Formazione obbligatoria AI ACT dopo il Digital Omnibus
L’obbligo di formazione in materia di Intelligenza artificiale nasce dall’art. 4 dell’AI Act, applicabile dal 2 febbraio 2025 e riscritto dal Digital Omnibus dal 27 luglio 2026: l’azienda deve sostenere lo sviluppo delle competenze, ma ha libertà sul livello effettivo da raggiungere per ciascun lavoratore.
In Italia, la legge collega questo dovere direttamente alla sicurezza sul lavoro, obbligando a formare i dipendenti sui rischi specifici dell’IA e ad aggiornare il Documento di Valutazione dei Rischi. Per adeguarsi, il primo passo è mappare tutti i software di IA già impiegati in azienda, inclusi quelli utilizzati autonomamente dai collaboratori senza autorizzazione ufficiale.
Normativa: il quadro aggiornato a novembre 2026
La formazione sull’IA è regolata su due livelli: il regolamento europeo fissa la base comune, la legge quadro e il decreto attuativo italiani la declinano su lavoro, sicurezza e settori regolamentati.
| Norma | Livello | Da quando si applica | A chi si rivolge |
| Reg. (UE) 2024/1689 (AI Act), art. 4 | UE | 2 febbraio 2025 | Fornitori e deployer di sistemi di IA, pubblici e privati, per il loro personale e per chi usa l’IA per loro conto. |
| Legge 23 settembre 2025, n. 132 | Italia | 10 ottobre 2025 | Tutti i soggetti pubblici e privati che usano o sviluppano IA in Italia; istituisce l’Osservatorio sull’adozione dell’IA presso il Ministero del Lavoro. |
| Reg. (UE) 2026/1744 (Digital Omnibus), che riscrive l’art. 4 | UE | 27 luglio 2026; vigilanza delle autorità nazionali da agosto 2026 | Gli stessi destinatari dell’art. 4. |
| D.Lgs. 7 ottobre 2026, n. 179 | Italia | 23 ottobre 2026, con adempimenti scaglionati tra 2026 e 2027 | Datori di lavoro (art. 42), PA (art. 40), scuola (artt. 36–38), ordini professionali, sanità, università, giustizia e finanza. |
| AI Act, art. 26, par. 2 (alto rischio) | UE | 2 dicembre 2027, dopo il differimento del Digital Omnibus | Deployer di sistemi ad alto rischio, per il personale che ne esercita la sorveglianza umana. |
| UNI 11621-8:2026 (non vincolante) | Italia | Pubblicata il 30 aprile 2026 | Imprese, PA, ordini ed enti di formazione: 12 profili professionali dell’IA. |
Che cosa chiede l’art. 4 dopo il Digital Omnibus
Dopo la revisione introdotta dal Digital Omnibus sull’IA (Regolamento UE 2026/1744), entrato in vigore il 27 luglio 2026, l’Articolo 4 dell’AI Act impone a fornitori (provider) e utilizzatori professionali (deployer) di adottare misure volte a sostenere lo sviluppo dell’alfabetizzazione in materia di IA del proprio personale e di chi opera per loro conto.
La norma richiede di modulare le azioni formative tenendo conto delle competenze tecniche, dell’esperienza, dell’istruzione e del contesto di utilizzo dei sistemi, ma chiarisce esplicitamente che non sussiste l’obbligo di garantire un livello specifico di alfabetizzazione per alcun singolo individuo
> Scopri la formazione in AI & Machine Learning Engineering
Come cambia la formulazione dell’obbligo
Formulazione originaria dell’Articolo 4 (in vigore dal 2 febbraio 2025 al 26 luglio 2026)
«I fornitori e i deployer di sistemi di IA adottano misure per garantire, nella misura del possibile, un livello sufficiente di alfabetizzazione in materia di IA del loro personale e di altre persone che si occupano del funzionamento e dell’utilizzo dei sistemi di IA per loro conto, prendendo in considerazione le loro conoscenze tecniche, la loro esperienza, istruzione e formazione…».
