AI Act formazione obbligatoria: cosa chiede davvero la legge
L'obbligo di formazione AI dell'AI Act spiegato sui testi ufficiali: cosa dice l'articolo 4 dopo l'Omnibus digitale del 2026, chi è obbligato, le sanzioni vere, se serve un attestato e cosa fare in pratica.
Alla domanda "AI Act formazione obbligatoria?" la risposta è sì: con l'AI Act la formazione è obbligatoria per ogni azienda che usa l'intelligenza artificiale, anche solo ChatGPT per scrivere testi. Dal 27 luglio 2026 però l'obbligo è più leggero: bisogna adottare misure adeguate, non garantire un livello preciso. Non serve un attestato e, a novembre 2026, né l'AI Act né il decreto italiano di attuazione prevedono una multa per chi non lo rispetta.
Sull'obbligo di formazione AI per le aziende girano molte informazioni vecchie o sbagliate: corsi venduti come "certificazione obbligatoria", multe da milioni di euro attribuite alla norma sbagliata. Qui trovi cosa dicono davvero i testi ufficiali, aggiornati alle modifiche del 2026, e cosa conviene fare in pratica. Non è un parere legale: è quello che leggo nelle fonti e che serve sapere a chi gestisce un'azienda.
Cosa dice l'articolo 4 dell'AI Act
L'articolo 4 del Regolamento (UE) 2024/1689, l'AI Act, riguarda l'"alfabetizzazione in materia di IA": chi sviluppa o usa sistemi di intelligenza artificiale deve occuparsi delle competenze delle persone che li usano. Tra gli obblighi dell'AI Act è quello che tocca più aziende, perché non riguarda solo i sistemi ad alto rischio.
Il testo in vigore oggi è quello riscritto dal Regolamento (UE) 2026/1744, l'"Omnibus digitale". Dice che fornitori e utilizzatori "adottano misure volte a sostenere lo sviluppo dell'alfabetizzazione in materia di IA" del loro personale e di chi usa i sistemi per loro conto. Le misure devono tenere conto di conoscenze tecniche, esperienza, istruzione e formazione delle persone, del contesto d'uso e delle persone su cui l'AI ha effetti.
Poi c'è la frase che cambia tutto: l'obbligo "non impone ai fornitori o ai deployer di garantire un livello specifico di alfabetizzazione in materia di IA per alcuna persona". In altre parole, la legge chiede di fare qualcosa di sensato e proporzionato, non di arrivare a un risultato certificato.
Cosa è cambiato con l'Omnibus digitale del 2026
L'Omnibus digitale ha trasformato l'articolo 4 da obbligo di risultato a obbligo di mezzi. Prima le aziende dovevano "garantire nella misura del possibile un livello sufficiente" di competenze; ora devono adottare misure che sostengano lo sviluppo delle competenze. Il regolamento è stato pubblicato il 24 luglio 2026 ed è in vigore dal 27 luglio.
| Prima (testo del 2024) | Dopo (Omnibus digitale, dal 27/7/2026) | |
|---|---|---|
| Cosa si chiede | Garantire, nella misura del possibile, un livello sufficiente di alfabetizzazione | Adottare misure per sostenere lo sviluppo dell'alfabetizzazione |
| Livello da raggiungere | "Sufficiente", senza definizione | Nessun livello specifico, scritto nel testo |
| Chi aiuta le aziende | Non previsto | Commissione e Stati membri, in particolare per le PMI, con esempi pratici pubblicati dalla Commissione |
Per una piccola o media impresa la novità è positiva: niente esami da superare, ma misure su misura del proprio uso dell'AI. Un'azienda che usa ChatGPT per le email ai clienti non ha gli stessi obblighi pratici di una che usa l'AI per selezionare il personale.
Chi è obbligato: anche chi usa solo ChatGPT
L'obbligo riguarda chi sviluppa sistemi di AI e chi li usa nella propria attività, i cosiddetti deployer. Le risposte ufficiali della Commissione europea fanno proprio l'esempio di un'azienda i cui dipendenti usano ChatGPT per scrivere testi pubblicitari o tradurre: rientra nell'articolo 4.
