L’AI literacy è un obbligo formazione dipendenti già in vigore: l’articolo 4 dell’AI Act, applicabile dal 2 febbraio 2025, impone a chi usa sistemi di intelligenza artificiale di garantire un livello sufficiente di alfabetizzazione al personale. Vale anche per la PMI con dieci persone che usa ChatGPT in modo sparso. Vediamo cosa significa nella pratica.
La norma non fissa ore minime né certificazioni. Però chiede misure proporzionate, documentate e aggiornate. Le autorità di vigilanza italiane entreranno in piena operatività il 3 agosto 2026, ma l’obbligo esiste da oggi e un controllo a campione può arrivare in qualsiasi momento.
Secondo l’Osservatorio HR Innovation del Politecnico di Milano, il 45% delle aziende italiane ha investito in strumenti di intelligenza artificiale per funzioni HR e il 43% sperimenta GenAI su processi come recruiting e formazione. Nel frattempo la maggior parte delle PMI non ha ancora un piano di literacy strutturato: l’adozione corre, la governance rincorre.
Cosa dice l’articolo 4 dell’AI Act
L’articolo 4 del Regolamento UE 2024/1689 stabilisce che fornitori e deployer di sistemi AI adottano misure per garantire “un livello sufficiente di alfabetizzazione in materia di AI” al proprio personale e a chiunque utilizzi sistemi AI per loro conto. Due parole pesano: “sufficiente” e “proporzionato”. Nessun numero di ore, nessun programma standard, ma obbligo di risultato.
Tradotto per una PMI: se in azienda qualcuno usa ChatGPT, Copilot, Gemini, un CRM con scoring AI o un tool marketing con generazione testi, sei un deployer. Il personale coinvolto deve avere competenze adeguate al ruolo, al contesto tecnico e al rischio. Non vale la scusa “lo usa solo il titolare”.
Chi rientra nel perimetro del personale obbligato
Il perimetro è più ampio di quanto sembri. Rientrano i dipendenti diretti, i collaboratori a progetto, gli stagisti, i consulenti esterni che usano sistemi AI per conto dell’azienda. Se un commercialista esterno elabora tue pratiche con un tool AI, o un’agenzia marketing genera contenuti su tuoi clienti con Midjourney, la responsabilità di verificare la loro literacy ricade anche su di te come deployer.
Un esempio concreto. Una PMI metalmeccanica da 30 dipendenti in provincia di Bergamo usa internamente Copilot per preventivi e un’agenzia esterna per la gestione social con strumenti AI. Il perimetro literacy comprende: operai e impiegati interni che toccano Copilot, il titolare, e contrattualmente va richiesto all’agenzia evidenza della propria formazione AI.
Livelli di literacy risk-based
La Commissione UE, nelle sue FAQ ufficiali sull’AI literacy, chiarisce che la formazione deve essere calibrata sul rischio concreto del sistema usato, sulle competenze di partenza e sul contesto. Serve un approccio a livelli, non una lezione unica uguale per tutti.
Per una PMI funziona bene questa scala a tre gradini, allineata all’esperienza operativa di molte aziende del nostro libro Intelligenza Artigianale:
- Livello base: chiunque entra in contatto con strumenti AI, anche sporadicamente. Deve conoscere regole aziendali, limiti dei modelli, rischi di allucinazione e dati da non inserire nei prompt.
- Livello intermedio: chi usa AI in modo quotidiano su attività a medio impatto. Deve saper valutare gli output, costruire prompt efficaci e applicare la policy interna.
- Livello avanzato: owner di processi AI, referenti tecnici, responsabili di funzione. Devono conoscere l’AI Act nei suoi risvolti pratici, saper scegliere strumenti, gestire incidenti e aggiornare le procedure.
Tabella ruoli, livelli e ore indicative
Non c’è un minimo legale di ore. Ma i controlli guardano la proporzionalità. Questa tabella è un riferimento ragionevole per una PMI da 10 a 50 dipendenti.
| Ruolo | Livello literacy | Ore indicative | Contenuti principali |
|---|---|---|---|
| Titolare / direzione | Avanzato | 6-8 | AI Act, rischi legali, governance, scelte di investimento |
| Referente AI / champion | Avanzato | 8-12 | Normativa, valutazione strumenti, gestione incidenti, policy |
| Commerciale | Intermedio | 4-6 | Prompt per offerte ed email, revisione output, dati cliente |
| Marketing | Intermedio | 4-6 | Generazione contenuti, copyright, brand safety, fact checking |
| Amministrazione | Base-Intermedio | 3-5 | Sintesi documenti, dati finanziari, privacy |
| Operations / produzione | Base | 2-4 | Uso base, limiti, canali di segnalazione |
| Stagisti e neoassunti | Base | 2-3 | Regole minime, strumenti approvati, casi vietati |
Queste non sono soglie di legge ma una base difendibile davanti a un controllo. Se vuoi strutturare un percorso interno su misura, leggi anche il nostro articolo sulla formazione AI interna personalizzata.
