C'è un obbligo dell'AI Act che è in vigore da oltre un anno, riguarda quasi tutte le aziende italiane, non costa quasi niente — e non lo sta facendo praticamente nessuno. Si chiama alfabetizzazione in materia di IA, sta nell'articolo 4, ed è applicabile dal 2 febbraio 2025.
Il motivo per cui viene ignorato è che suona come una di quelle frasi da convegno che non vogliono dire niente. E invece vuole dire una cosa precisa, che dal 27 luglio 2026 — data di entrata in vigore del Digital Omnibus, che l'articolo l'ha riscritto — è diventata anche più concreta.
Cosa dice la norma dopo la riscrittura
Fornitori e deployer devono adottare misure effettive e proporzionate per garantire un livello sufficiente di alfabetizzazione in materia di IA del proprio personale e di chiunque usi i sistemi per loro conto. Il criterio è la calibratura: sulle mansioni, sul contesto d'uso, sulle persone su cui i sistemi hanno effetti.
La versione precedente era più vaga. La nuova mette l'accento su "effettive": non basta l'email con il link al corso che nessuno ha aperto. Deve essere qualcosa che produce un effetto verificabile sul modo in cui la gente usa gli strumenti.
La buona notizia è nell'altra parola: proporzionate. Non ti serve lo stesso impianto formativo di una banca. Ti serve quello che sta in piedi rispetto a quello che fai.
Chi è obbligato: praticamente tutti
Qui non c'è la piramide del rischio a salvarti. L'articolo 4 non distingue tra alto rischio e rischio minimo: si applica a chiunque usi sistemi di IA in ambito professionale. Studio di tre persone, agenzia, azienda manifatturiera, Comune, associazione: se qualcuno lì dentro usa l'IA per lavoro, l'obbligo c'è.
E riguarda anche chi usa i sistemi per tuo conto. Il consulente esterno che ti gestisce i contenuti, l'agenzia che ti fa le campagne, il collaboratore a partita IVA che usa il tuo account: rientrano nel perimetro.
Cosa deve sapere la gente, in concreto
Ho visto vendere corsi di "AI literacy" da 2.500 euro a testa. Fa un po' schifo, perché il contenuto minimo sensato sta in tre ore e in quattro concetti.
Primo: dove finiscono i dati. Che un prompt su un servizio consumer esce dall'azienda, può essere conservato e in certi casi usato per l'addestramento. Che nome, cognome, codice fiscale, referto e busta paga non ci vanno dentro senza un contratto adeguato.
Secondo: che il modello sbaglia con la faccia seria. Le allucinazioni non sono un difetto raro, sono il funzionamento normale di uno strumento probabilistico. Chi lo usa deve sapere che una citazione normativa va verificata, sempre.
Terzo: chi è responsabile. Firma chi firma. Se il commercialista deposita un bilancio con un numero sbagliato dall'IA, il numero è suo. L'IA non è un collaboratore a cui dare la colpa.
Quarto: cosa non si fa mai. Decisioni su persone prese senza revisione umana, dati sanitari o giudiziari su servizi generici, contenuti pubblicati senza controllo.
Come si dimostra di averlo fatto
Questa è la parte che conta il giorno in cui qualcuno chiede conto. Non esiste un attestato ufficiale, non esiste un ente certificatore obbligatorio: quindi la prova te la costruisci te.
Serve un documento di policy di due o tre pagine con le regole d'uso interne. Serve il registro di chi ha partecipato alla formazione, con data e firma. Serve differenziare almeno due livelli: base per tutti, approfondito per chi usa l'IA su dati sensibili o su decisioni che toccano persone. E serve rifarla quando cambia qualcosa di grosso, perché in questo campo cambia ogni sei mesi.
Tre pagine, un pomeriggio, un foglio firme. Se qualcuno ti chiede 2.500 euro a dipendente per questo, sappi che stai pagando la copertina.
Perché conviene anche senza obbligo
Toglimi l'AI Act e l'alfabetizzazione resta la cosa più redditizia che puoi fare. Il danno vero, in azienda, non arriva dall'autorità: arriva dal dipendente che incolla l'elenco clienti in un servizio gratuito, o dal collaboratore che manda al cliente un preventivo con numeri inventati dal modello.
Nel 2023 Samsung ha vietato internamente gli strumenti di IA generativa dopo che alcuni dipendenti ci avevano incollato codice sorgente riservato — la storia l'hanno raccontata Bloomberg e mezza stampa tecnologica. Non è successo perché mancava un regolamento europeo. È successo perché nessuno aveva spiegato dove finiscono i dati.
Una nota personale
Io di mestiere costruisco sistemi IA privati per studi professionali e piccole imprese italiane. Non vendo corsi e non vendo pacchetti di conformità da 4.000 euro con la copertina lucida. I regolamenti li leggo perché mi tocca, e li racconto come li ho capiti. Se hai una domanda, sul gruppo Telegram di Super Squalo (t.me/Squalogruppo) si discute di questa roba ogni giorno, e si risponde gratis.
L'obbligo più economico dell'AI Act è anche l'unico che ti evita il danno vero. Fallo e togliti il pensiero.
Domande frequenti
Serve un attestato ufficiale per l'alfabetizzazione IA?
No. La norma non prevede un percorso certificato obbligatorio né un ente accreditatore. Chiede misure effettive e proporzionate: la prova sta nella policy interna, nei materiali usati e nel registro dei partecipanti.
Vale anche per i collaboratori esterni?
Sì, se usano i sistemi di IA per tuo conto. Conviene inserire una clausola nei contratti di collaborazione e far firmare le regole d'uso interne anche a loro.
Ogni quanto va aggiornata la formazione?
La norma non fissa una cadenza. Un aggiornamento annuale e uno straordinario a ogni cambio rilevante di strumenti o di normativa è una misura difendibile e sostenibile.