- Chi va formato: il personale e chi usa l'AI per conto dell'azienda, compresi collaboratori esterni e fornitori di servizi.
- Su cosa: come funzionano gli strumenti usati e i loro rischi, per esempio le risposte inventate che l'AI scrive con sicurezza.
- Cosa non basta: la Commissione scrive che far leggere le istruzioni d'uso "potrebbe essere inefficace".
Resta escluso solo l'uso personale e non professionale: chi usa ChatGPT a casa per sé non è un deployer.
Il 2 agosto 2026: cosa è partito davvero
Il 2 agosto 2026 non è nato l'obbligo di formazione: l'articolo 4 si applica già dal 2 febbraio 2025. Dal 2 agosto 2026 sono partite le regole di vigilanza: da quella data le autorità nazionali possono controllare il rispetto dell'articolo 4, come spiega la Commissione nelle sue risposte ufficiali.
In Italia le autorità le ha fissate il D.Lgs. 7 ottobre 2026, n. 179, in vigore dal 23 ottobre 2026:
- ACN (Agenzia per la cybersicurezza nazionale) è l'autorità di vigilanza del mercato sui sistemi di AI e il punto di contatto unico (articoli 5 e 6);
- AgID è l'autorità di notifica, che si occupa degli organismi di valutazione della conformità (articolo 4);
- per i settori finanziari vigilano anche Banca d'Italia, CONSOB e IVASS; il Garante privacy ha un ruolo limitato a casi specifici.
Ci sono sanzioni se non formi i dipendenti?
A novembre 2026 né l'AI Act né il decreto italiano prevedono una multa per chi non rispetta l'articolo 4. Le sanzioni dell'AI Act stanno nell'articolo 99 e non lo nominano. Le sanzioni italiane stanno nel capo del D.Lgs. 179/2026 dedicato alle sanzioni (articoli 20-24), e l'articolo 4 non compare neanche lì.
| Violazione | Multa massima (art. 23 D.Lgs. 179/2026) |
|---|---|
| Pratiche vietate (articolo 5 dell'AI Act: manipolazione, punteggio sociale e simili) | 35 milioni di euro o 7% del fatturato mondiale |
| Obblighi su sistemi ad alto rischio e trasparenza (tra cui gli articoli 16, 26 e 50) | 15 milioni di euro o 3% del fatturato mondiale |
| Informazioni inesatte alle autorità | 7,5 milioni di euro o 1% del fatturato mondiale |
| Alfabetizzazione in materia di AI (articolo 4) | Nessuna sanzione prevista |
Per le PMI la multa si calcola con il criterio più favorevole dell'articolo 99 dell'AI Act. Le cifre da 35 milioni che leggi in tanti articoli sulla "formazione obbligatoria" riguardano le pratiche vietate, non la formazione.
Questo non vuol dire che la formazione sia inutile. La Commissione scrive che la mancanza di formazione e indicazioni adeguate pesa soprattutto quando succede un incidente. Se un dipendente carica dati di clienti in un account personale, o manda un preventivo sbagliato scritto dall'AI, poter dimostrare di aver preparato le persone fa la differenza.
Serve un attestato?
No. La Commissione europea lo scrive in modo esplicito: non serve un certificato. Le aziende possono tenere un registro interno delle formazioni e delle altre iniziative fatte. Un attestato di partecipazione è utile come prova, ma nessuna norma lo richiede.
Diffida quindi dei corsi venduti come "formazione obbligatoria certificata AI Act". Il valore di un corso sta in quello che le persone sanno fare dopo, non nel pezzo di carta.
Cosa fare in pratica: la checklist per un'azienda
Per rispettare l'articolo 4 in modo sensato, a una piccola o media impresa servono cinque cose. Nessuna è complicata, e insieme formano la documentazione da mostrare in caso di controllo o di problema.
- Elenco degli strumenti AI usati: quali, chi li usa, per cosa, con quale account (personale o aziendale).
- Regole d'uso scritte, al massimo due pagine: strumenti ammessi, quali dati si possono caricare, cosa va sempre controllato da una persona.
