di Paolo Falck, CEO e co-founder di Addlab — aggiornato ad agosto 2026
In breve
L’articolo 4 dell’AI Act obbliga fornitori e deployer di sistemi di intelligenza artificiale ad adottare misure per sostenere l’alfabetizzazione in materia di IA del proprio personale. Si applica dal 2 febbraio 2025, riguarda anche le micro imprese e chi usa solo ChatGPT, e dal 2 agosto 2026 le autorità nazionali ne verificano il rispetto. Non prevede corsi certificati né sanzioni dirette.Che cos’è l’alfabetizzazione in materia di IA
L’alfabetizzazione in materia di IA è definita dall’articolo 3, punto 56, del Regolamento (UE) 2024/1689 come le competenze, le conoscenze e la comprensione che consentono a fornitori, deployer e persone interessate di procedere a una diffusione informata dei sistemi di IA e di acquisire consapevolezza sulle opportunità, sui rischi e sui possibili danni dell’intelligenza artificiale. La definizione contiene tre elementi che vale la pena separare, perché nella pratica vengono confusi:- Competenze operative: saper usare lo strumento.
- Comprensione del funzionamento: sapere cosa fa il sistema e con quali limiti, per esempio che un modello linguistico può produrre affermazioni false in modo plausibile.
- Consapevolezza dei rischi: sapere quali danni può causare quell’uso, dalla violazione di dati personali alla diffusione di un contenuto ingannevole.
Chi è obbligato a formare il personale sull’intelligenza artificiale
L’obbligo dell’articolo 4 dell’AI Act ricade su fornitori e deployer di sistemi di IA. Il deployer è chiunque utilizzi un sistema di intelligenza artificiale sotto la propria autorità nell’ambito di un’attività professionale: quindi praticamente ogni azienda che usa questi strumenti per lavorare. L’obbligo copre il personale «e le altre persone che si occupano del funzionamento e dell’utilizzo dei sistemi di IA» per conto dell’organizzazione. Nelle Q&A della Commissione europea questa formula viene estesa a dipendenti, collaboratori esterni, fornitori di servizi e, a seconda del contesto, anche ai clienti. Tre precisazioni che tolgono gli alibi più comuni:- Non esistono soglie dimensionali. Una società di tre persone che usa ChatGPT per scrivere preventivi rientra nell’obbligo esattamente come una multinazionale.
- Non esistono soglie di rischio. L’articolo 4 non è collegato alla classificazione ad alto rischio: vale anche per gli assistenti generativi di uso comune.
- Il livello va calibrato sui ruoli. L’articolo 4 chiede di tenere conto delle conoscenze tecniche, dell’esperienza, della formazione, del contesto d’uso e delle persone sulle quali i sistemi vengono usati. Chi configura un agente AI e chi lo usa per rispondere alle email non hanno bisogno dello stesso livello.
Cosa è cambiato con il Digital Omnibus: da obbligo di risultato a obbligo di mezzi
Il Digital Omnibus sull’IA, cioè il Regolamento (UE) 2026/1744 entrato in vigore il 27 luglio 2026, ha riformulato l’articolo 4 dell’AI Act senza spostarne la data di applicazione. La versione originale chiedeva alle organizzazioni di garantire un livello sufficiente di alfabetizzazione. La versione attuale chiede di adottare misure volte a sostenere lo sviluppo di quella alfabetizzazione. In termini giuridici l’obbligo passa da obbligazione di risultato a obbligazione di mezzi: non devi più dimostrare che ogni persona ha raggiunto un livello prestabilito, devi dimostrare di aver messo in campo misure adeguate. È un alleggerimento pensato soprattutto per le organizzazioni piccole, per le quali la formulazione originale comportava un carico difficile da sostenere. Non è un’abrogazione, e conviene non leggerla come tale: la data di applicazione resta il 2 febbraio 2025 e la vigilanza è partita il 2 agosto 2026.Serve un corso certificato? No, e la Commissione lo ha messo per iscritto
Su questo punto circola parecchia disinformazione commerciale, spesso venduta insieme a un attestato. Le Q&A della Commissione europea sono esplicite: non esiste un livello di alfabetizzazione prescritto, non è richiesta alcuna certificazione, non è imposto un formato di documentazione. Le organizzazioni possono usare e-learning, sessioni in aula, bootcamp o documentazione interna, purché la misura sia adattata al contesto, ai rischi e ai ruoli. La Commissione suggerisce comunque di conservare registri interni delle iniziative intraprese. Non perché lo imponga la norma, ma per una ragione pratica che vediamo tra poco: quei registri sono la prova della diligenza dell’organizzazione. Per chi cerca supporto esistono canali pubblici: gli European Digital Innovation Hubs (EDIH) offrono formazione e workshop alle PMI, e la AI Skills Academy della Commissione, attiva da maggio 2026, propone programmi di upskilling e reskilling.Quali sanzioni sono previste se non formo il personale
