Come Adeguarsi all’Obbligo di Alfabetizzazione AI: Guida Operativa per le Imprese

Perché servono passi concreti, non buone intenzioni

L’obbligo di alfabetizzazione AI previsto dall’articolo 4 dell’AI Act è in vigore dal 2 febbraio 2025. Chi legge questa pagina probabilmente lo sa già. Il problema non è più capire se bisogna adeguarsi, ma come farlo senza sprecare tempo e risorse in attività che non producono conformità reale.

La trappola in cui cadono molte aziende è confondere l’adeguamento con l’acquisto di un corso. Compro un pacchetto e-learning, lo distribuisco ai dipendenti, archivio le ricevute di completamento. Fatto. In realtà, non è fatto nulla. Perché il regolamento non chiede che i dipendenti abbiano frequentato qualcosa. Chiede che l’organizzazione abbia garantito un livello sufficiente di competenze, proporzionato ai sistemi AI effettivamente in uso e ai rischi connessi.

Questa distinzione è operativa, non accademica. Significa che prima di decidere cosa insegnare bisogna sapere cosa c’è da governare. E prima di sapere cosa c’è da governare bisogna guardare dentro l’azienda con un metodo preciso.

Quello che segue è il percorso che uso quando lavoro con le imprese sull’adeguamento all’articolo 4. Non è l’unico possibile, ma è costruito su ciò che il regolamento effettivamente richiede e su ciò che le autorità di controllo ragionevolmente si aspetteranno di trovare in caso di verifica.

Gli effetti concreti di un percorso di adeguamento strutturato

Un piano di conformità all’obbligo di AI literacy non è solo un esercizio normativo. Quando viene costruito con metodo, produce effetti operativi che vanno oltre la compliance. Li elenco perché li ho osservati nelle aziende che hanno già completato il percorso:

• Visibilità sui sistemi AI realmente in uso. La mappatura iniziale porta quasi sempre a scoperte. Strumenti AI attivati da singoli reparti senza autorizzazione, abbonamenti sottoscritti con carte aziendali di cui nessuno in direzione era a conoscenza, plugin AI integrati in software già in uso senza che nessuno li avesse identificati come tali. Questa visibilità è il primo valore concreto del percorso.
• Riduzione del rischio di incidenti non governati. Quando il personale sa cosa può fare un sistema AI e cosa non può fare, il numero di decisioni prese ciecamente sulla base di output automatizzati cala. Non si azzera, ma cala. E ogni decisione sbagliata evitata è un contenzioso in meno.
• Capacità di rispondere alle autorità di controllo. Se domani l’ACN o un’autorità di vigilanza del mercato chiede conto dell’adeguamento, un’azienda con un piano documentato risponde in giorni. Un’azienda senza piano risponde in mesi, con costi legali e reputazionali che si potevano evitare.
• Allineamento interno sulla governance AI. Il percorso di alfabetizzazione costringe l’azienda a prendere decisioni che altrimenti resterebbero sospese: chi autorizza l’uso di nuovi strumenti AI? Chi è responsabile della supervisione? Quali output possono essere usati senza revisione umana e quali no? Queste domande, senza un percorso strutturato, restano senza risposta.
• Base per le scadenze successive dell’AI Act. L’alfabetizzazione è solo il primo obbligo. Dal 2 agosto 2026 saranno pienamente applicabili i requisiti per i sistemi AI ad alto rischio. Chi ha già mappato i propri sistemi e formato il personale parte con un vantaggio operativo significativo rispetto a chi dovrà fare tutto insieme sotto pressione.

Il percorso di adeguamento: cinque fasi operative

Non esiste un template unico per l’adeguamento all’articolo 4. Il regolamento è volutamente flessibile, e l’AI Office della Commissione Europea ha confermato che non impone formati rigidi. Ma la flessibilità non significa assenza di metodo. Quello che segue è un percorso in cinque fasi che risponde a ciò che la norma chiede e a ciò che un’ispezione verificherebbe.

