Alfabetizzazione in materia di IA secondo l'AI Act (articolo 4): cosa devono fare le aziende che usano strumenti di IA
Ultimo aggiornamento
L'articolo 4 del regolamento sull'IA (AI Act) è l'unico obbligo del regolamento che si applica già a quasi tutte le aziende che usano l'IA. Si applica dal 2 febbraio 2025 e riguarda un'azienda il cui personale scrive testi con ChatGPT, programma con Claude Code o riassume documenti con Copilot. L'omnibus digitale sull'IA, il regolamento (UE) 2026/1744, ha riscritto l'articolo a luglio 2026. Resta un obbligo.
Questa pagina riporta il testo dell'articolo 4 e la definizione dell'articolo 3, punto 56, cosa si aspettano le domande e risposte della Commissione europea sull'alfabetizzazione in materia di IA, quando vigilano le autorità nazionali, e una checklist. Le fonti sono EUR-Lex e la Commissione, verificate il 9 novembre 2026. Non è una consulenza legale.
Crea un account aziendaleoppure scrivete a contact@standardcompute.com
EnglishDeutschFrançaisNederlandsEspañolSvenskaNorskDanskSuomiPolski
Risposte brevi
- Cosa chiede l'articolo 4?
- I fornitori e i deployer di sistemi di IA adottano misure volte a sostenere lo sviluppo dell'alfabetizzazione in materia di IA del loro personale e di qualsiasi altra persona che si occupa del funzionamento e dell'utilizzo dei sistemi di IA per loro conto. Tengono conto di conoscenze tecniche, esperienza, istruzione e formazione, del contesto d'uso e delle persone su cui i sistemi sono utilizzati.
- Si applica se usiamo solo ChatGPT, Claude o Copilot?
- Sì. Un'azienda che usa un sistema di IA sotto la propria autorità è un deployer (articolo 3, punto 4), e l'articolo 4 si applica ai deployer qualunque sia il livello di rischio. La Commissione cita l'esempio di dipendenti che usano ChatGPT per scrivere testi pubblicitari o tradurre: devono essere informati dei rischi specifici, come le allucinazioni.
- Da quando, e chi vigila?
- L'articolo 4 si applica dal 2 febbraio 2025. Le autorità nazionali di vigilanza del mercato lo controllano e lo fanno rispettare dal 2 agosto 2026, con le sanzioni previste dal diritto nazionale. L'Ufficio per l'IA non applica l'articolo 4.
- Serve un certificato o un test?
- No. Secondo la Commissione non serve alcun certificato e l'articolo 4 non obbliga a misurare le conoscenze dei dipendenti. Le organizzazioni possono tenere un registro interno delle formazioni e delle altre iniziative di orientamento.
Il testo dell'articolo 4 e dell'articolo 3, punto 56
Articolo 4, paragrafo 1, come sostituito dal regolamento (UE) 2026/1744: «I fornitori e i deployer di sistemi di IA adottano misure volte a sostenere lo sviluppo dell'alfabetizzazione in materia di IA del loro personale nonché di qualsiasi altra persona che si occupa del funzionamento e dell'utilizzo dei sistemi di IA per loro conto, prendendo in considerazione le loro conoscenze tecniche, la loro esperienza, istruzione e formazione, nonché il contesto in cui i sistemi di IA devono essere utilizzati, e tenendo conto delle persone o dei gruppi di persone su cui i sistemi di IA devono essere utilizzati. Tale obbligo non impone ai fornitori o ai deployer di garantire un livello specifico di alfabetizzazione in materia di IA per alcuna persona.»
I paragrafi 2 e 3 si rivolgono alle autorità. La Commissione e gli Stati membri sostengono fornitori e deployer, in particolare le PMI, e la Commissione pubblica sulla piattaforma unica di informazione esempi pratici di come adempiere all'obbligo. Il consiglio per l'IA adotta raccomandazioni che tengono conto dei quadri europei delle competenze.
L'articolo 3, punto 56, non modificato dall'omnibus, definisce il concetto: «“alfabetizzazione in materia di IA”: le competenze, le conoscenze e la comprensione che consentono ai fornitori, ai deployer e alle persone interessate, tenendo conto dei loro rispettivi diritti e obblighi nel contesto del presente regolamento, di procedere a una diffusione informata dei sistemi di IA, nonché di acquisire consapevolezza in merito alle opportunità e ai rischi dell'IA e ai possibili danni che essa può causare».
