Dal 27 luglio 2026, l’articolo 4 dell’AI Act, il regolamento europeo sull’intelligenza artificiale, non dice più la stessa cosa. Il regolamento (UE) 2026/1744, pubblicato nella Gazzetta ufficiale il 24 luglio, ha sostituito il suo testo in blocco, senza eliminarlo. Le aziende devono ora leggere un obbligo riformulato, la cui portata richiede una lettura attenta.
La versione del 2024 richiedeva ai fornitori e agli utilizzatori di sistemi di IA di adottare misure per « garantire, per quanto possibile, un livello sufficiente » di padronanza dell’IA del proprio personale. La nuova versione riprende lo stesso tema e gli stessi criteri: le conoscenze, l’esperienza, l’istruzione e la formazione delle persone, il contesto d’uso e le persone interessate. Il verbo, invece, cambia. Si tratta ora di adottare misure per « favorire lo sviluppo » di questa padronanza, e il testo precisa che l’obbligo non impone di garantire un livello specifico per ogni individuo.
Sono stati aggiunti due paragrafi. La Commissione e gli Stati membri devono sostenere le aziende, in particolare attraverso formazioni, risorse informative e lo scambio di buone pratiche, mentre il Comitato europeo per l’IA adotterà delle raccomandazioni. Il considerando 8 indica che obblighi rigorosi non sono adatti a tutti gli operatori e gravano soprattutto sulle piccole imprese.
Un obbligo di mezzi, sempre applicabile
Interpretare questo cambiamento come una soppressione sarebbe un errore. L’articolo 4 si applica ancora a tutti i fornitori e utilizzatori, indipendentemente dalle loro dimensioni. Un’azienda i cui dipendenti utilizzano un assistente conversazionale, uno strumento di redazione o un agente integrato nella loro messaggistica rimane un utilizzatore ai sensi del regolamento.
L’obbligo è passato da una logica di risultato a una logica di mezzi, che si giudica sulle azioni effettivamente implementate. Se un cliente, un revisore, un committente o un’autorità pone la domanda, la risposta « non abbiamo fatto nulla, il testo è stato alleggerito » non regge. Il resto del regolamento ha inoltre mantenuto il suo calendario: gli obblighi di trasparenza dell’articolo 50 si applicano dal 2 agosto 2026, mentre gli obblighi sui sistemi ad alto rischio sono posticipati al 2 dicembre 2027 per quelli dell’allegato III, come il reclutamento o la valutazione della solvibilità, e al 2 agosto 2028 per l’IA integrata nei prodotti dell’allegato I.
Cosa un’azienda deve poter dimostrare
Il testo non prescrive alcun formato. In pratica, tre elementi sono sufficienti per rispondere alla maggior parte delle richieste. Il primo è un inventario degli usi: quali strumenti di IA sono utilizzati, da quali team, per quali compiti e con quali dati. Senza questo inventario, è impossibile verificare che le formazioni corrispondano agli usi reali.
Il secondo è un registro delle azioni. Per ogni azione, bisogna annotare la data, il pubblico, il contenuto, la durata, il formato (formazione, workshop, guida interna o carta d’uso) e il collegamento con un uso identificato, supportato se possibile da un attestato di presenza o di superamento. Il terzo è un responsabile, una persona nominata che tiene aggiornato questo registro e lo rivede all’arrivo di ogni nuovo strumento. In una PMI, si tratta spesso del dirigente o del responsabile dei sistemi informativi.
Gli errori frequenti
Il primo consiste nell’arrestare tutto, mentre l’alleggerimento riguarda il livello da garantire e non l’esistenza dell’obbligo. Il secondo è formare tutti allo stesso modo: un webinar generico di un’ora risponde male alla domanda di un giurista che utilizza uno strumento di sintesi dei contratti, o di un team delle risorse umane che testa uno strumento di preselezione. Il terzo confonde formazione e documentazione. Dipendenti formati senza traccia scritta non possono dimostrare nulla, e un registro compilato senza formazione reale non resiste a una domanda precisa. Infine, un registro fermo al 2025 non copre un agente implementato nel 2026: deve seguire l’inventario degli usi.
Un’azienda che parte da zero può procedere in tre fasi: censire gli usi reali, compresi quelli non approvati dalla direzione, prevedere per ciascuno un’azione proporzionata, quindi registrare queste azioni in un registro con un responsabile designato. Questo lavoro, che richiede alcuni giorni secondo la presentazione dell’articolo, serve anche al di là dell’articolo 4, di fronte a un cliente che interroga l’uso dell’IA in una prestazione o al momento di preparare gli obblighi sui sistemi ad alto rischio.
