AI Act: l’obbligo di alfabetizzazione vale anche per 10 dipendenti

L’obbligo è già attivo. Non è una bozza, non è un futuro prossimo.

L’articolo 4 del Regolamento UE 2024/1689, noto come AI Act, è entrato in applicazione il 2 agosto 2025. Da quella data, ogni organizzazione che usa sistemi AI è tenuta a garantire un livello sufficiente di alfabetizzazione AI ai propri dipendenti. Nessuna soglia dimensionale. Nessuna deroga per le piccole imprese.
Se la tua azienda usa un chatbot sul sito, un tool di analisi predittiva, uno strumento di generazione testi o qualsiasi sistema che rientra nella definizione di “sistema di IA” del regolamento, sei già dentro.

Cosa dice esattamente l’articolo 4

Il testo è diretto: i fornitori e i deployer di sistemi AI devono adottare misure per garantire, nella misura del possibile, un sufficiente livello di alfabetizzazione AI da parte del personale e di tutte le persone che operano per loro conto con sistemi AI.
Tre parole meritano attenzione.
Deployer significa chi usa un sistema AI sviluppato da altri, non solo chi lo costruisce. Se usi un CRM con funzioni predittive, sei un deployer.
Personale include chiunque interagisca con il sistema nel contesto lavorativo: non solo i tecnici, non solo i manager. Un operatore di magazzino che usa un sistema di picking assistito da AI rientra nell’ambito.
Sufficiente livello è volutamente vago. Il regolamento non definisce un numero di ore, un programma specifico o una certificazione obbligatoria. Questo è sia un vantaggio che un rischio: lascia flessibilità, ma in caso di controllo o contenzioso, l’onere della prova è tuo.

Chi è davvero coinvolto

La distinzione tra provider e deployer è quella che più confonde le PMI. Un’azienda che usa un tool SaaS con funzioni AI è deployer, non provider. Gli obblighi di un deployer sono meno pesanti rispetto a chi sviluppa e immette sul mercato un sistema AI, ma l’obbligo di alfabetizzazione si applica a entrambi.
Se la tua azienda ha sviluppato un software interno con componenti AI, la posizione si complica: potresti essere contemporaneamente provider (per uso interno) e deployer. In quel caso conviene verificare con un consulente legale prima di decidere come strutturare la compliance.

Cosa non rientra nell’ambito

Non tutti i software con un po’ di automazione sono “sistemi AI” ai sensi del regolamento. Il Regolamento usa una definizione tecnica precisa che esclude, per esempio, i semplici sistemi basati su regole deterministiche. Un filtro antispam classico non è AI secondo l’AI Act. Un modello di language processing che genera testo o classifica documenti, sì.

Un errore frequente è pensare che l’obbligo scatti solo quando l’AI prende decisioni autonome rilevanti. Non è così. Se un tuo dipendente usa uno strumento che genera suggerimenti, classificazioni o previsioni basate su un modello, l’obbligo di alfabetizzazione si applica indipendentemente da quanto sia visibile o centrale la componente AI. Il fatto che il tool sembri un normale software non cambia la sostanza.

Un altro punto che crea confusione: l’obbligo vale anche per i collaboratori esterni che operano per conto dell’azienda. Un consulente, un agente, un lavoratore interinale che usa i tuoi sistemi AI rientra nell’ambito. Non solo i dipendenti a tempo indeterminato.

Le scadenze che contano davvero per una PMI

L’AI Act ha una struttura a fasi. Non tutto è entrato in vigore il 2 agosto 2025.
I divieti assoluti (sistemi AI proibiti, come il social scoring) sono attivi dal febbraio 2025. L’obbligo di alfabetizzazione dell’articolo 4 è attivo dall’agosto 2025. Gli obblighi per i sistemi ad alto rischio entrano in vigore in modo scaglionato tra il 2026 e il 2027, a seconda della categoria.
Per una PMI che usa AI senza svilupparla, il calendario operativo è questo:

• Agosto 2025: obbligo di alfabetizzazione attivo. Se non hai fatto nulla, sei già in ritardo.
• Agosto 2026: applicazione piena degli obblighi per i sistemi ad alto rischio nei settori elencati nell’allegato III (tra cui HR, istruzione, infrastrutture critiche).
• Agosto 2027: obblighi per i sistemi AI di uso generale (GPAI) pienamente operativi.

Se la tua PMI non opera in settori ad alto rischio e usa solo strumenti AI generici (assistenti di testo, analisi dati, automazioni di processo), il punto critico immediato è uno solo: l’articolo 4. Tutto il resto può aspettare qualche mese, ma l’alfabetizzazione no.

Le sanzioni: quanto rischia una piccola impresa

Le sanzioni previste dall’AI Act sono proporzionate al fatturato globale dell’azienda, non a cifre fisse. Per le violazioni più gravi (uso di sistemi vietati) si arriva fino al 7% del fatturato mondiale annuo. Per le violazioni agli obblighi generali, tra cui la mancata alfabetizzazione, la soglia è fino al 3%.
Per una PMI con un milione di euro di fatturato, il 3% significa trentamila euro. Non è una cifra simbolica.
C’è però un elemento che riduce il rischio immediato: le autorità di vigilanza nazionali sono ancora in fase di strutturazione. In Italia, l’Agenzia per l’Italia Digitale (AgID) ha un ruolo di coordinamento, ma il quadro sanzionatorio concreto non è ancora pienamente operativo. Questo non significa che l’obbligo non esista, significa che il rischio di una sanzione oggi è basso ma non zero, e che tra un anno la situazione sarà diversa.
La nostra posizione è netta: aspettare che le autorità inizino a sanzionare prima di muoversi è una scelta sbagliata. Chi costruisce la compliance adesso lo fa in modo ordinato e a costo contenuto. Chi la costruisce sotto pressione la fa male e la paga di più.

