Alfabetizzazione AI obbligatoria (art. 4 AI Act): come formare e documentare il team

Avete attivato Microsoft 365 Copilot per l’ufficio commerciale, qualche collega usa ChatGPT per le bozze e sul sito gira un chatbot per l’assistenza. Tutto funziona, la produttività è salita. Poi il consulente legale, durante il rinnovo del modello GDPR, vi chiede una cosa apparentemente banale: “Avete formato le persone che usano questi strumenti? Avete le evidenze?”. Silenzio. È esattamente il punto cieco che l’art. 4 dell’AI Act colpisce, ed è un obbligo già in vigore, non una scadenza futura.

Questa guida spiega cosa richiede l’alfabetizzazione AI obbligatoria, a chi va erogata la formazione, quali contenuti coprire e soprattutto come documentarla per essere a posto in caso di controllo, chiudendo il tutto in una settimana.

Cos’è l’art. 4 dell’AI Act e perché riguarda la vostra PMI

L’art. 4 del Regolamento (UE) 2024/1689 (l’AI Act) introduce l’obbligo di alfabetizzazione in materia di IA (in inglese AI literacy): fornitori e deployer di sistemi di intelligenza artificiale devono attivarsi sulla formazione del proprio personale e di chiunque utilizzi i sistemi per loro conto, tenendo conto delle competenze, dell’esperienza e del contesto d’uso.

⚠️ Cosa è cambiato il 27 luglio 2026. Il Regolamento (UE) 2026/1744 (Digital Omnibus on AI) ha riformulato l’art. 4. La versione originaria chiedeva di adottare misure per garantire un livello sufficiente di alfabetizzazione; la nuova formulazione chiede di adottare misure per sostenere lo sviluppo dell’alfabetizzazione, precisando che non è richiesto di garantire un livello specifico in capo a una singola persona.

In pratica: l’obbligo non è stato eliminato né declassato a raccomandazione, e continua a riguardare gli stessi soggetti. È cambiato il metro: da obbligo di risultato a obbligo di mezzi. Per una PMI la conseguenza pratica è che conta dimostrare di aver fatto qualcosa di serio e documentato — non certificare che ogni dipendente abbia raggiunto una soglia misurabile.

Due aspetti rendono questo obbligo particolarmente rilevante per le PMI italiane:

• Vale per gli utilizzatori, non solo per chi sviluppa AI. Anche un’azienda che si limita a usare Copilot, ChatGPT o un chatbot rientra nell’ambito come deployer. Non serve produrre o vendere AI per essere soggetti.
• Non ci sono soglie dimensionali. A differenza di altre parti dell’AI Act calibrate sul rischio, l’art. 4 non distingue tra grande impresa e microimpresa: se usate AI con il vostro personale, l’obbligo c’è.

L’inquadramento generale delle quattro categorie di rischio e delle scadenze del Regolamento è approfondito nella nostra guida all’AI Act per PMI italiane; qui ci concentriamo solo sulla parte formazione e documentazione.

Da quando è in vigore (e perché non potete più rimandare)

La data da segnare è il 2 febbraio 2025: da quel giorno l’obbligo di alfabetizzazione AI è pienamente applicabile. Non è una di quelle disposizioni con periodo transitorio fino al 2026 o 2027: a differenza degli obblighi sui sistemi ad alto rischio, l’art. 4 è già operativo.

Le altre tappe dell’AI Act restano comunque sullo sfondo e impattano la pianificazione:

Sul fronte italiano va citata anche la Legge 132/2025, la prima legge nazionale in materia di intelligenza artificiale, che recepisce e accompagna il quadro europeo definendo, tra l’altro, i ruoli delle autorità nazionali coinvolte nella vigilanza. Il messaggio operativo non cambia: l’alfabetizzazione AI è un adempimento da chiudere ora, non da agosto 2026. Per il dettaglio di cosa scatta in quella data trovate l’analisi in cosa cambia con l’AI Act ad agosto 2026.

A chi va erogata la formazione

L’errore tipico è pensare “tanto basta formare l’IT”. L’art. 4 ragiona invece per ruolo rispetto al sistema AI. In pratica vanno coinvolti tre gruppi, con profondità diversa:

1. Utenti finali — chiunque interagisca con un sistema AI nel lavoro quotidiano: chi usa Copilot in Word, Excel, Outlook e Teams, chi scrive prompt in ChatGPT, chi gestisce un chatbot. È il gruppo più numeroso e quello dove il rischio di uso ingenuo (incollare dati riservati, fidarsi ciecamente dell’output) è più alto.
2. Ruoli intermedi — responsabili di funzione, referenti di reparto, chi configura i flussi o approva i contenuti generati. Devono capire limiti e responsabilità per supervisionare l’uso del team.
3. Ruoli tecnici e di governance — IT, security, eventuale DPO o referente compliance. Curano l’inventario dei sistemi, la policy, i log e la gestione degli incidenti.

