Copilot, ChatGPT o un chatbot rientra nell’ambito come deployer. Non serve produrre o vendere AI per essere soggetti.
• Non ci sono soglie dimensionali. A differenza di altre parti dell’AI Act calibrate sul rischio, l’art. 4 non distingue tra grande impresa e microimpresa: se usate AI con il vostro personale, l’obbligo c’è.

L’inquadramento generale delle quattro categorie di rischio e delle scadenze del Regolamento è approfondito nella nostra guida all’AI Act per PMI italiane; qui ci concentriamo solo sulla parte formazione e documentazione.

Da quando è in vigore (e perché non potete più rimandare)

La data da segnare è il 2 febbraio 2025: da quel giorno l’obbligo di alfabetizzazione AI è pienamente applicabile. Non è una di quelle disposizioni con periodo transitorio fino al 2026 o 2027: a differenza degli obblighi sui sistemi ad alto rischio, l’art. 4 è già operativo.

Le altre tappe dell’AI Act restano comunque sullo sfondo e impattano la pianificazione:

Sul fronte italiano va citata anche la Legge 132/2025, la prima legge nazionale in materia di intelligenza artificiale, che recepisce e accompagna il quadro europeo definendo, tra l’altro, i ruoli delle autorità nazionali coinvolte nella vigilanza. Il messaggio operativo non cambia: l’alfabetizzazione AI è un adempimento da chiudere ora, non da agosto 2026. Per il dettaglio di cosa scatta in quella data trovate l’analisi in cosa cambia con l’AI Act ad agosto 2026.

A chi va erogata la formazione

L’errore tipico è pensare “tanto basta formare l’IT”. L’art. 4 ragiona invece per ruolo rispetto al sistema AI. In pratica vanno coinvolti tre gruppi, con profondità diversa:

1. Utenti finali — chiunque interagisca con un sistema AI nel lavoro quotidiano: chi usa Copilot in Word, Excel, Outlook e Teams, chi scrive prompt in ChatGPT, chi gestisce un chatbot. È il gruppo più numeroso e quello dove il rischio di uso ingenuo (incollare dati riservati, fidarsi ciecamente dell’output) è più alto.
2. Ruoli intermedi — responsabili di funzione, referenti di reparto, chi configura i flussi o approva i contenuti generati. Devono capire limiti e responsabilità per supervisionare l’uso del team.
3. Ruoli tecnici e di governance — IT, security, eventuale DPO o referente compliance. Curano l’inventario dei sistemi, la policy, i log e la gestione degli incidenti.

Il principio è la proporzionalità: la formazione va calibrata su competenze, mansione e contesto. Un commerciale che usa Copilot per riassumere email non ha bisogno dello stesso modulo di chi configura Copilot Studio o tratta dati particolari. Non dimenticate collaboratori esterni e somministrati che usano i vostri strumenti AI “per conto vostro”: rientrano nell’ambito dell’art. 4.

Contenuti minimi della formazione

L’AI Act non pubblica un programma didattico, ma dalla ratio dell’art. 4 e dalle prassi che si stanno consolidando emerge un nucleo di contenuti che ogni percorso dovrebbe coprire:

• Cos’è un sistema di IA e come funziona, in termini comprensibili — niente teoria accademica, ma capire che si lavora con un modello statistico che genera output plausibili, non verità garantite.
• Limiti e rischi: hallucination (risposte inventate ma convincenti), bias, possibilità di errore e necessità di verifica umana dell’output.
• Protezione dei dati: cosa NON inserire nei prompt (dati personali, segreti commerciali, codice proprietario), differenza tra strumenti aziendali con garanzie contrattuali e account personali, intreccio con il GDPR quando i prompt contengono dati personali.
• Uso responsabile e trasparenza: quando dichiarare ai destinatari che un contenuto è generato o assistito da AI, supervisione umana sulle decisioni che incidono sulle persone.
• Le regole interne: la policy d’uso AI aziendale, chi contattare in caso di dubbio, come segnalare un incidente.

Per gli strumenti specifici conviene aggiungere un modulo pratico su come usarli bene. È qui che alfabetizzazione e adozione si saldano: molti progetti Copilot falliscono non per la tecnologia ma per mancanza di formazione e accompagnamento, come raccontiamo in perché l’adozione di Copilot fallisce nelle PMI. Una formazione fatta per la compliance, se ben costruita, ripaga anche in produttività.

Quanto deve durare

Domanda inevitabile, risposta scomoda: la norma non fissa ore minime. Chiede un livello “sufficiente” e proporzionato. Questo è un bene, perché evita un adempimento puramente formale, ma richiede buon senso. Un’impostazione ragionevole per una PMI a rischio limitato:

• Modulo base per gli utenti finali: poche ore, focalizzato su limiti, dati da non inserire, verifica dell’output e policy interna.
• Modulo intermedio per responsabili e referenti: aggiunge supervisione, trasparenza e gestione delle eccezioni.
• Modulo tecnico/governance per IT, security e DPO: inventario, configurazioni, log, incidenti.

Ciò che davvero conta in caso di controllo non è il monte ore, ma poter dimostrare che la formazione è stata coerente con i ruoli, aggiornata e tracciata. La formazione AI literacy non è “una tantum”: va ripetuta quando entrano nuove persone, quando si attivano nuovi strumenti e quando cambiano in modo rilevante quelli esistenti.

