AI Literacy: la formazione obbligatoria ex art. 4 AI Act

Dal 2 febbraio 2025 ogni azienda che usa o fornisce sistemi di intelligenza artificiale deve garantire che il proprio personale abbia un livello adeguato di alfabetizzazione sull'IA. È l'obbligo più trasversale dell'intero Regolamento.

Cosa dice l'articolo 4

L'articolo 4 del Regolamento (UE) 2024/1689 introduce un obbligo apparentemente semplice ma di enorme portata pratica: fornitori e utilizzatori di sistemi di intelligenza artificiale devono adottare misure per garantire, nella misura del possibile, un livello sufficiente di alfabetizzazione in materia di IA del proprio personale e di altre persone che operano per loro conto e che si occupano del funzionamento e dell'uso dei sistemi di IA. Il livello di alfabetizzazione richiesto deve tenere conto delle conoscenze tecniche, dell'esperienza, dell'istruzione e della formazione delle persone interessate, del contesto in cui i sistemi sono utilizzati, e delle persone o categorie di persone sulle quali tali sistemi devono essere utilizzati.

Il considerando 20 chiarisce che l'alfabetizzazione deve fornire a tutti i pertinenti operatori della catena del valore dell'IA conoscenze sufficienti per garantire l'adeguata conformità e il suo corretto rispetto. Non si tratta quindi di un corso generico sull'intelligenza artificiale: si tratta di una formazione calibrata sul ruolo della persona, sul tipo di sistema usato, sul livello di rischio coinvolto.

Un obbligo già in vigore

A differenza di molti altri obblighi dell'AI Act, l'articolo 4 è pienamente applicabile dal 2 febbraio 2025. Significa che l'obbligo è già esigibile e le autorità competenti possono verificarne il rispetto. Non è quindi una scadenza futura su cui ci si può ancora organizzare con calma: è un adempimento già in essere. Per molte aziende italiane, è il primo punto su cui un controllo dell'autorità potrebbe avviarsi, sia perché di per sé è facile da verificare (basta chiedere la documentazione della formazione), sia perché rivela la maturità complessiva del sistema di compliance dell'azienda. Anche la Legge 132/2025 dedica attenzione ai profili di alfabetizzazione e formazione, prevedendo programmi di educazione e sensibilizzazione per la cittadinanza e formazione specialistica per i settori più esposti.

A chi si applica concretamente

L'obbligo riguarda fornitori e deployer di sistemi di IA. Per le aziende italiane questo significa, nella stragrande maggioranza dei casi, il ruolo di deployer: chi usa anche solo ChatGPT per produrre comunicazioni interne, chi ha un chatbot sul sito, chi usa un software HR con funzioni di IA, chi adotta strumenti di IA per la cybersicurezza, deve garantire che il personale interessato sia stato formato. Anche le aziende che non si percepiscono come utilizzatrici di IA — perché magari pensano che l'IA sia solo quella dei giganti tech — molto probabilmente lo sono, e quindi l'obbligo si applica anche a loro.

Il personale da formare non è solo quello tecnico. La logica del Regolamento è che chiunque interagisca con i sistemi di IA — chi li configura, chi li utilizza, chi ne riceve gli output, chi prende decisioni sulla base di quegli output — debba avere un livello di alfabetizzazione adeguato al proprio ruolo. Questo significa formare, in modi diversi: dirigenti che approvano l'acquisto dei sistemi, responsabili HR che usano sistemi di selezione, addetti customer care che lavorano con chatbot, personale marketing che usa IA generativa, personale IT che gestisce l'infrastruttura.

Cosa deve contenere la formazione

L'articolo 4 non specifica un contenuto formativo dettagliato, ma lascia spazio a un approccio calibrato sul contesto. La prassi e le prime linee guida indicano alcuni elementi che una formazione efficace deve coprire: i concetti di base dell'IA (cos'è, come funziona, in cosa è diversa dal software tradizionale), i rischi tipici (errori, bias, allucinazioni, manipolazioni, fughe di dati), il quadro normativo essenziale (AI Act, GDPR, Legge 132/2025) calibrato sul ruolo, le policy aziendali specifiche sull'uso dei sistemi, le buone pratiche operative per il tipo di sistema effettivamente usato in azienda.

La formazione deve essere documentata: registri delle presenze, slide o materiali distribuiti, eventuali test di valutazione, attestati. La documentazione non è un fine in sé ma uno strumento per dimostrare alle autorità — in caso di controllo — che l'obbligo è stato adempiuto in modo non formale ma sostanziale.

Il servizio AI Literacy di iusprivacy

Iusprivacy.eu eroga un servizio strutturato di AI Literacy modulare e personalizzabile sull'organizzazione del cliente. Il punto di partenza è un'intervista preliminare con il referente aziendale per identificare i ruoli da formare, i sistemi effettivamente in uso, le criticità specifiche del settore. Sulla base di questa analisi viene costruito un piano formativo articolato su più moduli, ciascuno calibrato per un gruppo specifico di destinatari.

I moduli tipici includono: un modulo introduttivo per tutto il personale (concetti base e quadro normativo essenziale), un modulo per la dirigenza (governance, responsabilità, rischio sanzionatorio), un modulo per i responsabili HR (sistemi ad alto rischio nel lavoro, obblighi informativi verso i lavoratori), un modulo per chi usa l'IA generativa (uso consapevole di ChatGPT e simili, riservatezza, qualità degli output), un modulo per il personale IT (aspetti tecnici di compliance, sicurezza, supervisione).

La formazione viene erogata in modalità mista: sessioni in aula o videoconferenza per i moduli più importanti, materiali online per l'approfondimento, test finali per la verifica dell'apprendimento. Tutta la documentazione viene archiviata sulla piattaforma iusprivacy.eu e resta accessibile al cliente per le verifiche delle autorità. La formazione viene aggiornata periodicamente per tenere conto delle evoluzioni normative e tecnologiche.

Perché partire dalla AI Literacy

Tra tutti gli adempimenti dell'AI Act, l'AI Literacy è quello da affrontare per primo, per tre ragioni. È già obbligatorio, quindi non si può rinviare. È trasversale, quindi tocca tutta l'organizzazione e ha effetti immediati sulla maturità complessiva. È preparatorio: una volta che il personale ha le basi, tutti gli adempimenti successivi (classificazione, FRIA, governance) sono più facili da impostare perché si interloquisce con persone preparate.