Fase 1: Inventario dei sistemi AI

Il primo passo è sapere cosa c’è. Sembra banale, ma nella pratica è la fase in cui emergono le sorprese più grosse. L’inventario deve coprire tutti i sistemi di intelligenza artificiale utilizzati nell’organizzazione, non solo quelli acquistati consapevolmente dalla direzione.

Cosa cercare: tool di AI generativa (ChatGPT, Claude, Gemini, Copilot), funzionalità AI integrate in software già in uso (filtri predittivi nel CRM, suggerimenti automatici nell’ERP, analisi automatizzate in tool di business intelligence), sistemi di automazione che utilizzano modelli di machine learning, chatbot e assistenti virtuali esposti verso clienti o dipendenti.

Per ogni sistema identificato, servono almeno queste informazioni: nome del sistema, fornitore, funzione svolta, reparto utilizzatore, tipo di dati trattati, livello di autonomia decisionale. Questa scheda diventa la base su cui costruire tutto il resto.

Un errore frequente: limitarsi ai sistemi “ufficiali”. In molte aziende, i dipendenti usano strumenti AI personali per svolgere attività lavorative. Questo fenomeno, che qualcuno chiama shadow AI, è diffuso e va intercettato. Non per vietarlo, ma per governarlo.

Fase 2: Classificazione del rischio e identificazione del personale

Non tutti i sistemi AI sono uguali, e non tutto il personale ha lo stesso livello di esposizione. L’AI Act è costruito su un approccio basato sul rischio, e il piano di alfabetizzazione deve riflettere questa logica.

Per ogni sistema identificato nella Fase 1, va valutato il livello di rischio secondo le categorie dell’AI Act: rischio inaccettabile (sistemi vietati dall’articolo 5), alto rischio (sistemi nell’Allegato III, come quelli usati per selezione del personale, scoring creditizio, decisioni in ambito sanitario), rischio limitato (sistemi con obblighi di trasparenza), rischio minimo (tutti gli altri).

Parallelamente, va identificato chi utilizza ciascun sistema e con quale livello di autonomia decisionale. Un operatore che inserisce dati in un sistema AI ha bisogno di competenze diverse rispetto a un manager che prende decisioni basandosi sugli output di quel sistema. Un tecnico IT che gestisce l’infrastruttura ha bisogno di competenze diverse rispetto a entrambi.

Il risultato di questa fase è una matrice sistemi-persone-rischio che definisce il perimetro della formazione. Senza questa matrice, il piano di alfabetizzazione è generico. E un piano generico, come abbiamo visto, non soddisfa l’obbligo.

Fase 3: Progettazione del piano di alfabetizzazione

Qui si decide cosa insegnare a chi. Il piano deve essere articolato su livelli, coerenti con la matrice prodotta nella Fase 2.

Un livello base per tutto il personale che interagisce con sistemi AI, anche marginalmente. Questo livello copre: cos’è un sistema AI in termini pratici, quali sono i limiti degli output generati automaticamente, perché la supervisione umana è necessaria, quali sono gli obblighi normativi generali che riguardano l’azienda.

Un livello intermedio per chi utilizza sistemi AI nelle proprie attività quotidiane con un grado di autonomia operativa. Questo livello aggiunge: come valutare criticamente un output AI prima di usarlo in una decisione, come riconoscere segnali di bias o errori sistematici, quali procedure seguire quando si rileva un malfunzionamento o un risultato anomalo.

Un livello avanzato per chi gestisce, configura o supervisiona sistemi AI ad alto rischio. Questo livello include: comprensione dei principi tecnici del sistema specifico, conoscenza degli obblighi normativi dettagliati per la categoria di rischio, capacità di condurre verifiche periodiche, gestione della documentazione di conformità.

I contenuti non devono essere astratti. Devono essere ancorati ai sistemi AI effettivamente in uso nell’azienda. Se il reparto HR usa un sistema AI per lo screening dei CV, la formazione del personale HR deve parlare di quel sistema, dei suoi limiti specifici, dei rischi concreti che genera. Non di intelligenza artificiale in generale.

