AI Act per aziende e professionisti: come metterti a norma

In breve: l'articolo 4 dell'AI Act è applicabile dal 2 febbraio 2025 e chiede misure di alfabetizzazione sull'intelligenza artificiale proporzionate al ruolo delle persone che la usano. Non chiede un attestato né un numero minimo di ore. È un obbligo di mezzi: a un'autorità devi poter mostrare un percorso documentato, non un certificato appeso al muro.

Da dove viene quello che leggi. I contenuti di questa guida sono tratti dal corso AI Act: mettere l'azienda a norma AI, 16 lezioni per 1 ora e 53 minuti tenute da Alessandro Vercellotti, avvocato del digitale e founder di Legal for Digital. In ogni sezione trovi il link alla lezione da cui è preso il passaggio, così puoi verificare la fonte e approfondire il punto che ti serve invece di leggere tutto. I riferimenti normativi rimandano al testo ufficiale del regolamento.

Una premessa di trasparenza: noi vendiamo corsi, quindi su un tema come questo abbiamo un interesse. Ecco, l'abbiamo detto. Proprio per questo la guida è costruita per essere utile anche a chi non compra niente: i template sono aperti, la norma è linkata alla fonte e la sezione più importante spiega perché la cifra che stai vedendo circolare sulle sanzioni non ti riguarda.

Cosa chiede l'articolo 4 e cosa non chiede

L'articolo 4 dell'AI Act, il Regolamento UE 2024/1689, è applicabile dal 2 febbraio 2025. Per un anno e mezzo quasi nessuno si è mosso, per una ragione comprensibile: mancava chi potesse far rispettare la regola. Dal 2 agosto 2026 i poteri sanzionatori delle autorità nazionali sono operativi, quindi da quel momento esiste qualcuno che può chiedere conto.

Nel frattempo è arrivato il Digital Omnibus, il pacchetto di semplificazione entrato in vigore il 27 luglio 2026, che ha rimandato alcune scadenze del regolamento. Qui nasce l'equivoco più diffuso di queste settimane: molti hanno letto "rinvio" e hanno concluso che valesse per tutto. L'obbligo di alfabetizzazione dell'articolo 4 non è stato spostato, era già applicabile prima e lo è ancora.

Le scadenze che restano davanti sono altre: gli obblighi sui sistemi ad alto rischio dell'allegato III arrivano a dicembre 2027, quelli sui sistemi incorporati nei prodotti dell'allegato I ad agosto 2028. Sono le date che contano se progetti o rivendi tecnologia. Non sono quelle che ti riguardano se ti limiti a usare l'AI nel lavoro di tutti i giorni.

Quello che la norma chiede è un livello sufficiente di alfabetizzazione per il personale che si occupa dei sistemi, tenendo conto delle competenze, del contesto e delle persone su cui i sistemi vengono usati. Nella norma non trovi un numero di ore, un programma standard né un attestato valido. Chi legge cercando un adempimento da comprare esce a mani vuote e conclude che il problema non esista. È l'errore più costoso, perché nel frattempo l'obbligo corre.

La differenza tecnica è tra obbligo di mezzi e obbligo di risultato. Un obbligo di risultato ti chiede uno stato verificabile, tipo un attestato valido, poi ti misura su quello stato. L'articolo 4 ti chiede misure adeguate e ti misura sulla ragionevolezza delle misure: quali sistemi usi, chi li tocca, con quale profondità hai formato ognuno di questi gruppi. L'adempimento è un processo documentato, non un acquisto.

Questo ha una conseguenza pratica che conviene interiorizzare: un attestato senza il ragionamento dietro vale meno di un registro fatto bene senza attestato. E chi ti vende il certificato come soluzione completa ti sta vendendo la parte più facile del lavoro.

Il modo di renderlo proporzionato è distinguere per ruolo. Chi usa l'AI ogni giorno su dati di clienti ha bisogno di una preparazione diversa da chi la usa una volta al mese per riformulare una mail, che a sua volta è diverso da chi decide quali strumenti entrano in azienda. Tre livelli sono di norma sufficienti, con accanto la colonna che li giustifica: è quella che distingue un registro solido da un elenco di presenze.

Approfondimento nel corso: Comprendere cosa chiede l'articolo 4 dopo il Digital Omnibus e l'overview sull'obbligo di formazione.

Sei fornitore o utilizzatore secondo l'AI Act

Il primo passaggio è capire in che posizione ti trovi, prima di pensare alla formazione. La norma distingue due ruoli: il provider è chi sviluppa un sistema di AI e lo mette sul mercato con il proprio nome, il deployer è chi lo usa dentro un processo di lavoro. La distinzione conta perché gli obblighi sono molto diversi in peso.

Il punto che sfugge quasi sempre: il ruolo si definisce per singolo sistema, non per azienda. La stessa società può essere deployer sullo strumento di customer care che ha comprato in abbonamento e provider sul chatbot che ha costruito e rivende ai clienti. I due ruoli coesistono senza contraddizione e vanno dichiarati separatamente strumento per strumento.

