Alfabetizzazione AI Art. 4: cosa serve davvero per essere a posto

L'obbligo è già scaduto. Cosa significa nella pratica

Per molti CEO di PMI italiane la notizia arriva di traverso, di solito da un consulente o da un fornitore IT: "Sapete che l'alfabetizzazione AI è già obbligatoria dal 2 febbraio 2025?". Risposta tipica: silenzio, poi "scusi, ma il mio dipendente che usa Copilot per Excel deve fare un corso?".

La risposta breve è sì, ma non come pensate. Vediamo cosa pretende davvero il regolatore, cosa NON serve, e quanto costa.

Cosa dice esattamente l'Art. 4

Il testo letterale del Regolamento UE 2024/1689 è questo:

I fornitori e i deployer dei sistemi di IA adottano misure per garantire nella misura del possibile un livello sufficiente di alfabetizzazione in materia di IA del loro personale nonché di qualsiasi altra persona che si occupa del funzionamento e dell'utilizzo dei sistemi di IA per loro conto, prendendo in considerazione le loro conoscenze tecniche, la loro esperienza, istruzione e formazione, nonché il contesto in cui i sistemi di IA devono essere utilizzati, e tenendo conto delle persone o dei gruppi di persone su cui i sistemi di IA devono essere utilizzati.

L'art. 3, n. 56 definisce poi cosa è "alfabetizzazione AI": le competenze, le conoscenze e la comprensione che consentono a chi usa AI di "procedere a una diffusione informata dei sistemi di IA, nonché di acquisire consapevolezza in merito alle opportunità e ai rischi dell'IA e ai possibili danni che essa può causare".

Il Considerando 20 dell'AI Act aggiunge i contenuti minimi che la formazione deve coprire: corretta applicazione degli elementi tecnici, misure d'uso, interpretazione degli output, impatti per le persone interessate dal sistema.

Due cose importanti da estrarre da questi testi:

"Nella misura del possibile" è un margine di flessibilità reale. Non vi sta chiesto di trasformare l'azienda in un'università. Vi sta chiesto di essere proporzionati al ruolo e al contesto.
"Personalizzato" è la parola chiave. Stesso corso per tutti non funziona. Operatore di linea che non tocca l'AI = poche cose generali. HR che usa screening CV = molto più pesante.

Quando è scaduto, perché è già in vigore, cosa cambia il 2 agosto 2026

L'art. 113, par. 2 dell'AI Act fissa l'applicabilità dell'Art. 4 al 2 febbraio 2025. È già scaduto.

La vigilanza dell'autorità competente (in Italia ACN e AgID, designate dalla Legge 132/2025) parte invece dal 2 agosto 2026. Lo Studio Legale Stefanelli & Stefanelli ha colto bene la finestra: "questo differimento temporale tra entrata in vigore dell'obbligo e attivazione della vigilanza configura un periodo transitorio durante il quale le organizzazioni dovrebbero proattivamente implementare programmi di alfabetizzazione, sfruttando il margine temporale per consolidare prassi conformi".

Tradotto: chi si attrezza ora si copre. Chi non lo fa e poi viene contestato non può invocare buona fede come scusante. House of Data Imperiali è stato esplicito su questo punto: "l'eventuale omissione o inadeguata applicazione dell'obbligo di alfabetizzazione non consentirebbe all'azienda oggetto di contestazione di fare valere il possibile errore scusabile".

L'Art. 4 inoltre non ha una sanzione specifica. Lo studio DGRS l'ha precisato: "Sebbene il Regolamento non preveda sanzioni specifiche con riferimento all'obbligo di AI Literacy è plausibile che questo rilevi nel momento in cui gli enti regolatori vadano a valutare, in futuro, l'adozione e l'ammontare di una sanzione per altre violazioni del Regolamento". Tradotto: se prendete una multa per altro (Art. 50 trasparenza, Art. 99 sanzioni alto rischio), l'assenza di literacy documentata aggrava.