Nuova formulazione dell’Articolo 4, paragrafo 1 (in vigore dal 27 luglio 2026)
«I fornitori e i deployer di sistemi di IA adottano misure volte a sostenere lo sviluppo dell’alfabetizzazione in materia di IA del loro personale nonché di qualsiasi altra persona che si occupa del funzionamento e dell’utilizzo dei sistemi di IA per loro conto, prendendo in considerazione le loro conoscenze tecniche, la loro esperienza, istruzione e formazione, nonché il contesto in cui i sistemi di IA devono essere utilizzati, e tenendo conto delle persone o dei gruppi di persone su cui i sistemi di IA devono essere utilizzati. Tale obbligo non impone ai fornitori o ai deployer di garantire un livello specifico di alfabetizzazione in materia di IA per alcuna persona.».
Possiamo osservare le modifiche sinteticamente:
- Cambio del verbo principale: si passa da «garantire […] un livello sufficiente» a «sostenere lo sviluppo».
- La frase finale esenta espressamente le aziende dal dover garantire una soglia di competenza individuale per ciascun lavoratore.
- Nascita di un obbligo di mezzi (non di risultato): l’attenzione legale si sposta dallo stato finale di apprendimento del singolo individuo alle azioni e risorse messe concretamente a disposizione dall’azienda per favorire l’alfabetizzazione.
- Introduzione di compiti di supporto pubblico (parr. 2 e 3): la Commissione UE e gli Stati membri sono ora tenuti a sostenere le imprese (in particolare le PMI) pubblicando esempi pratici, mentre il Consiglio per l’IA emanerà raccomandazioni basate sui quadri di competenza europei.
Che cosa significa “obbligo di mezzi” per un’azienda
Con il Digital Omnibus l’azienda viene giudicata sulle risorse, sugli sforzi e sulle azioni messe a disposizione per far crescere le competenze. Il livello effettivamente raggiunto dal singolo lavoratore esce dal perimetro dell’obbligo.
In caso di controllo, l’azienda deve poter dimostrare di aver adottato misure proporzionate al proprio contesto, che prende in considerazione, ad esempio: ruolo delle persone, conoscenze pregresse, strumenti di IA impiegati e persone su cui quegli strumenti incidono.
La Commissione Europea ha chiarito tre punti che spesso generano confusione:
- nessun livello minimo obbligatorio: la norma non fissa soglie o punteggi da raggiungere;
- nessun certificato: per adempiere all’art. 4 non serve alcun attestato formale;
- nessun test obbligatorio: quiz e verifiche interne restano liberi, utili a valutare l’efficacia dei corsi.
Resta però una forma di prova da costruire: la Commissione raccomanda un registro interno delle iniziative.
> Scarica la guida gratuita e scopri di più
Per chi è obbligatoria la formazione in Intelligenza Artificiale
Qualunque organizzazione usi l’IA in un contesto professionale è obbligata, a prescindere da dimensioni, numero di dipendenti o fatturato.
L’AI Act distingue due ruoli:
- provider (fornitore): sviluppa un sistema o un modello di IA, o lo fa sviluppare, per immetterlo sul mercato con il proprio nome o marchio;
- deployer (utilizzatore): qualsiasi persona fisica o giuridica, ente pubblico o organismo che usa un sistema di IA sotto la propria autorità in un’attività professionale.
Una MPMI che mette a disposizione del personale strumenti di terzi, in SaaS o su licenza, è deployer a pieno titolo. L’AI Act non prevede esenzioni per dimensione d’impresa: anche ad esempio gli studi professionali e le micro-imprese rientrano nella definizione.
L’art. 4 si applica a qualsiasi sistema di IA usato in un contesto professionale, compresi i comuni strumenti generalisti. Rientrano nel perimetro:
- chatbot e assistenti di IA generativa per testi, traduzioni o marketing;
- funzioni di IA integrate nelle suite d’ufficio e nei gestionali, come i CRM;
- software di terzi per l’analisi dei CV, la selezione del personale o il merito creditizio.
Per chi usa strumenti generalisti, la formazione si concentra su alcuni aspetti pratici, ad esempio: quali dati non inserire mai nei prompt (GDPR e riservatezza) e come verificare gli output per riconoscere le allucinazioni.
