AI literacy nelle aziende, iniziano i controlli: come prepararsi

L’articolo 4 del Regolamento UE 2024/1689 (AI ACT) ha introdotto un obbligo che molte organizzazioni stanno ancora sottovalutando. Si tratta di garantire un livello adeguato di alfabetizzazione sull’intelligenza artificiale — la cosiddetta AI Literacy — a tutto il personale che, a vario titolo, accede ai sistemi di AI. Un obbligo normativo con responsabilità diretta in capo al vertice dell’organizzazione che può essere facilmente ed efficacemente dimostrabile. La finalità ultima non è solo quella di rispettare un vincolo, ma di tutelare il know-how aziendale (compresi i dati personali) e di terze parti.

In questo articolo si affronta, con un taglio operativo, cosa richiede la norma, entro quando, con quali contenuti — e si propongono due modelli pratici di relazione (intermedia e finale) da presentare al vertice aziendale per documentare lo stato di avanzamento delle attività.

AI Literacy e articolo 4 dell’AI ACT

L’articolo 4 stabilisce che fornitori – chi produce i sistemi di AI – e deployer – chi li utilizza – devono adottare misure affinché il personale (non escludendo i collaboratori esterni) possieda un livello adeguato di competenze sull’AI, tenendo conto del ruolo ricoperto, dell’esperienza, della formazione pregressa e del contesto specifico di utilizzo della tecnologia.

La norma non impone un corso standardizzato né una certificazione obbligatoria. È un obbligo di risultato, da calibrare sullo specifico contesto organizzativo — non un format prescritto uguale per tutti.

AI Literacy: scadenze e controlli dell’AI ACT

C’è parecchia confusione su questo punto:

• 2 febbraio 2025 – data di entrata in vigore dell’articolo 4. È stata la prima disposizione del Regolamento a diventare applicabile, insieme ai divieti dell’articolo 5. Da quel momento l’obbligo formativo era già pienamente vigente.
• 2 agosto 2026 – non è una scadenza per “completare” la formazione entro quella data, come talvolta viene riportato. È il momento in cui inizia la fase di vigilanza da parte delle autorità nazionali competenti, che potranno cioè iniziare a verificare concretamente il rispetto dell’obbligo.

L’obbligo esiste da inizio 2025 e da agosto 2026 inizia la fase del controllo. Un’organizzazione che a quella data non è in grado di dimostrare un percorso formativo strutturato e/o un regolamento destinato al personale si espone a un rischio di non conformità concreto — non perché scade un termine, ma perché diventa verificabile ciò che prima non veniva controllato attivamente.

AI Literacy: contenuti e pianificazione della formazione

Il personale deve essere posto in condizione di:

• comprendere il funzionamento, le potenzialità e i limiti degli strumenti di AI utilizzati, per poterli impiegare in modo responsabile e trasparente;
• riconoscere i rischi specifici legati alle applicazioni adottate: bias, errori sistematici, allucinazioni, uso improprio dei dati;
• usare gli strumenti con un approccio critico, senza affidamento acritico agli output.

Questa formazione è quindi mirata a dare evidenza che le persone sappiano effettivamente usare i sistemi resi disponibili con consapevolezza.

La formazione va inoltre differenziata per ruolo e in base al contesto in cui sono utilizzati i sistemi. Chi configura o sviluppa sistemi ad alto rischio necessita di competenze sostanzialmente diverse rispetto a chi utilizza un tool in modo continuo o occasionale. Inoltre l’introduzione di nuovi tool o modifiche rilevanti a sistemi in uso possono comportare l’esigenza di nuove attività formative integrative. Si innesca in tale modo un circolo nel quale è opportuno che la formazione sul tema venga pianificata:

• all’ingresso del nuovo collaboratore;
• annualmente;
• in occasione di eventi come introduzione di nuovi sistemi ad alto rischio/modifiche rilevanti a sistemi esistenti/incidenti che hanno impattato sui sistemi di AI.

AI Literacy: come documentare la formazione

Anche in assenza di un format certificativo obbligatorio, l’organizzazione deve poter dimostrare, in caso di verifica, di aver adottato iniziative concrete e proporzionate. È quindi opportuno:

• essere in grado di dimostrare i criteri di qualifica dei docenti utilizzati per i percorsi formativi;
• tenere un registro aggiornato dei partecipanti ai percorsi formativi (anche per la formazione erogata con modalità FAD o asincrona);
• conservare materiali didattici ed evidenze delle sessioni erogate, compresi i risultati dei test e le azioni di recupero per quanti non li avessero superati;
• poter dimostrare di aver fatto tutto ciò che era ragionevolmente in proprio potere per garantire la formazione — questo è lo standard a cui i deputati al controllo faranno riferimento.

