Formazione AI Literacy & AI Act
Dal 2 febbraio 2025 l'alfabetizzazione sull'intelligenza artificiale è obbligatoria per tutti i dipendenti che usano strumenti AI. Prepariamo il tuo team con corsi pratici, con una verifica finale e con la documentazione che ti serve il giorno in cui qualcuno viene a chiedertela.
Il quadro normativo
Qui accanto trovi l'Articolo 4 per intero, nel testo ufficiale italiano. Sono poco più di novanta parole, ed è tutto quello che il Regolamento dice sulla formazione. Vale la pena leggerle, perché contengono già le due cose che ti riguardano: l'obbligo vale anche per chi l'intelligenza artificiale si limita a usarla, e si estende a chiunque operi sui sistemi per tuo conto. Se qualcuno nella tua azienda apre un assistente conversazionale per sistemare una mail, sei dentro il perimetro.
REG. UE 2024/1689 · ARTICOLO 4
Alfabetizzazione in materia di IA
"I fornitori e i deployer dei sistemi di IA adottano misure per garantire nella misura del possibile un livello sufficiente di alfabetizzazione in materia di IA del loro personale nonché di qualsiasi altra persona che si occupa del funzionamento e dell'utilizzo dei sistemi di IA per loro conto, prendendo in considerazione le loro conoscenze tecniche, la loro esperienza, istruzione e formazione, nonché il contesto in cui i sistemi di IA devono essere utilizzati, e tenendo conto delle persone o dei gruppi di persone su cui i sistemi di IA devono essere utilizzati."
Nessuna di queste parole dice "quando avrai tempo".
L'Articolo 113 lo dice senza margini: "I capi I e II si applicano a decorrere dal 2 febbraio 2025". L'Articolo 4 sta nel Capo I. Da quel giorno ogni organizzazione che impiega sistemi di IA deve essere in grado di dimostrare di aver formato chi li utilizza. La data è passata da un pezzo.
Sempre l'Articolo 113: da questa data si applicano il Capo XII sulle sanzioni e il Capo VII sulla governance. Gli Stati membri designano le autorità nazionali competenti e definiscono il proprio regime sanzionatorio, che si innesta sulle soglie fissate dal Regolamento.
"Si applica a decorrere dal 2 agosto 2026": è la regola generale del Regolamento, e da lì le autorità di vigilanza del mercato operano a pieno titolo. È la data da tenere presente mentre pianifichi il budget formativo di quest'anno, perché è quella in cui il controllo smette di essere un'ipotesi.
"Accanto all'Articolo 4 non c'è scritta nessuna multa."
— Però la formazione è il presupposto degli obblighi che una multa ce l'hanno. Chi non sa come funziona uno strumento non è in grado di sorvegliarlo.
Il perimetro
Quando facciamo la ricognizione iniziale, il numero di persone che in azienda usa già l'intelligenza artificiale è quasi sempre superiore a quello che si aspettava chi ci ha chiamati. Raramente per disobbedienza: più spesso perché nessuno aveva detto niente, in un senso o nell'altro.
Marketing che genera testi, amministrazione che fa riassumere documenti, customer care che prepara risposte, ufficio tecnico che si fa spiegare del codice. L'Articolo 4 non parla di mansioni: parla del "personale" e di "qualsiasi altra persona che si occupa del funzionamento e dell'utilizzo dei sistemi di IA" per tuo conto. Quel "per loro conto" si porta dentro anche i collaboratori esterni e i fornitori.
Titolari, HR, responsabili di funzione, DPO. Serve loro un livello diverso: quali strumenti autorizzare, come metterlo in una policy interna, quando un impiego ricade tra quelli ad alto rischio. Perché lì scatta l'Articolo 26, che per i sistemi ad alto rischio è netto: "i deployer affidano la sorveglianza umana a persone fisiche che dispongono della competenza, della formazione e dell'autorità necessarie". La formazione smette di essere una buona pratica e diventa un requisito di chi vigila.
