In breve
L'articolo 4 dell'AI Act si applica dal 2 febbraio 2025; secondo la Commissione, le regole di vigilanza e applicazione valgono dal 2 agosto 2026.
Il Digital Omnibus (regolamento UE 2026/1744) ha riscritto l'articolo 4: servono misure per sostenere l'alfabetizzazione, senza garantire un livello specifico per ogni persona.
Il decreto legislativo 179/2026, in vigore dal 23 ottobre 2026, non crea un obbligo generale nuovo, ma chiede ai datori di lavoro informazione e formazione sui rischi specifici dell'IA (art. 42).
Non serve un certificato: un registro interno della formazione, collegato all'inventario dei sistemi di IA, è il modo più semplice per mostrare le misure adottate.
Policy IA e ISO/IEC 42001 danno alla formazione un metodo: competenze definite, consapevolezza, verifica dell'efficacia.
Dal 23 ottobre 2026 è in vigore il decreto legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale n. 234 dell'8 ottobre. Il decreto adegua la normativa italiana all'AI Act su due fronti: i poteri delle autorità nazionali e l'uso dell'intelligenza artificiale nella formazione. Attua la delega prevista dalla legge 23 settembre 2025, n. 132, la legge italiana sull'IA.
Per le aziende la notizia arriva in un momento preciso. L'obbligo di alfabetizzazione dell'articolo 4 dell'AI Act si applica dal 2 febbraio 2025 e, secondo la Commissione europea, le regole di vigilanza e applicazione valgono dal 2 agosto 2026. A luglio il Digital Omnibus sull'IA ha riscritto proprio l'articolo 4. In questa guida mettiamo in fila cosa dicono i testi, chi deve formare chi, come proporzionare la formazione, come documentarla e come collegarla a una policy IA e alla ISO/IEC 42001. Ci basiamo solo sui testi ufficiali: dove una norma non dice una cosa, non la diamo per scontata.
Non sai in che classe di rischio sono i tuoi sistemi di AI? Fai la verifica gratuita della classe di rischio AI Act: cinque domande, due minuti, con obblighi e scadenze.
Cosa prevede il decreto legislativo 179/2026 sulla formazione all'IA?
Il decreto 179/2026 non crea un nuovo obbligo generale di alfabetizzazione per tutte le imprese. Lo mostra la sua struttura: 54 articoli, in gran parte dedicati ad autorità, vigilanza, sanzioni e spazi di sperimentazione. La formazione compare nel Capo III, dedicato all'IA nei percorsi formativi, nelle professioni, nel lavoro, nella sanità e nella pubblica amministrazione.
Per le definizioni il decreto rinvia all'articolo 3 dell'AI Act e alla legge 132/2025 (articolo 1) e si applica agli stessi soggetti dell'AI Act (articolo 2). In pratica, per un'azienda privata l'obbligo di alfabetizzazione resta quello dell'articolo 4 del regolamento europeo. Il decreto aggiunge regole nazionali in alcuni ambiti specifici, che vediamo qui sotto.
Lavoro e sicurezza: l'articolo 42
L'articolo 42 è la norma più vicina alla vita quotidiana di un'azienda. Il comma 2 stabilisce che l'uso di sistemi di IA che incidono sull'organizzazione del lavoro, sui ritmi produttivi, sulle modalità della prestazione o sulle decisioni rilevanti per la sicurezza è valutato nel DVR, cioè nella valutazione dei rischi dell'articolo 28 del decreto legislativo 81/2008.
Il comma 3 chiede ai datori di lavoro di assicurare un'adeguata informazione e formazione dei lavoratori sui rischi specifici dei sistemi di IA e sulle misure di prevenzione e protezione adottate. È un obbligo che si somma all'articolo 4 dell'AI Act, con un fuoco diverso: lì si parla di competenze per usare l'IA in modo informato, qui di salute e sicurezza. Se la tua azienda usa l'IA in questi ambiti, verifica con l'RSPP come integrare i due percorsi.
