Alfabetizzazione AI richiesta dall'AI Act ai dipendenti: come organizzarla nel rilascio

L'alfabetizzazione AI richiesta dall'AI Act ai dipendenti è l'obbligo, per chi fornisce o usa sistemi di IA, di adottare misure che sostengano lo sviluppo delle competenze del personale. Lo fissa l'articolo 4 del Regolamento (UE) 2024/1689, che si applica dal 2 febbraio 2025. Dal 27 luglio 2026 l'articolo 4 vale nel testo modificato dal Regolamento (UE) 2026/1744. L'obbligo riguarda anche l'azienda che si limita a usare un assistente come Claude nel lavoro quotidiano.

L'alfabetizzazione AI è l'insieme delle competenze per comprendere possibilità, limiti e rischi di un sistema di IA. Comprende anche la capacità di agire correttamente nel proprio contesto professionale. Non coincide con la capacità di usare bene un prodotto. Riguarda il giudizio: sapere quando fidarsi di un risultato, quando verificarlo e quando fermarsi.

Il Regolamento, anche nella versione italiana, usa il termine deployer per indicare chi usa un sistema di IA sotto la propria autorità. Può trattarsi di una persona fisica o giuridica, un'autorità pubblica, un'agenzia o un altro organismo, salvo l'uso in un'attività personale non professionale. Un'impresa che dà Claude Team ai propri collaboratori, o che mette un agente AI davanti al proprio service desk, è quindi un deployer.

Questa guida spiega che cosa chiede l'articolo 4 dopo le modifiche del 2026 e chi coinvolge. Mostra poi come documentarlo e come costruirlo dentro il rilascio di un sistema, invece di trattarlo come un corso separato.

Dopo le modifiche del 2026, l'articolo 4 dell'AI Act chiede a fornitori e deployer di adottare misure volte a sostenere lo sviluppo dell'alfabetizzazione del personale, senza obbligo di garantire un livello specifico di competenza. Documentare queste misure non è un obbligo espresso, ma è il modo più semplice per mostrarle se richiesto. Il Regolamento (UE) 2024/1689 è del 13 giugno 2024 ed è stato pubblicato nella Gazzetta ufficiale il 12 luglio 2024. La pagina del Regolamento su EUR-Lex indica che l'atto è stato modificato e riporta una versione consolidata al 27 luglio 2026.

Il considerando 20 afferma che l'alfabetizzazione in materia di IA dovrebbe dotare i fornitori, i deployer e le persone interessate delle nozioni necessarie per prendere decisioni informate in merito ai sistemi di IA.

Il rinvio di alcune scadenze deciso nel 2026 non tocca l'articolo 4. Gli slittamenti riguardano i sistemi ad alto rischio, ora fissati al 2 dicembre 2027 e al 2 agosto 2028. L'alfabetizzazione, invece, non dipende dal livello di rischio. Anche per un sistema a rischio minimo, che non ha obblighi propri, occorre adottare misure a sostegno dell'alfabetizzazione del personale.

Il testo completo con le note è disponibile nella nostra versione annotata in italiano dell'AI Act.

L'obbligo di alfabetizzazione AI riguarda tutte le persone che usano sistemi di IA per conto dell'azienda, non solo i dipendenti assunti. Rientrano il personale e qualsiasi altra persona che si occupa del funzionamento e dell'utilizzo dei sistemi per conto dell'azienda. Rientrano anche collaboratori, professionisti incaricati, lavoratori somministrati e stagisti che usano gli strumenti nell'attività dell'organizzazione.

L'obbligo non prevede soglie dimensionali. Un'impresa di cinque persone che usa Claude per redigere offerte ha lo stesso obbligo di un gruppo con centinaia di dipendenti. Cambia la misura, non l'esistenza dell'obbligo.

La misura si proporziona al ruolo, al contesto operativo e agli utilizzi effettivi. Il Regolamento segue un approccio basato sul rischio: il livello di attenzione cresce con il possibile impatto dell'IA sulle persone, sulla sicurezza, sulla salute e sui diritti fondamentali. In pratica, chi usa un assistente per riassumere verbali interni ha bisogno di meno di chi lo usa per rispondere a clienti o per gestire richieste che toccano dati personali.

