Dal 2 febbraio 2025 qualsiasi azienda che utilizza strumenti di intelligenza artificiale, anche solo ChatGPT o Copilot, deve garantire un livello sufficiente di alfabetizzazione sull’IA al proprio personale. Lo stabilisce l’articolo 4 dell’AI Act, il Regolamento (UE) 2024/1689. Non esiste un corso standard obbligatorio: la formazione va calibrata sui ruoli, sugli strumenti usati e sui rischi concreti dell’azienda, e conviene che sia documentata.
A chi si applica l’obbligo
L’articolo 4 riguarda i fornitori e i “deployer” di sistemi di IA. Il deployer è chi utilizza un sistema di IA sotto la propria responsabilità in un contesto professionale. In pratica, una PMI, uno studio professionale o un’associazione che usa ChatGPT, Microsoft Copilot, Gemini o strumenti simili nel proprio lavoro rientra in questa definizione, anche se non sviluppa alcuna tecnologia.
L’obbligo non riguarda soltanto i dipendenti: comprende anche collaboratori e consulenti esterni che utilizzano questi strumenti per conto dell’azienda.
Cosa si intende per alfabetizzazione sull’IA
Il regolamento non parla di un adempimento formale, ma di competenze, conoscenze e comprensione che permettono un uso informato dell’IA e la consapevolezza di opportunità, rischi e possibili danni. In concreto significa che chi usa questi strumenti dovrebbe sapere:
- come funziona, a grandi linee, un modello di linguaggio e perché può produrre risposte plausibili ma sbagliate;
- quali dati può e non può inserire in uno strumento di IA;
- quando una risposta va verificata da una persona prima di essere usata o inviata all’esterno;
- quali regole interne l’azienda ha stabilito sull’uso di questi strumenti.
Cosa rischia l’azienda se non si adegua
L’articolo 4 non prevede una sanzione specifica per la sola mancata formazione, ma sarebbe un errore concludere che l’inadempimento non abbia conseguenze. Dal 2 agosto 2026 il regolamento è pienamente applicabile e le autorità nazionali competenti possono vigilare sul rispetto degli obblighi. Inoltre, in caso di incidente (un dato riservato inserito in uno strumento non autorizzato, un contenuto sbagliato inviato a un cliente), l’assenza di formazione e di regole interne pesa sulla valutazione delle responsabilità, anche ai fini del GDPR.
Nell’ambito del cosiddetto Digital Omnibus è in discussione una revisione della formulazione dell’obbligo. Al momento della scrittura di questo articolo l’obbligo resta in vigore: è prudente non attendere l’esito di quella discussione per organizzarsi.
Come adeguarsi in cinque passi
- Mappare gli strumenti di IA in uso. Si parte da una ricognizione onesta: quali strumenti usano davvero le persone in azienda, con quali account (aziendali o personali) e per quali attività. Spesso emergono strumenti usati in autonomia e mai dichiarati.
- Scegliere gli strumenti autorizzati. Le versioni business di questi servizi offrono in genere garanzie contrattuali sul trattamento dei dati più solide rispetto alle versioni gratuite. Le condizioni di ciascun servizio vanno verificate caso per caso, soprattutto sull’eventuale uso dei dati per l’addestramento dei modelli.
- Scrivere un regolamento interno breve. Due pagine chiare funzionano meglio di un documento lungo che nessuno legge. I contenuti essenziali sono elencati nel paragrafo successivo.
- Formare le persone in base al ruolo. Chi usa l’IA per scrivere testi, chi la usa per analizzare dati e chi gestisce informazioni di clienti hanno esigenze e rischi diversi. Un percorso unico per tutti è meno efficace di moduli distinti.
- Documentare e aggiornare. Conservare traccia di chi ha ricevuto quale formazione e quando, e rivedere regole e contenuti almeno una volta l’anno, perché strumenti e funzionalità cambiano in fretta.
Cosa deve contenere il regolamento interno sull’uso dell’IA
- l’elenco degli strumenti autorizzati e di quelli vietati;
- l’obbligo di usare solo account aziendali, mai personali, per attività di lavoro;
- i tipi di dato che non possono essere inseriti (dati personali di clienti e dipendenti, informazioni riservate, credenziali, contratti);
- l’obbligo di verifica umana sui contenuti generati prima di un uso decisionale o di un invio all’esterno;
- la regola su come indicare, quando serve, che un contenuto è stato prodotto con l’ausilio dell’IA;
- il riferimento a chi in azienda risponde ai dubbi e a cui segnalare errori o incidenti.
Errori comuni
- Pensare che l’obbligo valga solo per chi sviluppa software di IA.
- Limitarsi a vietare ChatGPT: il divieto non elimina l’uso, lo sposta su account personali e fuori da ogni controllo.
- Fare un’unica ora di formazione generica e considerare l’obbligo assolto, senza alcuna traccia scritta.
- Adottare Copilot o altri assistenti integrati nei sistemi aziendali senza prima verificare permessi e accessi ai documenti: l’assistente può far emergere contenuti a cui l’utente ha accesso ma che nessuno aveva mai davvero controllato.
Da dove partire
Il punto di partenza utile è la mappatura degli strumenti in uso, seguita da un regolamento essenziale e da un primo percorso di formazione mirato. Se la tua azienda usa Microsoft 365, vale la pena controllare anche come sono impostati permessi e condivisione dei documenti prima di attivare funzioni di IA integrate: ne parlo nella pagina dedicata a Microsoft 365 per le aziende.
Per la parte formativa trovi i percorsi su IA, sicurezza informatica e produttività digitale nella pagina formazione aziendale. Per valutare insieme la situazione della tua organizzazione, scrivimi.
Domande frequenti
L’obbligo di formazione sull’IA vale anche per le piccole imprese?
Sì. L’articolo 4 dell’AI Act si applica a tutte le organizzazioni che usano sistemi di IA in ambito professionale, senza esenzioni legate alle dimensioni. Cambia il livello di approfondimento richiesto, che va proporzionato a ruoli, strumenti e rischi.
Se i dipendenti usano solo ChatGPT, l’obbligo vale lo stesso?
Sì. L’obbligo riguarda l’uso di qualsiasi sistema di IA nell’attività dell’azienda, compresi gli assistenti basati su modelli di linguaggio come ChatGPT, Copilot o Gemini.
Esiste un corso ufficiale o un attestato obbligatorio?
No. Il regolamento non prescrive un corso standard né un attestato specifico: richiede misure adeguate al contesto. Conservare la documentazione di quanto è stato fatto (programma, date, partecipanti) è comunque il modo più semplice per dimostrare l’adempimento.
Dal 2 agosto 2026 cosa cambia?
L’obbligo esiste già dal 2 febbraio 2025. Dal 2 agosto 2026 il regolamento è pienamente applicabile e le autorità nazionali competenti possono vigilare sul suo rispetto.
Serve un regolamento interno sull’uso dell’IA?
Il regolamento non lo impone con questa formula, ma è lo strumento più pratico per tradurre l’obbligo in regole chiare: quali strumenti usare, quali dati non inserire e quando verificare i contenuti generati.