I tre livelli di alfabetizzazione (e chi va in quale)

L'AI Office della Commissione UE, nelle FAQ "AI Literacy" aggiornate ad agosto 2025, ha confermato che la formazione deve essere differenziata per ruolo. Lo Studio Advant NCTM ha riassunto bene: occorre "personalizzare il programma, offrendo contenuti differenziati sulla base, da un lato, delle conoscenze tecniche, delle esperienze e del livello di istruzione e formazione dei destinatari".

Il modello a tre livelli che funziona nelle PMI italiane:

Livello	A chi	Durata reale	Contenuti chiave
Base	Chiunque tocca AI: dipendenti che usano Copilot, ChatGPT Plus, chatbot interni	2-4 ore	Cosa è un sistema AI, bias, allucinazioni, dati che non vanno incollati in ChatGPT, quando chiedere il supporto umano, disclosure Art. 50
Intermedio	Chi maneggia dati sensibili, integra AI in flussi decisionali, configura sistemi	8-16 ore	Tutto il base + introduzione GDPR e AI Act, confidence threshold, escalation human-in-the-loop, valutazione output
Avanzato	DPO, IT Manager, responsabile compliance, chi decide acquisti vendor AI	40+ ore	Tutto l'intermedio + assessment rischi, contract negotiation con fornitori AI, DPA, ruoli provider/deployer, audit interno, sanzioni Art. 99

Per una PMI manifatturiera 50-250 dipendenti tipica: 80-90% del personale in livello base, 5-10% intermedio, 1-2 persone in avanzato.

Quanto deve durare un corso, chi lo certifica

Il regolatore non ha imposto una durata minima. La FAQ AI Office distingue solo "proporzionata, documentata, periodica". Detto questo, il mercato si è assestato su numeri ragionevoli:

Corsi base on-demand (CSQA, AICA, provider e-learning): 2-4 ore, certificato di partecipazione.
Corsi intermedi blended (Politecnico Milano, Bocconi, Federmanager): 16-24 ore, attestato con valutazione finale.
Master executive (Polimi Graduate School, SDA Bocconi): 80-200 ore, certificazione accademica.

Sulla certificazione: nessuna certificazione è ufficialmente riconosciuta dall'AI Act come "standard di compliance". Il regolatore guarda la sostanza, non il timbro. Quello che conta è poter dimostrare:

Chi ha ricevuto la formazione (lista nominativa).
Cosa è stato trattato (programma dettagliato).
Quando (data).
Come si è verificato l'apprendimento (test, quiz, valutazione del docente).

Un foglio Excel ben tenuto con queste quattro colonne, conservato per 5 anni, è più solido di un certificato ISO scaduto.

Costi benchmark italiani 2025-2026

I numeri di mercato in Italia, riferimento indicativo da verificare ad hoc con provider:

Tipo	Range costo per persona	Esempi vendor
On-demand base (2-4 ore)	50-300 €	CSQA, AICA, piattaforme e-learning generaliste
In-house base (mezza giornata aziendale)	1.000-3.000 € forfait per gruppo	Federmanager regionale, consulenti privacy/AI
Intermedio blended (16-24 ore)	500-1.500 €	Politecnico Milano executive, Bocconi short
Avanzato/Master (80+ ore)	3.000-15.000 €	Polimi GSoM, SDA Bocconi

Per una PMI 100 dipendenti, una stima realistica del budget complessivo di literacy AI nel primo anno è 5.000-12.000 €, distribuito così:

90 persone × livello base = 4.500-9.000 €
8 persone × livello intermedio = 4.000-12.000 € (di solito basta una sessione collettiva 1.500-3.000 €)
2 persone × livello avanzato = 6.000-30.000 € (spesso DPO e IT Manager già formati, residuo basso)

Razionalizzando con sessioni collettive e on-demand: 5.000-12.000 € primo anno, 2.000-5.000 € annui di manutenzione (turnover + aggiornamento).

