AI Act, articolo 4: come organizzare formazione e registro dell’AI in azienda

Immagine di apertura — fotografia reale di un incontro formativo presso Chianche Web.

L’AI literacy è la capacità di comprendere opportunità, limiti e rischi dei sistemi di intelligenza artificiale e di usarli in modo informato. Per un’azienda può riguardare assistenti di scrittura, generatori di immagini, chatbot, funzioni AI nel CRM, modelli previsionali e automazioni, purché lo strumento rientri nella definizione di sistema AI prevista dal regolamento.

La norma non trasforma automaticamente ogni impresa in provider, né rende obbligatori inventario e registro. Questi ultimi sono però strumenti pratici per progettare misure proporzionate e conservare evidenza delle iniziative adottate.

Perché l’articolo 4 riguarda chi usa sistemi AI in azienda

L’articolo 4 si rivolge ai provider e ai deployer di sistemi AI. Non è limitato ai sistemi classificati ad alto rischio, ma prima di applicarlo occorre verificare che la tecnologia usata rientri davvero nella definizione di sistema AI dell’AI Act.

Nel linguaggio del regolamento:

• il provider sviluppa, o fa sviluppare, un sistema AI e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio;
• il deployer usa un sistema AI sotto la propria autorità in un contesto professionale, salvo l’uso personale non professionale.

Un’azienda che usa un servizio AI di terzi nei propri processi può quindi essere deployer. Un vendor o un integratore non diventa invece provider solo perché configura un prodotto altrui: contano il sistema concreto, il marchio, il controllo e le attività svolte.

Cosa chiede davvero l’articolo 4

Nella formulazione aggiornata, provider e deployer devono adottare misure per sostenere lo sviluppo dell’AI literacy del personale e delle altre persone che si occupano del funzionamento o dell’uso dei sistemi AI per loro conto.

Le misure devono tenere conto, per quanto pertinente, di:

• conoscenze, esperienza, istruzione e formazione delle persone coinvolte;
• contesto e finalità con cui i sistemi AI vengono utilizzati;
• persone o gruppi sui quali quei sistemi possono produrre effetti.

In termini pratici si tratta di un obbligo riferito alle misure adottate, non della garanzia di un identico risultato per ogni individuo. Questa lettura non significa che qualunque iniziativa sia sufficiente: le misure devono essere credibili e coerenti con i casi d’uso reali.

Inventario dei sistemi AI: non è obbligatorio, ma aiuta a partire dai fatti

L’articolo 4 non prescrive testualmente un inventario. Una mappa aggiornata degli strumenti è però un modo efficace per collegare le misure di AI literacy al contesto d’uso, come richiede la norma.

Per un’azienda, un ecommerce o un team marketing, l’inventario può comprendere:

• assistenti di scrittura e strumenti di generazione di immagini, audio o video;
• chatbot di assistenza, agenti virtuali e sistemi conversazionali;
• funzioni AI integrate in CRM, email marketing, analytics, CMS e software gestionali;
• modelli previsionali, strumenti di scoring e automazioni collegate a servizi AI esterni.

Per ogni voce è utile annotare almeno titolare del processo, utenti, finalità, dati impiegati, eventuale impatto su persone e controlli umani. Una scala interna “basso, medio, alto” può aiutare a stabilire le priorità, ma non coincide con le classi giuridiche di rischio dell’AI Act.

Chi è dentro il perimetro: personale e persone che operano per conto dell’azienda

Il testo dell’articolo 4 non si ferma ai dipendenti. Comprende anche altre persone che si occupano del funzionamento o dell’uso dei sistemi AI per conto del provider o del deployer.

Possono quindi rientrare nel piano:

• dipendenti che usano strumenti AI nel proprio lavoro;
• freelance e collaboratori esterni, quando operano quei sistemi per conto dell’organizzazione;
• fornitori in outsourcing che gestiscono processi AI sotto l’autorità dell’organizzazione.

Non ogni consulente o fornitore va incluso automaticamente. La domanda decisiva è se la persona si occupa concretamente dell’operazione o dell’uso del sistema AI per conto dell’organizzazione. Contratti, istruzioni operative e responsabilità del processo aiutano a chiarirlo.

Formazione proporzionata: non tutti devono sapere tutto

Un programma identico per tutti rischia di essere poco utile. L’articolo 4 invita a considerare competenze pregresse, esperienza, istruzione, formazione, contesto d’uso e persone interessate. Per tradurre questi criteri in pratica si possono creare percorsi interni differenziati.

Questi livelli sono un modello organizzativo interno, non categorie definite dall’AI Act. Anche la frequenza degli aggiornamenti va decisa in base ai cambiamenti: nuovo strumento, nuova finalità, modifica normativa, incidente o criticità emersa. Una cadenza annuale può essere scelta dall’azienda, ma non è imposta dall’articolo 4.

Registro della formazione: evidenza utile, non adempimento autonomo

La Commissione chiarisce che le organizzazioni possono conservare registrazioni interne delle iniziative, come corsi e linee guida. L’articolo 4 non impone però un registro, un certificato o un modello ufficiale.