Chi riguarda
La vostra azienda, appena usa un sistema di IA nella sua attività professionale. L'obbligo riguarda fornitori e deployer allo stesso modo e non è limitato ai sistemi ad alto rischio. Un'azienda che acquista e usa strumenti di IA è un deployer. Chi sviluppa un sistema di IA e lo immette sul mercato o lo mette in servizio con il proprio nome è un fornitore.
Il vostro personale e le altre persone che agiscono per vostro conto. Secondo la Commissione, l'articolo 4 riguarda chiunque nell'organizzazione lavori direttamente con un sistema di IA. Le «altre persone» non sono dipendenti, ma persone che rientrano in senso ampio nell'organizzazione, per esempio un appaltatore, un fornitore di servizi o un cliente. Chi lavora per un appaltatore ha bisogno delle competenze in IA richieste dal suo compito, come i dipendenti.
Aziende fuori dall'UE. Secondo la Commissione, l'articolo 4 si applica, come il resto dell'AI Act, agli operatori dentro e fuori l'UE purché il sistema di IA sia immesso sul mercato dell'Unione, usato nell'Unione o il suo uso abbia effetti su persone che si trovano nell'UE.
Cosa resta del «livello sufficiente»
L'articolo 4 originale chiedeva di «garantire nella misura del possibile un livello sufficiente di alfabetizzazione in materia di IA». L'omnibus digitale ha sostituito questa formulazione. Secondo la Commissione, l'alfabetizzazione in materia di IA resta un obbligo, non è richiesto un livello specifico o «sufficiente», e non c'è obbligo di misurare le conoscenze dei dipendenti.
La Commissione si aspetta un programma adatto all'organizzazione. Le sue domande e risposte ne indicano il contenuto minimo:
| Passo | La domanda a cui rispondere | Cosa mettere per iscritto |
|---|---|---|
| Comprensione generale dell'IA | La domanda a cui rispondere: Cos'è l'IA, come funziona, quale IA usiamo, quali sono opportunità e pericoli? | Cosa mettere per iscritto: Una breve introduzione che ogni utente completa prima di ottenere l'accesso |
| Il vostro ruolo | La domanda a cui rispondere: Sviluppiamo sistemi di IA o usiamo sistemi sviluppati da un'altra organizzazione? | Cosa mettere per iscritto: Fornitore o deployer, per sistema di IA |
| Rischio dei sistemi di IA | La domanda a cui rispondere: Cosa devono sapere i dipendenti su questo sistema, quali rischi devono conoscere e come vengono mitigati? | Cosa mettere per iscritto: Rischi noti per strumento, come allucinazioni, dati riservati nei prompt o codice da rivedere |
| Persone e contesto | La domanda a cui rispondere: Cosa sanno già queste persone, cos'altro dovrebbero sapere, in quale settore e per quale scopo è usato il sistema? | Cosa mettere per iscritto: Contenuti formativi per ruolo, e perché sono adatti a quel ruolo |
Dalle domande e risposte della Commissione sull'alfabetizzazione in materia di IA, aggiornate il 20 ottobre 2026. Si incoraggia a trattare aspetti giuridici ed etici, compresa la comprensione dell'AI Act.
La Commissione aggiunge che in molti casi affidarsi alle istruzioni per l'uso, o chiedere al personale di leggerle, può essere inefficace. Sono ammessi livelli di formazione diversi per gruppi diversi.
Per i sistemi di IA ad alto rischio vale di più. L'articolo 26, paragrafo 2, impone ai deployer di affidare la sorveglianza umana a persone con la competenza, la formazione e l'autorità necessarie, e la Commissione ricorda che questo obbligo di formazione resta in vigore dopo l'omnibus. Gli obblighi dei deployer di sistemi ad alto rischio dell'allegato III si applicano dal 2 dicembre 2027.
