AI Act, articolo 4: cosa significa davvero "alfabetizzazione AI"

L’AI literacy non è più soltanto una buona pratica aziendale

ChatGPT per scrivere testi e analizzare documenti. Gemini o Claude per supportare attività operative. Strumenti AI integrati nei software aziendali. Assistenti utilizzati da marketing, commerciale, amministrazione o direzione.

In molte imprese l’intelligenza artificiale è entrata nel lavoro quotidiano prima ancora che venissero definite regole interne chiare sul suo utilizzo.

L’articolo 4 dell’AI Act europeo interviene proprio su questo punto: le organizzazioni che forniscono o utilizzano sistemi di intelligenza artificiale devono adottare misure per sostenere lo sviluppo dell’alfabetizzazione in materia di AI del personale e delle altre persone che utilizzano questi sistemi per loro conto.

L’obbligo si applica dal 2 febbraio 2025 e, da agosto 2026, sono operative anche le disposizioni relative alla vigilanza e all’applicazione da parte delle autorità nazionali competenti.

C’è però un dettaglio importante, soprattutto perché sull’argomento circolano molte semplificazioni.

A luglio 2026 l’articolo 4 è stato modificato dal Digital Omnibus on AI. Il testo attuale non impone più di garantire a ogni persona uno specifico o “sufficiente” livello di alfabetizzazione. Richiede invece di adottare misure che ne sostengano lo sviluppo, tenendo conto delle conoscenze, dell’esperienza, della formazione delle persone e del contesto concreto nel quale l’AI viene utilizzata.

La differenza non è solo terminologica: rende ancora più evidente che l’AI literacy non è un attestato da ottenere una volta, ma un tema organizzativo da gestire in modo proporzionato.

Cosa chiede realmente l’articolo 4 alle aziende

Il testo oggi in vigore è volutamente flessibile.

Non stabilisce quante ore di formazione debbano essere svolte, non definisce un programma universale, non impone un esame finale e non richiede una certificazione specifica.

Chiede alle aziende di considerare diversi fattori: le conoscenze tecniche e l’esperienza delle persone, la loro istruzione e formazione, il tipo di sistema AI utilizzato, il contesto nel quale viene impiegato e le persone che potrebbero essere interessate dal suo utilizzo.

La Commissione europea traduce questo principio in alcune domande molto concrete.

L’organizzazione dovrebbe innanzitutto comprendere quali sistemi AI vengono effettivamente utilizzati, per quali attività e con quali rischi. Dovrebbe poi chiedersi cosa devono sapere le persone che li utilizzano e costruire le proprie iniziative di alfabetizzazione sulla base delle differenze tra ruoli, competenze e casi d’uso.

Questo significa che un corso identico per tutta l’azienda non è necessariamente la soluzione migliore.

Chi utilizza ChatGPT per preparare una bozza di un post ha esigenze diverse da chi usa un sistema AI per analizzare documentazione contrattuale, selezionare candidati, supportare decisioni che riguardano clienti o automatizzare attività operative.

L’alfabetizzazione richiesta è contestuale.

Ed è probabilmente questo l’aspetto più importante dell’articolo 4.

Anche usare ChatGPT per attività quotidiane può rientrare nell'obbligo

Un equivoco frequente è pensare che l’AI Act riguardi soltanto aziende che sviluppano algoritmi o utilizzano sistemi particolarmente sofisticati.

Non è così.

La Commissione europea affronta espressamente il caso di un’azienda i cui dipendenti utilizzano ChatGPT per scrivere testi pubblicitari o effettuare traduzioni. La risposta è chiara: l’organizzazione deve considerare gli obblighi di AI literacy e gli utilizzatori devono essere informati sui rischi specifici, tra cui, per esempio, le allucinazioni del modello.

È un esempio particolarmente utile perché porta l’articolo 4 nella normalità del lavoro di ufficio.

Non serve avere un sistema AI proprietario.

Se strumenti basati sull’intelligenza artificiale vengono utilizzati nell’attività professionale, diventa necessario chiedersi se chi li usa dispone delle conoscenze necessarie per farlo in modo consapevole.

Questo può comprendere la capacità di comprendere che una risposta generata non è automaticamente corretta, sapere quali informazioni aziendali possono essere inserite in uno strumento, riconoscere quando è necessaria una verifica umana, conoscere i limiti dello specifico sistema e capire quando un output non dovrebbe essere utilizzato direttamente.

L’obiettivo della norma non è trasformare ogni dipendente in un esperto di machine learning.