Questo criterio di proporzionalità è utile anche per pianificare. Invece di un unico percorso uguale per tutti, si individuano pochi profili d'uso e si definisce per ciascuno che cosa deve sapere. Il paragrafo sulla documentazione, più avanti in questa guida, traduce i profili in una tabella.

Un percorso di alfabetizzazione AI può essere ricondotto a quattro capacità pratiche. Sono un modo concreto di tradurre l'articolo 4 in comportamenti osservabili:

1. riconoscere quando si sta usando un sistema di IA;
2. comprendere il rischio legato a quell'uso;
3. usare il sistema secondo regole definite dall'azienda;
4. segnalare dubbi e anomalie a chi controlla il sistema.

Riconoscere l'IA è meno ovvio di quanto sembri. L'IA compare negli strumenti di scrittura, nei chatbot, nei software di marketing, nei CRM come Zoho CRM, nei sistemi per le risorse umane e nelle applicazioni di sicurezza informatica. Un sistema di IA si distingue da una formula o da un'automazione perché inferisce un output dai dati, invece di eseguire un flusso prestabilito.

Comprendere il rischio significa sapere che un testo generato può apparire plausibile e contenere errori, omissioni o informazioni inventate. La responsabilità della verifica resta a chi usa il risultato.

Usare secondo regole comprende anche la protezione dei dati. Eliminare soltanto un nome da un documento può lasciare altri elementi sufficienti a identificare una persona. Segnalare chiude il ciclo: chi nota un comportamento anomalo deve sapere a chi dirlo e come.

La formazione all'uso di Claude insegna a usare il prodotto, mentre l'alfabetizzazione AI richiesta dall'articolo 4 insegna a giudicarne i risultati e i limiti. Le due cose si sovrappongono solo in parte. Un collaboratore può saper organizzare Projects, attivare un connector e lavorare bene in Cowork, e incollare comunque dati di clienti dove non dovrebbe.

La formazione sul prodotto risponde alla domanda "come si fa". L'alfabetizzazione risponde a "quando posso fidarmi, che cosa controllo, che cosa non devo fare". Per l'articolo 4 conta soprattutto la seconda, ed è anche quella che conviene documentare per poterla mostrare se richiesto.

Uno schema pratico per combinare i due piani è una base comune per tutti più un livello specifico per ruolo. La base comune spiega che cosa sono i sistemi di IA, perché l'output va verificato e quali dati non inserire. Il livello per ruolo entra nei compiti concreti, per esempio come un operatore controlla una risposta prima di inviarla a un cliente. È lo stesso schema che conviene applicare quando si introduce un assistente AI.

Il modo più efficace di soddisfare l'articolo 4 è produrre le misure di alfabetizzazione mentre si rilascia il sistema. Le decisioni di progetto, infatti, sono già le regole d'uso. Si prenda un'azienda che introduce un assistente su Claude dentro Microsoft Teams, collegato a Zoho Desk. L'assistente raccoglie le richieste IT dei colleghi e apre i ticket.

Il rilascio procede così:

1. si individuano i profili d'uso: i colleghi che chiedono aiuto, gli operatori del service desk che lavorano sui ticket, il responsabile IT che controlla il sistema;
2. per ogni collegamento con Zoho Desk si confrontano connector, MCP server, plugin e skill con il loro costo; l'azienda sceglie e decide i permessi;
3. i permessi e i limiti decisi diventano una nota d'uso di una pagina per ciascun profilo;
4. gli operatori provano alcuni casi reali e verificano dove l'assistente sbaglia lo smistamento;
5. si registra chi ha ricevuto la nota, quando, e l'esito della prova.

Quando Svennis rilascia un assistente, scriviamo la nota d'uso per ruolo insieme alla configurazione dei permessi. La verifichiamo con le persone che lo useranno prima dell'avvio, così la prova di alfabetizzazione nasce dal progetto e non da un corso aggiunto dopo.

La quarta capacità, segnalare, coincide qui con il passaggio dall'assistente AI all'operatore umano: ogni utente deve sapere come chiedere una persona. Il servizio completo è descritto nella pagina dell'assistente AI per il service desk.