- Formazione tarata sui ruoli: chi scrive ai clienti, chi analizza numeri e chi decide sulle persone ha bisogno di cose diverse.
- Registro della formazione: date, argomenti, partecipanti, materiali.
- Aggiornamento: gli strumenti cambiano ogni pochi mesi, e con loro i rischi.
Un registro semplice può avere queste colonne:
| Data | Iniziativa | Argomenti | Partecipanti | Materiali |
|---|---|---|---|---|
| gg/mm/aaaa | Corso in sede, regole d'uso, sessione di aggiornamento | Come funziona lo strumento, dati ammessi, verifica dei testi | Nomi e ruoli | Dove sono archiviati slide e documenti |
Come scegliere un corso che lasci davvero qualcosa, quanto costa e come si misurano i risultati l'ho spiegato nella guida alla formazione AI per aziende.
Formazione AI e sicurezza sul lavoro: l'articolo 42
Il D.Lgs. 179/2026 aggiunge un obbligo italiano che pochi citano. L'articolo 42 chiede ai datori di lavoro di assicurare un'adeguata informazione e formazione dei lavoratori sui rischi specifici dell'uso dei sistemi di AI e sulle misure di prevenzione adottate.
Se poi l'AI incide sull'organizzazione del lavoro, sui ritmi, su come si svolge la prestazione o su decisioni rilevanti per la sicurezza, va considerata nella valutazione dei rischi prevista dal Testo unico sulla sicurezza (D.Lgs. 81/2008). Su questo punto il riferimento resta il tuo responsabile della sicurezza o il consulente del lavoro.
Le date da ricordare
| Data | Cosa succede |
|---|---|
| 2 febbraio 2025 | Si applica l'articolo 4 dell'AI Act (alfabetizzazione) |
| 27 luglio 2026 | Entra in vigore l'Omnibus digitale: l'articolo 4 diventa "adottare misure" |
| 2 agosto 2026 | Partono vigilanza e controlli delle autorità nazionali |
| 23 ottobre 2026 | Entra in vigore il D.Lgs. 179/2026: vigilanza dell'ACN, AgID autorità di notifica, regime delle sanzioni |
Domande frequenti sull'obbligo di formazione AI
Quante ore di formazione AI sono obbligatorie?
Nessuna norma fissa un numero di ore. L'articolo 4 chiede misure proporzionate al ruolo delle persone e all'uso che l'azienda fa dell'AI. Una sessione breve può bastare per chi usa l'AI raramente; chi la usa ogni giorno con dati dei clienti ha bisogno di più.
Basta un corso online?
Può essere una delle misure, ma da solo copre poco: non conosce i tuoi strumenti, i tuoi dati e le tue regole. La Commissione stessa avverte che leggere istruzioni generiche può non bastare. Funziona meglio una formazione legata al lavoro vero, più regole scritte.
L'obbligo vale anche per i collaboratori esterni?
Sì. L'articolo 4 parla del personale e di "qualsiasi altra persona" che usa i sistemi di AI per conto dell'azienda. La Commissione cita esplicitamente collaboratori e fornitori di servizi.
Chi controlla in Italia?
L'ACN, l'Agenzia per la cybersicurezza nazionale, come autorità di vigilanza del mercato, secondo il D.Lgs. 179/2026. Nei settori bancario, finanziario e assicurativo ci sono anche Banca d'Italia, CONSOB e IVASS.
Se usiamo solo la versione gratuita di ChatGPT siamo esclusi?
No, anzi: l'account personale gratuito è proprio il caso in cui servono regole chiare. Con le versioni business i dati non vengono usati per addestrare i modelli, salvo scelta diversa dell'azienda; con quelle personali dipende dalle impostazioni di ogni utente.
Da dove partire
Parti dall'elenco degli strumenti AI che il tuo team usa oggi e da chi li usa: in un'ora hai il primo pezzo della documentazione e capisci dove servono regole. Se vuoi un percorso che metta insieme formazione sul lavoro vero, regole d'uso e fascicolo AI Act, trovi programma e prezzi nella pagina dei corsi AI per aziende. Se invece vuoi partire da un primo sguardo sul tuo digitale, richiedi l'analisi gratuita.