È fare in modo che chi utilizza l’AI comprenda abbastanza bene lo strumento da usarlo correttamente nel proprio contesto di lavoro.

Alfabetizzazione AI non significa soltanto sapere usare un prompt

Anche questo è un punto importante.

Una formazione sull’intelligenza artificiale non può essere ridotta a una raccolta di tecniche per ottenere risposte migliori da ChatGPT.

Il prompt design può essere utile, ma rappresenta soltanto una parte della competenza necessaria.

La Commissione indica che un programma di AI literacy dovrebbe partire almeno da una comprensione generale di che cosa sia l’intelligenza artificiale, di come venga utilizzata nell’organizzazione e delle opportunità e dei rischi associati. Dovrebbero inoltre essere considerati aspetti giuridici, etici e di governance.

Nell’uso quotidiano, quindi, alfabetizzazione significa anche saper affrontare questioni come:

• affidabilità e possibili errori degli output
• necessità della supervisione umana
• protezione delle informazioni riservate
• utilizzo appropriato dei dati
• limiti dello strumento rispetto al compito affidato
• rischi derivanti dall’utilizzo automatico di contenuti generati
• responsabilità della persona che utilizza il risultato dell’AI.

La competenza operativa e la gestione del rischio non sono due obiettivi separati.

Una persona realmente competente nell’uso dell’intelligenza artificiale non è quella che riesce semplicemente a generare più output. È quella che sa quando fidarsi, quando verificare e quando non utilizzare l’AI.

La formazione deve cambiare in funzione delle persone e degli utilizzi

L’articolo 4 adotta quindi una logica proporzionata.

La Commissione conferma esplicitamente che possono essere appropriati livelli e approcci formativi differenti in funzione delle conoscenze, dell’esperienza e dei sistemi utilizzati.

Per un’azienda questo suggerisce un modello più utile del classico “corso AI per tutti”.

Può avere senso costruire una base comune — funzionamento essenziale dell’AI generativa, limiti, rischi, regole aziendali — e poi differenziare gli approfondimenti.

Il marketing può lavorare su produzione e verifica dei contenuti, proprietà intellettuale, dati e tono di brand.

Il commerciale può concentrarsi sull’elaborazione delle offerte, sull’utilizzo dei dati dei clienti e sulla verifica delle informazioni generate.

L’amministrazione può affrontare l’analisi documentale e i limiti dell’AI quando vengono trattate informazioni sensibili o contrattuali.

I manager devono invece comprendere anche dove sia opportuno introdurre l’AI nei processi, quali controlli prevedere e quali attività non delegare automaticamente.

La Commissione stessa, nella propria organizzazione interna, utilizza percorsi differenziati per generalisti, manager e sviluppatori.

La formazione diventa quindi molto più efficace quando parte dai processi reali dell’azienda, non da una spiegazione astratta della tecnologia.

Serve obbligatoriamente un corso? E serve un certificato?

L’articolo 4 non dice che ogni azienda debba acquistare un determinato corso.

La Commissione chiarisce che le misure possono comprendere formazione e altre forme di orientamento, scelte in funzione delle caratteristiche dell’organizzazione e degli utilizzatori. Limitarsi a consegnare le istruzioni dello strumento e chiedere ai dipendenti di leggerle, tuttavia, può essere insufficiente quando non permette realmente di sviluppare le competenze necessarie.

Allo stesso modo, non è richiesta una certificazione specifica.

Su questo la FAQ ufficiale è esplicita: non è necessario un certificato e le organizzazioni possono mantenere un registro interno delle attività formative e delle altre iniziative di orientamento adottate.

La distinzione è importante.

Un attestato di partecipazione può essere utile come elemento documentale, ma non trasforma automaticamente un percorso in una misura adeguata all’articolo 4. Allo stesso modo, l’assenza di una particolare “certificazione AI Act” non significa che un percorso non abbia valore.

Conta soprattutto poter dimostrare che l’azienda ha analizzato il proprio contesto e adottato iniziative coerenti con gli utilizzi effettivi dell’AI.

Cosa conviene documentare

La norma non impone un modello standardizzato di “fascicolo AI literacy”. Tuttavia, dal punto di vista organizzativo, documentare ciò che è stato fatto è una scelta prudente.

La Commissione indica espressamente la possibilità di mantenere un registro interno delle formazioni e delle altre iniziative adottate.

