L'obbligo di alfabetizzazione sull'AI: cosa deve fare davvero una PMI

Misure a sostegno dello sviluppo dell'alfabetizzazione, e misure calibrate. Il testo vigente chiede di prendere in considerazione quattro cose: le conoscenze tecniche delle persone, la loro esperienza, la loro istruzione e formazione, e il contesto in cui i sistemi di AI vengono usati — tenendo conto anche delle persone su cui quei sistemi vengono usati. La definizione di alfabetizzazione non è cambiata: la capacità di usare consapevolmente i sistemi di AI e di rendersi conto delle opportunità, dei rischi e dei possibili danni.

E dice una cosa in negativo che vale la pena leggere per intero, perché smonta mezza offerta formativa in circolazione: «tale obbligo non impone ai fornitori o ai deployer di garantire un livello specifico di alfabetizzazione in materia di IA per alcuna persona».

Tre conseguenze pratiche che quasi nessuno ricava dal testo:

1. 1.Non esiste un monte ore minimo. Chiunque ti venda "il corso obbligatorio di N ore" sta vendendo qualcosa che la norma non chiede.
2. 2.Non esiste un attestato tipizzato. L'evidenza è il registro di quello che hai fatto: contenuti, destinatari, data, durata.
3. 3.Non esiste un contenuto standard valido per tutti. Se le misure vanno calibrate su conoscenze, esperienza, formazione e contesto, serve sapere quali sono — e questo si scopre solo guardando dentro l'azienda.

A due figure, con un linguaggio che vale la pena tradurre:

• il fornitore, cioè chi sviluppa un sistema di AI o lo fa sviluppare per immetterlo sul mercato con il proprio nome;
• il deployer (in italiano "utilizzatore" o "operatore"), cioè chi usa un sistema di AI sotto la propria autorità nell'ambito di un'attività professionale.

Quasi tutte le PMI italiane sono deployer. Lo sono dal momento in cui una persona usa uno strumento di AI per lavoro, anche se lo strumento è gratuito, anche se nessuno lo ha autorizzato, anche se l'azienda non lo sa.

L'obbligo copre il personale dipendente e le altre persone che si occupano del funzionamento e dell'uso dei sistemi per conto dell'azienda: collaboratori, somministrati, consulenti che operano con gli strumenti aziendali.

Qui serve precisione, perché circolano due letture sbagliate e opposte. La prima: che l'art. 4 sia stato rinviato. Non lo è — i capi I e II dell'AI Act si applicano dal 2 febbraio 2025 e l'Omnibus non ha toccato quella data. La seconda: che la riscrittura sia solo formale. Non lo è nemmeno. L'obbligo era di assicurare un risultato; ora è di adottare misure. Il legislatore lo dice apertamente nei considerando: un obbligo rigoroso «non sarebbe adatto a tutti i tipi di fornitori e deployer» e crea un onere «in particolare per le imprese più piccole».

Cosa resta, allora. Resta l'obbligo di fare qualcosa, calibrato e documentabile. Quello che non c'è più è il metro esterno: nessuno può contestarti di non aver raggiunto un livello, perché la norma non ne fissa nessuno. Può contestarti di non aver adottato alcuna misura. È una differenza che conta in sede di contestazione, non nel lavoro di tutti i giorni: la cosa da fare è la stessa.

Chi ha letto i titoli sul rinvio dell'AI Act e ha concluso di avere tempo fino al 2027 ha letto la parte che non lo riguardava.

Non con l'intenzione, con le evidenze. Il minimo difendibile:

• La rilevazione di chi usa quali strumenti, su quali dati e con quali rischi, datata e firmata. È ciò che rende "proporzionate" le misure che seguono: senza, nessuna formazione può dirsi tale.
• Le regole scritte: cosa si può caricare, su quali strumenti, chi approva le eccezioni, cosa si fa quando un dato è già uscito.
• Il registro della formazione: contenuti, durata, destinatari, data, materiale consegnato.
• La data del riesame: quando la valutazione verrà rifatta, e l'elenco degli eventi che la fanno rifare prima (uno strumento nuovo, una funzione che inizia a usarne uno in modo diverso, una modifica normativa).

Documentare che una domanda è stata posta e ha avuto risposta negativa è esso stesso un elemento di responsabilizzazione: "abbiamo verificato che in produzione nessuno usa strumenti di AI, in data X" vale più di un silenzio.

Trattarlo come un adempimento formale da chiudere con un corso in e-learning acquistato a catalogo. Funziona finché nessuno guarda. Nel momento in cui serve davvero — un reclamo, un controllo, un cliente che fa domande lungo la catena di fornitura, un dato uscito per errore — un attestato senza rilevazione a monte non dimostra che le misure erano proporzionate, perché nessuno aveva mai stabilito a cosa dovessero essere proporzionate.

Due link, perché una guida normativa senza la norma è un'opinione.

• Regolamento (UE) 2024/1689 — l'AI Act. L'art. 4 è nel capo I, che si applica dal 2 febbraio 2025 (art. 113, terzo comma, lett. a).
• Regolamento (UE) 2026/1744 — il Digital Omnibus sull'IA, in vigore dal 27 luglio 2026. Il punto 5) sostituisce l'art. 4; il punto 40) riscrive l'art. 113 con le nuove date dell'alto rischio.

Riferimenti verificati su EUR-Lex il 4 novembre 2026.