La formazione sull'IA è obbligatoria dal 2025. E quasi nessuno te la racconta giusta

Prova a fare questa domanda in ufficio: chi di voi, nell'ultimo mese, ha usato ChatGPT o qualcosa di simile per lavoro? Le mani che si alzano sono sempre più di quante il titolare si aspettasse. Poi ne salta fuori un'altra che l'ha usato ma non lo dice, e magari con l'account personale.

Da quel momento in azienda c'è un obbligo di legge. Non uno di quelli che arriveranno fra due anni: c'è già, dal 2 febbraio 2025.

Lo prevede l'articolo 4 del regolamento europeo sull'intelligenza artificiale, quello che tutti chiamano AI Act. Sono due frasi in croce, e forse è proprio per questo che viene raccontato male: c'è chi lo ignora del tutto e chi lo trasforma in una minaccia che non è.

Cosa c'è scritto davvero

La norma chiede a chi fornisce e a chi usa sistemi di IA di adottare misure per garantire un livello sufficiente di alfabetizzazione al proprio personale, e a chiunque lavori con quei sistemi per conto loro. Poi aggiunge che il livello va commisurato alle conoscenze tecniche delle persone, alla loro esperienza, e al contesto in cui i sistemi vengono usati.

In pratica: chi tocca l'IA deve sapere cosa sta usando. Non deve diventare un ingegnere. Deve però avere idea di cosa fa quello strumento, di cosa non sa fare, e soprattutto di dove può combinare danni.

E quindi chi riguarda

Qui casca l'asino, perché molti danno per scontato che sia roba da grandi aziende. L'obbligo invece non guarda né la dimensione né il livello di rischio del sistema. Vale per i fornitori, cioè chi sviluppa e mette sul mercato, e vale per i deployer: chiunque usi un sistema di IA nella propria attività professionale.

• Lo studio di tre persone che si fa buttare giù la bozza di un contratto
• L'agenzia che genera immagini per i clienti
• L'azienda che ha messo un sistema di riconoscimento difetti sulla linea
• Il commercialista che si fa riassumere i documenti prima di leggerli

Sono tutti deployer. Nessuna soglia di fatturato, nessuna esenzione per le microimprese.

Adesso il punto delle multe

Se cerchi in giro trovi scritto quasi ovunque che chi non forma il personale rischia fino a 15 milioni di euro, o il 3% del fatturato mondiale. Cifre che fanno un certo effetto in una slide.

Peccato che non sia così. L'articolo 99 dell'AI Act è quello che elenca le violazioni sanzionabili e i relativi massimali, e se lo apri l'articolo 4 lì dentro non c'è. Oggi non esiste una multa agganciata direttamente alla mancata alfabetizzazione.

Lo scrivo perché è il tipo di dettaglio che passa da un articolo all'altro per copiatura, e alla fine se lo ripetono tutti. Ma attenzione, non è una buona notizia come sembra.

Il rischio esiste eccome. È solo di un altro tipo, e per certi versi ti conviene meno.

Il personale non formato diventa un'aggravante quando succede qualcos'altro. Un dipendente carica dati personali dove non doveva, un sistema tira fuori un esito discriminatorio, salta su una questione di trasparenza: a quel punto l'autorità guarda anche alle misure organizzative che avevi messo in piedi. Se hai formato le persone hai qualcosa da mostrare. Se non l'hai fatto, stai praticamente ammettendo di non esserti posto il problema.

In Italia il quadro si sta ancora componendo. La legge 132/2025 ha indicato ACN e AgID come autorità di riferimento, i decreti attuativi su vigilanza e sanzioni sono attesi, e il regime sanzionatorio del regolamento diventa pienamente operativo dal 2 agosto 2026.

In concreto cosa devo fare

La buona notizia è che la norma non impone un monte ore, non impone un attestato e non impone di rivolgersi a un fornitore accreditato. Conta il risultato: devi essere in grado di dimostrare che le persone hanno un livello adeguato al ruolo che ricoprono. Il che lascia molta libertà su come arrivarci.

• Una ricognizione onesta degli strumenti di IA che girano davvero in azienda, compresi quelli che nessuno ha mai autorizzato
• Percorsi diversi per chi decide, chi usa tutti i giorni e chi sviluppa: mettere tutti nella stessa aula non funziona
• Contenuti su capacità e limiti dei modelli, non solo su quali comandi digitare
• Il capitolo su dati personali e riservatezza, che è poi dove si fanno i danni seri
• Date, partecipanti, materiali conservati: se non è documentato, per un'autorità non è mai successo
• Un ripasso ogni tanto, perché questi strumenti cambiano ogni pochi mesi

Poi, al di là dell'obbligo

Mettiamo per un attimo da parte il regolamento. Nelle aziende dove le persone non sanno bene cosa stanno usando, i soldi si perdono in due modi opposti e tutti e due fastidiosi.

Da una parte c'è chi si fida troppo, manda ai clienti testi che nessuno ha riletto e carica documenti dove non dovrebbe. Dall'altra c'è chi non si fida per niente e continua a fare a mano, per ore, cose che una macchina sbrigherebbe in un minuto. Nel mezzo non c'è quasi nessuno, e il motivo di solito è che nessuno ha mai spiegato niente.

Ecco, la formazione serve a questo. Il timbro sulla cartellina viene dopo.