Fase 4: Erogazione e verifica

La modalità di erogazione è libera. Il regolamento non impone aula, e-learning, workshop o qualsiasi altro formato specifico. Quello che conta è che la formazione sia “proattiva”, come ha chiarito l’AI Office. Tradotto: non basta mettere a disposizione un documento e sperare che qualcuno lo legga.

Nella pratica, le modalità più efficaci che ho visto funzionare sono combinazioni di sessioni in presenza (o in video) con materiali di riferimento scritti e momenti di verifica. La verifica non deve essere un esame formale, il regolamento non lo richiede, ma serve a dimostrare che le competenze sono state effettivamente acquisite e non solo erogate.

Un aspetto che molti trascurano: la formazione del management. In diverse aziende ho visto piani di alfabetizzazione costruiti solo per il personale operativo, come se la direzione fosse esente. Non lo è. L’articolo 4 parla di “personale” senza distinzioni gerarchiche. E, paradossalmente, il management è spesso il gruppo con le lacune più grandi, perché prende decisioni strategiche basate su output AI senza avere gli strumenti per valutarne l’affidabilità.

Fase 5: Documentazione e manutenzione

La documentazione è il prodotto finale del percorso. Non un sottoprodotto, non un’appendice. E’ ciò che rende dimostrabile l’adeguamento.

Cosa documentare: l’inventario dei sistemi AI (Fase 1), la matrice sistemi-persone-rischio (Fase 2), il piano di alfabetizzazione con obiettivi per livello (Fase 3), i registri delle attività formative svolte con date, partecipanti e contenuti (Fase 4), le eventuali verifiche di apprendimento effettuate.

Non esiste un formato obbligatorio. Un documento interno, aggiornato periodicamente, conservato in modo accessibile è sufficiente. Ma deve esistere. E deve essere coerente: se nella Fase 1 avete identificato dieci sistemi AI e nella Fase 3 il piano di formazione ne copre solo tre, la documentazione rivela una lacuna che un’autorità di controllo noterebbe.

La manutenzione è l’aspetto più sottovalutato. I sistemi AI cambiano, ne vengono adottati di nuovi, quelli esistenti si aggiornano. Un piano di alfabetizzazione costruito nel 2025 e mai rivisto nel 2026 perde progressivamente aderenza alla realtà operativa dell’azienda. La frequenza di aggiornamento ragionevole dipende dal settore e dalla velocità di evoluzione tecnologica dell’azienda, ma almeno una revisione annuale è il minimo che ha senso prevedere.

Il confronto tra adeguamento improvvisato e adeguamento strutturato

Chi affronta l’adeguamento con metodo ottiene risultati diversi da chi improvvisa. La differenza non è solo di forma.

La colonna di sinistra descrive quello che fanno quasi tutte le aziende che hanno affrontato il tema. La colonna di destra descrive quello che il regolamento si aspetta.

Errori da evitare e limiti del percorso

Delegare tutto a un fornitore esterno senza coinvolgimento interno. Un consulente o un ente formativo può supportare il percorso, ma la conoscenza dei sistemi AI in uso, dei processi e delle persone coinvolte è dentro l’azienda. Se il piano di alfabetizzazione viene costruito interamente dall’esterno senza input interni, sarà generico. E un piano generico non protegge.

Trattare l’adeguamento come un evento una tantum. L’alfabetizzazione AI non è un progetto con una data di fine. E’ un processo continuo che deve adattarsi all’evoluzione dei sistemi utilizzati. L’azienda che oggi usa solo ChatGPT per le email e domani adotta un sistema di scoring automatico per la valutazione dei fornitori avrà bisogno di aggiornare il proprio piano.

Escludere il management. Lo ripeto perché è l’errore più comune. I dirigenti sono spesso i primi a utilizzare output AI per decisioni strategiche e gli ultimi a ricevere formazione. Questo crea un rischio doppio: decisioni prese senza consapevolezza dei limiti del sistema, e impossibilità di dimostrare che chi decide aveva le competenze per farlo.

