Articolo 4 AI Act: l'obbligo di alfabetizzazione AI, spiegato

L'articolo 4 è la disposizione dell'AI Act che riguarda il maggior numero di organizzazioni europee, ed è anche quella su cui circola più confusione. Questa guida spiega che cosa dice davvero, che cosa non dice, e cosa serve fare in concreto.

Che cosa dice la norma

L'articolo 4 del Regolamento UE 2024/1689 impone a fornitori e deployer di sistemi di AI di adottare misure per garantire, nella misura del possibile, un livello sufficiente di alfabetizzazione in materia di AI del proprio personale e delle altre persone che si occupano del funzionamento e dell'utilizzo dei sistemi per loro conto.

La valutazione va fatta tenendo conto delle conoscenze tecniche, dell'esperienza, dell'istruzione e della formazione delle persone coinvolte, nonché del contesto in cui i sistemi sono utilizzati e delle persone su cui vengono usati.

Su tre espressioni conviene soffermarsi.

Deployer. Non significa "chi sviluppa l'AI". Significa chi la utilizza sotto la propria autorità nell'esercizio di un'attività professionale. È la ragione per cui la norma tocca praticamente ogni azienda e ogni studio professionale, non solo le software house.

Sufficiente. Non c'è una soglia numerica. Il livello adeguato dipende dal ruolo della persona e dal rischio del sistema: chi imposta un sistema di selezione del personale ha bisogno di più di chi usa un assistente per riformulare una mail.

Nella misura del possibile. La norma introduce un criterio di proporzionalità. Una microimpresa e una multinazionale hanno lo stesso obbligo ma non lo stesso standard di misure attese.

A chi si applica

Non esistono soglie dimensionali e non esistono esenzioni per classe di rischio: l'articolo 4 si applica a tutti i sistemi di AI, non solo a quelli ad alto rischio.

L'ultima riga della tabella, nella pratica, è quasi sempre falsa: la maggior parte delle organizzazioni che dichiarano di non usare l'AI la stanno già usando, o tramite funzioni integrate in software che avevano già, o tramite iniziative individuali dei collaboratori mai censite.

Le date

Fra febbraio 2025 e agosto 2026 l'obbligo si applicava senza che le autorità nazionali esercitassero i poteri di vigilanza. Dal 2 agosto 2026 li esercitano.

Che cosa si rischia davvero

Su questo punto circola parecchio allarmismo commerciale, quindi conviene essere precisi.

L'articolo 4 non ha una sanzione autonoma con importo predeterminato, a differenza di altre disposizioni del regolamento, dove si arriva a percentuali del fatturato mondiale. Chi cita quelle cifre a proposito dell'alfabetizzazione sta mescolando norme diverse.

Il peso reale dell'articolo 4 è un altro, ed è più sottile:

1. È un elemento di valutazione della diligenza complessiva. Quando un'autorità valuta un'organizzazione, l'assenza totale di misure di alfabetizzazione pesa sul giudizio generale.
2. Funziona come aggravante. Se emerge un problema diverso (un trattamento illecito di dati, una decisione automatizzata contestata, un danno a terzi) la domanda "che misure avevate adottato?" arriva sempre. Non avere risposta peggiora ogni posizione.
3. È il documento che dimostra la governance. In una due diligence, in una gara, in un rapporto con un cliente enterprise, la policy sull'AI e il registro della formazione sono sempre più spesso richiesti a monte.

Conviene quindi trattare l'articolo 4 come la prova documentale di aver governato l'introduzione dell'AI in azienda, più che come una multa da evitare.

Cosa serve fare, in pratica

1. Censire. Quali sistemi di AI sono realmente in uso, da chi, su quali dati. Quasi sempre questa fase riserva sorprese: è normale scoprire strumenti che nessuno aveva autorizzato.

2. Formare, in modo proporzionato. Un impianto che regge a una verifica copre: come funziona un modello generativo e perché sbaglia; il perimetro dell'AI Act; dati, privacy e scelta degli strumenti; verifica dell'output; casi d'uso concreti per quella specifica organizzazione; limiti e divieti interni.

3. Scrivere una policy. Chi può usare cosa, su quali dati, con quale supervisione, cosa non deve mai entrare in un prompt.

4. Documentare. Il registro: chi, quando, cosa, con quale materiale.

5. Aggiornare. Con cadenza almeno annuale, e ogni volta che entra uno strumento nuovo.

Il registro della formazione AI

È il documento che serve materialmente, e quello che quasi nessuno prepara bene. Contiene:

• l'inventario dei sistemi di AI in uso e degli utilizzatori
• l'elenco delle persone formate, con ruolo e data
• i contenuti erogati e la durata
• il materiale distribuito ai partecipanti
• la policy interna adottata, con data
• il piano di aggiornamento

Non serve un formato ufficiale, perché non ne esiste uno. Serve che sia coerente, datato e mantenuto.

Gli equivoci più frequenti

"Serve una certificazione". No. L'AI Act non prevede certificazioni obbligatorie né enti accreditati per l'alfabetizzazione AI.

"Bastano X ore". Non esiste un monte ore normativo.

"È una cosa da fare una volta". No: la Commissione ha chiarito che l'alfabetizzazione va mantenuta nel tempo, perché i sistemi evolvono.

Da dove partire

Se l'organizzazione non ha ancora fatto nulla, il primo passo non è comprare un corso: è censire cosa si sta già usando. Senza quella fotografia, qualsiasi formazione è generica per costruzione, e la genericità è esattamente ciò che rende un percorso poco difendibile in caso di verifica.

Da lì si dimensiona il percorso sui processi reali di quell'azienda. Il nostro formato standard è di sei ore, tarato sulle PMI che seguiamo, e lascia il registro della formazione e una bozza di policy: documenti che la norma non prescrive, ma che nella prassi servono a conservare traccia di quello che è stato fatto.