C'è una regola pratica che risolve il 90% dei dubbi: se vendi l'output che l'AI ti aiuta a produrre, sei deployer. Se vendi lo strumento che produce l'output, sei provider. Un'agenzia che genera creatività con l'AI e le consegna al cliente resta deployer. La stessa agenzia che pacchettizza il suo flusso in uno strumento in abbonamento diventa provider su quel prodotto.

Per la maggior parte delle aziende italiane e per quasi tutti i liberi professionisti la risposta è deployer. Che significa: gli obblighi pesanti su documentazione tecnica, gestione del rischio all'origine e valutazione di conformità prima del mercato non ti riguardano. Ti riguardano formazione, trasparenza e attenzione ai sistemi ad alto rischio.

Il secondo passaggio è il livello di rischio, perché l'AI Act parte dal rischio, non dagli obblighi. Ogni sistema si colloca su un livello e il livello determina cosa devi fare. Chi salta questo passaggio finisce per applicare a un generatore di testi le cautele che servirebbero a un software di selezione del personale, oppure il contrario, che è il problema serio.

I casi che spostano il livello sono meno esotici di quanto sembri. Un software che filtra i curriculum in fase di selezione è alto rischio. Un sistema che assegna un punteggio ai clienti per decidere l'accesso a una dilazione di pagamento è alto rischio. Un assistente che ti scrive la bozza di una mail commerciale è basso rischio. Se stai facendo la seconda cosa credendo di fare la terza, il problema è il sistema, non la formazione.

La lettura in una frase: il livello di rischio dipende da quanto la decisione pesa sulla vita di una persona, non da quanto è sofisticata la tecnologia.

Approfondimento nel corso: Definire il tuo ruolo tra provider, deployer e caso ibrido, Distinguere i livelli di rischio e gli obblighi già in vigore e l'esercizio per mappare i sistemi AI in uso, che è il punto da cui partire in pratica.

Cosa rischi davvero, tra sanzioni e commesse perse

Questa è la sezione per cui vale la pena leggere la guida, perché il numero sbagliato sta girando molto. Vedi titoli che annunciano sanzioni fino a 35 milioni di euro o al 7% del fatturato globale per chi non forma il personale. Non è così: la verifica si fa in due minuti sul testo dell'articolo 99.

Le soglie da 35 milioni o dal 7% sono agganciate alle pratiche vietate, cose come il social scoring o i sistemi manipolativi. L'articolo 99 non prevede una sanzione specifica per la violazione dell'articolo 4: la definiscono gli Stati membri con le rispettive normative nazionali.

Chiariamolo, perché l'onestà qui serve a noi prima che a te: usare la cifra sbagliata per venderti un corso funzionerebbe meglio. Il motivo per cui non lo facciamo è che chi si spaventa corre a comprare un attestato, cioè la cosa che la norma non chiede. La paura fa comprare male.

Le conseguenze però ci sono e arrivano da tre direzioni diverse dalla multa diretta: le sanzioni nazionali ancora in definizione, la violazione dell'articolo 50 sulla trasparenza che ha invece una sanzione importante e il fronte GDPR, dove il riferimento è il 4% del fatturato e dove la maggior parte dei problemi pratici sugli strumenti AI nasce prima che sul lato AI Act.

Se lavori in B2B, il primo a chiederti conto sarà un cliente, non un'autorità di vigilanza. Le aziende strutturate mandano sempre più spesso ai fornitori un questionario di conformità prima di firmare, che nelle mail trovi chiamato assessment: venti o venticinque domande sul trattamento dei dati, sui sistemi AI in uso, sulla formazione del personale. Rispondere il falso non è un'opzione, perché una dichiarazione mendace in un contesto contrattuale ha conseguenze penali. Quindi rispondi in modo sincero: se non sei a norma, le risposte diventano una sequenza di no.

A quel punto il cliente non apre una discussione, ti scarta. E il tempismo è la parte crudele: quando il questionario arriva, adeguarsi nei tempi della gara non è possibile. Il registro formativo si costruisce nei mesi, non nei tre giorni prima della scadenza per l'offerta.

Chi si mette a norma adesso passa quel filtro senza accorgersene, che è il modo migliore in cui un adempimento può funzionare.

Approfondimento nel corso: Valutare sanzioni e rischio commerciale della non conformità, dove il caso dell'assessment che fa saltare il contratto è ricostruito passo per passo.

Dove serve un occhio umano e cosa devi dire ai lavoratori

La supervisione umana è il punto in cui la conformità smette di essere burocrazia e diventa una decisione di processo. Controllare ogni output vorrebbe dire non usare l'AI, quindi la scelta sta nel definire dove il controllo diventa obbligatorio.

Le due variabili che decidono sono l'effetto sulle persone e la reversibilità. Se l'output non tocca nessuno e si può correggere, l'automazione completa ha senso. Se tocca una persona e l'effetto è difficile da ribaltare, la verifica va fatta, va tracciata e va motivata per iscritto.

