A fine settembre, nella sala riunioni di un’azienda metalmeccanica della provincia di Bergamo con una sessantina di dipendenti, la responsabile del personale ha appoggiato sul tavolo una cartellina con trentotto attestati di frequenza, tutti identici, rilasciati al termine di un corso di otto ore sull’intelligenza artificiale finanziato dal fondo interprofessionale a cui l’impresa aderisce. Prima ancora che si parlasse del programma della giornata, ha voluto chiarire un punto: dopo l’estate, le avevano detto, l’obbligo di formazione sull’AI era stato tolto, e quella cartellina restava lì soltanto per scrupolo.
L’informazione era sbagliata, ma non del tutto infondata, e proprio questa ambiguità la rende pericolosa.
Indice degli argomenti
Il nuovo obbligo di alfabetizzazione AI per le PMI
Il Regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus sull’AI, pubblicato nella Gazzetta ufficiale dell’Unione europea il 24 luglio 2026 ed entrato in vigore il 27 luglio, ha sostituito integralmente l’articolo 4 dell’AI Act.
Nella versione originaria fornitori e deployer dovevano adottare misure per garantire, nella misura del possibile, un livello sufficiente di alfabetizzazione del proprio personale; nella versione attuale devono adottare misure per sostenerne lo sviluppo, e il legislatore precisa che l’obbligo non richiede di garantire un livello specifico di alfabetizzazione di alcuna persona. Si è passati, in sostanza, da un obbligo orientato al risultato a un obbligo di mezzi.
Misure proporzionate a ruoli, sistemi e contesto
Quello che il testo conserva, tuttavia, pesa più di quello che toglie. Le misure vanno ancora commisurate alle conoscenze tecniche, all’esperienza, all’istruzione e alla formazione delle persone coinvolte, al contesto in cui i sistemi sono utilizzati e alle persone o ai gruppi su cui sono destinati a operare.
L’obbligo continua a gravare su chiunque utilizzi un sistema di AI in ambito professionale, quindi anche sulla PMI che si limita a usare un assistente generativo per scrivere offerte o tradurre manuali, e la vigilanza resta affidata alle autorità nazionali di sorveglianza del mercato. Il secondo paragrafo dell’articolo, infine, impegna Commissione e Stati membri a sostenere le imprese, in particolare quelle piccole e medie, anche attraverso esempi pratici di adempimento da pubblicare sulla piattaforma unica di informazione.
Perché le imprese non possono archiviare la formazione sull’AI
La lettura che circola nelle aziende non nasce dal nulla. La Commissione europea, nelle domande e risposte sull’alfabetizzazione AI aggiornate dopo l’entrata in vigore dell’Omnibus, chiarisce che non serve alcun certificato, che le organizzazioni possono tenere un registro interno delle formazioni e delle altre iniziative svolte e che l’articolo 4 non obbliga a misurare le conoscenze dei dipendenti. Lette in fretta, queste precisazioni sembrano confermare che basti conservare la prova di aver fatto qualcosa.
È esattamente il ragionamento che, a mio avviso, va rovesciato.
Dalla prova formale all’adeguatezza delle misure
Dato che la norma non chiede più di dimostrare un livello raggiunto, e dato che per documentare l’adempimento è sufficiente un registro, la conformità formale è diventata alla portata di chiunque.
Di conseguenza non è più la presenza della documentazione a distinguere un’impresa diligente da una negligente, bensì il suo contenuto: quali misure sono state adottate, per quali persone, rispetto a quali strumenti. Un obbligo di mezzi si valuta proprio sull’adeguatezza dei mezzi, e quando il testo elenca i criteri di questa adeguatezza, cioè conoscenze, contesto d’uso e persone interessate, indica anche le domande che un controllo potrà porre.
La verifica delle competenze AI dopo il Digital Omnibus
La stessa Commissione, del resto, offre elementi che vanno nella direzione opposta alla semplificazione percepita. Nelle sue risposte sostiene che non esiste un approccio valido per tutti, che limitarsi a far leggere al personale le istruzioni d’uso può risultare in molti casi inefficace e che chi utilizza uno strumento generativo per redigere testi o traduzioni deve conoscerne i rischi specifici, a partire dalle cosiddette allucinazioni. Aggiunge che, nella prospettiva sanzionatoria, pesa soprattutto il caso in cui un incidente sia riconducibile a una formazione inadeguata.
L’incidente come banco di prova della formazione
Ne deriva uno scenario che le direzioni tendono a sottovalutare. Il momento in cui la documentazione verrà letta con attenzione difficilmente sarà un’ispezione programmata, poiché con ogni probabilità coinciderà con un errore: un’offerta commerciale con condizioni inventate dallo strumento, un documento riservato caricato su un servizio gratuito, una candidatura scartata da un filtro che nessuno sapeva di aver attivato.
In quel momento la domanda rilevante riguarderà la persona coinvolta, e in particolare se sapesse come funzionava lo strumento che stava usando e che cosa non doveva farci, mentre la generica formazione aziendale sull’intelligenza artificiale passerà in secondo piano.
Su questa domanda un corso generalista uguale per tutti ha poco da dire, anche quando è stato registrato in modo impeccabile.
Formazione finanziata sull’AI: il limite dei corsi generalisti
Il problema si concentra nella formazione finanziata, che per molte PMI lombarde rappresenta l’unico canale attraverso cui la formazione sull’AI entra in azienda.