Una documentazione ragionevole può quindi comprendere il programma dell’attività, i temi affrontati, i destinatari, le presenze, i materiali utilizzati e le eventuali indicazioni o policy interne fornite alle persone.

Ancora più utile è collegare questa documentazione agli strumenti e ai processi realmente utilizzati dall’organizzazione.

In altre parole, dovrebbe essere possibile ricostruire un ragionamento semplice:

quali strumenti AI utilizziamo → in quali attività → quali competenze e rischi abbiamo individuato → quali misure abbiamo adottato.

Questo tipo di audit trail ha un valore che va oltre l’adempimento formale.

Permette di capire cosa è già stato coperto, cosa deve essere aggiornato quando cambiano gli strumenti e quali reparti hanno bisogno di approfondimenti differenti.

È anche coerente con l’impostazione della nostra AI Academy, che prevede percorsi personalizzabili sui processi aziendali e una documentazione delle attività svolte attraverso programma, presenze, materiali e report finale.

Da agosto 2026 il tema è anche di vigilanza, ma senza allarmismi sulle sanzioni

L’obbligo di AI literacy si applica dal febbraio 2025. Da agosto 2026 le autorità nazionali di vigilanza del mercato hanno anche il compito di supervisionarne e applicarne il rispetto.

Qui serve particolare precisione.

Non è corretto trasformare l’articolo 4 in un messaggio del tipo “non hai fatto un corso AI, quindi riceverai automaticamente una determinata multa”.

Il quadro non funziona così.

Il testo attuale dell’AI Act prevede che gli Stati membri stabiliscano sanzioni e altre misure di enforcement per le violazioni del Regolamento, secondo criteri di efficacia, proporzionalità e dissuasività. La Commissione precisa inoltre che la valutazione deve essere effettuata sul singolo caso e può tenere conto, tra gli altri elementi, della natura e gravità della violazione e del suo carattere intenzionale o negligente.

La FAQ europea aggiunge un’indicazione molto concreta: un problema di mancata alfabetizzazione può diventare particolarmente rilevante quando esiste evidenza di un incidente collegato alla mancanza di formazione o orientamento adeguato.

È quindi più corretto parlare di responsabilità organizzativa che di semplice obbligo di frequenza a un corso.

La domanda che un’azienda dovrebbe essere in grado di affrontare è: abbiamo adottato misure ragionevoli, coerenti con gli strumenti che utilizziamo e con i rischi delle attività nelle quali li impieghiamo?

L'articolo 4 può diventare un'occasione per usare meglio l'AI, non soltanto per essere conformi

Se affrontata esclusivamente come adempimento, l’AI literacy rischia di produrre corsi poco utili e rapidamente dimenticati.

La norma, in realtà, punta nella stessa direzione di cui molte aziende avrebbero bisogno anche senza un obbligo giuridico.

L’adozione dell’intelligenza artificiale sta correndo più velocemente della capacità delle organizzazioni di stabilire come utilizzarla bene.

Le persone sperimentano strumenti differenti, creano account autonomamente, inseriscono informazioni senza conoscere sempre le implicazioni, utilizzano output senza verificarli o, al contrario, rinunciano a possibilità molto utili perché non sanno come integrarle nel proprio lavoro.

Una buona alfabetizzazione AI riduce entrambi gli estremi: l’utilizzo ingenuo e l’inutilizzo.

Per questo la formazione più efficace non dovrebbe limitarsi a spiegare i rischi. Dovrebbe insegnare contemporaneamente che cosa si può fare, come farlo meglio, quali controlli applicare e dove fermarsi.

L’articolo 4 dell’AI Act crea quindi un obbligo reale. Ma può diventare anche l’occasione per trasformare l’adozione spontanea dell’AI in una competenza aziendale più strutturata.

E, nel medio periodo, sarà probabilmente questo il valore più importante dell’alfabetizzazione: non poter dire semplicemente che le persone “hanno fatto un corso”, ma poter dimostrare che sanno utilizzare l’intelligenza artificiale in modo più consapevole, efficace e coerente con il proprio lavoro.

Conclusione

Per impostare un percorso di AI literacy ha senso partire dagli strumenti e dai processi che l’azienda utilizza realmente: chi usa l’AI, per quali attività, con quali competenze e con quali rischi.

Da questa analisi è possibile costruire una formazione proporzionata ai diversi ruoli e, allo stesso tempo, mantenere una documentazione chiara delle iniziative adottate. L’obiettivo non è soltanto rispondere all’articolo 4, ma fare in modo che l’AI diventi una competenza operativa dell’organizzazione.