AI Act, il rinvio inganna le imprese: l’obbligo di formazione resta

Il 2 agosto 2026 sono iniziati i controlli su parte degli obblighi previsti dall’AI Act ma non tutti. Infatti con l’approvazione del Digital Omnibus da parte del Consiglio dell’Unione europea, il 29 giugno scorso, parte di quella pressione si è spostata in avanti e il messaggio che molte imprese hanno recepito è di avere più tempo a disposizione per adeguarsi all’intera norma. Tuttavia questo atteggiamento espone a seri rischi sia di multe che esposizione alle fughe di dati, prevenibili con una corretta formazione dei dipendenti. Il rinvio infatti riguarda soltanto gli obblighi sui sistemi ad alto rischio.

Per i software che prendono o supportano direttamente una decisione, come un algoritmo che seleziona i curriculum o che calcola un punteggio di affidabilità creditizia, gli adempimenti slittano al 2 dicembre 2027. Mentre per l’AI integrata dentro un prodotto già regolato da altre norme di settore, come un dispositivo medico, un macchinario o un ascensore, il termine è il 2 agosto 2028. La ragione di questa proroga rimane strettamente tecnica, infatti diversi Stati membri non avevano ancora designato le autorità di vigilanza e non erano ancora pronti a far partire tutti i controlli.

Ciò che invece rimane pienamente in vigore, e i cui controlli partiranno dal 2 agosto, sono gli obblighi di trasparenza sui contenuti generati dall’AI, con scadenza al 2 dicembre 2026, e soprattutto l’obbligo di garantire un livello adeguato di alfabetizzazione sull’intelligenza artificiale (AI literacy) per i dipendenti delle aziende che sviluppano o utilizzano sistemi di intelligenza artificiale. Quest’ultimo, previsto dall’articolo 4, è ormai in vigore dal 2 febbraio 2025 e anche se l’Omnibus ne ha alleggerito la formulazione, non lo ha eliminato. Leggere quindi la proroga come una sospensione generale è un errore che rischia di costare caro.

L’esposizione a fughe di dati e Shadow AI

L’utilizzo dell’intelligenza artificiale nelle imprese italiane sta crescendo molto più in fretta della capacità di governarlo. Secondo i dati dell’Osservatorio Artificial Intelligence del Politecnico di Milano, nel 2025 il 71% delle grandi imprese ha avviato almeno un progetto AI, ma appena il 15% ha attivato un percorso organico di adeguamento all’AI Act. È lo scarto tra un’adozione ormai diffusa e una governance ancora immatura ad aprire il varco più pericoloso. Lo si nota anche nella crescita del fenomeno della “shadow AI”, ovvero gli strumenti AI che i singoli dipendenti adottano nella loro sfera lavorativa senza ricevere un’autorizzazione aziendale. Secondo il report Soldo, questo è accaduto a circa il 27% dei dipendenti, persone che inseriscono documenti, dati di clienti o informazioni riservate in strumenti LLM mai approvati, spesso senza rendersi conto di dove finiscano quelle informazioni.

Il regolamento europeo prevede sanzioni fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le violazioni più gravi, con soglie ridotte per PMI e startup. Tuttavia il rischio concreto di rimandare la formazione non è la multa, ma la fuga di dati riservati e le conseguenze legali che ne derivano. Infatti, la responsabilità per la fuga di dati rimane in mano all’azienda che quei dati li ha incollati nelle conversazioni con l’intelligenza artificiale. Non è un caso isolato, infatti secondo il Report 2025 di LayerX, il 77% dei dipendenti incolla dati sensibili aziendali dentro strumenti come Claude o ChatGPT. Non rendersi conto del pericolo a cui esponiamo le nostre informazioni, può costarci caro e aumentare l’alfabetizzazione aiuta a prevenire questi danni.

Passaggi concreti per procedere con l’alfabetizzazione

1. Partire con un’alfabetizzazione di base è necessario partire da una formazione trasversale, uguale per tutti i componenti dell’azienda. I temi da affrontare sono per esempio cos’è un sistema di IA, cosa succede quando si incolla un dato in un chatbot pubblico, quali rischi comporta e quali obblighi impone la normativa. Non è ancora formazione specialistica, è il vocabolario comune che permette a chiunque, in azienda, di riconoscere l’AI quando la incontra e di capire perché segnalarne l’uso non è una minaccia ma una tutela.
2. Solo dopo aver costruito una consapevolezza condivisa, la mappatura degli strumenti AI effettivamente adottati all’interno dell’azienda diventa realistica e i dipendenti stessi collaborano a far emergere ciò che già usano, invece di nasconderlo. L’inventario prodotto a questo punto non è solo un elenco tecnico stilato dall’IT, ma una fotografia più fedele della Shadow AI reale, perché nasce dal basso con la collaborazione di chi quegli strumenti li usa ogni giorno.
3. Con la mappa in mano, si sa finalmente chi fa cosa, chi gestisce dati sensibili, chi lavora su sistemi ad alto rischio, chi prende decisioni supportate dall’AI. Solo a questo punto si possono costruire percorsi specialistici e differenziati di formazione perché calibrati su usi reali già identificati, non su ipotesi.

l punto 2 e 3 andranno poi reiterati a ogni inserimento nel flusso lavorativi di nuovo strumento e tutto il processo va documentato perché in caso di controllo occorre poter dimostrare di aver formato realmente il personale.

La visione strategica sull’AI Literacy attuale delle imprese

Dal nostro confronto quotidiano con le imprese è emerso che il 65% delle aziende non ha ancora fornito alcuna direttiva ai propri dipendenti sull’uso dell’AI, e meno del 20% ha avviato un percorso di alfabetizzazione a meno di 30 giorni dall’avvio dei controlli sulla formazione. Eppure formare chi utilizza l’AI è la protezione più semplice e meno onerosa che un’impresa abbia a disposizione. Un percorso di formazione concluso deve produrre effetti misurabili, ovvero meno dati sensibili inseriti in strumenti non autorizzati, un numero crescente di persone che verifica gli output prima di usarli e la capacità di esibire in ogni momento la prova dei percorsi svolti. Quando questi indicatori si muovono nella direzione giusta, la conformità smette di essere un adempimento sulla carta e diventa una pratica quotidiana, che riduce gli incidenti prima ancora che i controlli. Non si tratta quindi di frenare l’innovazione, ma di indirizzarla, dando alle persone gli strumenti per lavorare meglio e con più consapevolezza.