I fondi interprofessionali svolgono qui un ruolo prezioso, perché permettono di formare personale che altrimenti non verrebbe formato affatto; tuttavia, nella mia esperienza, il modo in cui molti piani vengono costruiti produce corsi pensati per un catalogo prima che per un’impresa. Lo stesso modulo viene erogato all’amministrazione, all’ufficio tecnico e alla rete commerciale, spesso con dimostrazioni su strumenti che l’azienda non ha adottato, mentre quelli che il personale usa davvero, talvolta con account personali, restano fuori dall’aula.
Quando il corso non copre gli usi reali
In un’azienda di distribuzione dell’hinterland milanese, durante la seconda giornata di un percorso finanziato, è emerso che l’ufficio acquisti traduceva da mesi le condizioni contrattuali dei fornitori esteri con un servizio gratuito, incollandovi testi integrali e dati anagrafici. Il corso frequentato l’anno precedente, regolarmente rendicontato, aveva dedicato a quel tipo di uso una sola slide.
Il rischio di una sicurezza solo documentale
Il paradosso è che la formazione finanziata produce una documentazione più ricca di quella richiesta dalla Commissione, fatta di registri presenze firmati, verifiche finali dell’apprendimento e rendicontazione al fondo.
Per questa ragione rischia di trasmettere all’impresa una sicurezza superiore a quella giustificata, dato che documenta con precisione la frequenza a un corso che non riguardava i suoi sistemi. Il difetto non sta nel finanziamento, poiché un piano aziendale può essere costruito sugli strumenti effettivamente in uso e differenziato per funzione; sta nella progettazione, che è una scelta che l’impresa può pretendere dal soggetto attuatore già nella fase di presentazione del piano.
Quale documentazione prova l’alfabetizzazione AI
Una documentazione capace di reggere la domanda posta dopo un incidente non richiede strumenti costosi. Richiede che il punto di partenza sia l’inventario dei sistemi di AI effettivamente usati, funzione per funzione, comprese le applicazioni attivate per iniziativa individuale, perché è rispetto a quell’elenco che l’adeguatezza delle misure verrà valutata.
Su questa base la formazione si articola per gruppi: chi usa un assistente generativo per testi e traduzioni deve sapere quali dati non può inserire e come verificare ciò che ottiene, mentre chi impiega strumenti di AI nella selezione del personale si muove in un ambito che l’allegato III dell’AI Act classifica ad alto rischio, dove gli obblighi di competenza e sorveglianza umana a carico dei deployer restano in vigore, sia pure con le scadenze di applicazione rinviate dallo stesso Omnibus.
Dal registro degli attestati alla mappa di ruoli e strumenti
Il registro interno, a quel punto, smette di essere un elenco di attestati e diventa una tabella che collega persona, ruolo, strumento, contenuto della formazione e data, da aggiornare ogni volta che in azienda entra uno strumento nuovo o cambia una mansione. Una PMI di cinquanta dipendenti può tenerlo in un foglio di calcolo, e risponde direttamente ai criteri elencati dall’articolo 4.
Il repertorio di pratiche raccolto dall’AI Office e gli esempi che la Commissione pubblicherà sulla piattaforma unica di informazione offrono spunti utili per costruirlo, ma la Commissione stessa avverte che riprodurre quelle pratiche non comporta una presunzione di conformità, per cui non sostituiscono il lavoro sul proprio contesto.
Il quadro italiano dell’alfabetizzazione AI
Sul piano nazionale la legge 132/2025 ha designato l’Agenzia per l’Italia digitale e l’Agenzia per la cybersicurezza nazionale come autorità per l’intelligenza artificiale, attribuendo all’ACN la vigilanza del mercato, ferme restando le competenze di Banca d’Italia, CONSOB e IVASS.
Dei due decreti legislativi attuativi approvati in via definitiva dal Consiglio dei ministri il 4 agosto 2026, quello sull’impiego dell’AI nelle attività di polizia e sulla responsabilità civile e penale è stato pubblicato come decreto legislativo 9 settembre 2026, n. 160, ed è in vigore dal 30 settembre. Quello sui poteri delle autorità, sulla formazione e sul lavoro, già analizzato su queste pagine, risultava invece in attesa di pubblicazione in Gazzetta Ufficiale al momento della stesura.
Perché attendere non conviene alle PMI
Ne consegue che la cornice sanzionatoria italiana per l’articolo 4 non è ancora pienamente operativa, e sarebbe scorretto presentarla come una minaccia imminente. Sarebbe altrettanto scorretto, però, concluderne che l’attesa convenga: quando le autorità inizieranno a esercitare i propri poteri, le misure esaminate saranno con ogni probabilità quelle adottate nei mesi precedenti, compresi i corsi che le imprese stanno programmando proprio ora sui conti formazione dell’anno.
Il Digital Omnibus ha ridotto il costo della conformità formale all’articolo 4 e ha lasciato invariato il costo di un incidente provocato da chi non conosceva lo strumento che aveva in mano. Un’impresa che impiega il margine così ottenuto per calibrare la formazione sui propri sistemi ottiene una documentazione che regge nello scenario in cui serve; un’impresa che lo impiega per archiviare il tema conserva una cartellina di attestati identici, che documenta con precisione la cosa sbagliata.
Partecipa alla community