Tra tutti gli obblighi dell'AI Act, l'Art. 4 ha una caratteristica che lo rende diverso dagli altri: si applica già oggi, dal 2 febbraio 2025, a ogni provider e deployer di sistemi di IA — indipendentemente dalla categoria di rischio del sistema usato. Non serve avere un sistema ad Alto Rischio per essere coinvolti: basta usare uno strumento di IA in azienda, incluso un tool generativo come ChatGPT o Copilot.

Il testo della norma, in sintesi

L'Art. 4 chiede a provider e deployer di adottare misure per garantire, per quanto possibile, un livello sufficiente di alfabetizzazione in materia di IA al proprio personale e a chiunque si occupi del funzionamento e dell'uso dei sistemi di IA per loro conto. Il livello "sufficiente" va calibrato tenendo conto di:

  • competenze tecniche, esperienza, istruzione e formazione pregressa delle persone coinvolte;
  • il contesto in cui i sistemi di IA saranno utilizzati;
  • le persone o i gruppi di persone su cui il sistema di IA verrà utilizzato.

In altre parole: non esiste un corso unico valido per tutti. Un addetto che usa saltuariamente un chatbot per bozze di email ha bisogno di contenuti diversi rispetto a un HR manager che valuta candidati con un tool di screening IA, o a uno sviluppatore che integra un modello di terze parti in un prodotto.

Perché conviene differenziare per ruolo

Un percorso formativo indifferenziato — lo stesso corso generico per tutta l'azienda — soddisfa la lettera della norma solo in apparenza: se il contenuto non è calibrato su competenze e contesto d'uso, diventa difficile sostenere che sia stato garantito un livello "sufficiente" di alfabetizzazione per ciascun gruppo di persone, come richiesto dal testo. Un impianto formativo credibile distingue in genere almeno:

  • Tutto il personale — principi base dell'IA, rischi generali (allucinazioni, bias), regole di utilizzo sicuro, policy interna aziendale.
  • Chi usa attivamente l'IA nei processi (marketing, operations, customer service) — classificazione del rischio, sorveglianza umana, trasparenza verso l'utente finale.
  • Management, HR, Legal, IT — responsabilità del deployer, gestione dei fornitori, FRIA, sanzioni, audit.

Come si dimostra la conformità

L'Art. 4 non impone un formato specifico, ma in caso di controllo — da parte di un'autorità, o più semplicemente su richiesta di un cliente in fase di due diligence — un'azienda deve poter esibire elementi concreti, non solo una dichiarazione di intenti:

  • contenuti formativi effettivamente erogati, coerenti con l'AI Act;
  • evidenza della fruizione (non solo dell'iscrizione) da parte di ciascun dipendente;
  • una verifica dell'apprendimento, es. un quiz con soglia di superamento;
  • un attestato verificabile, con data di rilascio e — idealmente — di scadenza;
  • un processo di aggiornamento periodico dei contenuti.

Non è un adempimento una tantum

Due fattori rendono la formazione dell'Art. 4 un processo continuo più che un progetto con una fine: la normativa stessa è in evoluzione (linee guida della Commissione, atti delegati attesi nei prossimi anni) e gli strumenti di IA usati in azienda cambiano nel tempo. Un percorso formativo completato una volta, senza rinnovo, perde valore come prova di conformità man mano che passano i mesi.