Il Regolamento non fissa un monte ore, e non è una svista. Il Considerando 20 chiarisce che le nozioni necessarie "possono variare in relazione al contesto pertinente", e l'Articolo 4 impone di pesare conoscenze, esperienza e contesto d'uso. Tradotto: un corso identico per tutti è quasi sempre la risposta sbagliata, perché lascia scoperti quelli davvero esposti. Partiamo da una ricognizione dei ruoli e da lì costruiamo i percorsi.
Cosa comprende il pacchetto
Niente storia dell'intelligenza artificiale e niente schemi sul funzionamento delle reti neurali. I contenuti partono dagli strumenti che il tuo team ha già aperto sul browser e dagli errori che si fanno usandoli.
Cosa si può incollare in una chat pubblica e cosa non si deve incollare mai. Dati personali, documenti coperti da riservatezza, informazioni sui clienti. Come ottenere lo stesso risultato riformulando la richiesta, quali strumenti l'azienda ha autorizzato e perché, cosa fare quando è già successo.
I modelli producono con la stessa sicurezza affermazioni corrette e affermazioni inventate. Il modulo allena a distinguerle: come si verifica una fonte, quali domande generano più errori, dove si annidano i pregiudizi nei dati di addestramento e quali decisioni non vanno mai delegate a un output non controllato.
GDPR e AI Act tradotti in comportamenti concreti: quando serve informare un cliente che sta interagendo con un sistema di IA, come si marca un contenuto generato, quali usi rientrano tra quelli ad alto rischio, cosa scrivere nel registro dei trattamenti. Con i casi del tuo settore, non con esempi generici.
Come si eroga
Ognuno segue quando può, da dove vuole. È il formato che regge meglio i turni e le sedi multiple, ed è quello che produce da solo la documentazione: accessi, minuti di fruizione, completamento dei video ed esiti dei test finiscono in un report senza che nessuno debba trascriverli.
Sessioni dal vivo con esercitazioni sui casi che porti tu. Funziona bene con gruppi omogenei e quando serve far emergere quello che le persone già fanno con l'IA senza dirlo. Registro presenze e test restano gli stessi.
La combinazione più richiesta: e-learning per tutto il personale, sessione live per chi ha responsabilità decisionali. Copre il perimetro completo tenendo basso il tempo sottratto al lavoro.
Con chi lavoriamo
Devono formare popolazioni aziendali intere, con profili molto diversi, e portare a casa un dato di completamento che regga in sede di verifica.
Struttura snella, nessun ufficio compliance, e un obbligo che vale identico a quello delle aziende grandi. Percorsi dimensionati sul numero reale di persone.
Hanno bisogno del fascicolo documentale prima ancora che del corso: programma, registri, esiti, attestati. Glielo consegniamo in un formato allegabile.
Medici, legali, commercialisti: al vincolo dell'AI Act si somma il segreto professionale, quindi il modulo sul prompt sicuro pesa più degli altri.
Trattamenti su persone vulnerabili e obblighi di tracciabilità stringenti, spesso con vincoli di rendicontazione verso l'ente finanziatore.
Strumenti adottati dal basso, senza una policy che li governi. Qui si parte dalla ricognizione di cosa gira davvero, e le sorprese sono la norma.
Domande frequenti
L'obbligo ricade sull'azienda, non sul singolo dipendente. L'Articolo 4 si rivolge ai "fornitori e ai deployer dei sistemi di IA", e deployer nel linguaggio del Regolamento sei tu che quei sistemi li utilizzi, anche se non li hai costruiti. Il perimetro delle persone lo definisce la norma stessa: il personale "nonché qualsiasi altra persona che si occupa del funzionamento e dell'utilizzo dei sistemi di IA per loro conto". Quel "per loro conto" è la parte che sfugge, ed è quella che si porta dentro collaboratori a partita IVA, agenzie e fornitori. Non conta la forma del contratto, conta l'uso effettivo: se in amministrazione qualcuno fa riassumere un documento a un assistente conversazionale, quella persona è dentro. La misura della formazione va invece calibrata sul ruolo e sul rischio, perché chi usa l'IA per riscrivere una mail ha bisogno di qualcosa di diverso da chi la usa per scremare curriculum.