Aspettarsi che il regolamento dica esattamente cosa fare. L’AI Act è deliberatamente flessibile sull’articolo 4. Non prescrive ore, formati, contenuti minimi standardizzati. Questo non è un difetto, è una scelta normativa che permette di adattare l’adeguamento alla realtà di ciascuna organizzazione. Ma richiede capacità di progettazione, non solo esecuzione.

Un limite reale da accettare: nessun piano di alfabetizzazione elimina il rischio. Riduce l’esposizione, dimostra diligenza, costruisce competenze. Ma un dipendente formato può comunque commettere errori nell’uso di un sistema AI. La differenza è che un’azienda con un piano documentato può dimostrare di aver fatto il possibile. Un’azienda senza piano non può dimostrare nulla.

Domande frequenti sull’adeguamento operativo

Da dove parto se la mia azienda non ha mai fatto nulla?

Dall’inventario. Prima di qualsiasi altra cosa, serve sapere quali sistemi AI sono in uso nell’organizzazione. Può essere un’attività semplice (mezza giornata per una piccola azienda) o complessa (settimane per un’organizzazione con centinaia di dipendenti e decine di applicativi). Ma senza questo passo, tutto il resto è costruito su ipotesi.

Posso usare un corso e-learning standard per adeguarmi?

Come componente del piano, si. Come unica azione di adeguamento, no. Un corso generico può coprire il livello base di alfabetizzazione per tutto il personale, ma non sostituisce la mappatura dei sistemi, la classificazione del rischio, la differenziazione dei percorsi per ruolo e la documentazione del processo. Se il vostro adeguamento consiste solo in un corso e-learning, non è un adeguamento.

Quanto tempo richiede il percorso completo?

Per una PMI con 20-80 dipendenti e un numero limitato di sistemi AI in uso, il percorso dalla mappatura alla documentazione finale richiede tipicamente 4-8 settimane, a seconda della complessità organizzativa e della disponibilità delle persone coinvolte. Non è un progetto che blocca l’azienda. E’ un percorso che si integra nelle attività ordinarie.

Devo rifare tutto ogni anno?

No. La revisione annuale riguarda l’aggiornamento dell’inventario (sono stati adottati nuovi sistemi AI?), la verifica dell’adeguatezza del piano formativo rispetto ai sistemi attuali, e l’eventuale integrazione per il personale nuovo o per ruoli che hanno cambiato livello di esposizione. Non si ricomincia da zero ogni volta.

Cosa succede se un mio collaboratore esterno usa AI senza formazione?

La responsabilità è dell’azienda. L’articolo 4 copre “qualsiasi altra persona che si occupa del funzionamento e dell’utilizzo dei sistemi di IA per conto” dell’organizzazione. Se un collaboratore esterno utilizza strumenti AI per produrre lavoro destinato alla vostra azienda, dovete poter dimostrare che aveva le competenze necessarie. Questo va gestito contrattualmente e operativamente.

Il mio consulente IT può gestire tutto il percorso?

Può gestire la parte tecnica dell’inventario e della classificazione. Ma il piano di alfabetizzazione richiede competenze normative (conoscenza dell’AI Act e delle sue implicazioni), competenze organizzative (progettazione di percorsi formativi per ruolo) e competenze di processo (documentazione strutturata). Raramente queste competenze sono tutte in capo a un singolo consulente IT.

Il prossimo passo dipende da dove sei adesso

Alcune aziende partono da zero: nessuna mappatura, nessun piano, nessuna idea di quanti sistemi AI siano attivi al proprio interno. Altre hanno già fatto qualcosa ma sospettano che non sia sufficiente. Altre ancora hanno un piano ma non sanno se reggerebbe un’ispezione.

In tutti e tre i casi, il punto di partenza è lo stesso: capire dove sei adesso rispetto a ciò che il regolamento richiede. Da lì si costruisce il percorso, con le priorità giuste e senza sprechi. Se vuoi fare questa valutazione insieme, scrivimi a achille@falzone.it o chiamami al 335 83 626 71.