Regolamento interno e AI Literacy nelle organizzazioni

L’AI ACT non impone esplicitamente alle organizzazioni di dotarsi di un regolamento interno sull’uso dell’intelligenza artificiale, per quanto l’art. 4 dell’AI ACT fa riferimento a “istruzione e formazione” ed il regolamento a buon grado è una delle forme in cui può essere erogata la formazione. Tuttavia, senza regole scritte, ogni collaboratore decide autonomamente come usare e cosa caricare su quali strumenti e con quali dati, con conseguenze — anche in termini di responsabilità del vertice di tutela del know-how — che ricadono comunque sull’organizzazione. Il regolamento interno è quindi il completamento naturale della formazione. La formazione crea consapevolezza, il regolamento fissa le regole del gioco e diventa uno strumento per richiamare/sanzionare collaboratori che non rispettano le regole definite, rischiando di compromettere concretamente la diffusione, in modo non consapevole, del know-how dell’organizzazione, quello dei propri clienti, partner e più in generale di terze parti.

Il regolamento deve essere consegnato, ai collaboratori, con la sottoscrizione dell’impegno a conformare i propri comportamenti a quanto riportato nel documento. Per le aziende più virtuose la consegna del regolamento potrebbe essere accompagnata da una formazione mirata.

Infine, da segnalare che regolamento può integrare quello sull’uso dei sistemi informativi che è stato introdotto in modo massiccio nelle aziende con la presa in carico del GDPR e più in generale come strumento per la mitigazione dei rischi sulla sicurezza delle informazioni.

Contenuti minimi del regolamento

Contenuti minimi. Un regolamento efficace, e non meramente formale, dovrebbe individuare almeno:

• gli strumenti di AI autorizzati (elenco chiuso o criteri di approvazione), distinguendo tra tool aziendali forniti centralmente e strumenti scelti autonomamente dal singolo (shadow AI) che di norma dovrebbero essere vietati o almeno regolamentati;
• quali categorie di dati possono essere inseriti negli strumenti (esclusione di dati personali di terzi, informazioni riservate, segreti industriali, dati di clienti, salvo esplicita autorizzazione e garanzie contrattuali con il fornitore del sistema);
• misure per ridurre errori, bias, allucinazioni, ecc.;
• chi autorizza l’introduzione di un nuovo tool e con quale processo di valutazione preventiva (privacy, sicurezza, livello di rischio secondo l’AI ACT);
• l’obbligo di verifica umana sugli output prima di un uso decisionale o esterno (es. contenuti pubblicati online, comunicazioni a terze parti, valutazioni su persone);
• opzioni di formazione offerte da azienda, riferimenti e supporto in caso di necessità;
• strumenti per la segnalazione e la gestione degli incidenti;
• le conseguenze disciplinari in caso di violazione delle regole d’uso.

Il regolamento di norma tratta l’uso delle soluzioni di AI generativa, mentre l’introduzione di soluzioni mirate ad alto rischio è necessario che prevedano istruzioni mirate come richiede l’art. 13 par. 2 dell’AI ACT (il cui livello di dettaglio è richiamato in art. 15 par. 3). A riguardo si veda anche controllo A8.2 “Documentazione del sistema e informazioni per gli utilizzatori” della ISO/ICE 42001:2023.

Distribuzione del regolamento al personale

Distribuzione. Il regolamento va consegnato e sottoscritto, con impegno a rispettarlo, da tutto il personale (analogamente a quanto avviene per il codice disciplinare o le policy privacy ed il regolamento sull’uso dei sistemi informativi), integrato nel materiale di onboarding per i nuovi assunti e reso facilmente reperibile — ad esempio nella intranet aziendale o nel fascicolo elettronico del dipendente — così da poterne dimostrare l’effettiva conoscenza, non solo la formale emanazione. Deve essere chiaro che il mancato rispetto di quanto riportato nel regolamento è oggetto di sanzione.

Aggiornamento del regolamento e nuovi sistemi AI

Aggiornamento. Il regolamento non è un documento statico; va rivisto ogni volta che viene introdotto un nuovo sistema di AI, che cambiano le condizioni contrattuali di un fornitore esistente, o a seguito di un incidente rilevante. È buona prassi prevedere comunque una revisione periodica -ad esempio annuale- anche in assenza di eventi specifici, per intercettare l’evoluzione sia degli strumenti disponibili sul mercato sia del quadro normativo, che nell’AI ACT è ancora oggetto di provvedimenti attuativi e chiarimenti interpretativi.

