1. Un obbligo che esiste da più tempo di quanto si pensi
gavel
Quando si parla di AI Act, il pensiero corre quasi sempre a scadenze future: quella del 2 agosto per gli obblighi sui modelli di intelligenza artificiale per finalità generali (GPAI, General Purpose AI), o quella, più discussa, sui sistemi ad alto rischio. Ma c'è un pezzo del Regolamento UE 2024/1689 che non è affatto futuro: è già legge applicabile, da un anno e mezzo abbondante, e riguarda molte più aziende di quanto si creda.
Si tratta dell'art. 4, la norma sull'alfabetizzazione AI (AI literacy). È in vigore dal 2 febbraio 2025 e, a differenza di altre disposizioni del regolamento, non ha mai avuto un rinvio.
2. Cosa dice esattamente l'art. 4
description
Il testo dell'articolo è sintetico ma vincolante: fornitori e deployer di sistemi di intelligenza artificiale devono adottare misure per garantire, per quanto possibile, un livello sufficiente di alfabetizzazione AI del proprio personale e di chiunque si occupi del funzionamento e dell'utilizzo dei sistemi IA per loro conto.
Due definizioni chiave, per chi non le ha ancora incontrate:
- Fornitore: chi sviluppa un sistema IA o lo fa sviluppare per immetterlo sul mercato.
- Deployer: chi utilizza un sistema IA sotto la propria autorità nell'ambito di un'attività professionale.
La seconda definizione è quella che coglie impreparate la maggior parte delle aziende italiane: essere deployer non richiede di aver costruito nulla. Basta usare uno strumento di intelligenza artificiale nel proprio lavoro.
3. Perché non è stato rinviato (a differenza di altre parti del regolamento)
schedule
L'AI Act non entra in vigore tutto insieme: il regolamento scagliona gli obblighi su più anni, con date diverse per pratiche vietate, governance, modelli GPAI e sistemi ad alto rischio. In questo contesto, l'art. 4 è tra le prime disposizioni ad aver acquisito efficacia, insieme alle norme su pratiche vietate e alfabetizzazione, e nessuna proroga lo ha toccato da allora.
Questo spiega perché molte aziende lo abbiano ignorato: l'attenzione mediatica si è concentrata sulle scadenze successive, quella dei modelli GPAI ad agosto 2025 e quella, ben più discussa, del regime per l'alto rischio previsto per il 2 agosto 2026 (di recente parzialmente rinviato al 2027-2028 con il cosiddetto Digital Omnibus). L'art. 4, silenzioso e già vigente, è rimasto sullo sfondo.
4. A chi si applica in concreto
groups
L'obbligo non è generico: la norma richiede che le misure di alfabetizzazione siano proporzionate a quattro elementi:
- Le conoscenze tecniche e l'esperienza pregressa del personale.
- Il livello di istruzione dei destinatari della formazione.
- Il contesto in cui il sistema IA viene utilizzato.
- Le persone o i gruppi di persone su cui il sistema IA sarà utilizzato.
In pratica, non esiste un modulo unico valido per tutti: un addetto che usa occasionalmente un chatbot ha esigenze formative diverse da un responsabile IT che integra sistemi IA nei processi aziendali o da chi supervisiona decisioni automatizzate che incidono su clienti o dipendenti.
5. Cosa fare, in concreto
checklist
Alcuni passi utili per ricostruire la conformità, senza improvvisare:
- Mappare l'uso reale di sistemi IA in azienda, non solo quelli acquistati come tool "IA dichiarata", ma anche funzionalità IA integrate in software già in uso.
- Individuare chi opera con quei sistemi, inclusi collaboratori esterni e consulenti che agiscono per conto dell'azienda.
- Costruire percorsi formativi differenziati in base a ruolo, competenze pregresse ed esposizione al rischio, secondo i quattro criteri indicati dalla norma.
- Conservare traccia documentale della formazione erogata: la prova di aver adottato misure concrete è ciò che la norma richiede, ed è ciò che riduce l'esposizione in caso di controlli o contestazioni.
Mentre l'attenzione resta puntata sul 2 agosto 2026 e sul recente rinvio di parte degli obblighi sull'alto rischio deciso con il Digital Omnibus, questo aspetto specifico dell'art. 4 merita una verifica a sé, indipendente dalle altre scadenze del regolamento, proprio perché non è mai stato toccato da alcun rinvio.
6. In sintesi
balance
L'art. 4 dell'AI Act è in vigore dal 2 febbraio 2025, senza proroghe, e si applica a chiunque usi sistemi di intelligenza artificiale in ambito professionale, anche strumenti generici e non "ad alto rischio". Non prevede una sanzione diretta, ma la sua assenza pesa come aggravante in caso di altri controlli o violazioni. Verificare oggi la propria posizione, prima che l'attenzione si sposti sulle prossime scadenze del regolamento, è un passo che riduce concretamente l'esposizione dell'azienda.
Se la tua azienda utilizza sistemi di intelligenza artificiale, anche strumenti generici come chatbot o assistenti di scrittura, e non hai ancora verificato la tua posizione rispetto all'art. 4 dell'AI Act, richiedi una consulenza per una mappatura degli obblighi applicabili alla tua attività.
7. Domande frequenti
La mia azienda usa solo ChatGPT per scrivere email e contenuti: rientra nell'obbligo dell'art. 4?
Sì. L'utilizzo professionale di un sistema di intelligenza artificiale, anche generico e non specificamente "ad alto rischio", rende l'azienda un deployer ai sensi dell'AI Act, con conseguente obbligo di garantire un livello sufficiente di alfabetizzazione AI al personale che lo utilizza.
Cosa rischia un'azienda che non ha ancora adottato misure di alfabetizzazione AI?
L'art. 4 non prevede una sanzione pecuniaria autonoma e specifica. Tuttavia, l'assenza di misure documentate può costituire un elemento aggravante qualora l'azienda venga sanzionata per altre violazioni dell'AI Act o della normativa sulla protezione dei dati personali.
Esiste un modello di formazione unico da adottare per essere in regola?
No. La norma richiede che le misure siano proporzionate alle conoscenze tecniche, all'esperienza, al livello di istruzione del personale e al contesto d'uso del sistema IA. Le esigenze formative vanno quindi calibrate caso per caso.
Da quando è in vigore esattamente l'art. 4 e ci sono stati rinvii?
L'art. 4 del Regolamento UE 2024/1689 è in vigore dal 2 febbraio 2025. A differenza di altre disposizioni del regolamento, non ha subito proroghe o rinvii.
L'obbligo riguarda solo chi sviluppa sistemi IA o anche chi li usa soltanto?
Riguarda entrambi: sia i fornitori (chi sviluppa o fa sviluppare sistemi IA per immetterli sul mercato) sia i deployer (chi li utilizza sotto la propria autorità nell'ambito di un'attività professionale).