Formazione AI obbligatoria (AI Act, art. 4): cosa devono fare le aziende e come formare marketing e vendite

In breve. L'alfabetizzazione in materia di AI è l'insieme di competenze, conoscenze e comprensione che permette di usare i sistemi di AI in modo informato, conoscendone opportunità e rischi. Dal 2 febbraio 2025 l'art. 4 dell'AI Act chiede a fornitori e deployer, quindi anche alle aziende che usano l'AI, di adottare misure per svilupparla nel personale. Non impone un corso specifico né certificati.

La formazione AI è obbligatoria? Sì, nel senso che l'azienda deve attivarsi. Ma a luglio 2026 l'art. 4 è stato riscritto dall'Omnibus digitale sull'IA: ecco che cosa chiede oggi, che cosa non chiede e come tradurlo in un programma per marketing e vendite.

In sintesi

• L'art. 4 si applica dal 2 febbraio 2025 a chi sviluppa e a chi usa sistemi di AI in ambito professionale.
• Dal 27 luglio 2026 l'obbligo resta, ma non chiede più di garantire un livello «sufficiente»: chiede misure che sostengano lo sviluppo delle competenze.
• Non servono certificati né esami: per la Commissione europea le iniziative si possono documentare in un registro interno.
• Vigilano le autorità nazionali di vigilanza del mercato; in Italia l'Agenzia per la cybersicurezza nazionale (ACN).

Cosa dice l'art. 4 dell'AI Act

L'AI Act è il regolamento (UE) 2024/1689. L'art. 4 fa parte del capo I, che si applica dal 2 febbraio 2025 (art. 113). Nella versione originale diceva:

«I fornitori e i deployer dei sistemi di IA adottano misure per garantire nella misura del possibile un livello sufficiente di alfabetizzazione in materia di IA del loro personale nonché di qualsiasi altra persona che si occupa del funzionamento e dell'utilizzo dei sistemi di IA per loro conto […]»

Il regolamento (UE) 2026/1744, detto Omnibus digitale sull'IA, pubblicato il 24 luglio 2026 ed entrato in vigore il 27 luglio, ha sostituito l'art. 4. Oggi il paragrafo 1 chiede «misure volte a sostenere lo sviluppo dell'alfabetizzazione in materia di IA» e precisa che l'obbligo «non impone ai fornitori o ai deployer di garantire un livello specifico di alfabetizzazione in materia di IA per alcuna persona». I criteri restano: conoscenze tecniche, esperienza, istruzione e formazione delle persone, contesto d'uso, persone su cui i sistemi vengono usati.

Aspetto	Testo originale (dal 2 febbraio 2025)	Testo modificato (dal 27 luglio 2026)
Chi è obbligato	Fornitori e deployer di sistemi di AI	Invariato
Che cosa devono fare	Misure per garantire, nella misura del possibile, un livello sufficiente di alfabetizzazione	Misure volte a sostenere lo sviluppo dell'alfabetizzazione
Livello da raggiungere	«Sufficiente», secondo persone e contesto	Nessun livello specifico da garantire
Destinatari	Personale e altre persone che usano i sistemi per conto dell'azienda	Invariato
Ruolo delle istituzioni	Non previsto	Commissione e Stati membri sostengono le aziende, in particolare le PMI; il consiglio per l'IA adotta raccomandazioni

Il considerando 8 dell'Omnibus spiega la scelta: un obbligo rigido pesava soprattutto sulle imprese più piccole. Ma aggiunge che l'alfabetizzazione «dovrebbe essere una priorità strategica, indipendentemente dagli obblighi normativi e dalle possibili sanzioni». È la lettura giusta per un'azienda strutturata.

Chi è obbligato: fornitori e deployer

L'art. 3 definisce i ruoli. Il fornitore sviluppa un sistema o un modello di AI, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio. Il deployer utilizza un sistema di AI sotto la propria autorità, salvo l'uso personale non professionale.

