Formazione AI Act obbligatoria: cosa deve fare davvero una PMI
Pubblicato il 27 luglio 2026
Se in azienda qualcuno usa ChatGPT, hai un obbligo di formazione AI Act da rispettare. Non da agosto: da febbraio 2025.
È la parte dell’AI Act che quasi nessuno ha visto arrivare, perché tutti guardavano ai sistemi ad alto rischio e alle sanzioni milionarie. L’articolo 4 del Regolamento (UE) 2024/1689 è tre righe scarse in mezzo a un regolamento da 180 pagine, ma è l’unico che tocca praticamente ogni azienda italiana, incluso lo studio con quattro persone che usa l’AI per riscrivere le email ai clienti.
La buona notizia è che non ti serve il programma da multinazionale. Ti serve poco, fatto bene e messo per iscritto. Questa pagina spiega esattamente cosa.
2 agosto 2026. Da questa data l'AI Act entra a pieno regime e le autorità nazionali iniziano a controllare. L'obbligo di formazione, però, è in vigore da un anno e mezzo.
Indice
Cosa dice esattamente l'articolo 4 dell'AI Act
Il testo del regolamento è questo:
Tradotto: se usi l’AI per lavoro, chi la usa deve sapere cosa sta usando.
Due cose che generano confusione e che conviene chiarire subito.
La prima: l’obbligo vale sia per chi sviluppa sistemi AI (i fornitori) sia per chi si limita a usarli (i deployer). Quasi tutte le PMI italiane sono deployer, e gli obblighi dei deployer sono più leggeri, ma esistono.
La seconda: non c’è nessuna soglia dimensionale. Nel regolamento non troverai una riga che dice “sotto i dieci dipendenti non si applica”, perché non c’è. Quello che cambia con la dimensione è la proporzione, non l’esistenza dell’obbligo.
Se vuoi il quadro completo della normativa, l’ho scritto nella guida completa all’AI Act per le PMI italiane. Qui restiamo sulla formazione.
Chi deve essere formato in azienda
Non tutti allo stesso modo, ed è qui che si risparmiano tempo e soldi. La norma parla di livello “sufficiente” tenendo conto di conoscenze, ruolo e contesto d’uso. Significa che puoi calibrare.
| Chi | Che formazione serve |
|---|---|
| Chi usa strumenti AI ogni giorno (marketing, customer care, amministrazione) | Formazione operativa completa |
| Chi li usa ogni tanto | Sessione base su rischi e regole interne |
| Chi decide quali strumenti adottare (titolare, responsabili di funzione) | Formazione operativa più la parte su responsabilità e governance |
| Collaboratori esterni, consulenti, stagisti che usano AI per tuo conto | Sì, sono inclusi. Sessione base più accettazione della policy |
| Chi non tocca mai strumenti AI | Nessun obbligo, ma metti per iscritto chi sono |
Il punto sui collaboratori esterni è quello che quasi tutti sbagliano. La norma dice “qualsiasi altra persona che si occupa del funzionamento e dell’utilizzo dei sistemi di IA per loro conto”. Il freelance che ti scrive i post con ChatGPT rientra. Lo stagista pure. Non devi formarli come i dipendenti, ma devi averglielo detto, e devi poterlo dimostrare.
Cosa deve contenere la formazione
Cinque blocchi. Li elenco con l’obiettivo di ciascuno, perché il criterio non è “quante slide hai mostrato” ma “cosa sa fare la persona alla fine”.
1. Come funziona un sistema AI
Niente matematica, niente reti neurali. L’obiettivo è che chi esce dalla sala abbia capito una cosa sola: è uno strumento statistico che prevede la parola successiva, non un motore di ricerca e non un esperto. Da qui discende tutto il resto.
2. Limiti e rischi
Allucinazioni, bias, non riproducibilità delle risposte. Funziona molto meglio con esempi presi dall’azienda: fai generare al modello tre risposte alla stessa domanda tecnica del vostro settore e falle confrontare. L’effetto sulla sala è immediato.
3. Dati e riservatezza
Cosa non si carica mai in uno strumento pubblico: dati dei clienti, contratti, listini, dati sanitari, curriculum. Qui il collegamento con il GDPR è diretto e conviene farlo esplicito, perché quasi tutte le aziende hanno già una sensibilità su quel fronte e ci si aggancia bene.
4. Le regole interne
Quali strumenti sono autorizzati, per quali attività, con quale supervisione. Se non hai una policy scritta, questa parte della formazione non ha contenuto. È il motivo per cui formazione e policy vanno costruite insieme.
