Nelle ultime Q&A pubblicate, la Commissione Europea ( ha risposto ad alcune delle domande più frequenti in merito all’Articolo 4 del Regolamento UE 2024/1689 in tema di Intelligenza Artificiale (“AI Act” o “Regolamento”), che impone a fornitori e deployer di sistemi di Intelligenza Artificiale (IA) l’adozione di adeguate misure per l’alfabetizzazione su questa tematica (di cui abbiamo scritto più dettagliatamente nel nostro precedente articolo dedicato all’AI literacy).

In questa occasione, la Commissione ha fornito importanti chiarimenti rispetto alla norma e alla sua effettiva applicazione, utili alle imprese per affrontare il processo di definizione dei propri piani di alfabetizzazione (della cui impostazione pratica abbiamo sempre discusso nell’articolo sopra menzionato).

Esploriamo quindi le più rilevanti.

A quali soggetti devono rivolgersi le misure di alfabetizzazione?

L’Articolo 4 dell’AI Act prevede, a carico delle imprese fornitrici e/o deployer di sistemi di IA, l’obbligo di adozione di adeguate misure di alfabetizzazione, non solo con riferimento ai propri dipendenti, ma anche rispetto a “qualsiasi altra persona che si occupa del funzionamento e dell’utilizzo dei sistemi […] per loro conto”. Tale formulazione desta alcune perplessità, in particolare rispetto all’individuazione dei soggetti a cui dovrebbero rivolgersi le misure prescritte dalla norma.

Nelle Q&A, la Commissione Europea ha chiarito che tra le “persone che si occupano del funzionamento e dell’utilizzo dei sistemi di IA” rientrano quelle che, in generale, “ricadono nell’ambito organizzativo” dell’impresa oltre ai dipendenti, quali ad esempio collaboratori esterni, fornitori o clienti.

Già ad una prima riflessione, si può dunque intuire la necessità di distinguere le misure di alfabetizzazione destinate a soggetti interni all’impresa da quelle adottate con riferimento a soggetti esterni, valutando attentamente quale sia la soluzione più efficace per adempiere correttamente ai propri obblighi senza disperdere risorse o appesantire i processi di business.

Come definire il corretto piano di alfabetizzazione? È sufficiente un programma di training?

Proprio con riferimento all’organizzazione interna di fornitori e deployer, nelle Q&A la Commissione ribadisce che la definizione del piano di alfabetizzazione è un processo altamente personalizzato, durante il quale si devono considerare diversi fattori, tra cui:

• Il contesto in cui opera l’impresa e in cui vengono forniti e/o utilizzati i sistemi di IA;
• Le tipologie di rischi connessi ai sistemi di IA forniti e/o utilizzati;
• La differenziazione dei ruoli dei diversi soggetti coinvolti nella fornitura e/o utilizzo dei sistemi di IA, sia con riferimento all’attività lavorativa svolta, sia rispetto alle conoscenze in loro possesso in tema di Intelligenza Artificiale.

Alla luce di ciò, la Commissione Europea evidenzia come non esista un approccio “one-size-fits-all” rispetto a questa tematica e che, quindi, il piano di alfabetizzazione debba essere il frutto di un’attenta valutazione. La Commissione specifica, ad esempio, come un generale programma di formazione dei dipendenti potrebbe non essere una misura appropriata a soddisfare l’obbligo di cui all’Articolo 4 del Regolamento.

A tal proposito, la Commissione Europea chiarisce altresì che non è necessario ottenere una certificazione per dimostrare la propria compliance all’Articolo 4 e che è sufficiente tenere traccia internamente delle azioni intraprese in tal senso. Questa accortezza risulta di fondamentale importanza nell’ottica di eventuali audit o processi di due diligence, oppure ancora di future verifiche da parte delle autorità competenti.

Da quando sarà effettivamente applicato l’Articolo 4 e quali saranno le conseguenze del mancato adempimento?

L’Articolo 4 fa parte del primo blocco di norme del Regolamento, entrate in vigore il 2 febbraio 2025. Fornitori e deployer, quindi, sono già tenuti ad adeguarsi agli obblighi di cui alla norma in questione.

Rispondendo a queste Frequently Asked Questions, tuttavia, la Commissione Europea ha di fatto riconosciuto che l’effettiva applicazione degli obblighi di cui all’Articolo 4 – così come anche quelli contenuti nelle altre norme dell’AI Act recentemente entrate in vigore – avverrà solo a partire dal 3 agosto 2026, momento in cui diventeranno efficaci le disposizioni relative all’enforcement del Regolamento e alla vigilanza da parte delle autorità competenti.

Per quanto riguarda le misure sanzionatorie che le autorità competenti potranno adottare, la Commissione conferma che la loro definizione dipenderà soprattutto dalle scelte dei legislatori nazionali, ma rassicura precisando che la loro individuazione caso per caso dovrà sempre essere guidata dal principio di proporzionalità.

L’applicazione di eventuali sanzioni – continua poi la Commissione – sarà più probabile qualora ci sia evidenza di un incidente dovuto all’assenza di adeguate misure di alfabetizzazione.

Qual è la differenza tra enforcement pubblico e privato dell’Articolo 4 dell’AI Act? I dipendenti possono fare causa al datore di lavoro per assenza di formazione adeguata?