Sistemi ad alto rischio: gli artt. 26 e 14
Chi usa sistemi ad alto rischio, come software di selezione del personale, valutazione delle prestazioni o credit scoring, deve affidarne la sorveglianza umana a persone con requisiti precisi, dal 2 dicembre 2027.
L’art. 26, par. 2 chiede che il supervisore abbia:
- competenza nel dominio di applicazione, per valutare criticamente le raccomandazioni della macchina;
- formazione specifica sul singolo sistema e sulle sue istruzioni d’uso;
- autorità effettiva per smentire, modificare o ignorare l’output senza chiedere autorizzazioni superiori;
- supporto organizzativo: tempi e condizioni di lavoro che non comprimano il controllo con pressioni di produttività.
L’art. 14, par. 4 indica che cosa deve poter fare il supervisore: comprendere capacità e limiti del sistema, contrastare l’automation bias, interpretare correttamente l’output, scegliere di non usare il sistema o ribaltarne i risultati, e arrestarlo in caso di emergenza. Per l’identificazione biometrica remota l’art. 14, par. 5 richiede la conferma separata di almeno due persone.
Il calendario, ridefinito dal Digital Omnibus, prevede il 2 dicembre 2027 per i sistemi autonomi dell’Allegato III e il 2 agosto 2028 per quelli integrati in prodotti già regolamentati (Allegato I).
> Scarica la guida gratuita e scopri come progettare il percorso di formazione per il tuo team
Il livello italiano: D.Lgs. 179/2026 e Legge 132/2025
Il legislatore italiano ha portato la formazione sull’IA dentro la disciplina della sicurezza sul lavoro e ha fissato obblighi di trasparenza verso i lavoratori, già in vigore dal 23 ottobre 2026.
Art. 42: formare sui rischi specifici dell’IA
L’art. 42 del D.Lgs. 179/2026 chiede al datore di lavoro due adempimenti: valutare nel DVR i rischi connessi all’uso dell’IA e garantire ai lavoratori informazione e formazione sui rischi specifici dei sistemi adottati e sulle misure di prevenzione scelte dall’azienda.
Il rapporto con l’art. 4 dell’AI Act è di complementarità:
| Art. 4 AI Act | Art. 42 D.Lgs. 179/2026 | |
| Oggetto | Alfabetizzazione generale: opportunità, limiti, tutela dei dati | Informazione e formazione sui rischi per salute e sicurezza |
| Da dove nasce il contenuto | Linee guida generali e policy aziendale sull’IA | Esiti della valutazione dei rischi riportati nel DVR |
| Chi controlla | Autorità di vigilanza del mercato | Organi di vigilanza sulla sicurezza (INL, ASL) |
La conseguenza pratica: un corso generico sull’IA generativa può soddisfare l’art. 4, mentre per l’art. 42 serve in più la formazione sui rischi del contesto aziendale. L’AI Act fa salve le norme nazionali più favorevoli ai lavoratori, ed è su questa base che l’Italia ha agganciato l’obbligo ai meccanismi ispettivi del D.Lgs. 81/2008.
L’IA entra nel DVR
La valutazione dei rischi ex art. 28 del D.Lgs. 81/2008 deve includere l’IA ogni volta che incide su organizzazione del lavoro e ritmi produttivi, modalità di esecuzione delle mansioni o processi decisionali rilevanti per la sicurezza.
I rischi da mappare sono di due tipi:
- Fisici e operativi: interazione con macchine automatizzate e cobot, mancata rilevazione di pericoli da parte dei sensori;
- Organizzativi e psicosociali: stress lavoro-correlato da ritmi algoritmici, turni rigidi o monitoraggio automatizzato delle prestazioni.
Sul fronte formativo, l’obbligo si raccorda con gli artt. 36 e 37 del D.Lgs. 81/2008, che già prevedono la formazione dei lavoratori quando si introducono nuove attrezzature o tecnologie. Valutazione e formazione coinvolgono RSPP e ASPP, medico competente e RLS.