Decisioni sul rapporto di lavoro: l'articolo 41
L'articolo 41 riguarda il datore di lavoro che usa sistemi di IA nei processi decisionali sul rapporto di lavoro. Le decisioni finali su costituzione, modifica o risoluzione del rapporto, inclusi provvedimenti disciplinari e valutazioni delle prestazioni, non possono basarsi unicamente su un trattamento automatizzato: la decisione definitiva spetta a una persona fisica con un potere effettivo e autonomo.
Prima dell'avvio del trattamento il datore deve rendere l'informativa prevista dall'articolo 1-bis del decreto legislativo 152/1997, già richiamata dall'articolo 11 della legge 132/2025. Il lavoratore può chiedere una motivazione comprensibile della decisione che lo riguarda. Qui la formazione conta: chi firma la decisione finale deve capire cosa fa il sistema, altrimenti il controllo umano resta sulla carta.
Professioni, scuola e pubblica amministrazione
Gli altri articoli del Capo III riguardano soggetti specifici. L'articolo 47 stabilisce che i corsi di formazione degli ordini professionali includano percorsi di alfabetizzazione e formazione all'uso dell'IA, con profili tecnici, giuridici e deontologici; i consigli nazionali hanno sei mesi per adeguare i regolamenti. Altri articoli riguardano scuola, università, adulti, giustizia, sanità e settore finanziario.
Se in azienda lavorano professionisti iscritti a un ordine, quella formazione potrà essere utile anche per il percorso interno, ma non lo sostituisce: copre la professione, non i sistemi specifici che usi tu. Il testo completo del decreto è consultabile su Normattiva.
Cosa chiede l'articolo 4 dell'AI Act dopo il Digital Omnibus?
L'articolo 4 chiede a fornitori e deployer di sistemi di IA di adottare misure per sostenere lo sviluppo dell'alfabetizzazione in materia di IA del proprio personale e delle altre persone che si occupano del funzionamento e dell'uso dei sistemi per loro conto. È il testo in vigore dopo il Digital Omnibus sull'IA, il regolamento (UE) 2026/1744, come riportato dall'AI Act Service Desk della Commissione.
Le misure tengono conto di conoscenze tecniche, esperienza, istruzione e formazione delle persone, del contesto in cui i sistemi sono usati e delle persone su cui sono usati. Il nuovo testo aggiunge una frase chiara: l'obbligo non richiede di garantire un livello specifico di alfabetizzazione di ciascuna persona.
Cosa si intende per alfabetizzazione in materia di IA
L'articolo 3, punto 56, dell'AI Act definisce l'alfabetizzazione come l'insieme di competenze, conoscenze e comprensione che consentono di fare un uso informato dei sistemi di IA e di essere consapevoli delle opportunità, dei rischi e dei possibili danni. La definizione vale per fornitori, deployer e persone interessate, ciascuno secondo i propri diritti e obblighi.
Non è quindi un corso di programmazione. Per chi usa uno strumento di IA generativa per scrivere testi, alfabetizzazione significa sapere che può produrre risposte inventate ma plausibili, quali dati non inserire e quando serve una verifica umana. Per chi sviluppa un sistema, il livello tecnico richiesto è più alto.
Cosa è cambiato con l'Omnibus
Secondo le Q&A della Commissione sull'alfabetizzazione, aggiornate al 20 ottobre 2026, l'alfabetizzazione resta un obbligo per fornitori e deployer, ma non è più richiesto un livello specifico o "sufficiente". Il paragrafo 2 chiede a Commissione e Stati membri di sostenere le imprese, in particolare le PMI, anche pubblicando esempi pratici. Il paragrafo 3 affida al Comitato europeo per l'IA il compito di adottare raccomandazioni con obiettivi comuni.