Il public enforcement (applicazione pubblica) si riferisce al meccanismo attraverso cui ogni Stato membro nominerà una o più autorità competenti incaricate di supervisionare e far rispettare le disposizioni dell’AI Act. Queste autorità avranno il compito di controllare l’osservanza degli obblighi di alfabetizzazione all’IA e, in caso di inadempimento, imporre sanzioni e misure correttive sulla base della normativa nazionale.

Il private enforcement (applicazione privata), invece, si attiva nel caso in cui un soggetto privato subisca un danno e ritenga che ciò sia riconducibile alla mancata osservanza dell’Articolo 4 da parte di un’organizzazione, ad esempio per l’omessa formazione sui rischi legati all’uso dei sistemi di IA. In questo scenario, l’interessato può valutare – con l’assistenza di un legale – la possibilità di ottenere il risarcimento del danno sulla base delle leggi civili nazionali.

Tuttavia, è importante chiarire che l’AI Act non introduce nuovi reati né un diritto autonomo al risarcimento: la possibilità di agire giudizialmente dipende interamente dal quadro giuridico interno dello Stato membro interessato. Di conseguenza, anche se il datore di lavoro non fornisce una formazione adeguata, non è detto che vi sia automaticamente una responsabilità giuridica, se non in presenza di un danno effettivo e dimostrabile.

Le imprese che usano ChatGPT devono rispettare l’obbligo di alfabetizzazione previsto dall’Articolo 4 dell’AI Act?

Secondo quanto chiarito nelle Q&A della Commissione Europea, sì, le imprese che consentono ai propri dipendenti l’uso di sistemi di IA generativa come ChatGPT – ad esempio per la redazione di copy pubblicitari o la traduzione di documenti – devono adempiere agli obblighi di alfabetizzazione previsti dall’Articolo 4 dell’AI Act.

I lavoratori devono essere informati sui rischi specifici associati all’uso di tali strumenti, in particolare il fenomeno delle allucinazioni (hallucination), ovvero la produzione di contenuti apparentemente plausibili ma falsi o fuorvianti.

Questa interpretazione conferma la necessità di una formazione mirata anche per chi, pur non sviluppando direttamente i sistemi, li impiega operativamente nel contesto aziendale.

Come possono le PMI garantire l’alfabetizzazione all’IA con risorse limitate? Esistono programmi di supporto dell’UE?

Per supportare le PMI nell’adempimento degli obblighi di alfabetizzazione, l’Unione Europea mette a disposizione iniziative specifiche come la rete degli European Digital Innovation Hubs (EDIHs).

Si tratta di 251 sportelli unici, dislocati in tutti gli Stati membri, in 3 paesi EFTA (Norvegia, Islanda, Liechtenstein) e in 8 paesi associati, che offrono supporto tecnico, consulenza e formazione, anche in materia di intelligenza artificiale.

Circa l’80% degli EDIH fornisce servizi specifici sull’IA – tra cui corsi, workshop e bootcamp, pensati per livelli di conoscenza e bisogni differenti. Gli EDIH possono fungere anche da sportelli informativi di primo livello sull’AI Act, orientando le imprese verso ulteriori strumenti finanziati dall’UE, come le Testing and Experimentation Facilities (TEFs) o le AI Factories.

Per individuare l’EDIH più vicino è possibile consultare l’apposito catalogo.

Dove si possono reperire ulteriori informazioni rispetto all’implementazione dell’Articolo 4? Verranno fornite delle linee guida?

La Commissione Europea ha dichiarato che non verranno emesse linee guida specificamente dedicate all’Articolo 4 del Regolamento; tuttavia, ricorda la presenza di due iniziative complementari tra loro e promosse dalla Commissione stessa, in particolare:

• L’AI Pact: un programma ad adesione volontaria che incoraggia gli operatori di mercato ad adottare anticipatamente misure di compliance all’AI Act, nonché a condividere e confrontarsi su strategie e best practices. Nell’ambito del programma è stato anche organizzato, ed è tutt’ora disponibile online, un webinar dedicato;
• Living repository: un repository continuamente aggiornato dalla Commissione Europea per la condivisione di best practices in tema di AI literacy raccolte presso gli operatori del mercato.

A conferma del principio per cui non esiste un approccio unico, la Commissione ha precisato che l’adozione di best practices reperite tramite i canali sopra indicati non garantisce in maniera automatica la compliance all’Articolo 4 del Regolamento in quanto le misure di alfabetizzazione devono adattarsi alle peculiarità dell’impresa che le adotta.

Considerazioni finali

Tramite queste Q&A la Commissione Europea ha dunque fornito importanti spunti chiarificatori rispetto alle modalità con cui fornitori e deployer di sistemi di IA dovranno conformarsi a quanto previsto dall’Articolo 4 del Regolamento, cogliendo altresì l’occasione per ribadire un punto fondamentale: l’implementazione di un piano di alfabetizzazione idoneo ed efficace si radica in una approfondita analisi della realtà a cui questo si dovrà applicare.

Seppur tale compito può sembrare piuttosto complesso, da non dimenticare è che l’effettiva applicazione delle norme a partire dall’agosto 2026 lascia alle imprese tutto il tempo per effettuare le necessarie valutazioni in maniera accurata.