AI Literacy obbligatoria: cosa devono fare (davvero) le PMI italiane

📢 Informativa: Questa pagina contiene link affiliati. Se acquisti tramite questi link potremmo ricevere una commissione, senza costi aggiuntivi per te. Raccomandiamo solo tool che riteniamo utili per PMI e freelance.

Dal 2 febbraio 2025 l’AI Literacy come obbligo aziendale è in vigore in tutta Europa. Non riguarda solo chi sviluppa algoritmi: se la tua azienda usa ChatGPT, Copilot o un gestionale con funzioni “smart” in modo professionale, potresti già rientrare nel campo di applicazione dell’art. 4 del Regolamento UE 2024/1689 (AI Act). Eppure la maggior parte delle PMI italiane non sa ancora cosa significhi questo obbligo — né cosa fare concretamente per rispettarlo. Questa guida ti spiega come valutare la tua situazione e quali passi minimi adottare, senza allarmismi.

Cos’è l’AI Literacy e perché riguarda anche te

AI Literacy – letteralmente “alfabetizzazione sull’intelligenza artificiale” – è la capacità di comprendere, usare e governare in modo consapevole i sistemi di AI. L’AI Act ne ha fatto un obbligo giuridico.

L’articolo 4 del Regolamento (UE) 2024/1689 stabilisce che fornitori e deployer (cioè chi usa sistemi AI in contesto professionale) devono “adottare misure per garantire un livello sufficiente di alfabetizzazione in materia di AI del loro personale nonché di qualsiasi altra persona che si occupa del funzionamento e dell’utilizzo dei sistemi di AI per loro conto.”

Tradotto: se nella tua azienda qualcuno usa ChatGPT, Copilot, un software gestionale con funzioni AI, o qualsiasi altro strumento simile per lavorare, potresti rientrare nell’obbligo – vale la pena verificarlo, anche con una nota interna o con un consulente. Per capire se il tuo strumento è effettivamente un sistema AI secondo la legge, vedi la guida alla definizione di sistema AI.

Non è richiesto un corso da 40 ore. La Commissione UE, nel documento FAQ ufficiale pubblicato su digital-strategy.ec.europa.eu, chiarisce che la formazione deve essere proporzionata al ruolo e al contesto d’uso — ma deve esistere, essere documentata e andare oltre il semplice “leggi le istruzioni del software”.

Le scadenze da segnare in agenda

L’AI Act si applica in modo progressivo. Ecco le date chiave per chi usa AI in azienda:

2 febbraio 2025 – Obbligo di AI Literacy già attivo (art. 4). Da questa data le aziende devono aver avviato misure di formazione e sensibilizzazione.

2 agosto 2025 – Sanzioni operative. Le norme sulle sanzioni previste dall’AI Act sono entrate in vigore. L’assenza di un programma formativo può essere usata come aggravante in caso di incidenti o controlli.

2 – 3 agosto 2026 – Il Regolamento diventa pienamente applicabile e le autorità nazionali avviano formalmente la vigilanza, inclusi i controlli sull’art. 4. Il Parlamento UE ha approvato il rinvio delle scadenze per i sistemi ad alto rischio al 2027-2028, ma l’obbligo di AI literacy resta invariato.

⚠️ Nota: le modalità concrete dei controlli dipenderanno da linee guida nazionali ancora in fase di definizione.

Tre scenari concreti per PMI e freelance italiani

Scenario 1 – Studio di consulenza (5 persone)

Un piccolo studio usa ChatGPT per redigere report, analizzare documenti e rispondere ai clienti. Il titolare non ha mai comunicato ai collaboratori i limiti dello strumento: allucinazioni, dati non aggiornati, rischio di condividere informazioni riservate.

Cosa fare: preparare una policy interna di uso (anche di una pagina), fare una sessione di allineamento di 1-2 ore che spieghi cosa può fare ChatGPT e cosa no, e documentarla. Questo è già sufficiente come punto di partenza per dimostrare compliance all’art. 4.

Scenario 2 – E-commerce con 20 dipendenti

L’azienda usa un CRM con funzionalità AI per la segmentazione dei clienti e un tool per la generazione automatica di testi prodotto. I rischi principali: bias nelle raccomandazioni, testi generati non controllati pubblicati online, dati personali dei clienti trattati dai modelli AI.

Cosa fare: identificare chi usa questi strumenti, formare quella persona o quel team sulle limitazioni specifiche del sistema, aggiornare l’informativa privacy e – se i dati personali vengono inviati al provider AI – verificare la base giuridica e il contratto con il fornitore (art. 28 GDPR).