5. Pensiero critico sull'output
Verificare prima di usare. Non incollare senza leggere. Dichiarare quando serve dichiarare. Sembra ovvio scritto qui, non lo è alle tre del pomeriggio con una scadenza addosso.
Un avvertimento sull’ordine delle cose: prima di decidere i contenuti, devi sapere quali strumenti AI girano davvero in azienda. Non quelli che hai comprato, quelli che le persone usano. Sono due elenchi diversi, e il secondo è quasi sempre più lungo. Si parte dal censimento dei sistemi AI, poi si costruisce la formazione.
Quante ore di formazione AI Act servono davvero
Prima l’onestà: la norma non fissa un monte ore. Chiunque ti dica “servono 16 ore obbligatorie” sta vendendo un corso, non citando il regolamento.
Detto questo, “proporzionato” non vuol dire “a occhio”. Questi sono i numeri che uso quando costruisco un percorso, calibrati sulla dimensione e sull’uso reale dell’AI.
| Profilo azienda | Ore indicative | Formato |
|---|---|---|
| Fino a 9 persone, solo AI generativa per testi ed email | 2-3 ore in tutto | Sessione unica, anche online |
| Da 10 a 49 persone, uso diffuso di AI generativa e chatbot | 4 ore base più 2 ore per i responsabili | Due sessioni più policy scritta |
| Oltre 50 persone, oppure sistemi ad alto rischio in uso | 8 ore differenziate per ruolo | Percorso strutturato con test finale e aggiornamento annuale |
Sono ore proporzionate, non minimi di legge. Se hai tre persone e usate solo ChatGPT per le email, una sessione da due ore fatta bene e documentata regge benissimo un controllo. Se usi un software che filtra i curriculum, no.
Cosa conservare come prova della formazione
Questa è la sezione che conta di più, perché la formazione che non lascia traccia, dal punto di vista della conformità, non è mai avvenuta. Sette elementi, in una cartella.
- Il programma della formazione erogata, con data e durata
- L'elenco nominativo dei partecipanti, con firma o log di accesso alla piattaforma
- I materiali didattici usati, archiviati e datati
- Un test o questionario finale, anche breve, con gli esiti
- La policy interna sull'uso dell'AI, consegnata e accettata per iscritto
- Il registro dei sistemi AI aggiornato, che giustifica i contenuti scelti
- Il piano di aggiornamento periodico
Se ACN bussa e chiede conto della vostra alfabetizzazione AI, questi sette documenti sono la risposta. Non servono attestati con il bollino di qualcuno: serve una traccia coerente e datata.
Quanto costa la formazione AI Act
Tre strade, con i costi che si vedono oggi sul mercato italiano.
Corso a catalogo online. Dai 50 ai 150 euro a persona. Va bene se hai poche persone e un uso dell’AI molto semplice. Il limite è che parla a tutti, quindi non parla della tua azienda: nella prova documentale è più debole, perché non si collega ai sistemi che usi davvero.
Sessione su misura in azienda. Tra 500 e 1.500 euro per mezza giornata, indipendentemente dal numero di partecipanti. Contenuti costruiti sui vostri strumenti, esempi presi dai vostri processi. È la scelta che ha senso per la maggior parte delle PMI dai 10 dipendenti in su.
Percorso completo. Dai 2.000 ai 4.000 euro. Include il censimento dei sistemi, la classificazione dei rischi, la policy interna, la formazione differenziata per ruolo e il fascicolo documentale pronto. È l’opzione per chi ha sistemi ad alto rischio o vuole chiudere la partita in una volta sola.
Cosa puoi fare da solo a costo zero: il censimento degli strumenti, la raccolta delle firme, l’archiviazione dei materiali. Dove conviene farsi seguire: la classificazione del rischio e la policy, perché sono le due cose che, se sbagliate, rendono inutile tutto il resto.
Un programma tipo di mezza giornata
Così è concreto. Questa è la struttura di una sessione da quattro ore per una PMI che usa AI generativa e ha un chatbot sul sito.
| Orario | Modulo | Durata |
|---|---|---|
| 9:00 | Cosa è e cosa non è un sistema AI, con esempi presi dai vostri processi | 45 min |
| 9:45 | Allucinazioni e bias: esercizio pratico sul campo | 45 min |
| 10:30 | Pausa | 15 min |
| 10:45 | Dati, riservatezza e GDPR: cosa non si carica mai | 45 min |
| 11:30 | La policy interna e i casi d'uso autorizzati | 45 min |
| 12:15 | Test finale e domande aperte | 30 min |
Alla fine escono: elenco firmato, test compilato, policy consegnata. Tre dei sette documenti della checklist, chiusi in mezza giornata.