Come documentarla (la parte che vi salva al controllo)

Avere formato il team senza poterlo provare equivale, davanti a un’autorità, a non averlo fatto. Il pacchetto documentale minimo da preparare e conservare è questo:

1. Registro presenze — per ogni sessione: data, contenuti trattati, elenco nominativo dei partecipanti con ruolo. Vale anche per l’e-learning, dove il sistema traccia automaticamente i completamenti.
2. Materiale didattico — slide, dispense o registrazioni effettivamente erogate, archiviate con versione e data, così da dimostrare cosa è stato insegnato.
3. Attestati / evidenza di completamento — un attestato individuale o l’export dei completamenti dalla piattaforma, per ogni persona formata.
4. Policy d’uso AI aziendale — il documento (di norma 2-4 pagine) che definisce uso autorizzato, uso vietato, obblighi degli utenti e procedura di escalation. Va distribuita, fatta sottoscrivere e collegata alla formazione, perché senza policy la formazione resta astratta.
5. Inventario dei sistemi AI — l’elenco degli strumenti AI in uso con vendor, area aziendale e livello di rischio: serve a dimostrare che la formazione copre effettivamente i sistemi adottati.

Questa documentazione si integra naturalmente con quella GDPR (registro dei trattamenti, DPIA) e, per chi è in perimetro, con quella di cyber sicurezza: conviene tenere un unico framework di compliance invece di silos separati. Mantenetela interna ma immediatamente reperibile: in un controllo, la rapidità con cui producete le evidenze fa la differenza.

Come chiuderlo in una settimana

L’adempimento spaventa più sulla carta che nei fatti. Per una PMI a rischio limitato è realistico chiudere il grosso in cinque giorni lavorativi:

• Giorno 1 — Inventario. Mappate i sistemi AI realmente in uso (Copilot, ChatGPT, chatbot, AI Builder, GitHub Copilot…) e il livello di rischio. Per un’azienda sotto i 100 dipendenti bastano poche ore.
• Giorno 2 — Policy. Redigete o adattate la policy d’uso AI: ambito, regole sui dati, trasparenza, escalation. La approva la direzione.
• Giorni 3-4 — Formazione. Erogate il modulo base agli utenti finali e i moduli specifici ai ruoli intermedi e tecnici. Potete usare percorsi strutturati: i Learning Path SynSphere includono moduli su uso responsabile e produttività con Copilot, già pensati per coprire i contenuti dell’art. 4 e generare evidenze tracciabili.
• Giorno 5 — Documentazione. Raccogliete registro presenze, attestati, materiale e firma della policy in un’unica cartella di compliance. Pianificate il refresh per nuovi assunti e nuovi strumenti.

Un’ulteriore leva da valutare è la formazione finanziata: molti percorsi di aggiornamento del personale possono rientrare in fondi interprofessionali o avvisi formativi, abbattendo o azzerando il costo vivo. Vale la pena verificare con il vostro consulente del lavoro o con il fondo a cui aderite prima di mettere a budget la formazione AI.

Quando ha senso un servizio gestito

L’alfabetizzazione AI non è un adempimento complesso, ma è facile lasciarlo incompleto: formazione fatta a voce senza evidenze, policy mai firmata, inventario disallineato dagli strumenti realmente attivi. Se non avete una funzione IT o compliance dedicata, affidarsi a un partner conviene su due fronti.

Con il servizio di Assistenza Microsoft 365 gestita impostiamo Copilot e gli strumenti del tenant in modo conforme e accompagniamo le persone nell’uso corretto, trasformando l’obbligo di formazione in adozione reale. Lato governance, costruiamo insieme inventario, policy e pacchetto documentale, integrandoli con il vostro framework GDPR e di sicurezza.

Se volete partire con un percorso strutturato e tracciabile, i Learning Path offrono i moduli pronti; per un assessment su misura del vostro stack AI parla con un nostro consulente: valutiamo i sistemi in uso, lo stato della documentazione e cosa manca per essere pronti a un controllo.

Domande frequenti

Da quando è obbligatoria l’alfabetizzazione AI?

L’obbligo dell’art. 4 dell’AI Act (Regolamento UE 2024/1689) è in vigore dal 2 febbraio 2025. Da quella data ogni azienda che fornisce o utilizza sistemi di intelligenza artificiale deve garantire un livello sufficiente di alfabetizzazione AI al personale che li usa per suo conto, Microsoft 365 Copilot incluso.

Quali aziende sono soggette all’obbligo di AI literacy?

Tutte. L’art. 4 si applica sia ai fornitori sia ai deployer (utilizzatori professionali) di sistemi AI, senza soglie dimensionali. Una PMI che usa Copilot, ChatGPT o un chatbot rientra nell’ambito come deployer ed è tenuta a formare le persone che interagiscono con quei sistemi.

Cosa devo conservare per dimostrare di aver formato il team?

Il pacchetto minimo è: registro presenze della formazione con data e nominativi, materiale didattico erogato, attestati o evidenza di completamento per ogni persona e una policy d’uso AI aziendale firmata. Va mantenuto interno ma reperibile in caso di controllo da parte dell’autorità di sorveglianza nazionale.

Quanto deve durare la formazione sull’AI literacy?

La norma non fissa un numero di ore: chiede un livello sufficiente e proporzionato ai ruoli. Per una PMI a rischio limitato un percorso base di alcune ore per gli utenti generici, più moduli aggiuntivi per chi gestisce dati sensibili o configura i sistemi, è in genere adeguato. Conta documentare contenuti e partecipazione.