Un registro leggero può riportare:

• gruppo o ruolo coinvolto e sistemi collegati;
• contenuto della misura: corso, workshop, istruzione, policy o affiancamento;
• data, durata e materiale messo a disposizione;
• criterio con cui la misura è stata scelta;
• evidenze disponibili e condizione che farà scattare la revisione.

Il valore del registro sta nel rendere verificabile il ragionamento organizzativo. Non sostituisce la qualità delle misure e, da solo, non prova la conformità. Allo stesso modo, un attestato può essere una buona evidenza ma non dimostra che contenuti e destinatari fossero adeguati al caso concreto.

Inventario, matrice dei ruoli e registro non sono tre obblighi testuali dell’articolo 4: sono strumenti consigliati per scegliere, spiegare e aggiornare le misure di AI literacy.

Come si collega l’articolo 4 agli obblighi di trasparenza dell’articolo 50

L’AI literacy aiuta le persone a riconoscere quando si applicano altri obblighi dell’AI Act. Un team preparato sa, per esempio, quando verificare l’avviso di un chatbot, valutare un possibile deepfake o gestire un testo AI su una materia di interesse pubblico.

L’articolo 4 e l’articolo 50 restano comunque disposizioni diverse: il primo riguarda le misure per sostenere competenze e consapevolezza; il secondo disciplina specifiche informazioni e marcature verso le persone. Per approfondire questi casi puoi leggere la guida di Chianche Web su come applicare l’articolo 50 dell’AI Act a contenuti, chatbot ed ecommerce.

Controlli e conseguenze: niente multa automatica per un registro mancante

Dal 2 agosto 2026 l’applicazione e la supervisione dell’articolo 4 rientrano nel quadro affidato alle autorità nazionali competenti. Eventuali misure correttive e sanzioni devono seguire il regime applicabile e rispettare i criteri di proporzionalità previsti dal diritto europeo e nazionale.

Poiché l’articolo 4 non prescrive un certificato o un registro, la semplice assenza di uno specifico documento non costituisce da sola una violazione autonoma. Può però essere più difficile dimostrare quali misure siano state adottate e perché fossero adeguate.

Oltre al controllo regolatorio, una governance poco chiara può creare problemi concreti: errori sugli output, uso improprio di dati, risposte deboli ai questionari dei clienti e difficoltà nel coordinare fornitori e collaboratori. Questi effetti dipendono dal contesto e non sono conseguenze automatiche previste dall’articolo 4.

Una checklist pratica per partire senza burocrazia sterile

1. Individua i sistemi. Verifica quali strumenti e funzioni rientrano nella definizione di sistema AI.
2. Chiarisci i ruoli. Documenta chi è provider, deployer, utente operativo e responsabile del processo.
3. Mappa usi e persone. Collega finalità, dati, utenti, persone interessate e controlli umani.
4. Valuta le competenze. Considera esperienza, istruzione e formazione già disponibili.
5. Scegli misure proporzionate. Combina formazione, istruzioni, checklist, affiancamento e aggiornamenti.
6. Conserva evidenze essenziali. Registra cosa è stato fatto, per chi, quando e secondo quale criterio.
7. Definisci i trigger di revisione. Aggiorna le misure quando cambiano strumenti, usi, persone, rischi o norme.

Cosa può fare Chianche Web sull’articolo 4

Per aziende, ecommerce e team digitali, lavorare sull’articolo 4 significa costruire un processo utilizzabile, non acquistare soltanto un corso.

Chianche Web può supportare la parte organizzativa e tecnica, integrandola nei propri servizi di intelligenza artificiale:

• mappatura preliminare di strumenti e casi d’uso su sito, ecommerce, CRM e automazioni;
• inventario operativo e matrice di ruoli, utenti e livelli di esposizione;
• struttura del registro delle iniziative e collegamento con policy e workflow digitali;
• formazione pratica su limiti, supervisione, trasparenza e uso responsabile;
• coordinamento con il consulente legale, il DPO e i referenti sicurezza del cliente.

La qualificazione giuridica dei casi più complessi e le decisioni su norme settoriali restano da condividere con i professionisti incaricati dall’organizzazione.

Domande frequenti

Fonti ufficiali

Contenuto verificato il 18 agosto 2026 su:

• Regolamento (UE) 2024/1689 — AI Act
• Regolamento (UE) 2026/1744 — modifica dell’AI Act
• Commissione europea — domande e risposte sull’AI literacy
• Commissione europea — competenze e AI literacy
• Commissione europea — raccolta di pratiche di AI literacy
• Commissione europea — linee guida sulla definizione di sistema AI
• Commissione europea — quadro normativo e calendario dell’AI Act
• Commissione europea — autorità di vigilanza del mercato
• Legge italiana 23 settembre 2025, n. 132

Questo articolo ha finalità informativa e non costituisce consulenza legale.