AI Literacy e monitoraggio delle regole d’uso

Il vero punto debole di molti piani di adeguamento non è la formazione in sé né il regolamento che fissa le regole del gioco, ma la difficoltà di verificare, nel tempo, che le regole vengano effettivamente rispettate e che quanto insegnato in aula/documentato si traduca in comportamenti concreti. Un attestato di partecipazione dice che una persona era presente, non che sa riconoscere un output allucinato o che non sta caricando dati riservati in un tool non autorizzato. È il classico divario tra formazione erogata e comportamento effettivo, che nessun registro presenze da solo può colmare.

Cosa si può fare in concreto? Alcune leve, singolarmente parziali ma efficaci se combinate:

• attività formazione pianificata in modo regolare;
• aggiornamento costante del/dei regolamenti sull’uso dell’AI e spiegazione al personale delle modifiche intervenute (non solo consegna del documento);
• test di verifica dell’apprendimento a fine corso, con soglia minima di superamento e percorsi di recupero per chi non la raggiunge, così da avere un indicatore — per quanto imperfetto — più solido della sola presenza in aula;
• analogamente test di verifica dell’apprendimento a valle della distribuzione del regolamento sull’uso dei sistemi di AI;
• monitoraggio tecnico dell’uso degli strumenti, dove tecnicamente possibile e nel rispetto dello Statuto dei lavoratori e della normativa privacy (es. log di accesso a livello aggregato, censimento periodico dei tool effettivamente in uso, individuazione di eventuale “shadow AI” non censita);
• referenti per area o funzione, persone di riferimento più vicine all’operatività quotidiana, che intercettano precocemente usi impropri o difficoltà e fanno da ponte con compliance/HR, senza dover attendere l’audit periodico;
• supporto operativo, qualificato, tempestivo e centralizzato, a cui il personale può rivolgersi in caso di dubbi sull’appropriato utilizzo di sistemi;
• audit periodici a campione, anche solo su un numero limitato di output o processi, per verificare nel concreto se la supervisione umana viene effettivamente esercitata e non è solo una casella spuntata nella procedura;
• canale di segnalazione dedicato, eventualmente integrato nei canali di whistleblowing già esistenti, per segnalare usi impropri, output palesemente errati o incidenti legati a sistemi di AI, con conseguente tracciamento e possibilità di azioni correttive mirate. A riguardo si veda anche controllo A3.3 “Reporting dei reclami” della ISO/ICE 42001:2023.

Nessuna di queste misure, da sola, garantisce la piena conformità. La combinazione di più strumenti — formativi, tecnici e organizzativi — è ciò che permette di dimostrare alla direzione per la tutela del know-how aziendale e in caso di controllo, un impegno concreto e proporzionato, coerente con l’approccio risk-based dello stesso AI ACT, piuttosto che un adempimento puramente formale.

AI Literacy e documenti di sistema da aggiornare

Alla luce di quanto sopra, per le aziende più strutturate, va aggiornata:

• procedura onboarding;
• procedura formazione;
• procedura incidenti sulla sicurezza delle informazioni;
• piano annuale di formazione;
• scadenziario per presidiare la verifica dell’adeguamento dei documenti e delle procedure.

L’insieme delle misure definite e da documentare, non esaurisce quanto richiesto dall’AI ACT e specificatamente per i sistemi ad alto rischio. Per quanto con tempi diversi vi sono altre misure da considerare, come ad esempio la predisposizione ed implementazione di una procedura di AI by design (con la componente di DPIA, FRIA e congruente con quanto richiesto dall’AI ACT) come parte di una procedura di inserimento di un nuovo trattamento by design. Inoltre, laddove una applicazione ricadesse nel perimetro del D.lgs 104/20022 deve essere predisposta una informativa ad hoc e quanto altro previsto dal suddetto decreto.

AI Literacy: relazionare al vertice aziendale

Il Regolamento non prevede un obbligo formale e tipizzato di reportistica periodica al vertice aziendale o dirigenziale. Si tratta però di una prassi di governance fortemente consigliata, perché è lo strumento con cui chi ha la responsabilità legale dell’organizzazione può effettivamente monitorare l’esposizione al rischio e intervenire prima che un controllo esterno rilevi delle lacune. Per le organizzazioni che dispongono di sistemi di gestione tali relazioni potrebbero essere utilizzati come documenti di input al riesame della direzione.

Di seguito due modelli, uno intermedio e uno finale, pensati per essere adattati al contesto della singola azienda.