L’articolo 4 dell’AI Act non prevede una sanzione diretta. Chi dice il contrario sta vendendo qualcosa. Il punto vero è un altro, ed è più insidioso. L’articolo 99, paragrafo 7, lettera g), stabilisce che nel determinare l’importo di una sanzione si tiene conto del grado di responsabilità dell’operatore alla luce delle misure tecniche e organizzative che ha attuato. La formazione e le policy interne sono misure organizzative. La conseguenza è precisa: se l’azienda viola un altro obbligo dell’AI Act — per esempio quelli di trasparenza dell’articolo 50 — l’assenza totale di formazione pesa sul calcolo della sanzione, mentre la presenza documentata di misure gioca a favore. Le sanzioni dell’articolo 99 arrivano a 15 milioni di euro o al 3% del fatturato mondiale annuo per le violazioni degli obblighi di trasparenza, e a 35 milioni o al 7% per le pratiche vietate. Detto in modo diretto: l’articolo 4 non è la norma per cui vieni multato. È la norma che decide quanto ti costa la multa che prendi per qualcos’altro.Chi controlla in Italia e da quando
Le regole su vigilanza ed enforcement si applicano dal 2 agosto 2026. Da quella data le autorità nazionali competenti designate ai sensi dell’articolo 70 dell’AI Act possono verificare il rispetto anche dell’articolo 4. In Italia la legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, ha designato l’Agenzia per la Cybersicurezza Nazionale (ACN) come autorità di vigilanza del mercato, con poteri ispettivi e sanzionatori, e l’Agenzia per l’Italia Digitale (AgID) come autorità di notifica. Il decreto legislativo attuativo è stato approvato in esame preliminare dal Consiglio dei ministri il 10 giugno 2026 e ha ricevuto il parere del Garante privacy il 29 luglio 2026.Il paradosso italiano: obbligo alleggerito, competenze che mancano davvero
Qui i numeri raccontano una storia che la norma da sola non dice. Secondo l’Istat, nel 2025 il 16,4% delle imprese italiane con almeno 10 addetti utilizza almeno una tecnologia di intelligenza artificiale, il doppio rispetto all’8,2% del 2024 e più del triplo rispetto al 5,0% del 2023. Il divario per dimensione però si allarga: 53% tra le grandi imprese, 27% tra le medie, 14,2% tra le piccole fino a 49 addetti. Il dato più interessante è un altro: la mancanza di competenze adeguate frena l’adozione dell’IA in quasi il 60% delle aziende che hanno valutato un investimento e poi non l’hanno realizzato. In Europa siamo dietro a Germania (26,0%), Spagna (20,2%) e Francia (18,1%). Ne esce un quadro paradossale. L’obbligo di alfabetizzazione è stato ammorbidito proprio nel Paese e nel momento in cui la competenza è il collo di bottiglia principale. Chi legge il Digital Omnibus come un permesso di non fare niente sta risolvendo un problema di compliance e ne sta lasciando aperto uno di business.Cosa fare in pratica: sei misure che soddisfano l’articolo 4
Nessuna di queste richiede un budget formativo importante. Richiedono che qualcuno se ne occupi.- Elenca gli strumenti in uso. Quali sistemi di IA usa davvero l’azienda, chi li usa, per quali attività. Senza questa mappa non si calibra nulla.
- Scrivi una policy d’uso di una pagina. Cosa si può fare con questi strumenti, cosa no, quali dati non vanno mai inseriti, chi approva cosa. Una pagina letta batte un regolamento di venti pagine archiviato.
- Distingui i livelli. Un’infarinatura per tutti, un approfondimento per chi usa l’IA quotidianamente, una preparazione specifica per chi configura sistemi o gestisce dati personali.
- Copri i rischi concreti del tuo contesto. Allucinazioni dei modelli, dati riservati inseriti in strumenti pubblici, obblighi di trasparenza sui contenuti generati, decisioni automatizzate che toccano le persone.
- Includi i collaboratori esterni. L’articolo 4 parla di chi opera i sistemi «per conto» dell’organizzazione: freelance e agenzie rientrano quando usano l’IA nel lavoro che ti consegnano.
- Lascia una traccia. Data, contenuti, partecipanti. Un foglio condiviso basta. È la differenza tra dire «ci siamo occupati del tema» e dimostrarlo.