Informativa ai lavoratori e decisioni automatizzate
Il quadro normativo che riguarda quindi gli obblighi di trasparenza verso i lavoratori in materia di Intelligenza artificiale si può riassumere nei seguenti principi:
- Principio generale (L. 132/2025, art. 11): l’IA nel lavoro va usata in modo sicuro, affidabile e trasparente, e il datore di lavoro deve informare i lavoratori sul suo impiego;
- Informativa preventiva (D.Lgs. 179/2026, art. 41): prima di attivare sistemi che incidono sulla gestione o sul monitoraggio del personale, l’informativa va data ai lavoratori e trasmessa alle rappresentanze sindacali, con finalità, funzionamento e dati trattati;
- Diritto a una spiegazione (art. 41, comma 3): se l’IA partecipa a una decisione su valutazioni, premi, sanzioni, trasferimenti o licenziamenti, il lavoratore può chiedere una motivazione intelligibile, fornita da una persona fisica, con il peso dell’IA e i principali parametri considerati;
- Riserva di decisione umana (art. 41, commi 1 e 4): le decisioni finali sul rapporto di lavoro spettano a una persona fisica con potere autonomo; un atto deciso solo dall’algoritmo è nullo. Fa eccezione lo screening automatico iniziale dei CV, fermi restando informativa, GDPR e divieti di discriminazione.
Il primo passo per la compliance è quindi la mappatura degli strumenti di IA utilizzati oggi all’interno dell’azienda, con quali account e su quali dati. Da quella mappa discendono i gruppi da formare, i contenuti per ruolo, l’aggiornamento del DVR e il registro che dimostra le misure adottate.
Da questo punto il lavoro diventa operativo: chi formare e su che cosa, quante ore prevedere, come documentare le misure, quali scadenze mettere in agenda. La guida «AI literacy in azienda» raccoglie questi passaggi in un unico documento, con tabelle pronte da adattare al proprio contesto.
Kinetikon progetta percorsi di AI literacy su misura per ruolo, dalla base comune ai moduli per team operativi e manager, con un referente dedicato che segue l’azienda nel tempo. Come soggetto proponente qualificato per Fondimpresa e Fondirigenti gestisce anche la pratica di finanziamento, che può azzerare il costo del corso per l’azienda.
La guida completa: formazione obbligatoria AI ACT
Come costruire, documentare e aggiornare il piano di formazione sull’IA previsto dall’art. 4 dell’AI Act dopo il Digital Omnibus.
All’interno di questa guida troverai:
- Come costruire il piano formativo per ogni ruolo
- Come documentare la formazione
- Quali sono le sanzioni e i rischi della mancata formazione
- Le prossime scadenze normative.
FAQ – Domande frequenti sulla formazione obbligatoria in materia di IA
La formazione AI Act è ancora obbligatoria dopo il Digital Omnibus?
Sì. Dal 27 luglio 2026 l'art. 4 chiede a fornitori e deployer di sostenere lo sviluppo delle competenze sull'IA del personale. In altre parole, l'azienda viene valutata sulle risorse, sugli sforzi e sulle azioni messe a disposizione per far crescere le competenze. Il livello effettivamente raggiunto dal singolo lavoratore esce dal perimetro dell'obbligo.
Serve un certificato di AI literacy?
No. La Commissione Europea ha chiarito che per l'art. 4 non servono certificati, attestati formali o test obbligatori. Serve invece un registro interno che documenti strumenti, policy, partecipanti, date e contenuti.
Chi deve fare la formazione sull'IA in azienda?
Tutto il personale che usa sistemi di IA, inclusi collaboratori e fornitori di servizi che li usano per conto dell'azienda. I contenuti vanno differenziati per ruolo: base comune per tutti, percorsi specifici per team operativi, manager e supervisori di sistemi ad alto rischio. In Italia l'art. 42 del D.Lgs. 179/2026 aggiunge la formazione sui rischi specifici emersi nel DVR.
Che cosa rischia un'azienda che non forma i dipendenti sull'IA?
L'art. 4 non ha una multa propria nell'AI Act, ma le autorità possono imporre diffide ad adempiere. In Italia l'omessa formazione sui rischi specifici ricade nelle sanzioni del D.Lgs. 81/2008, e in caso di incidente pesa come prova di negligenza davanti al Garante Privacy e ai giudici.