C’è un aspetto che spesso non viene considerato: il rischio non è solo la sanzione diretta dell’autorità. In caso di contenzioso con un cliente o un dipendente legato all’uso di un sistema AI, la mancanza di documentazione sulla formazione può diventare un elemento a tuo sfavore. La compliance non protegge solo dai controlli pubblici, protegge anche nei rapporti privati.

Cosa fare adesso: un percorso in tre passi

Non serve un programma di formazione da multinazionale. Serve un approccio proporzionato alla tua realtà.

Primo passo: mappare i sistemi AI in uso

Prima di formare qualcuno, devi sapere cosa stai usando. Fai un inventario dei tool aziendali e chiedi per ognuno: questo strumento usa componenti AI? Come? Chi lo usa in azienda?
Spesso le PMI scoprono di usare più AI di quanto pensassero: il CRM con lead scoring automatico, la piattaforma e-commerce con raccomandazioni di prodotto, il software HR con screening automatico dei CV. Ognuno di questi è potenzialmente un sistema AI ai sensi del regolamento.

Secondo passo: definire chi forma chi

L’articolo 4 parla di livello sufficiente, non di programmi uniformi. Un addetto alla logistica che usa un sistema di picking assistito ha bisogno di capire come funziona quel sistema, i suoi limiti e quando non fidarsi dell’output. Non ha bisogno di sapere come si addestra un modello di machine learning.
Il responsabile IT o il decision maker che sceglie quali sistemi AI adottare ha bisogno di una comprensione più ampia: rischi, categorie di rischio, obblighi del deployer, come valutare un fornitore AI. Per questa figura, risorse come quelle offerte da Anthropic Academy (ne abbiamo parlato in questo articolo sulla formazione AI gratuita per team aziendali) possono essere un punto di partenza utile senza costi aggiuntivi.

Terzo passo: documentare

Questo è il passo che quasi nessuno fa e che fa la differenza in caso di ispezione. Tieni traccia di cosa hai fatto: chi ha seguito quale formazione, quando, su quali sistemi. Non deve essere un documento complesso. Un registro semplice con nome, ruolo, sistema AI di riferimento, data e contenuto della formazione è sufficiente come prima linea di difesa.
Se stai anche valutando come integrare AI nei tuoi processi in modo strutturato, il tema della governance interna si intreccia strettamente con la compliance: raccontaci il tuo caso e vediamo insieme da dove ha senso partire.

Sul primo passo, c’è un errore tipico che vale la pena nominare. Molte PMI fanno l’inventario chiedendo ai fornitori se il loro software “usa l’AI”. La risposta è quasi sempre sì, perché è diventata una leva di marketing. Il punto non è se il fornitore dichiara di usare AI, ma se lo strumento rientra nella definizione tecnica del regolamento. Chiedi al fornitore la documentazione tecnica del sistema, non la brochure commerciale.

Sul terzo passo, la documentazione, conviene essere pratici. Non serve un sistema di gestione complesso. Anche un foglio condiviso con nome del dipendente, ruolo, sistema AI usato, data della formazione e argomenti trattati è sufficiente come punto di partenza. L’importante è che esista e sia aggiornato. In caso di ispezione, dimostrare che hai fatto qualcosa in modo ordinato vale più di un programma elaborato mai messo su carta.

Un trade-off reale: investire tempo ora nella mappatura e nella documentazione significa rallentare di qualche giorno le attività operative. Non farlo significa arrivare impreparati a un controllo, o peggio, scoprire solo allora di usare un sistema che richiede obblighi più stringenti. Il costo del ritardo cresce nel tempo, quello della prevenzione no.

Cosa puoi ignorare (almeno per ora)

L’AI Act è un testo lungo e complesso. Molto di ciò che leggi online riguarda obblighi che non si applicano alle PMI deployer di sistemi a rischio limitato o minimo.
Puoi rimandare lo studio approfondito degli allegati tecnici sulle categorie ad alto rischio se non operi in sanità, infrastrutture critiche, selezione del personale su larga scala o sistemi di giustizia. Puoi ignorare gli obblighi di conformità per i provider (documentazione tecnica, registrazione nei database UE, marcatura CE) se non sviluppi e commercializzi sistemi AI.
Quello che non puoi ignorare, anche con cinque dipendenti, è l’articolo 4. È l’unico obbligo che si applica a tutti, subito, senza eccezioni dimensionali.
Il tema della gestione responsabile dell’AI in azienda, tra formazione, governance e responsabilità operative, è qualcosa che abbiamo analizzato anche guardando al change management AI nelle PMI: i due temi si alimentano a vicenda.
Per chi sta iniziando a ragionare sull’adozione AI in modo strutturato, il punto di partenza più utile rimane capire cosa significa davvero adottare AI in una PMI italiana nel 2026, con le sue specificità normative e operative: ne abbiamo scritto in questa guida sull’adozione AI per le PMI italiane.

Se stai cercando di capire come strutturare la compliance AI Act nella tua azienda senza costruire una macchina burocratica sproporzionata, in Press Start affrontiamo questi temi insieme ai clienti quando integriamo soluzioni AI nei loro processi. Scrivici e ti diciamo cosa ha senso fare nella tua situazione specifica.