Relazione intermedia sullo stato di avanzamento

Oggetto: Stato di avanzamento del piano di formazione AI Literacy (art. 4 Regolamento UE 2024/1689) e del regolamento sull’uso dei sistemi di AI

Destinatari:

Periodo di riferimento: dal — al

A cura di: Referente compliance/HR/Team AI

Funzioni aziendali coinvolte ruoli ed attività in carico

Sintesi

• riassunto dello stato generale: strumenti per la formazione, percentuale di personale formato, principali risultati raggiunti, eventuali criticità aperte;
• riassunto dello stato di avanzamento del regolamento/i sull’uso dei sistemi di AI generativa e per quelli ad alto rischio (se presenti).

Perimetro dell’obbligo – opzionale

• elenco dei sistemi di AI in uso nell’organizzazione, con indicazione di fornitore/deployer tipo e livello di rischio associato ad ogni sistema;
• categorie di personale coinvolte (per ruolo: management, personale operativo, IT, altro).

Attività formative svolte sistemi utilizzati, data, destinatari, contenuti trattati, n. partecipanti, ore erogate.

Copertura formativa raggiunta

• % personale in forza/neo assunto formato sul totale, suddiviso per area/ruolo (interni/esterni);
• risultati dei test di apprendimento (% superate) azioni di remedention;
• eventuali gap identificati (aree o ruoli non ancora coperti).

Evidenze documentali prodotte/da produrre

• registrazioni;
• documentazione di sistema aggiornata (procedure formazione/onboarding).

Regolamento sull’uso dei sistemi

• dettaglio di quello/quelli predisposti/in predisposizione;
• stato di avanzamento di quello/i in predisposizione.

Criticità e rischi residui descrizione di eventuali ostacoli (risorse, tempi, resistenze organizzative) e relativo impatto sul livello di conformità;

Passi successivi attività pianificate fino alla relazione finale, con tempistiche indicative.stiche indicative.

Relazione finale

IIl modello di relazione finale potrebbe integrare i seguenti contenuti, oltre che aggiornare quelli della relazione intermedia.

Riepilogo del percorso svolto quadro complessivo delle attività condotte nell’intero periodo, in continuità con quanto riportato nella/e relazione/i intermedia/e.

Risultati conseguiti formazione

• copertura formativa finale per ruolo/area (%);
• confronto con gli obiettivi inizialmente fissati;
• livello di apprendimento verificato (se sono stati usati strumenti di valutazione).

Risultati conseguiti regolamento

• regolamento/i predisposti e distribuiti;
• sanzioni irrogate per il mancato rispetto del regolamento alla data della relazione
• confronto con gli obiettivi inizialmente fissati.

Documentazione di conformità prodotta elenco completo e organizzato di tutte le evidenze raccolte, pronte per essere esibite in caso di verifica da parte delle autorità competenti (registri, materiali, attestati, verbali).

Gap residui e piano di rientro se la copertura della formazione non è al 100%, indicazione di chi manca, perché, ed entro quando si prevede di colmare la lacuna.

Raccomandazioni per il mantenimento nel tempo dato che l’AI Literacy non è un adempimento una tantum, l’evoluzione degli strumenti di AI adottati (regolamento e struttura della formazione) e il turnover del personale richiedono un aggiornamento periodico. Si raccomanda di:

• prevedere sessioni di refresh periodiche;
• aggiornare il piano di formazione ed i contenuti ogni volta che viene introdotto un nuovo sistema di AI;
• analogamente aggiornare il regolamento sull’uso dei sistemi di AI ovvero proporne di nuovi per specifiche applicazioni;
• predisporre, se non già disponibile, procedura AI by design per introduzione/sviluppo di nuovi sistemi di AI.

Conclusioni

Valutazione complessiva del livello di esposizione al rischio residuo e proposta di roadmap per il periodo successivo.

In sintesi

L’articolo 4 dell’AI ACT è già pienamente in vigore dal febbraio 2025; ad agosto 2026 segna solo l’avvio dei controlli. I contenuti richiesti riguardano consapevolezza critica su funzionamento, potenzialità, limiti e rischi degli strumenti di AI, con un approccio differenziato per ruolo ed in relazione al contesto aziendale. La documentazione delle attività — registri, materiali, piani, evidenze e la documentazione di sistema — procedure è ciò che davvero protegge l’organizzazione in caso di verifica. La reportistica periodica al vertice, pur non essendo richiesta esplicitamente dalla norma, resta lo strumento per governare il processo considerando la componente della formazione continua.