Articolo 4 AI Act: alfabetizzazione AI obbligatoria dal 2 febbraio 2025

A chi si applica

Tutti i deployer e fornitori, indipendentemente dal livello di rischio del sistema.

A differenza degli obblighi documentali degli artt. 6-49 (che si applicano solo ai sistemi alto rischio dell'allegato III), l'articolo 4 si applica a tutti i sistemi AI senza distinzione di livello di rischio. Significa: anche un'azienda che usa solo ChatGPT in modo informale è tenuta a documentare la formazione del proprio personale.

Il perimetro soggettivo è ampio. Include il personale dipendente (a tempo determinato e indeterminato), i collaboratori esterni che operano sui sistemi AI per conto dell'azienda (consulenti, freelance, agenzie partner), gli interini e gli stagisti che usano AI nelle loro attività. Esclude i destinatari finali esterni (clienti, utenti) per i quali si applicano gli obblighi di trasparenza dell'art. 50.

Per le multinazionali con HQ extra-UE che hanno filiali italiane, l'obbligo si applica al personale che lavora in Italia o che opera sui sistemi AI il cui output è usato nell'Unione. Il principio di territorialità AI Act è particolarmente esteso: se l'output di un sistema AI prodotto fuori UE viene usato nell'Unione, gli obblighi si applicano anche al fornitore extra-UE.

Cosa significa "livello sufficiente"

Una soglia non numerica, ma con criteri operativi consolidati.

Il legislatore europeo ha volutamente evitato una metrica numerica per "livello sufficiente": la rapidità di evoluzione dell'AI avrebbe reso obsoleto qualunque parametro fissato. La normativa richiede invece quattro caratteristiche operative del percorso formativo, su cui la Commissione e ACN sviluppano linee guida.

• Strutturazione: programma scritto con obiettivi specifici, non auto-apprendimento informale.
• Documentazione: materiali archiviati, registri presenze, evidenze del programma erogato.
• Tracciabilità: chi ha completato cosa, quando, con quale risultato individuale al test finale.
• Aggiornamento continuo: refresh annuale per mantenere il livello rispetto all'evoluzione del settore.

In assenza di una soglia oraria normativa, la prassi consolidata è 4-8 ore minimo per il livello base, 12-20 ore per il livello operativo, 24-40 ore per il livello avanzato. La proporzionalità all'art. 4 va però giustificata caso per caso nel fascicolo: non è sufficiente "fare le ore", serve dimostrare l'apprendimento.

Sanzioni indirette

L'art. 4 non ha sanzioni dirette, ma è aggravante per le violazioni dell'art. 99.

Il Regolamento non prevede una sanzione pecuniaria specifica per l'inosservanza dell'art. 4. Questo lo rende apparentemente "innocuo" rispetto agli artt. 5 (€35M) o 6-49 (€15M). La realtà operativa è diversa: la mancata alfabetizzazione del personale è considerata aggravante in caso di altre violazioni del Regolamento o del GDPR.

Tre scenari concreti di esposizione indiretta. Primo: incidente con sistema AI alto rischio in azienda con personale non formato. La sanzione AI Act art. 99 (fino €15M) viene irrogata nella fascia massima della soglia, perché l'assenza di alfabetizzazione documentata aggrava la responsabilità. Secondo: leak di dati personali tramite uso improprio di ChatGPT da parte di un dipendente non formato. Sanzione GDPR art. 83 (fino €20M) cumulativa con eventuali sanzioni AI Act per violazioni connesse.

Terzo e meno visibile ma più frequente: la perdita di clienti enterprise che includono la conformità AI Act nei requisiti contrattuali. Fornitori senza fascicolo art. 4 vengono esclusi da bandi e gare, anche senza sanzione formale ACN. È l'esposizione che colpisce per prima le PMI: 12-18 mesi prima della vigilanza piena, già si vedono i primi casi di clienti che richiedono evidenze formative come prerequisito.

In sintesi: l'art. 4 è meno sanzionato direttamente, ma più frequentemente contestato. Costruire un fascicolo formativo solido entro la prima metà del 2026 riduce sia l'esposizione regolamentare sia quella commerciale.