Sì, e il Regolamento è volutamente aperto sul punto. L'Articolo 4 dice che fornitori e deployer "adottano misure" per garantire un livello sufficiente di alfabetizzazione: prescrive il risultato e ti lascia libero sul come. Non esiste quindi un formato imposto né un monte ore minimo da rispettare. L'e-learning asincrono è la formula più praticabile per chi ha turni o più sedi, e ha un vantaggio documentale non da poco, perché la piattaforma registra da sola accessi, tempi di fruizione e completamento: le "misure" diventano dimostrabili senza che nessuno debba ricostruirle a mano. Se preferisci l'aula, in presenza o in videoconferenza, la facciamo. La combinazione più richiesta resta e-learning per tutti più una sessione live per chi ha responsabilità decisionali.
Qui ti diamo la risposta esatta, che è più utile di quella comoda: una certificazione ufficiale di AI literacy non esiste, per noi come per chiunque altro. Il Regolamento dedica un capo intero agli organismi notificati, alla valutazione della conformità e ai certificati, ma riguarda i sistemi di IA ad alto rischio: per la formazione del personale l'Articolo 4 si limita a chiedere che tu "adotti misure", senza istituire né un albo né uno schema di certificazione. Chi ti vende un attestato "a norma di legge" ti sta vendendo qualcosa che la legge non prevede. L'obbligo dell'Articolo 4 è in capo a te come datore di lavoro, e quello che conta è poter dimostrare di averlo assolto. Per questo consegniamo un fascicolo completo: registro delle presenze e degli accessi, esiti dei test con data e punteggio, attestati nominali per ogni partecipante, programma didattico e materiali usati. È la documentazione che un'autorità o un consulente ti chiede in sede di verifica, ed è l'unica cosa che in questo momento abbia valore concreto.
Non nella forma in cui te la raccontano, e qui ti conviene sapere come stanno le cose meglio di chi prova a spaventarti. I 35 milioni di euro che girano in rete stanno all'Articolo 99, paragrafo 3, e riguardano una cosa sola: la violazione del divieto di pratiche di IA vietate dell'Articolo 5. Non la formazione. Il paragrafo successivo, quello da 15 milioni, elenca uno per uno gli obblighi sanzionabili: articoli 16, 22, 23, 24, 26, 31, 33, 34 e 50. L'Articolo 4 in quell'elenco non c'è, e puoi verificarlo in due minuti. Detto questo, la conclusione comoda sarebbe "allora lasciamo perdere", ed è sbagliata per tre motivi concreti. L'alfabetizzazione è il presupposto degli obblighi che invece sono sanzionati: l'Articolo 26 pretende che la sorveglianza umana sui sistemi ad alto rischio sia affidata a persone che hanno "la competenza, la formazione e l'autorità necessarie", e senza formazione quella casella non la spunti. È la prima cosa che viene chiesta quando parte una verifica, perché è la più semplice da controllare e la più difficile da improvvisare a posteriori. E in caso di danno provocato da un uso maldestro, "nessuno gliel'aveva spiegato" è una posizione che non si difende, né davanti a un cliente né davanti a un giudice.
I moduli base occupano dalle tre alle sei ore per persona, distribuite come preferisci nell'arco di qualche settimana. Il preventivo dipende da quante persone coinvolgi, da quanti profili diversi ci sono e dal formato scelto, con un costo per persona che scende parecchio sui gruppi numerosi. Il preventivo scritto arriva dopo una chiamata di venti minuti in cui capiamo chi in azienda usa già l'IA, che come dicevamo sono quasi sempre più persone di quante immagini.
Una volta l'anno è il ritmo ragionevole, più un aggiornamento quando cambia qualcosa di sostanziale: un nuovo strumento adottato in azienda, un nuovo obbligo entrato in applicazione, l'ingresso di persone nuove. Il Regolamento non fissa una scadenza esplicita, ma un fascicolo formativo fermo a due anni prima è difficile da sostenere come "livello sufficiente" davanti a chi sta verificando.
Il primo passo
Partiamo da una ricognizione dei ruoli e degli strumenti effettivamente in uso. Da lì esce il perimetro delle persone da formare, il percorso per ciascun profilo e il preventivo scritto. La ricognizione la facciamo in una chiamata, senza impegno.
Tieni a mente questa follia.