Il cambio sposta l'attenzione dal risultato alle misure. Non devi dimostrare che ogni persona ha raggiunto una certa soglia, ma devi poter mostrare quali misure hai adottato e perché sono adatte ai tuoi sistemi e alle tue persone.
Le date da tenere a mente
L'articolo 4 si applica dal 2 febbraio 2025. Le Q&A della Commissione indicano che le regole di vigilanza e applicazione valgono dal 2 agosto 2026 e che la vigilanza spetta alle autorità nazionali di vigilanza del mercato, non all'Ufficio europeo per l'IA. In Italia il decreto 179/2026 indica l'ACN come autorità di vigilanza del mercato sui sistemi di IA, con competenze di Banca d'Italia, CONSOB e IVASS per alcuni sistemi ad alto rischio del settore finanziario (articolo 5).
Chi deve formare chi in azienda?
L'obbligo riguarda la tua azienda se sviluppa o usa sistemi di IA nella propria attività professionale. L'AI Act chiama fornitore chi sviluppa un sistema e lo immette sul mercato con il proprio nome, deployer chi usa un sistema sotto la propria autorità. La maggior parte delle PMI è deployer: usa strumenti sviluppati da altri.
Le Q&A precisano che le "altre persone" non sono dipendenti ma soggetti che operano nell'ambito organizzativo dell'azienda, come collaboratori, fornitori di servizi o clienti. Precisano anche che chi usa un chatbot generativo per scrivere testi pubblicitari o tradurre rientra nell'obbligo e dovrebbe conoscere i rischi specifici, per esempio le allucinazioni.
Chi | Cosa deve sapere, in sintesi |
|---|---|
Direzione | Quali sistemi usa l'azienda, a quale scopo, quali rischi comportano e quali regole interne valgono |
Chi usa strumenti di IA generativa | Limiti dello strumento, dati da non inserire, verifica dei risultati, regole della policy interna |
Chi decide con l'aiuto dell'IA (HR, credito, qualità) | Come leggere i risultati, quando non fidarsi, come documentare la decisione umana |
IT e sviluppo | Funzionamento tecnico, test, sicurezza, gestione dei fornitori di IA |
Collaboratori esterni che usano sistemi per tuo conto | Le regole che valgono per i sistemi che usano per l'azienda |
La tabella è un esempio da adattare, non un elenco ufficiale. Per i sistemi ad alto rischio vale anche l'articolo 26, paragrafo 2: il deployer affida la sorveglianza umana a persone con la competenza, la formazione e l'autorità necessarie. Le Q&A ricordano che in questi casi possono servire misure aggiuntive.
Come proporzionare la formazione sull'IA?
Le Q&A della Commissione dicono che non esiste un modello unico e che non sono imposti corsi obbligatori. Suggeriscono però un percorso minimo in quattro passi, utile come traccia per qualsiasi azienda.
Il primo passo è una comprensione generale: cos'è l'IA, come funziona, quali sistemi usa l'azienda, con quali opportunità e rischi. Il secondo è chiarire il ruolo: l'azienda sviluppa sistemi o usa quelli di altri? Il terzo riguarda il rischio: cosa devono sapere le persone dei sistemi specifici che usano, dei loro rischi e di come mitigarli. Il quarto è adattare tutto a conoscenze, esperienza e istruzione delle persone, al contesto e a chi subisce gli effetti del sistema.
In concreto, proporzionare significa che il commerciale che usa un assistente di scrittura non segue lo stesso percorso di chi usa un sistema per selezionare candidati. Le Q&A osservano anche che affidarsi solo alle istruzioni d'uso può essere poco efficace: un documento che nessuno legge non sostiene l'alfabetizzazione. Funzionano meglio sessioni brevi, esempi sui casi reali dell'azienda e un aggiornamento quando arriva un nuovo strumento.