Il principio è la proporzionalità: la formazione va calibrata su competenze, mansione e contesto. Un commerciale che usa Copilot per riassumere email non ha bisogno dello stesso modulo di chi configura Copilot Studio o tratta dati particolari. Non dimenticate collaboratori esterni e somministrati che usano i vostri strumenti AI “per conto vostro”: rientrano nell’ambito dell’art. 4.

Contenuti minimi della formazione

L’AI Act non pubblica un programma didattico, ma dalla ratio dell’art. 4 e dalle prassi che si stanno consolidando emerge un nucleo di contenuti che ogni percorso dovrebbe coprire:

• Cos’è un sistema di IA e come funziona, in termini comprensibili — niente teoria accademica, ma capire che si lavora con un modello statistico che genera output plausibili, non verità garantite.
• Limiti e rischi: hallucination (risposte inventate ma convincenti), bias, possibilità di errore e necessità di verifica umana dell’output.
• Protezione dei dati: cosa NON inserire nei prompt (dati personali, segreti commerciali, codice proprietario), differenza tra strumenti aziendali con garanzie contrattuali e account personali, intreccio con il GDPR quando i prompt contengono dati personali.
• Uso responsabile e trasparenza: quando dichiarare ai destinatari che un contenuto è generato o assistito da AI, supervisione umana sulle decisioni che incidono sulle persone.
• Le regole interne: la policy d’uso AI aziendale, chi contattare in caso di dubbio, come segnalare un incidente.

Per gli strumenti specifici conviene aggiungere un modulo pratico su come usarli bene. È qui che alfabetizzazione e adozione si saldano: molti progetti Copilot falliscono non per la tecnologia ma per mancanza di formazione e accompagnamento, come raccontiamo in perché l’adozione di Copilot fallisce nelle PMI. Una formazione fatta per la compliance, se ben costruita, ripaga anche in produttività.

Quanto deve durare

Domanda inevitabile, risposta scomoda: la norma non fissa ore minime. Chiede un livello “sufficiente” e proporzionato. Questo è un bene, perché evita un adempimento puramente formale, ma richiede buon senso. Un’impostazione ragionevole per una PMI a rischio limitato:

• Modulo base per gli utenti finali: poche ore, focalizzato su limiti, dati da non inserire, verifica dell’output e policy interna.
• Modulo intermedio per responsabili e referenti: aggiunge supervisione, trasparenza e gestione delle eccezioni.
• Modulo tecnico/governance per IT, security e DPO: inventario, configurazioni, log, incidenti.

Ciò che davvero conta in caso di controllo non è il monte ore, ma poter dimostrare che la formazione è stata coerente con i ruoli, aggiornata e tracciata. La formazione AI literacy non è “una tantum”: va ripetuta quando entrano nuove persone, quando si attivano nuovi strumenti e quando cambiano in modo rilevante quelli esistenti.

Come documentarla (la parte che vi salva al controllo)

Il regolamento non impone di documentare la formazione, ma una misura non tracciata è di fatto indimostrabile: in un controllo l’unica cosa che potete opporre è quello che riuscite a mostrare. Il pacchetto documentale minimo da preparare e conservare è questo:

1. Registro presenze — per ogni sessione: data, contenuti trattati, elenco nominativo dei partecipanti con ruolo. Vale anche per l’e-learning, dove il sistema traccia automaticamente i completamenti.
2. Materiale didattico — slide, dispense o registrazioni effettivamente erogate, archiviate con versione e data, così da dimostrare cosa è stato insegnato.
3. Attestati / evidenza di completamento — un attestato individuale o l’export dei completamenti dalla piattaforma, per ogni persona formata.
4. Policy d’uso AI aziendale — il documento (di norma 2-4 pagine) che definisce uso autorizzato, uso vietato, obblighi degli utenti e procedura di escalation. Va distribuita, fatta sottoscrivere e collegata alla formazione, perché senza policy la formazione resta astratta.
5. Inventario dei sistemi AI — l’elenco degli strumenti AI in uso con vendor, area aziendale e livello di rischio: serve a dimostrare che la formazione copre effettivamente i sistemi adottati.

Questa documentazione si integra naturalmente con quella GDPR (registro dei trattamenti, DPIA) e, per chi è in perimetro, con quella di cyber sicurezza: conviene tenere un unico framework di compliance invece di silos separati. Mantenetela interna ma immediatamente reperibile: in un controllo, la rapidità con cui producete le evidenze fa la differenza.