Gli errori che vedo più spesso
1. Pensare che un webinar registrato basti
Un video generico visto in autonomia, senza traccia di chi l'ha visto e senza collegamento ai vostri sistemi, è difficile da difendere.
2. Formare solo l'IT
L'AI in azienda la usano il marketing e l'amministrazione, molto più dell'IT.
3. Escludere i collaboratori esterni
La norma li include esplicitamente, insieme a chiunque usi sistemi AI per conto dell'azienda.
4. Fare la formazione prima del censimento
Si finisce per parlare di rischi teorici mentre in azienda gira uno strumento che nessuno ha classificato.
5. Non far firmare niente
È l'errore più costoso in rapporto alla fatica che serve per evitarlo.
6. Considerare la pratica chiusa per sempre
Cambiano gli strumenti, entrano persone nuove. Un aggiornamento annuale e una sessione per i nuovi assunti sono il minimo.
Le sanzioni, con una precisazione che riguarda le PMI
L’AI Act prevede tre fasce sanzionatorie.
| Violazione | Sanzione massima |
|---|---|
| Uso di sistemi AI vietati | 35 milioni di euro o 7% del fatturato mondiale |
| Violazione degli altri obblighi | 15 milioni di euro o 3% del fatturato mondiale |
| Informazioni inesatte o fuorvianti alle autorità | 7,5 milioni di euro o 1% del fatturato mondiale |
Qui va fatta una precisazione che gira poco e che per te cambia parecchio le proporzioni. Per le imprese di grandi dimensioni si applica l’importo più alto tra la cifra fissa e la percentuale sul fatturato. Per le PMI e le start-up vale la regola opposta: si applica il valore più basso dei due (articolo 99, paragrafo 6 del regolamento).
Un esempio. Azienda con due milioni di fatturato, fascia del 3%. Il 3% di due milioni fa 60.000 euro. Per una multinazionale l’autorità confronterebbe quella percentuale con il tetto dei 15 milioni e applicherebbe il maggiore. Per una PMI si applica il minore, quindi 60.000 euro.
Restano soldi veri. Ma è utile sapere che il regolamento una proporzionalità la prevede, invece di prendere per buoni i titoli sui 35 milioni.
Domande frequenti sulla formazione AI Act
Sì. L’articolo 4 non prevede soglie dimensionali. Quello che cambia è l’estensione: per una microimpresa che usa solo AI generativa possono bastare due ore documentate, mentre un’azienda con sistemi ad alto rischio ha bisogno di un percorso strutturato.
No. Non esiste un attestato ufficiale AI Act né un albo di enti abilitati. Conta la sostanza: programma, partecipanti, materiali, verifica finale. Un attestato interno firmato dall’azienda vale quanto uno rilasciato da un ente, purché ci sia la documentazione dietro.
Chiunque abbia competenza sui sistemi AI e sul regolamento. Non serve un accreditamento. Se hai internamente una persona che conosce bene entrambi i temi, può farla lei, a patto che resti la traccia documentale.
Se usano strumenti AI per conto tuo, sì. La norma parla di qualsiasi altra persona che si occupa del funzionamento e dell’utilizzo dei sistemi di IA per conto del deployer. Nella pratica basta una sessione base più la firma sulla policy.
Non c’è una cadenza fissata. Il criterio ragionevole è: aggiornamento annuale, più una sessione ogni volta che entra una persona nuova o che adottate uno strumento AI diverso da quelli già coperti.
Sì, ma in versione minima. L’uso di AI generativa in ambito professionale rientra nell’articolo 4 anche quando il rischio del sistema è minimo. Due ore, una policy di una pagina e le firme chiudono la questione.
Con la legge 132 del 23 settembre 2025 l’Italia ha designato due autorità nazionali. AgID si occupa di promozione dello sviluppo dell’AI e delle procedure di accreditamento dei soggetti che verificano la conformità. ACN, l’Agenzia per la cybersicurezza nazionale, ha la vigilanza, le ispezioni e le sanzioni. In caso di verifica, l’autorità può chiedere l’elenco dei sistemi AI in uso, la loro classificazione e la documentazione della formazione erogata.
Non sai da dove partire con la formazione?
In mezz’ora di call guardiamo quali strumenti AI usate davvero, quante persone vanno formate e su cosa. Ti dico se ti basta una sessione o se serve un percorso, e quanto costa. Senza impegno.
Fonti ufficiali
Approfondimenti collegati
Questo articolo ha finalità informative e non costituisce consulenza legale. I contenuti sono aggiornati a luglio 2026. L’applicazione dell’AI Act va valutata in base alla specifica situazione aziendale.
Changelog: 27 luglio 2026, prima pubblicazione.
