Se in azienda qualcuno usa ChatGPT per scrivere offerte, un agente AI per smistare le email o un workflow che riassume documenti, la formazione AI obbligatoria prevista dall’articolo 4 dell’AI Act vi riguarda già. Il recente Digital Omnibus (Reg. UE 2026/1744) ha spostato in avanti le scadenze per i sistemi ad alto rischio, ma non ha cancellato l’obbligo di alfabetizzazione. Secondo l’analisi pubblicata da Namirial Focus, vigilanza ed enforcement sull’articolo 4 sono operativi dal 3 agosto 2026. In questo articolo vediamo cosa chiede la norma, cosa non basta fare e come costruire un programma proporzionato a una PMI, partendo dagli strumenti che usate davvero.
Cosa chiede l’articolo 4 dell’AI Act
L’articolo 4 impone a fornitori e deployer di sistemi di AI di adottare misure per garantire, nella misura del possibile, un livello sufficiente di alfabetizzazione in materia di AI del personale e di chi utilizza quei sistemi per loro conto. La norma tiene conto di tre elementi: le conoscenze tecniche, l’esperienza e la formazione delle persone; il contesto in cui l’AI viene usata; le persone su cui l’uso dell’AI produce effetti.
Tradotto per una PMI: se siete “deployer”, cioè usate un sistema di AI sotto la vostra autorità nell’attività professionale, l’obbligo è vostro. Non importa che il modello sia di OpenAI, Anthropic, Google o un LLM open source installato in casa. Rientrano anche consulenti e collaboratori esterni che operano per vostro conto con quegli strumenti.
Per un quadro generale degli altri obblighi rimando alla guida AI Act per le PMI: obblighi e opportunità. Qui resto sull’aspetto operativo della formazione.
Cosa cambia (e cosa no) con il Digital Omnibus
Il Digital Omnibus interviene soprattutto sul calendario dei sistemi ad alto rischio. Le nuove date indicate dalle fonti sono:
- 2 dicembre 2027 per i sistemi dell’Allegato III (ad esempio AI usata in selezione del personale, credito, istruzione);
- 2 agosto 2028 per i sistemi dell’Allegato I, legati alla normativa di prodotto.
Come sottolinea anche Helea, l’impianto del regolamento originario resta in piedi. L’errore che vedo fare è leggere “rinvio” e mettere in pausa tutto il progetto di compliance AI. La formazione non segue il calendario dell’alto rischio: riguarda chiunque usi l’AI, anche per compiti banali come riassumere un PDF.
In Italia va considerata anche la Legge 132/2025 sull’intelligenza artificiale, che affianca l’AI Act con disposizioni nazionali (ad esempio in ambito lavoro). I dettagli interpretativi vanno sempre verificati con il vostro consulente legale: il mio ruolo è tecnico, cioè rendere misurabile e documentabile quello che fate.
Perché un attestato non basta
La tentazione è comprare un corso online generico, far firmare un registro e archiviare i certificati. Il problema è che l’articolo 4 non chiede un attestato: chiede misure coerenti con l’uso reale dell’AI. Un corso di due ore sulla “storia dell’intelligenza artificiale” non dimostra che l’impiegata dell’ufficio acquisti sa riconoscere un’allucinazione in un confronto tra offerte fornitori, né che il commerciale sa quali dati del cliente non deve incollare in un chatbot pubblico.
Se un domani dovete dimostrare cosa avete fatto, serve poter mostrare un collegamento tra tre cose: quali strumenti AI usate, chi li usa e per cosa, quale formazione ha ricevuto quella persona su quell’uso. Senza la prima colonna, le altre due sono deboli.
Un programma proporzionato in cinque passi
1. Inventario degli usi reali dell’AI
Si parte da una mappatura, non dal corso. Elencate:
- strumenti AI con licenza aziendale (Copilot, ChatGPT Team, assistenti nel CRM o nel gestionale);
- automazioni e agenti AI in produzione (workflow n8n o Make che chiamano un LLM, chatbot sul sito, agenti sulle email);
- funzioni AI integrate in software che già usate, spesso attivate senza che nessuno lo decida;
- strumenti usati dai dipendenti di propria iniziativa.
L’ultimo punto è quello che sorprende di più. Se non avete mai fatto questa verifica, leggete l’articolo sulla Shadow AI in azienda: non potete formare le persone su strumenti di cui non conoscete l’esistenza.
2. Ruoli e livelli di rischio
Non tutti hanno bisogno della stessa formazione. Una classificazione pratica per una PMI:
- Utenti occasionali: usano un assistente per testi e riassunti. Servono regole sui dati, verifica degli output, limiti dello strumento.
- Utenti operativi: lavorano ogni giorno con output AI che finiscono a clienti o fornitori (offerte, risposte di assistenza, schede prodotto). Serve formazione su controllo qualità, errori tipici, quando escalare.