Cosa NON serve

Tre cose che il mercato sta vendendo e che il regolatore non richiede:

Certificazione ISO/IEC 42001 (AI Management System) per il personale. È una certificazione di sistema aziendale, non un requisito Art. 4. Utile se siete una grande organizzazione che vende compliance, sovradimensionata per una PMI manifatturiera.
Master da 200 ore per tutti i dipendenti. L'AI literacy è proporzionata al ruolo. Un operatore di linea che non tocca AI non ha bisogno di un master.
Corsi a 5.000 €/dipendente promossi come "obbligo AI Act". Il regolatore non ha tariffario. Se un vendor vi dice "obbligatorio fare questo corso da X €", chiedete sempre il riferimento normativo specifico.

Vendor italiani affidabili (mappa rapida)

Senza endorsement specifici, le opzioni che funzionano per una PMI italiana:

Politecnico di Milano (Osservatori, Graduate School of Management): solido per intermedio e avanzato, brand riconosciuto, percorsi corporate disponibili.
SDA Bocconi: avanzato e master, target principalmente dirigenza.
CSQA: corso "AI Act – Alfabetizzazione sull'Intelligenza Artificiale" da 2 ore on-demand, target base.
AICA: percorsi modulari riconosciuti nel Living Repository AI Pact UE.
Federmanager (sezione regionale): formazione in-house tagliata su dirigenti e quadri.
Studi legali specializzati (Stefanelli & Stefanelli, Bird & Bird, Advant NCTM, DGRS): formazione avanzata per DPO e responsabili compliance, taglio normativo.

Per una PMI manifatturiera tipo, il pattern che funziona è: on-demand AICA o CSQA per il livello base (90% delle persone), una sessione in-house con consulente per livello intermedio, partecipazione a un master executive per DPO/IT Manager.

Cosa cambia per gli studi commercialisti e i partner esterni

Una nota laterale ma importante: l'Art. 4 si applica anche a chi gestisce AI per conto vostro. Se il vostro studio commercialista usa Zucchetti AI o TeamSystem Studio AI per gestire la vostra contabilità, il vostro contratto dovrebbe richiedere evidenza della loro AI literacy interna. L'Osservatorio Zucchetti HR 2024 ha rilevato che l'84% degli studi commercialisti percepisce impatto positivo dell'AI (63% risparmio tempo, 21% nuovi spunti): vuol dire che la maggioranza dei vostri partner di consulenza sta già usando AI sui vostri dati. Saperlo è una buona pratica, certificarlo contrattualmente è la prossima maturità.

Cosa facciamo noi di default

Alpiflow non eroga corsi di AI literacy: non è il nostro mestiere e, sinceramente, non vorremmo essere noi i certificatori della vostra compliance. La formazione va presa da provider specializzati riconosciuti (Politecnico Milano Osservatorio AI, AICA, Federmanager Academy, SDA Bocconi, LUISS, CSQA, e i consulenti privacy/legaltech menzionati sopra), che hanno docenti, programmi accreditati e contenuti aggiornati.

Quello che possiamo fare per le PMI manifatturiere che ci contattano è aiutarvi a scegliere e verificare il partner formazione giusto in base al vostro contesto (settore, sistemi AI in uso, ruoli da coprire, livello di compliance già esistente). Niente conflitto di interesse: non rivendiamo i corsi, non incassiamo commissioni. Vi indichiamo i provider che secondo noi calzano e vi diamo i criteri di valutazione preventivo per evitare i corsi pomposi e gli "obblighi" inventati.

Il resto del fascicolo compliance attorno alla formazione (mappatura sistemi, classificazione rischio per ruolo, policy AI interna, contratti DPA blindati, registro vivo dove tenere insieme inventario, decisioni e evidenze formative ricevute dai vostri provider) è invece la nostra parte di lavoro standard: AICompliance, audit uso AI + mappatura obblighi Art. 50 + pacchetto contrattuale (DPA, sub-processor list, Registro trattamenti GDPR). Dettagli in AI Compliance. Letture complementari in GDPR e AI per PMI.

Se ha senso per voi, scopriamolo in 30 minuti.

Aggiornato al 24 maggio 2026. Articolo divulgativo, non costituisce consulenza legale né formativa. I benchmark di costo sono stime di mercato indicative, da verificare con provider specifici (Politecnico Milano, Bocconi, AICA, CSQA, Federmanager). Le FAQ AI Office Commissione UE sull'AI literacy sono periodicamente aggiornate.