Non serve misurare le conoscenze dei dipendenti con un test, perché l'articolo 4 non lo richiede. Una verifica dell'efficacia resta comunque una buona pratica, ed è richiesta dalle norme ISO sui sistemi di gestione per le azioni sulle competenze. Ne parliamo nella nostra guida a competenza, formazione e consapevolezza.
Come documentare la formazione: il registro interno
Secondo la Commissione non serve un certificato: le organizzazioni possono tenere un registro interno della formazione e delle altre iniziative di orientamento. Non è un obbligo formale, ma è il modo più semplice per mostrare le misure adottate se un'autorità, un cliente o un auditor le chiede.
Un registro utile è breve e aggiornato. Per ogni iniziativa indica data, destinatari, sistemi di IA trattati, contenuti, formato e materiali usati, più l'esito di un'eventuale verifica. Collega il registro all'inventario dei sistemi di IA: se un sistema entra in uso e nel registro non c'è nessuna formazione su quel sistema, hai trovato una lacuna.
Conserva anche le ragioni delle scelte: perché un gruppo ha ricevuto un percorso base e un altro uno approfondito. È la logica del rischio e del contesto chiesta dall'articolo 4, scritta in modo che altri possano capirla. Lo stesso registro può includere l'informazione ai lavoratori dell'articolo 42 del decreto 179/2026, così hai un unico punto di riferimento.
Policy IA e ISO 42001: dove si collega la formazione?
La formazione funziona meglio se è legata a regole interne scritte. Una policy IA dice quali strumenti sono ammessi, per quali usi, con quali dati e chi approva un nuovo sistema. La formazione spiega quella policy alle persone che devono applicarla. Senza policy, i corsi restano generici; senza formazione, la policy resta un documento nel cassetto.
La ISO/IEC 42001 è la norma sui sistemi di gestione per l'IA e segue la struttura armonizzata comune alle norme ISO di sistema. Le clausole 7.2 e 7.3 chiedono di stabilire le competenze necessarie, assicurarle con formazione o esperienza, valutarne l'efficacia, conservare informazioni documentate e rendere le persone consapevoli della politica e del loro contributo. Abbiamo approfondito la norma nella guida alla ISO/IEC 42001.
La ISO 42001 è volontaria e non equivale alla conformità all'AI Act. Offre però un metodo per tenere insieme inventario dei sistemi, policy, valutazione dei rischi, formazione e audit interno. Per chi usa sistemi che interagiscono con le persone o generano contenuti, la formazione dovrebbe toccare anche gli obblighi di trasparenza dell'articolo 50.
Cosa fare subito: checklist operativa
Se la tua azienda usa sistemi di IA, questi passi ti permettono di partire con ordine. Sono attività interne che puoi avviare senza attendere nuove regole.
Fai l'inventario dei sistemi di IA in uso, compresi gli strumenti generativi adottati dai singoli reparti.
Per ogni sistema indica il tuo ruolo (fornitore o deployer), lo scopo e chi lo usa.
Individua i gruppi di persone da formare, inclusi i collaboratori esterni che usano sistemi per tuo conto.
Scrivi o aggiorna la policy IA con usi ammessi, dati vietati e regole di verifica dei risultati.
Prepara un percorso base per tutti e percorsi mirati per chi decide con l'IA o la sviluppa.
Apri il registro interno della formazione e collegalo all'inventario.
Se l'IA incide su organizzazione del lavoro o sicurezza, coinvolgi l'RSPP per il DVR e l'informazione ai lavoratori.
Cosa fare nei prossimi mesi
Dopo il primo giro, l'alfabetizzazione diventa un processo continuo. Ogni nuovo sistema, ogni cambio di fornitore e ogni nuovo uso dovrebbero attivare una verifica: chi lo userà, cosa deve sapere, quale formazione serve. Fissa una revisione periodica del registro, per esempio insieme al riesame della direzione se hai un sistema di gestione.