Date e vigilanza
| Data | Cosa succede | Fonte |
|---|---|---|
| 2 febbraio 2025 | Cosa succede: Si applica l'articolo 4, con il resto dei capi I e II dell'AI Act | Fonte: AI Act, articolo 113 |
| 2 agosto 2025 | Cosa succede: Gli Stati membri devono aver adottato le norme nazionali sulle sanzioni | Fonte: Domande e risposte della Commissione |
| 24 luglio 2026 | Cosa succede: Il regolamento (UE) 2026/1744, omnibus digitale sull'IA, è pubblicato nella Gazzetta ufficiale e sostituisce l'articolo 4 | Fonte: Gazzetta ufficiale dell'UE |
| 27 luglio 2026 | Cosa succede: Entra in vigore il regolamento (UE) 2026/1744 | Fonte: Regolamento (UE) 2026/1744, articolo 4 |
| 2 agosto 2026 | Cosa succede: Le autorità nazionali di vigilanza del mercato controllano e fanno rispettare l'articolo 4 | Fonte: Domande e risposte della Commissione |
| 2 dicembre 2027 | Cosa succede: Si applicano gli obblighi dei deployer di sistemi ad alto rischio dell'allegato III, compresa la sorveglianza umana da parte di personale formato (articolo 26, paragrafo 2) | Fonte: AI Act, articolo 113 modificato |
Sintesi dei testi ufficiali, verificata il 9 novembre 2026. Non è una consulenza legale.
Le autorità nazionali possono applicare sanzioni e altre misure secondo il diritto nazionale. La Commissione sottolinea che ogni sanzione deve essere proporzionata e basata sul singolo caso, tenendo conto della natura e della gravità della violazione e del suo carattere doloso o colposo. Un intervento è più probabile se un incidente risulta dovuto alla mancanza di formazione e orientamento.
La Commissione descrive anche l'azione privata: chi subisce un danno può agire in giudizio secondo il diritto nazionale. L'AI Act in sé non crea reati né un diritto al risarcimento.
Una checklist pratica
Otto passi che coprono ciò che si aspetta la Commissione e lasciano una traccia da mostrare a un'autorità. La checklist AI Act per il deployer affianca l'alfabetizzazione agli altri obblighi del deployer.
| Passo | Cosa fare | Prova da conservare |
|---|---|---|
| 1. Censire gli strumenti di IA in uso | Cosa fare: Assistenti di chat, funzioni di IA in altri software, agenti di programmazione e API di modelli, con i team che li usano | Prova da conservare: Inventario IA con un responsabile e gli utenti di ogni strumento |
| 2. Fissare il vostro ruolo per strumento | Cosa fare: Deployer per gli strumenti che usate; fornitore per i sistemi che sviluppate e mettete in servizio con il vostro nome | Prova da conservare: Ruolo annotato nell'inventario |
| 3. Annotare i rischi per strumento | Cosa fare: Allucinazioni, dati riservati o personali nei prompt, codice non rivisto, contenuti generati dall'IA pubblicati | Prova da conservare: Note di rischio per strumento |
| 4. Formare per ruolo | Cosa fare: Un modulo base per tutti, e moduli avanzati per utenti intensivi e sviluppatori, per i manager che approvano l'uso e per chi sorveglia un sistema ad alto rischio | Prova da conservare: Piano formativo con i contenuti per ruolo |
| 5. Pubblicare una policy per l'uso dell'IA | Cosa fare: Strumenti approvati, quali dati possono entrare nei prompt, revisione umana dei risultati, a chi rivolgersi | Prova da conservare: Policy con versione e data, per esempio dal modello di policy per l'uso dell'IA |
| 6. Tenere i registri della formazione | Cosa fare: Data, partecipanti, contenuti e strumento trattato; non serve un certificato | Prova da conservare: Registro interno della formazione |
| 7. Includere gli appaltatori | Cosa fare: Chi gestisce o usa l'IA per vostro conto ha bisogno delle competenze richieste dal suo compito | Prova da conservare: Clausola contrattuale o registri di formazione dell'appaltatore |
| 8. Rivedere a ogni cambiamento | Cosa fare: Nuovo strumento, nuovo modello o nuovo uso: aggiornare inventario, rischi e formazione | Prova da conservare: Date di revisione nel registro |
Non è una consulenza legale. Cosa l'articolo 4 richiede alla vostra azienda lo decide il vostro ufficio legale.
Per l'acquisto di strumenti di IA, il capitolato tecnico per la gara di un gateway LLM contiene requisiti di registrazione di modelli e fornitori per applicazione, che danno al passo 1 una fonte affidabile.