I casi che cadono nel quadrante con verifica obbligatoria sono ricorrenti: selezione del personale, valutazione delle prestazioni, accesso al credito, definizione di prezzi personalizzati, moderazione di contenuti. Se uno di questi processi passa da un sistema automatico in azienda, la supervisione non è una buona prassi facoltativa. Il criterio va scritto prima, non deciso caso per caso: senza il criterio scritto, la verifica dipende da chi è di turno.

Il tema vicino è il bias algoritmico, che nella pratica si manifesta come discriminazione indiretta: un sistema che non usa mai una categoria protetta può comunque produrre effetti sistematici su un gruppo di persone attraverso variabili correlate. È la ragione tecnica per cui la supervisione sui processi che toccano le persone va tracciata e non lasciata al buon senso.

Sul fronte italiano c'è un obbligo che passa spesso inosservato, perché non sta nell'AI Act ma nella normativa nazionale. La Legge 132/2025 chiede di informare i lavoratori quando l'intelligenza artificiale entra nei processi che li riguardano, come obbligo distinto da quello di formazione. I due si reggono a vicenda: il registro dimostra che chi usa i sistemi sa cosa sta facendo, la comunicazione dimostra che chi li subisce sa cosa gli sta accadendo. Si conservano insieme, con la stessa data di revisione. Se in azienda ci sono rappresentanze sindacali, la comunicazione passa anche da lì.

Approfondimento nel corso: Definire quando serve la supervisione umana su un output AI, Riconoscere bias e discriminazione algoritmica e Informare i lavoratori secondo la Legge 132/2025.

I tre documenti che ti mettono a norma

L'articolo 4 produce un registro, non un attestato. Ma il registro da solo è la parte visibile senza la catena logica che la sostiene, quindi i documenti sono tre e si reggono a vicenda.

La colonna che fa la differenza nel registro è quella del criterio di assegnazione: perché quella persona sta in quel livello. Senza quella colonna il registro è un elenco di presenze. E un elenco di presenze non dimostra la proporzionalità che la norma chiede.

I fogli con le colonne già impostate, i tre livelli di riferimento e le tendine di scelta sono aperti e li trovi qui:

Un avvertimento sull'inventario, che è il documento che tutti sottovalutano: la colonna che si riempie più in fretta è quella degli strumenti che nessuno aveva mai dichiarato. Estensioni installate da singole persone, account personali usati per il lavoro, funzioni AI attivate di default dentro software che avevate già. Nessuno ha sbagliato: l'AI è entrata dal basso in quasi ogni azienda, senza passare da una decisione formale.

Sul lato dati personali il fronte si sposta sul GDPR, dove contano la base giuridica del trattamento, i tempi di conservazione e cosa finisce dentro i prompt. È il punto in cui i problemi pratici arrivano prima di quelli dell'AI Act, quindi vale la pena guardarlo insieme all'inventario.

Approfondimento nel corso: l'esercizio per compilare il registro delle attività formative, Applicare la checklist ai tuoi strumenti AI, Gestire i dati personali tra GDPR e data retention e Adeguare contratti e policy interne.

Il piano in cinque passi

Se hai un pomeriggio e vuoi chiudere la parte che conta, l'ordine è questo.

La data di revisione è la parte che decade prima. Il momento giusto per rileggere tutto è quando entra in azienda uno strumento nuovo, non alla scadenza annuale. È lì che l'adempimento si rompe.

Due fronti che questa guida ha solo sfiorato e che nel corso hanno una lezione dedicata: gli agenti AI, dove il rischio legale cresce perché il sistema compie azioni e non solo suggerimenti, più le domande ricorrenti su copyright e responsabilità sugli output, che è il punto su cui le piattaforme scaricano quasi tutto sull'utilizzatore nei termini di servizio. Il riepilogo delle risorse tiene insieme i tre documenti e spiega come mantenerli aggiornati.

Sulla praticità del corso lasciamo parlare due recensioni vere di questi giorni, non nostre. Rocco, il 5 agosto 2026: "un approccio pragmatico, ricco di esempi reali ed esercitazioni utili, il percorso formativo è risultato chiaro, stimolante e subito spendibile sul piano operativo". Angela, il 6 agosto: "Qualità dei contenuti notevole e casi pratici di applicazione". Il punteggio su Trustpilot è 4,7 su 561 recensioni.

Domande frequenti

Il prossimo passo

Se invece preferisci vedere prima come si ragiona sulla materia, il corso con Alessandro Vercellotti è accessibile in buona parte anche senza abbonamento.

Questa guida ha valore informativo e non sostituisce un parere legale sul tuo caso specifico. I contenuti sono tratti dal corso AI Act: mettere l'azienda a norma AI di Alessandro Vercellotti, avvocato del digitale e founder di Legal for Digital. Se trovi qualcosa che non torna o che è cambiato, scrivici: aggiorniamo il pezzo.

Ultimo aggiornamento: 11 agosto 2026 · A cura del Team Learnn