Tieni d'occhio le fonti ufficiali: l'articolo 4 prevede che la Commissione pubblichi esempi pratici sulla piattaforma informativa unica e che il Comitato per l'IA adotti raccomandazioni. Gli ordini professionali devono aggiornare i propri regolamenti entro sei mesi dall'entrata in vigore del decreto. Se usi sistemi ad alto rischio, verifica gli obblighi specifici dell'AI Act per il tuo caso; puoi partire dalla pagina del nostro servizio AI Act.
Infine, controlla la coerenza tra i documenti. L'informativa ai lavoratori, il DVR, la policy IA e il registro della formazione devono raccontare la stessa realtà. Un audit interno è il momento giusto per verificarlo.
Come Complaion accompagna le aziende nella conformità
Complaion affianca le aziende con un Lead Auditor dedicato che segue la tua organizzazione nel tempo e propone il percorso più adatto alle tue esigenze. Lavoriamo su AI Act, ISO/IEC 42001, ISO 27001 e sulle altre principali norme e certificazioni.
La piattaforma Complaion raccoglie le evidenze, gestisce i documenti, tiene lo scadenziario delle attività e prepara l'audit. L'audit interno è condotto dal Lead Auditor, per arrivare alle verifiche esterne con un sistema già controllato. Oltre 1.000 clienti hanno scelto Complaion per i loro percorsi di conformità: se vuoi capire da dove partire, contattaci.
Domande frequenti sulla formazione sull'IA in azienda
La formazione sull'IA è obbligatoria per tutte le aziende?
L'articolo 4 dell'AI Act riguarda fornitori e deployer di sistemi di IA, cioè chi li sviluppa o li usa nella propria attività professionale. Se la tua azienda usa sistemi di IA, verifica come l'obbligo si applica al tuo caso. Le Q&A della Commissione chiariscono che non sono imposti corsi specifici: l'obbligo è adottare misure adeguate per sostenere l'alfabetizzazione di chi usa i sistemi.
Serve un attestato o una certificazione per i dipendenti?
No. Secondo la Commissione non serve un certificato. Le organizzazioni possono tenere un registro interno della formazione e delle altre iniziative. Un attestato rilasciato al termine di un corso può essere una prova utile, ma non è richiesto dall'articolo 4.
Il decreto 179/2026 introduce nuovi obblighi di formazione per le imprese?
Il decreto non crea un obbligo generale di alfabetizzazione per le imprese, che resta quello dell'AI Act. L'articolo 42 chiede però ai datori di lavoro un'adeguata informazione e formazione dei lavoratori sui rischi specifici dei sistemi di IA e sulle misure di prevenzione adottate. L'articolo 47 riguarda la formazione organizzata dagli ordini professionali.
Chi controlla il rispetto dell'articolo 4?
Secondo le Q&A della Commissione, la vigilanza spetta alle autorità nazionali di vigilanza del mercato e le relative regole valgono dal 2 agosto 2026. In Italia il decreto 179/2026 indica l'ACN come autorità di vigilanza del mercato sui sistemi di IA, con competenze di Banca d'Italia, CONSOB e IVASS per alcuni sistemi ad alto rischio del settore finanziario.
Ci sono sanzioni specifiche per la mancata alfabetizzazione?
L'articolo 23 del decreto 179/2026, che elenca le sanzioni pecuniarie, non richiama l'articolo 4 del regolamento. La Commissione ricorda però che le autorità nazionali possono adottare sanzioni e altre misure secondo il diritto nazionale, in modo proporzionato. La scelta prudente è poter mostrare le misure adottate con un registro aggiornato.
Anche chi usa solo un chatbot generativo deve essere formato?
Sì, secondo le Q&A della Commissione chi usa un chatbot generativo per lavoro rientra nell'obbligo e dovrebbe conoscere i rischi specifici, come le allucinazioni. Basta un percorso proporzionato: limiti dello strumento, dati da non inserire, verifica dei risultati e regole della policy interna.