Scenario 3 – Freelance / professionista autonomo

Un grafico o copywriter usa Midjourney, Writesonic o simili per la propria attività. È deployer ai sensi dell’AI Act? Potrebbe essere considerato deployer ai sensi dell’AI Act, a seconda dello strumento usato e del contesto. Per un singolo professionista senza dipendenti, è sufficiente avere consapevolezza dei limiti dello strumento e non presentare output AI come lavoro interamente umano senza dichiararlo al cliente.

Cosa devi fare concretamente: la checklist minima

Non esiste un formato obbligatorio imposto dall’AI Act per la formazione. L’AI Office della Commissione UE chiarisce che sono accettabili anche strumenti semplici come podcast interni, seminari online o materiali scritti – l’importante è che siano documentati e commisurati al ruolo.

Ecco i passi minimi per una PMI italiana:

1. Mappa gli strumenti AI in uso. Elenca tutti i tool che la tua azienda usa: chatbot, software gestionali con funzioni “smart”, strumenti di marketing, generatori di testi o immagini. Includi anche quelli usati individualmente dai dipendenti senza policy ufficiale.
   → Mappatura strumenti AI: guida pratica
2. Identifica i ruoli coinvolti. Chi usa questi strumenti? Chi prende decisioni basate su output AI? Queste persone sono soggette all’obbligo formativo.
3. Verifica se rientri nell’obbligo Chiediti: il tool che uso soddisfa la definizione di sistema di IA secondo l’AI Act? Processa dati personali? Supporta decisioni automatizzate (selezione personale, credit scoring, ecc.)? Il fornitore ha documentazione di conformità? Abbiamo una policy interna scritta? Se non sei sicuro, annota la tua valutazione per iscritto – è già una misura di mitigazione del rischio.
4. Classifica il livello di rischio. La maggior parte delle applicazioni usate da PMI (marketing, customer service, produttività) rientra nel rischio limitato o minimo. Se invece usi AI per selezione del personale, valutazione del credito o in ambito sanitario, sei in zona alto rischio con obblighi più stringenti.
5. Prepara o acquista materiale formativo. Non deve essere un master universitario: basta un documento interno che spieghi come funzionano gli strumenti usati, i loro limiti, cosa fare in caso di errori. Documentare il fatto che questo materiale è stato condiviso e compreso.
6. Aggiorna contratti e policy. Se tratti dati personali attraverso tool AI, verifica il contratto con il fornitore (Data Processing Agreement, ex art. 28 GDPR) e aggiorna l’informativa privacy. Un tool come iubenda ti permette di generare e mantenere aggiornata la tua privacy policy in modo semplice.
   → Guida completa GDPR e AI per PMI

---

Sanzioni: quanto rischi davvero?

L’art. 4 sull’AI Literacy non prevede una sanzione numerica diretta e specifica. La mancanza di formazione diventa però un fattore aggravante quando si verifica un danno causato da uso scorretto di AI. Le sanzioni massime previste dall’AI Act (fino al 7% del fatturato) si riferiscono a violazioni gravi e sistematiche dell’intero Regolamento – non a una singola mancanza formativa. Per le PMI vale esplicitamente il principio di proporzionalità. L’obiettivo non è spaventarti, ma aiutarti a ridurre il rischio con misure semplici e documentate.

La Legge italiana 132/2025: cosa aggiunge

Il 10 ottobre 2025 è entrata in vigore la Legge italiana n. 132/2025, prima legge nazionale sull’AI in Europa. Non introduce obblighi di prodotto aggiuntivi rispetto all’AI Act, ma definisce il quadro nazionale. In Italia la vigilanza sarà coordinata da più autorità competenti – tra cui ACN, Garante Privacy e altre autorità di settore – in base al caso specifico e a decreti attuativi ancora in definizione.

Per le PMI il messaggio pratico è uno: le autorità di controllo italiane sono operative e consapevoli dei propri compiti. Agosto 2026 non è lontano.

Conclusione

L’AI Literacy come obbligo aziendale non richiede un investimento enorme, ma richiede attenzione adesso. Mappare gli strumenti in uso, formare il team in modo proporzionato e documentare il tutto: questi tre passi bastano a costruire una base solida prima che i controlli diventino operativi nel 2026.

Chi inizia oggi con una policy semplice e documentata è già in una posizione molto migliore rispetto a chi aspetta. Sul fronte GDPR, il Digital Omnibus propone semplificazioni che potrebbero alleggerire alcuni obblighi per le PMI — ma l’obbligo di AI Literacy dell’art. 4 non è toccato dalla riforma.

📌 Le informazioni di questo articolo sono di carattere generale e non sostituiscono un parere legale personalizzato. Per la tua situazione specifica, ti consigliamo di confrontarti con un consulente legale o di privacy.

Approfondisci:

📌 Guide settoriali: AI Act per commercialisti →  |  AI Act per agenzie di marketing →  |  AI Act per e-commerce →

FAQ