Se la tua azienda usa assistenti generativi o funzioni di AI nel CRM, è un deployer. Le Q&A della Commissione europea sono esplicite: se i dipendenti usano ChatGPT per scrivere testi pubblicitari o tradurre, l'azienda rientra nell'art. 4. Tre precisazioni contano per marketing e vendite:

• Nessuna soglia dimensionale. L'articolo non distingue per dipendenti o fatturato; il nuovo paragrafo 2 prevede anzi un sostegno specifico alle PMI.
• Non solo i dipendenti. Le «altre persone» che usano i sistemi per conto dell'azienda possono essere, secondo la Commissione, un appaltatore, un fornitore di servizi, un cliente. Per la Commissione, chi lavora per un fornitore di servizi o un appaltatore deve avere competenze AI adeguate al compito, come i dipendenti: vale anche per agenzie e freelance che usano l'AI sui tuoi progetti.
• Sistemi ad alto rischio. Chi usa sistemi ad alto rischio, per esempio alcuni strumenti di selezione del personale dell'allegato III, deve affidare la sorveglianza umana a persone con competenza, formazione e autorità necessarie (art. 26). Dopo l'Omnibus, per i sistemi dell'allegato III questi obblighi si applicano dal 2 dicembre 2027.

Cosa significa «livello sufficiente di alfabetizzazione»

La definizione è all'art. 3, punto 56: l'alfabetizzazione comprende «le competenze, le conoscenze e la comprensione» che consentono una diffusione informata dei sistemi di AI e la consapevolezza di opportunità, rischi e possibili danni.

Fino al 26 luglio 2026 l'art. 4 chiedeva un livello sufficiente, senza mai fissare soglie, monte ore o programmi standard: si misurava su ruolo, strumenti e contesto. Con l'Omnibus la parola è sparita. Oggi devi adottare misure che sostengano lo sviluppo delle competenze, senza garantire un risultato per ciascuna persona.

Non significa che basti poco. Le Q&A della Commissione indicano i passaggi minimi:

1. una comprensione generale dell'AI: che cos'è, come funziona, quali sistemi usa l'azienda, con quali opportunità e pericoli;
2. il ruolo dell'azienda: fornitore o deployer;
3. il rischio dei sistemi usati: che cosa devono sapere le persone e come attenuare i rischi;
4. azioni costruite su questa analisi, tenendo conto delle differenze di competenze e del contesto, compresi gli aspetti legali ed etici.

La Commissione avverte che far leggere le istruzioni d'uso degli strumenti rischia di essere inefficace, e ammette percorsi con livelli di dettaglio diversi.

Un esempio. Un team marketing che usa un assistente generativo per schede prodotto e traduzioni deve sapere almeno tre cose: che il testo può contenere errori presentati con sicurezza, quali dati non si possono inserire, chi approva il contenuto prima della pubblicazione.

Cosa l'art. 4 non prevede

Attorno all'art. 4 circolano offerte di «certificazioni AI Act». Le Q&A ufficiali della Commissione chiariscono che cosa la norma non chiede:

• Nessun certificato. L'organizzazione può tenere un registro interno delle formazioni e delle altre iniziative.
• Nessun esame obbligatorio. Non c'è l'obbligo di misurare le conoscenze dei dipendenti.
• Nessun formato unico. Non esiste una soluzione valida per tutti: non sono imposti requisiti rigidi né corsi obbligatori.
• Nessuna struttura dedicata. Non è imposta una struttura di governance specifica: non servono un responsabile AI sul modello del DPO né un comitato dedicato.
• Nessuna conformità automatica. Replicare le pratiche del repository della Commissione non dà, di per sé, una presunzione di conformità.

L'assenza di un certificato non significa assenza di prove: se un'autorità chiede che cosa hai fatto, conviene poter mostrare programma, materiali, partecipanti e date.

Sanzioni e vigilanza

L'art. 99 dell'AI Act affida agli Stati membri le norme sulle sanzioni e sulle altre misure di esecuzione, che possono includere avvertimenti e misure non pecuniarie; le sanzioni devono essere effettive, proporzionate e dissuasive. L'art. 4 non è tra le violazioni per cui il regolamento fissa direttamente un importo massimo (paragrafi 3–5).