Cosa contare come formazione valida
Le FAQ della Commissione UE chiariscono che non serve obbligatoriamente un corso frontale certificato. Valgono come literacy, se ben documentati:
- Sessioni interne con formatore o referente AI, anche in modalità workshop
- E-learning tracciato con quiz finale
- Onboarding AI strutturato per i nuovi assunti
- Lettura guidata di policy e linee guida con test di comprensione
- Affiancamento operativo con briefing documentato
- Webinar esterni con attestato di partecipazione
Quello che non vale: una chat aziendale con un link a un articolo, una riunione informale senza agenda, un video inviato via email senza riscontro. Se non c’è traccia, per la norma non è avvenuto nulla.
Documentazione: il registro della formazione
Il registro è il punto più sottovalutato. La Commissione, nel repository ufficiale di pratiche di AI literacy, ha raccolto oltre 40 iniziative di aziende europee di ogni dimensione, dalle micro con meno di 15 dipendenti alle grandi. Tutte hanno un elemento comune: una traccia scritta.
Il registro minimo di una PMI deve contenere, per ogni sessione:
- Data e durata effettiva
- Elenco partecipanti con ruolo
- Argomenti trattati
- Materiali distribuiti
- Formatore o referente
- Livello assegnato al partecipante
- Data del prossimo aggiornamento previsto
Un foglio di calcolo condiviso basta. Importante: il registro deve parlarsi con il registro degli strumenti AI, in modo che a ogni strumento corrisponda l’elenco delle persone autorizzate e formate. Il ruolo dell’AI champion aziendale è spesso quello di tenere aggiornata questa doppia mappa.
Sanzioni: cosa rischi davvero
L’AI Act prevede sanzioni fino a 15 milioni di euro o al 3% del fatturato annuo mondiale per violazioni degli obblighi generali, tra cui rientra la mancata AI literacy. Per una PMI si applica il principio di proporzionalità e si paga l’importo più basso tra la cifra fissa e la percentuale. Una PMI con 2 milioni di fatturato rischia fino a 60.000 euro.
Il danno più concreto, però, non è la multa diretta. È la catena: dipendente non formato che mette dati riservati in un prompt, output con informazioni sbagliate inviato a un cliente, contestazione, responsabilità civile, mancata prova di diligenza. La literacy è la difesa più economica contro questo scenario. Il quadro completo degli obblighi AI Act per le PMI aiuta a collocarla nel puzzle di conformità.
Come organizzare l’AI literacy in una PMI
Una PMI non ha direzione formazione, non ferma la produzione per giorni e non spende migliaia di euro in corsi esterni. Serve un approccio sobrio e replicabile.
Sessione iniziale di 3-4 ore. Prima parte comune a tutti sui fondamenti: cos’è l’AI generativa, limiti e allucinazioni, regole aziendali, l’AI Act in dieci minuti. Seconda parte divisa per ruolo con casi reali: il commerciale lavora su email e offerte, l’amministrazione su sintesi e documenti, il titolare su metriche e decisioni.
Onboarding AI per i nuovi assunti. Un pack di onboarding contiene la policy di una pagina, l’elenco degli strumenti approvati, tre prompt validati, esempi di output buoni e cattivi, il canale per segnalare errori. Inserito nel normale processo di inserimento, costa poche ore e vale come literacy base.
Refresh semestrale. Ogni sei mesi una sessione breve di aggiornamento: cosa è cambiato negli strumenti, nuovi casi d’uso, errori raccolti, eventuali aggiornamenti normativi. Per un inquadramento generale del tema competenze, è utile anche la digital literacy obbligatoria dal 2026, che si intreccia con l’AI literacy ma non la sostituisce.