Come chiuderlo in una settimana

L’adempimento spaventa più sulla carta che nei fatti. Per una PMI a rischio limitato è realistico chiudere il grosso in cinque giorni lavorativi:

• Giorno 1 — Inventario. Mappate i sistemi AI realmente in uso (Copilot, ChatGPT, chatbot, AI Builder, GitHub Copilot…) e il livello di rischio. Per un’azienda sotto i 100 dipendenti bastano poche ore.
• Giorno 2 — Policy. Redigete o adattate la policy d’uso AI: ambito, regole sui dati, trasparenza, escalation. La approva la direzione. Attenzione a non confondere due documenti diversi: la policy parla ai dipendenti, mentre quello che dichiarate all’esterno — chatbot, contenuti generati, comunicazioni ai clienti — sta nelle informative di trasparenza AI, ed è la parte che si applica dal 2 agosto 2026.
• Giorni 3-4 — Formazione. Erogate il modulo base agli utenti finali e i moduli specifici ai ruoli intermedi e tecnici. Potete usare percorsi strutturati: i Learning Path SynSphere includono moduli su uso responsabile e produttività con Copilot, già pensati per coprire i contenuti dell’art. 4 e generare evidenze tracciabili.
• Giorno 5 — Documentazione. Raccogliete registro presenze, attestati, materiale e firma della policy in un’unica cartella di compliance. Pianificate il refresh per nuovi assunti e nuovi strumenti.

Un’ulteriore leva da valutare è la formazione finanziata: molti percorsi di aggiornamento del personale possono rientrare in fondi interprofessionali o avvisi formativi, abbattendo o azzerando il costo vivo. Vale la pena verificare con il vostro consulente del lavoro o con il fondo a cui aderite prima di mettere a budget la formazione AI.

Quando ha senso un servizio gestito

L’alfabetizzazione AI non è un adempimento complesso, ma è facile lasciarlo incompleto: formazione fatta a voce senza evidenze, policy mai firmata, inventario disallineato dagli strumenti realmente attivi. Se non avete una funzione IT o compliance dedicata, affidarsi a un partner conviene su due fronti.

Con il servizio di Assistenza Microsoft 365 gestita impostiamo Copilot e gli strumenti del tenant in modo conforme e accompagniamo le persone nell’uso corretto, trasformando l’obbligo di formazione in adozione reale. Lato governance, costruiamo insieme inventario, policy e pacchetto documentale, integrandoli con il vostro framework GDPR e di sicurezza.

Se volete partire con un percorso strutturato e tracciabile, i Learning Path offrono i moduli pronti; per un assessment su misura del vostro stack AI parla con un nostro consulente: valutiamo i sistemi in uso, lo stato della documentazione e cosa manca per essere pronti a un controllo.

Domande frequenti

Da quando è obbligatoria l’alfabetizzazione AI?

L’obbligo dell’art. 4 dell’AI Act (Regolamento UE 2024/1689) si applica dal 2 febbraio 2025 a ogni azienda che fornisce o utilizza sistemi di intelligenza artificiale, Microsoft 365 Copilot incluso. Dal 27 luglio 2026 il Regolamento (UE) 2026/1744 ne ha riformulato lo standard: l’azienda deve adottare misure per sostenere lo sviluppo dell’alfabetizzazione AI del personale, senza dover garantire un livello specifico in capo a ciascuna persona. L’obbligo resta, cambia il metro di valutazione.

Quali aziende sono soggette all’obbligo di AI literacy?

Tutte. L’art. 4 si applica sia ai fornitori sia ai deployer (utilizzatori professionali) di sistemi AI, senza soglie dimensionali. Una PMI che usa Copilot, ChatGPT o un chatbot rientra nell’ambito come deployer ed è tenuta a formare le persone che interagiscono con quei sistemi.

Cosa devo conservare per dimostrare di aver formato il team?

Il regolamento non impone di conservare nulla e non prevede attestati o certificazioni di alfabetizzazione: l’art. 4 chiede di adottare misure. Poiché però dimostrare di averle adottate resta un onere dell’azienda, conviene tenere traccia di sessioni e contenuti, elenco dei partecipanti, materiale erogato e policy d’uso AI. Interno ma reperibile in caso di controllo: prudenza probatoria, non adempimento di legge.

Quanto deve durare la formazione sull’AI literacy?

La norma non fissa un numero di ore: chiede un livello sufficiente e proporzionato ai ruoli. Per una PMI a rischio limitato un percorso base di alcune ore per gli utenti generici, più moduli aggiuntivi per chi gestisce dati sensibili o configura i sistemi, è in genere adeguato. Conta documentare contenuti e partecipazione.

Come ti aiutiamo

Per la parte documentale puoi partire subito e da solo: il template Excel del registro dei sistemi AI è gratuito e include un foglio dedicato alla traccia della formazione — chi, quando, su quali contenuti e quale evidenza è stata conservata. È esattamente il fascicolo descritto sopra, già strutturato.

Il servizio costruito su questo adempimento è l’AI Literacy Workshop: quattro ore per gruppi fino a venti persone, con esercizi sui documenti e sui compiti reali dei partecipanti, la parte su cosa non deve mai finire in un prompt, e al termine il fascicolo che serve a dimostrare la formazione svolta — elenco dei partecipanti, programma, materiali.

Se serve anche la documentazione a monte — registro dei sistemi AI in uso, policy d’uso interna, informative di trasparenza — è l’AI Act Starter Kit. Le due cose insieme sono l’adempimento minimo per chi usa l’AI in azienda, e nel configuratore dei servizi AI trovi perimetro e prezzi a listino.

La sessione è generalmente ammissibile ai fondi interprofessionali. Per una data, scrivici.