L’Obbligo di Alfabetizzazione e le Scadenze Normative
Il panorama normativo europeo e nazionale ha subito una profonda trasformazione con l’entrata in vigore del Regolamento (UE) 2024/1689, noto come AI Act, che impone nuovi e stringenti obblighi per le organizzazioni. In questo contesto, la presente newsletter strategica si rivolge a tutte le aziende che operano in qualità di “deployer”, ovvero qualsiasi persona fisica, giuridica o autorità pubblica che utilizzi un sistema di intelligenza artificiale sotto la propria autorità nell’ambito della propria attività professionale. A partire dal 2 febbraio 2025, l’Articolo 4 dell’AI Act ha introdotto l’obbligo inderogabile di alfabetizzazione in materia di IA (AI literacy), richiedendo ai deployer di garantire un livello sufficiente di competenze per il proprio personale e per i soggetti terzi che operano per loro conto. Sebbene l’obbligo sia già attivo, il quadro di implementazione prevede una progressione temporale rigorosa verso la fase sanzionatoria, che richiede alle aziende di strutturare per tempo i propri modelli di governance.
La fase di applicazione iniziale è iniziata il 2 febbraio 2025. A partire da tale data è entrato in vigore il divieto assoluto delle pratiche di intelligenza artificiale vietate, come il social scoring, ed è divenuto operativo l’obbligo di alfabetizzazione in materia di IA previsto dall’articolo 4. Nell’agosto 2025 sono entrati in vigore gli obblighi specifici applicabili ai modelli di intelligenza artificiale per finalità generali, o GPAI, nonché le disposizioni relative ai corrispondenti assetti di governance aziendale. La piena applicazione del regime sanzionatorio è prevista per il 3 agosto 2026. Da tale data prenderanno avvio i controlli da parte delle autorità nazionali e potranno essere applicate sanzioni in caso di mancata formazione o di inosservanza degli obblighi previsti per i sistemi di IA ad alto rischio.
Strutturazione e Contenuti dei Percorsi Formativi
La conformità all’obbligo di alfabetizzazione non si esaurisce in un mero adempimento formale, ma richiede la strutturazione di percorsi formativi differenziati e continui. Il legislatore stabilisce che il livello di conoscenza debba essere calibrato tenendo conto delle competenze tecniche pregresse, dell’esperienza, del livello di istruzione del personale e, soprattutto, del contesto operativo in cui i sistemi di IA vengono impiegati. La prassi consolidata nel settore suggerisce di articolare la formazione su tre livelli distinti: un’alfabetizzazione di base per utilizzi occasionali, un’alfabetizzazione operativa per l’integrazione quotidiana nei flussi di lavoro, e un’alfabetizzazione avanzata (nota come directorial AI literacy) rivolta ai ruoli decisionali e ai vertici aziendali.
L’obiettivo primario di tali misure è sviluppare un forte senso critico negli operatori, mitigando rischi sistemici intrinseci della tecnologia come le “allucinazioni” algoritmiche, le distorsioni dei dati (bias) e il fenomeno dell’automation bias, ossia la tendenza psicologica ad accettare in modo acritico gli output generati dalla macchina. Questo aspetto risulta particolarmente critico per i sistemi classificati come ad alto rischio, per i quali si richiede un’effettiva e documentabile sorveglianza umana, rendendo insufficiente la semplice lettura delle istruzioni per l’uso fornite dal produttore. Si sottolinea inoltre che l’obbligo formativo si estende oltre i dipendenti diretti, abbracciando collaboratori esterni, consulenti, fornitori di servizi e persino clienti, qualora operino sotto il controllo organizzativo del deployer.
Il Quadro Nazionale: Legge 132/2025 e Autorità di Controllo
A livello nazionale, il quadro europeo è stato formalmente recepito e integrato dalla Legge 23 settembre 2025, n. 132, che adatta le direttive dell’AI Act al tessuto produttivo e giuslavoristico italiano. Questa normativa designa ufficialmente l’Agenzia per l’Italia Digitale (AgID) e l’Agenzia per la Cybersicurezza Nazionale (ACN) quali autorità competenti per la vigilanza, la sicurezza e la promozione dell’innovazione. Per le imprese operanti in Italia, la Legge 132/2025 introduce obblighi informativi estremamente rigorosi verso i propri dipendenti, stabilendo che le organizzazioni debbano informare per iscritto i lavoratori sull’utilizzo di sistemi decisionali o di monitoraggio automatizzati, garantendo un preavviso di almeno 24 ore prima di qualsiasi modifica significativa al sistema o ai processi in cui esso è integrato. La violazione di tali obblighi informativi comporta sanzioni specifiche ai sensi del D.Lgs. 152/1997, che variano da 250 a 1.500 euro per ciascun lavoratore coinvolto, con ulteriori aggravi per ogni mese di ritardo. La legge nazionale ribadisce inoltre il divieto assoluto di utilizzare l’intelligenza artificiale per generare discriminazioni sul posto di lavoro o per implementare forme di controllo a distanza sproporzionate, ponendosi in stretta continuità con le disposizioni del GDPR e dello Statuto dei Lavoratori.
Sanzioni e Piano di Adeguamento Pratico
Per mitigare i rischi legali e prepararsi alle ispezioni che prenderanno il via nell’agosto 2026, i deployer devono adottare tempestivamente un piano di adeguamento documentato. L’architettura sanzionatoria dell’AI Act si presenta particolarmente severa, prevedendo multe fino a 35 milioni di euro o al 7% del fatturato globale annuo per l’adozione di pratiche vietate, e fino a 15 milioni di euro o al 3% del fatturato per la violazione di altri obblighi normativi, inclusa la mancata formazione.
Dal punto di vista strategico e operativo, l’adeguamento richiede in primo luogo una mappatura esaustiva di tutti i sistemi di IA in uso all’interno dell’organizzazione. Questo processo deve prestare un’attenzione particolare al fenomeno della “shadow AI”, ovvero l’utilizzo di strumenti non ufficialmente approvati (come account gratuiti di IA generativa acquisiti autonomamente dal personale), un rischio che nelle PMI coinvolge fino all’ottanta percento dei lavoratori della conoscenza e che espone l’azienda a gravi vulnerabilità di compliance e sicurezza. Successivamente alla mappatura, è imperativo identificare i target formativi e progettare interventi mirati che vengano costantemente tracciati. Sebbene il regolamento non prescriva un certificato formale specifico o un esame standardizzato per i dipendenti, esso impone il principio di accountability, richiedendo alle aziende di poter dimostrare concretamente e documentalmente il livello di formazione erogata in caso di audit.
Infine, le aziende che impiegano sistemi definiti ad alto rischio devono integrare nei propri processi interni specifici protocolli di monitoraggio post-immissione sul mercato, prevedendo la conservazione automatica dei log di sistema per un periodo minimo di sei mesi (fatte salve le diverse disposizioni del GDPR) e l’obbligo di segnalazione tempestiva di eventuali incidenti gravi alle autorità e ai provider. Integrare l’alfabetizzazione sull’IA all’interno della più ampia cultura aziendale della sicurezza, della privacy e della gestione del rischio non rappresenta più una mera opzione strategica, ma un requisito legale indispensabile per garantire la continuità operativa nel mercato unico europeo.