Secondo le Q&A della Commissione, sull'art. 4 vigilano le autorità nazionali di vigilanza del mercato, non l'Ufficio per l'IA, con regole di vigilanza ed esecuzione applicabili da agosto 2026. L'approccio è proporzionato: contano natura e gravità della violazione e il carattere intenzionale o colposo. Una sanzione è più probabile se un incidente dipende dalla mancanza di formazione e indicazioni adeguate.

In Italia la legge 23 settembre 2025, n. 132 (Gazzetta Ufficiale n. 223 del 25 settembre 2025, in vigore dal 10 ottobre 2025):

• designa l'ACN autorità di vigilanza del mercato, con attività ispettive e sanzionatorie, e l'AgID autorità di notifica; per il settore finanziario restano Banca d'Italia, CONSOB e IVASS (art. 20);
• delega il Governo ad adeguare le norme nazionali all'AI Act, con i poteri sanzionatori dell'art. 99 e percorsi di alfabetizzazione e formazione (art. 24);
• chiede al datore di lavoro di informare il lavoratore sull'uso dell'AI, nei casi dell'art. 1-bis del d.lgs. 152/1997 (art. 11).

Il d.lgs. 9 settembre 2026, n. 160 riguarda l'AI nelle attività di polizia e la responsabilità civile e penale. Per le sanzioni amministrative applicabili alla tua azienda, verifica con il tuo legale lo stato dei decreti attuativi.

Programma tipo per marketing e vendite

Marketing e vendite sono il punto da cui partire: è la funzione in cui l'AI generativa è più usata (McKinsey, The State of AI 2025). Tra le imprese italiane con almeno 10 addetti che hanno valutato l'AI senza adottarla, il primo ostacolo è la mancanza di competenze, per il 58,6% (Istat, Imprese e ICT 2025). E il 70% dei CMO ammette processi interni non pronti a scalare l'AI (Gartner, CMO Spend Survey 2026).

Un programma tipo, da adattare a strumenti, rischi e livello di partenza:

Modulo	Contenuti	Destinatari	Durata indicativa
1. Fondamenti	Che cos'è l'AI generativa, come funziona, limiti (allucinazioni, distorsioni), sistemi in uso in azienda	Tutte le persone che usano l'AI, agenzie e collaboratori esterni	2 ore
2. Regole e responsabilità	Ruoli nell'AI Act, policy aziendale, strumenti autorizzati, dati personali e riservati, revisione umana, trasparenza dei contenuti generati	Tutti, con approfondimento per i responsabili di funzione	2 ore
3. Executive workshop	Impatto su mercato e modello di business, rischi, priorità d'investimento, principi della policy	Direzione generale, direttori marketing e commerciale	1–2 giornate
4. AI per il marketing	Ricerca, contenuti, analisi dei dati, campagne e misurazione; verifica delle fonti, tono di voce, diritti su testi e immagini	Team marketing, comunicazione, e-commerce	3 sessioni di mezza giornata
5. AI per le vendite	Analisi di clienti e mercati, preparazione degli incontri, offerte, follow-up, CRM, riservatezza dei dati dei clienti	Team vendite, key account, customer service	2 sessioni di mezza giornata
6. Verifica e aggiornamento	Casi reali, errori ricorrenti, aggiornamento di regole e materiali	Tutti i partecipanti	1 sessione dopo 4–8 settimane

Due criteri reggono il programma: si parte dal ruolo, non dal software, e si lavora sui casi reali con gli strumenti autorizzati. Al termine restano procedure e regole d'uso, non solo appunti.

Checklist per l'azienda in 10 punti

1. Mappa i sistemi di AI in uso, compresi quelli adottati dai singoli e dalle agenzie.
2. Chiarisci il ruolo per ciascun sistema: deployer, fornitore o entrambi.
3. Valuta il rischio di ogni uso: alto rischio, dati personali, contenuti destinati a clienti e mercato.
4. Definisci i gruppi di destinatari per ruolo e livello di partenza.
5. Scrivi o aggiorna la policy d'uso: strumenti autorizzati, dati vietati, revisione umana, responsabilità.
6. Progetta percorsi differenziati: una base comune e approfondimenti per ruolo.
7. Includi chi lavora per tuo conto, con richieste contrattuali dove il rischio lo giustifica.
8. Documenta programma, materiali, partecipanti e date in un registro interno.
9. Aggiorna regole e contenuti quando cambiano strumenti o usi.
10. Coinvolgi legale, DPO e risorse umane, anche per l'informazione ai lavoratori prevista dalla legge 132/2025.