- Supervisori di automazioni: approvano o correggono le azioni di un agente AI. Devono capire cosa fa l’agente, quali strumenti può chiamare, come leggere i log.
- Chi configura: chi scrive prompt di sistema, modifica workflow o collega nuove fonti dati. Serve formazione su prompt injection, permessi, test.
3. Formazione per ruolo, sugli strumenti vostri
La formazione più efficace usa i vostri casi. Esempio concreto: se avete un workflow che legge gli ordini via email e li inserisce nel gestionale, chi lo supervisiona deve vedere esempi reali di estrazioni sbagliate (codice articolo confuso, quantità letta da una firma email) e sapere esattamente cosa fare. Mezz’ora su questo vale più di un corso generico di tre ore.
4. Documentazione leggera ma tracciabile
Non serve un manuale di cento pagine. Bastano:
- un registro degli strumenti AI, con scopo, dati trattati e responsabile;
- una policy d’uso di una o due pagine, scritta in modo comprensibile;
- una matrice ruolo/strumento/formazione con date e contenuti;
- materiali di formazione conservati e versionati.
5. Aggiornamento a ogni cambiamento
Ogni volta che introducete un nuovo agente, cambiate modello o estendete un’automazione a un nuovo reparto, l’inventario e la matrice vanno aggiornati. Conviene legare questo passaggio al processo di rilascio: nessuna automazione AI va in produzione senza che il suo supervisore abbia ricevuto le istruzioni.
La formazione dentro le automazioni
Qui entra il lato tecnico, che spesso viene ignorato. Un’automazione ben progettata riduce il carico formativo e rende la formazione verificabile:
- Istruzioni nel punto di decisione: quando un agente chiede un’approvazione, la schermata mostra cosa controllare (importo, destinatario, fonte del dato), non solo un pulsante “Approva”.
- Human-in-the-loop sui passaggi critici: le azioni irreversibili o verso l’esterno passano da una persona formata per quel tipo di verifica.
- Log consultabili: ogni passaggio dell’agente è tracciato, così il supervisore può capire perché è arrivato a un certo risultato e la formazione può usare casi reali.
- Limiti tecnici, non solo regole: se una categoria di dati non deve arrivare a un modello esterno, la si filtra nel workflow invece di affidarsi solo alla memoria delle persone.
Questo approccio si collega a un tema più ampio: l’AI funziona in azienda quando le persone la capiscono e la usano in modo corretto. Ne ho parlato nell’articolo su come evitare il fallimento nell’adozione dell’AI.
Errori frequenti da evitare
- Formare tutti allo stesso modo: il magazziniere che consulta un assistente interno e chi configura un agente con accesso al CRM hanno esigenze diverse.
- Dimenticare i collaboratori esterni: agenzie, consulenti e freelance che usano l’AI per vostro conto rientrano nel perimetro.
- Considerarla un adempimento una tantum: strumenti e modelli cambiano ogni pochi mesi, la formazione deve seguirli.
- Separare compliance e progetto tecnico: se chi sviluppa le automazioni non dialoga con chi gestisce la formazione, la documentazione descrive un sistema che non esiste.
Domande frequenti
La formazione AI è obbligatoria anche per una piccola azienda?
Sì. L’articolo 4 non prevede esenzioni per dimensione: si applica a chi usa sistemi di AI nell’attività professionale. Quello che cambia è la proporzionalità: una PMI con pochi strumenti può avere un programma snello, purché coerente con l’uso reale.
Il Digital Omnibus ha rinviato l’obbligo di formazione?
Secondo le fonti citate, no. Il Reg. UE 2026/1744 sposta le scadenze per i sistemi ad alto rischio al 2 dicembre 2027 (Allegato III) e al 2 agosto 2028 (Allegato I), mentre vigilanza ed enforcement dell’articolo 4 risultano operativi dal 3 agosto 2026.
Serve un certificato o un ente accreditato?
La norma non richiede un attestato specifico. Conta poter dimostrare che le misure adottate sono adeguate a strumenti, ruoli e contesto. Un certificato generico, da solo, dimostra poco.
Chi usa ChatGPT a titolo personale sul lavoro rientra nell’obbligo?
Se lo usa per attività aziendali, di fatto sì: per questo l’inventario degli usi reali, inclusi quelli non autorizzati, è il primo passo.
Da dove partire
Il modo più rapido per mettersi in regola senza burocrazia inutile è partire dall’inventario tecnico: quali strumenti, quali automazioni, quali dati. Da lì la formazione diventa mirata e la documentazione si scrive quasi da sola. Io progetto e costruisco automazioni, agenti AI e integrazioni per aziende in Italia e in Europa, con log, punti di approvazione e limiti tecnici pensati anche per rendere l’uso dell’AI controllabile e documentabile. Se volete mappare gli usi dell’AI nella vostra azienda o implementare nuove automazioni già progettate in questo modo, contattatemi qui.
