Alfabetizzazione sull'IA: l'obbligo che hanno tutti.

L'articolo 4 è l'obbligo di cui quasi nessuno ha sentito parlare e che quasi tutti hanno. Vale allo stesso modo per fornitori e deployer, non ha una soglia legata al livello di rischio ed è sanzionabile dal 2 agosto 2026. Se il tuo personale usa sistemi di IA nel proprio lavoro - compresi ChatGPT, un copilota per l'assistenza clienti o un modello di scoring - l'articolo 4 vale per te.

È anche l'obbligo più economico da assolvere di tutto il regolamento. Un pomeriggio e un documento datato, fatti per bene, lo chiudono.

Che cosa dice davvero

Fornitori e deployer devono adottare misure per garantire, nella misura del possibile, un livello sufficiente di alfabetizzazione in materia di IA del proprio personale e delle altre persone che si occupano del funzionamento e dell'uso dei sistemi di IA per loro conto - tenendo conto delle loro conoscenze tecniche, della loro esperienza, della loro istruzione e formazione e del contesto in cui i sistemi sono usati.

Da quella formulazione discendono tre cose, e ciascuna fa inciampare le persone:

• «Sufficiente» è relativo, non assoluto. Non c'è un programma di studi e non c'è un attestato. Ciò che è sufficiente per un data scientist è diverso da ciò che è sufficiente per un addetto all'assistenza che usa un copilota.
• Copre le «altre persone che agiscono per tuo conto». Collaboratori esterni e personale in somministrazione che fanno funzionare i tuoi sistemi di IA rientrano. Il tipo di contratto non è il criterio.
• È contestuale. L'alfabetizzazione di un team che gestisce un modello per la selezione del personale deve coprire più cose di quella di un team che usa uno strumento interno per i riassunti.

Che cosa conta come conformità

Non c'è un formato prescritto, il che spiazza ma è anche generoso: significa che uno sforzo proporzionato e ben documentato è difendibile. Per una piccola azienda, realisticamente si presenta così:

Il punto è la registrazione. Per un'autorità di vigilanza, una sessione non documentata e nessuna sessione sono identiche. Se hai già istruito il tuo team in modo informale, mettilo per iscritto e datalo: potresti essere già quasi arrivato.

Che cosa non è

Non è una certificazione. Non serve alcun corso accreditato e nessuno ti rilascia niente. I fornitori che vendono la «certificazione di alfabetizzazione per il regolamento sull'IA» vendono comodità, non un requisito di legge.

Non è un corso di prompt engineering. L'obiettivo è un uso informato e critico - capire limiti e rischi e sapere quando non fidarsi dell'output - non ottenere risultati migliori dallo strumento.

Non riguarda solo i deployer ad alto rischio. È la lettura sbagliata più comune. L'articolo 4 sta nel capo I, prima di tutto il meccanismo dei livelli di rischio. Un'azienda i cui sistemi di IA sono tutti a rischio minimo lo deve comunque.

Perché conta più di quanto le sue dimensioni suggeriscano

Le violazioni dell'articolo 4 ricadono sotto l'articolo 99(4): fino a 15 milioni di euro o al 3% del fatturato mondiale, oppure, per le PMI, il valore più basso tra i due. Nessuno si aspetta un'azione sanzionatoria basata solo sull'alfabetizzazione. Il rischio realistico è un altro: la questione emerge durante un'indagine sul GDPR, una verifica in fase di acquisto o una due diligence, come prova del fatto che il regolamento l'hai preso sul serio oppure no.

L'articolo 99(7) impone alle autorità di valutare se l'operatore abbia agito con negligenza e quali misure abbia adottato. Una registrazione datata dell'alfabetizzazione è una prova a buon mercato che l'hai fatto.

Inoltre si abbina agli altri due obblighi già vivi. Se ti ci metti, falli tutti e tre insieme: l'informativa dell'articolo 50 su tutto ciò che è rivolto agli utenti, e un controllo sull'articolo 5 per assicurarti che niente di ciò che fai girare sia vietato del tutto.

Domande frequenti

Che cosa richiede l'articolo 4 del regolamento sull'IA?

Fornitori e deployer devono adottare misure per garantire, nella misura del possibile, un livello sufficiente di alfabetizzazione in materia di IA del personale e delle altre persone che fanno funzionare sistemi di IA per loro conto - tenendo conto delle loro conoscenze tecniche, dell'esperienza, dell'istruzione e del contesto d'uso. Non esiste un programma di studi né una certificazione prescritti.

L'articolo 4 vale per le piccole aziende?

Sì. L'articolo 4 sta nel capo I, prima del meccanismo dei livelli di rischio, e non prevede esenzioni per dimensione né soglie di rischio. Un'azienda i cui sistemi di IA sono tutti a rischio minimo lo deve comunque.

Mi serve un corso certificato di alfabetizzazione in materia di IA?

No. Non è richiesto alcun corso accreditato e nessuno rilascia un attestato che assolva l'obbligo. I fornitori che vendono certificazioni di alfabetizzazione per il regolamento sull'IA vendono comodità, non un requisito di legge.

Come dimostro la conformità sull'alfabetizzazione in materia di IA?

Con una registrazione. Un inventario di quali sistemi di IA sono in uso e da parte di chi, una sessione adeguata al ruolo che copra che cosa fanno i sistemi, dove sbagliano e quando decide una persona, e una nota datata su chi ha partecipato e che cosa è stato trattato. Per un'autorità di vigilanza, una sessione non documentata e nessuna sessione sono identiche.

L'articolo 4 copre i collaboratori esterni?

Sì. Raggiunge il personale e le altre persone che si occupano del funzionamento e dell'uso dei sistemi di IA per tuo conto, quindi i collaboratori esterni e il personale in somministrazione che fanno funzionare i tuoi sistemi rientrano. Il tipo di contratto non è il criterio.