Come lo affrontiamo

Tratto l'art. 4 come un'occasione per mettere ordine, non come un adempimento da archiviare. Parto da un'analisi dei bisogni: ruoli, strumenti in uso, policy esistenti, livello di partenza. Poi progetto con la direzione e le risorse umane un programma per ruolo: executive workshop di 1–2 giornate per il vertice, percorsi in azienda per marketing e vendite, una verifica dopo alcune settimane. Programma, materiali e presenze restano documentati.

Non rilascio certificazioni e non sostituisco il tuo legale. I formati sono nella pagina sulla formazione AI per marketing e vendite. Quando la formazione apre un cambiamento più ampio di processi, ruoli e strumenti, il lavoro prosegue con la marketing transformation e l'AI applicata al marketing.

Domande frequenti

La formazione sull'AI è obbligatoria per le aziende?

L'azienda deve attivarsi. Dal 2 febbraio 2025 l'art. 4 dell'AI Act chiede a fornitori e deployer di adottare misure per l'alfabetizzazione in materia di AI del personale e di chi usa i sistemi per loro conto. Dopo l'Omnibus digitale, in vigore dal 27 luglio 2026, non serve garantire un livello specifico, ma la formazione per ruolo resta la misura più diretta.

Serve un attestato o una certificazione per rispettare l'AI Act?

No. Secondo le Q&A della Commissione europea non serve alcun certificato: l'azienda può tenere un registro interno delle formazioni e delle altre iniziative. L'art. 4 non obbliga nemmeno a misurare le conoscenze dei dipendenti. Conviene però documentare programma, materiali, partecipanti e date.

Se i dipendenti usano ChatGPT, l'azienda rientra nell'art. 4?

Sì. Le Q&A della Commissione citano il caso di dipendenti che usano ChatGPT per scrivere testi pubblicitari o tradurre: vanno informati sui rischi specifici, per esempio le allucinazioni. Lo stesso ragionamento vale per gli assistenti integrati nel CRM e per agenzie e collaboratori che usano l'AI per conto dell'azienda.

Quali sanzioni rischia chi non rispetta l'art. 4?

Il regolamento non fissa un importo specifico per l'art. 4: le sanzioni sono stabilite dagli Stati membri e devono essere effettive, proporzionate e dissuasive. Vigilano le autorità nazionali di vigilanza del mercato, in Italia l'ACN. Per la Commissione una sanzione è più probabile se un incidente deriva dalla mancanza di formazione adeguata.

Che cosa ha cambiato il Digital Omnibus sull'art. 4?

Il regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026, ha riscritto l'art. 4. L'obbligo resta, ma chiede misure per sostenere lo sviluppo dell'alfabetizzazione, senza garantire un livello specifico per ciascuna persona. Per i sistemi ad alto rischio l'art. 26 chiede inoltre di affidare la sorveglianza umana a persone con competenza, formazione e autorità necessarie.

Fonti

Consultate il 5 ottobre 2026.

• Regolamento (UE) 2024/1689 (AI Act), EUR-Lex: artt. 3, 4, 26, 99, 113, allegato III
• Regolamento (UE) 2026/1744 dell'8 luglio 2026 (Omnibus digitale sull'IA), EUR-Lex, GU L del 24 luglio 2026
• Commissione europea, AI Omnibus enters into force, 27 luglio 2026
• Commissione europea, AI Literacy: Questions & Answers (aggiornate al 27 luglio 2026)
• Commissione europea, Living repository of AI literacy practices
• Legge 23 settembre 2025, n. 132, Gazzetta Ufficiale n. 223 del 25 settembre 2025
• D.lgs. 9 settembre 2026, n. 160, Gazzetta Ufficiale n. 214 del 15 settembre 2026
• McKinsey, The state of AI: How organizations are rewiring to capture value (marzo 2025)
• Istat, Imprese e ICT, anno 2025 (15 dicembre 2025)
• Gartner, 2026 CMO Spend Survey

Questo articolo ha finalità informative e non costituisce parere legale.