Checklist piano literacy per PMI
Se devi partire da zero, questa lista copre l’essenziale:
- Mappa gli strumenti AI in uso, inclusi quelli non autorizzati
- Definisci il perimetro delle persone coinvolte con ruolo
- Assegna un livello literacy a ciascun ruolo
- Scrivi o aggiorna la policy AI di una pagina
- Prepara materiali di formazione per livello
- Pianifica la sessione iniziale di 3-4 ore
- Istituisci il registro della formazione
- Collega il registro formazione al registro strumenti AI
- Definisci il pack di onboarding per i nuovi assunti
- Fissa la data del primo refresh semestrale
- Nomina un referente AI responsabile del presidio
- Prevedi un canale semplice per segnalare errori e dubbi
Due esempi di PMI che si sono messe in regola
Studio di consulenza da 14 persone a Milano. Dopo un incidente con dati inventati da ChatGPT finiti in un report cliente, il managing partner ha ricostruito il percorso in tre settimane: mappatura strumenti, policy di una pagina, sessione di 4 ore divisa in generale e pratica per ruolo, sistema a semaforo per la revisione. Costo totale, incluso il tempo del team, circa 4.000 euro. A tre mesi, zero incidenti e adozione salita dal 35% al 78%.
PMI agroalimentare da 45 dipendenti in Emilia. Ha scelto un approccio più graduale: onboarding AI nel processo di ingresso, due ore di base per tutti gli operativi, otto ore più strutturate per commerciali e marketing, workshop di 12 ore per titolare e referente AI. Il registro è un semplice foglio condiviso aggiornato dal referente. Il refresh è semestrale, collegato alla review della policy.
Domande frequenti
L’obbligo di AI literacy vale anche se uso solo ChatGPT gratis?
Sì. L’articolo 4 non distingue tra strumenti a pagamento e gratuiti. Se un dipendente usa ChatGPT free per lavoro, sei un deployer e devi garantire la sua AI literacy. La gratuità dello strumento non solleva dall’obbligo, anzi aumenta il rischio perché spesso questi usi sono invisibili.
Quante ore di formazione servono per essere in regola?
Non c’è un minimo legale. La Commissione UE chiede proporzionalità: ore adeguate al ruolo, al rischio e al contesto. In una PMI, 2-4 ore per ruoli base, 4-6 per utenti intermedi e 8-12 per referenti avanzati sono un riferimento difendibile davanti a un controllo, se abbinati a documentazione e refresh periodici.
Serve una certificazione esterna riconosciuta?
No. La Commissione ha chiarito nelle FAQ che non serve alcuna certificazione specifica e non esiste un albo di corsi ufficiali. La formazione interna, se ben strutturata e documentata, ha lo stesso valore di un corso esterno. Ciò che conta è la qualità dei contenuti, la proporzionalità e la tracciabilità.
Quando scattano i controlli delle autorità italiane?
L’obbligo di AI literacy è in vigore dal 2 febbraio 2025. Le autorità di vigilanza italiane, AgID e ACN, entreranno in piena operatività dal 3 agosto 2026 per le attività ispettive e sanzionatorie. Da quella data le verifiche saranno sistematiche, ma segnalazioni e controlli puntuali sono già possibili oggi.
Cosa succede se un dipendente si rifiuta di fare la formazione?
Il datore di lavoro deve dimostrare di aver messo il dipendente nelle condizioni di formarsi. La formazione AI rientra negli obblighi formativi del rapporto di lavoro e il rifiuto ingiustificato può essere trattato come gli altri rifiuti formativi. In pratica, pochissimi casi arrivano a questo punto: basta inserire la sessione in orario di lavoro e documentarla.
La formazione vale anche per i consulenti esterni?
Sì, quando operano per conto dell’azienda usando sistemi AI. L’obbligo non ricade automaticamente su di te, ma devi poter dimostrare di averglielo richiesto. In pratica si aggiunge una clausola nel contratto di servizio e si chiede evidenza scritta della literacy del fornitore. È una tutela reciproca.
Da obbligo a competenza operativa
L’AI literacy nasce come requisito di conformità, ma il suo valore reale è operativo. Un team formato commette meno errori, produce output migliori, adotta gli strumenti più rapidamente e sa quando fermarsi. La differenza tra una PMI che usa l’AI e una PMI che la governa passa da qui: persone che sanno cosa stanno facendo e perché.
Se vuoi un metodo completo per passare dall’adozione spontanea a un uso governato e misurabile, il libro Intelligenza Artigianale raccoglie template, checklist e casi reali pensati per le PMI italiane. L’obbligo di AI literacy è già attivo. I controlli strutturati arriveranno ad agosto 2026. Il tempo per farlo bene c’è ancora, e l’investimento è minore di quanto sembri.