Le registrazioni che un gateway può aggiungere al vostro fascicolo
Un registro della formazione mostra chi è stato formato. Aiuta sapere anche chi usa davvero quali modelli. Standard Compute è un modo per tenere questa traccia per API di modelli, Claude Code e Claude Desktop. Organizzate l'azienda in team, invitate i colleghi via e-mail e date a ogni persona e a ogni applicazione la propria chiave, tutto in un solo account aziendale. Decidete quali modelli può usare ogni chiave, così ogni applicazione e ogni membro del team ha esattamente i modelli che approvate.
Ogni modifica di un amministratore è registrata con i valori prima e dopo, compresi nuove persone e nuove chiavi, così gli accessi si possono confrontare con il registro della formazione. Collegate Microsoft Entra ID o qualsiasi provider di identità SAML perché il vostro personale acceda a Standard Compute con l'account di lavoro.
Queste registrazioni mostrano accessi e uso. Non sono un registro della formazione e non dimostrano che qualcuno sia alfabetizzato in materia di IA.
Domande da ufficio legale, compliance e acquisti
- La formazione sull'IA è obbligatoria ai sensi dell'articolo 4?
- Secondo la Commissione non esiste una soluzione unica e non sono imposti requisiti rigidi né formazioni obbligatorie. Ciò che serve a un'azienda dipende dalle risposte ai quattro passi qui sopra. Spesso non basta chiedere al personale di leggere le istruzioni per l'uso.
- Siamo conformi se riprendiamo esempi dal repository della Commissione?
- Non automaticamente. Il repository raccoglie oltre 40 iniziative di alfabetizzazione in materia di IA di aziende ed enti pubblici, dall'e-learning ai bootcamp. Secondo la Commissione, replicarle al momento non dà una presunzione di conformità. La Commissione userà il repository per gli esempi da pubblicare ai sensi dell'articolo 4, paragrafo 2.
- L'omnibus digitale ha abolito l'obbligo?
- No. A novembre 2025 la Commissione aveva proposto di spostare l'obbligo sugli Stati membri e sulla Commissione. Il regolamento (UE) 2026/1744 adottato mantiene l'obbligo per fornitori e deployer di adottare misure ed elimina il requisito di un livello sufficiente.
- Serve un responsabile IA o un comitato di governance dell'IA?
- No. Secondo la Commissione, per l'articolo 4 non è richiesta alcuna struttura di governance specifica.
- Ci sono regole dell'articolo 4 specifiche per banche, assicurazioni o sanità?
- No. L'Ufficio per l'IA non impone requisiti settoriali, ma settore, finalità e rischio di ogni sistema di IA devono orientare la formazione.
- Anche i nostri sviluppatori devono essere formati?
- Le persone con una laurea o esperienza nello sviluppo di IA sono di norma alfabetizzate, ma secondo la Commissione dipende dallo strumento e dalla loro qualifica. Verificate che conoscano i vostri sistemi di IA, i loro rischi e come mitigarli, e gli aspetti giuridici ed etici.
Pagine correlate
- Checklist AI Act gratuita per il deployer
- AI Act: gli obblighi del deployer che usa LLM
- Modello gratuito di policy per l'uso dell'IA
- Capitolato tecnico gratuito per la gara di un gateway LLM
- EN 18286, la prima norma armonizzata dell'AI Act, per i deployer
- Standard Compute per le aziende
- Glossario: Policy sull'uso dell'IA
Fonti
- Regolamento (UE) 2024/1689 (AI Act): articolo 3, punto 56, articolo 4 nella versione originale, articolo 113 (EUR-Lex), verificato il 2026-11-09
- Regolamento (UE) 2026/1744 (omnibus digitale sull'IA), GU L del 24 luglio 2026: l'articolo 1, punto 5, sostituisce l'articolo 4 (EUR-Lex), verificato il 2026-11-09
- AI Act, articolo 4: alfabetizzazione in materia di IA, testo consolidato (AI Act Service Desk, in inglese), verificato il 2026-11-09
- AI Act, articolo 26: obblighi dei deployer dei sistemi di IA ad alto rischio (in inglese), verificato il 2026-11-09
- AI Act, articolo 113: entrata in vigore e applicazione (in inglese), verificato il 2026-11-09
- Commissione europea: AI literacy, questions and answers (aggiornato il 20 ottobre 2026, in inglese), verificato il 2026-11-09
- Commissione europea: living repository of AI literacy practices (in inglese), verificato il 2026-11-09
Create un account aziendale, date a ogni persona e applicazione la propria chiave con i modelli che approvate e conservate la traccia degli accessi accanto al registro della formazione.