Per documentare l'alfabetizzazione AI serve una registrazione per profilo d'uso che mostri che cosa è stato spiegato, a chi e con quale verifica. L'AI Act non prevede un albo, una certificazione di Stato o un attestato con validità legale. Non fissa nemmeno un monte ore, un programma minimo o una periodicità. La prova è quindi interna, e deve essere ordinata.

La tabella riassume un'impostazione per l'esempio del service desk.

Profilo	Che cosa deve sapere	Evidenza da conservare
Tutti i dipendenti	Riconoscere l'IA, sapere che l'output può essere errato, quali dati non inserire	Nota di base consegnata, data, elenco dei destinatari
Operatori del service desk	Controllare lo smistamento, correggere i ticket, quando escalare	Programma, materiali, esito della prova sui casi reali
Responsabile del sistema	Permessi, limiti dei collegamenti, gestione delle segnalazioni	Documento di configurazione, registro delle anomalie
Collaboratori esterni e stagisti	Le stesse regole del profilo in cui operano	Stesse evidenze del profilo, con data di inizio incarico

Tra le evidenze da conservare rientrano l'elenco dei partecipanti, la data, il programma, i materiali usati e l'esito della verifica dell'apprendimento. Conviene aggiornarle a ogni modifica rilevante del sistema. Le segnalazioni raccolte sono utili anche per misurare un assistente AI con le metriche dell'help desk.

Per un'azienda italiana l'obbligo di alfabetizzazione AI si intreccia con la protezione dei dati personali. L'AI Act dichiara di non voler incidere sull'applicazione del diritto dell'Unione sul trattamento dei dati personali. Il GDPR resta quindi pienamente in vigore accanto all'articolo 4.

Federprivacy, in una sintesi pubblicata su Community Omniavis, collega l'alfabetizzazione al principio di accountability del GDPR: la formazione è considerata un presupposto per la corretta protezione dei dati. Secondo la stessa fonte, senza un'adeguata formazione dei dipendenti il rischio di violazioni della privacy e di trattamenti illeciti aumenta sensibilmente. In pratica, la nota d'uso per ruolo serve a entrambi gli obblighi.

Le Pubbliche Amministrazioni rientrano tra gli utilizzatori obbligati. La stessa fonte osserva che il dipendente pubblico dovrà partecipare attivamente ai programmi di formazione sull'alfabetizzazione AI organizzati dall'ente. Il D.Lgs. 179/2026, in vigore dal 23 ottobre 2026, collega inoltre la formazione sull'IA ai percorsi formativi di sanità, scuola, pubblica amministrazione e professioni ordinistiche.

Per l'alfabetizzazione del personale di un'impresa privata il riferimento principale resta l'articolo 4 del Regolamento. Chi esercita una professione ordinistica deve però verificare anche gli obblighi formativi previsti dal D.Lgs. 179/2026 e dal proprio ordine. Il datore di lavoro resta inoltre tenuto agli obblighi di informazione dei lavoratori sull'uso dell'IA previsti dalla normativa nazionale. Come trattiamo dati e conformità quando colleghiamo Claude ai sistemi aziendali è spiegato in come funziona Claude in azienda, tra dati, GDPR e AI Act.

Il primo passo concreto è sapere quali sistemi di IA la Sua azienda usa già, compresi quelli integrati in programmi che non si presentano come "AI". Da lì il resto segue in ordine.

1. Elencare i sistemi di IA in uso: assistenti, funzioni AI del CRM, chatbot sul sito, strumenti di scrittura.
2. Per ciascun sistema, individuare i profili d'uso e chi lo controlla.
3. Scrivere una nota d'uso per profilo, con i dati che non si inseriscono e i controlli da fare sull'output.
4. Verificare la comprensione con casi reali e registrare partecipanti, data, materiali ed esito.
5. Aggiornare note ed evidenze quando il sistema o i suoi collegamenti cambiano.

Se sta per introdurre un nuovo assistente, conviene inserire questi passi nel piano di rilascio. Nel nostro percorso in quattro passi (Workshop, Pilot Claude A per un agente su un processo o Pilot Claude B con Claude Team per tutto il team, Activation del reparto, poi gestione mensile) le note d'uso e le evidenze fanno parte della consegna.

Per capire da dove partire, la valutazione di prontezza all'AI aiuta a fare l'inventario dei sistemi e dei profili prima di decidere.