L'AI Act ha rinviato quasi tutto. Non la formazione.

A luglio è successa una cosa che ha fatto tirare un sospiro di sollievo a mezza Italia produttiva. Il Regolamento (UE) 2026/1744 — quello che tutti chiamano Digital Omnibus — ha spostato in avanti le scadenze più temute dell'AI Act: gli obblighi sui sistemi ad alto rischio autonomi slittano al 2 dicembre 2027, quelli sui sistemi integrati in prodotti al 2 agosto 2028.

Il messaggio arrivato nelle aziende è stato uno solo, e sbagliato: c'è tempo.

Non per tutto. C'è un obbligo che non è stato rinviato, che si applica dal 2 febbraio 2025, che riguarda praticamente chiunque usi l'intelligenza artificiale al lavoro — e che da agosto di quest'anno ha qualcuno che lo controlla. È l'articolo 4, l'alfabetizzazione in materia di intelligenza artificiale.

E c'è una seconda cosa, che il mercato della formazione in questo momento non ha nessun interesse a raccontarvi: per rispettarlo non serve un attestato.

Cosa è cambiato davvero il 27 luglio

Il Digital Omnibus non ha abrogato l'articolo 4. L'ha riscritto, e la riscrittura è più interessante del rinvio.

La nuova formulazione chiede a fornitori e utilizzatori di adottare misure effettive e proporzionate, calibrate sulle mansioni delle persone, sulle loro conoscenze tecniche e sul contesto in cui i sistemi vengono usati. È in vigore dal 27 luglio 2026.

Tradotto: l'obbligo diventa più esplicitamente su misura. Non esiste il pacchetto che va bene per tutti, e questo taglia le gambe sia a chi non fa niente sia a chi compra il corso generico da due ore per tutta l'azienda e archivia il PDF.

Da agosto qualcuno guarda, e in Italia ha un nome

Fino a poco fa l'articolo 4 era un obbligo senza vigilanza: c'era la norma, non c'era chi la facesse rispettare. Questo è finito.

La Commissione europea, nelle sue risposte ufficiali sull'alfabetizzazione, scrive che le regole su vigilanza e applicazione si applicano dal 3 agosto 2026, e che a farle rispettare sono le autorità nazionali di vigilanza del mercato — non l'AI Office europeo. Le stesse risposte chiariscono che quelle autorità «potrebbero imporre sanzioni e altre misure di enforcement» per violazioni dell'articolo 4, con un approccio proporzionato che tiene conto della natura e della gravità della violazione e del suo carattere doloso o colposo.

In Italia quelle autorità hanno un nome preciso, e lo ha stabilito la legge 132/2025. L'articolo 20 designa l'Agenzia per la cybersicurezza nazionale (ACN) come autorità di vigilanza del mercato, con competenza su ispezioni e sanzioni, e l'AgID come autorità di notifica. Per i profili finanziari restano competenti Banca d'Italia, CONSOB e IVASS.

Non è una minaccia imminente: nessuno immagina ispezioni a tappeto sulle PMI venete a settembre. Ma la differenza fra "obbligo senza controllore" e "obbligo con un'agenzia che può ispezionare e sanzionare" è la differenza fra un rischio teorico e uno reale.

Riguarda anche voi, quasi certamente

Qui casca la maggior parte delle aziende, perché l'articolo 4 non parla solo a chi sviluppa intelligenza artificiale.

Vincola fornitori e utilizzatori di sistemi di IA. Utilizzatore — nel testo, deployer — è chiunque usi un sistema di IA nell'esercizio della propria attività professionale. Se in azienda qualcuno usa un assistente conversazionale per scrivere email ai clienti, uno strumento che riassume documenti, un copilota dentro la suite d'ufficio, un sistema che fa una prima scrematura dei curriculum, siete utilizzatori.

Un dettaglio che sfugge quasi sempre: la Commissione precisa che l'obbligo copre le persone che si occupano del funzionamento e dell'uso dei sistemi per conto del fornitore o dell'utilizzatore. Non solo i dipendenti, quindi: anche collaboratori, consulenti e fornitori di servizi che usano quei sistemi per voi.

Se avete dato in outsourcing il customer care e chi risponde usa un assistente AI sui vostri dati, quella responsabilità non è uscita dall'azienda insieme al servizio.

La parte che non vi diranno: niente attestato

Questo è il punto in cui conviene rileggere con attenzione, perché in questi mesi state ricevendo molte proposte che dicono l'opposto.

La Commissione europea, sempre nelle risposte ufficiali, è esplicita su due cose. La prima: non serve un certificato, e le organizzazioni possono semplicemente tenere una registrazione interna delle formazioni e delle altre iniziative adottate. La seconda: non esiste una soluzione unica valida per tutti e non sono imposti corsi obbligatori né requisiti rigidi — dipende dal contesto dell'organizzazione e dal livello di rischio.

Chi vi vende un attestato di conformità all'articolo 4 vi sta vendendo un oggetto che la norma non chiede. Può darsi che il corso sia ottimo e che valga i suoi soldi per quello che insegna — ma non compratelo per il pezzo di carta, perché il pezzo di carta non è ciò che vi viene chiesto.

Quello che vi viene chiesto è che le persone che usano quei sistemi sappiano cosa stanno usando: cosa può fare, dove sbaglia, quali dati ci si possono mettere dentro e quali no, e quando la risposta di una macchina va verificata da una persona prima di diventare una decisione.

Cosa terrei in un registro interno

Se la conformità si dimostra con una registrazione interna, tanto vale sapere cosa metterci. Questo è il minimo che terrei, e vale anche per un'azienda di quindici persone:

• l'elenco dei sistemi di IA effettivamente in uso, compresi quelli che nessuno ha mai formalizzato — l'abbonamento personale usato per lavoro conta, ed è di solito la voce più scoperta;
• chi li usa e per fare cosa, distinguendo per ruolo: chi genera testo, chi analizza dati, chi li usa in un processo che tocca persone (selezione, valutazione, credito);
• cosa è stato fatto per ciascun gruppo: una sessione interna, un corso esterno, una nota operativa, l'affiancamento. Con data e partecipanti;
• le regole d'uso date per iscritto: quali dati non escono dall'azienda, cosa non si mette mai in un prompt, quali decisioni non si prendono senza una persona che verifichi;
• cosa succede quando qualcosa va storto: chi si avvisa se un sistema produce un errore che arriva a un cliente;
• quando lo si rivede: le persone cambiano, gli strumenti pure. Una revisione annuale è già qualcosa.

È una pagina di documento, non un progetto. E ha un vantaggio che va oltre la conformità: è la prima volta che la maggior parte delle aziende scopre quanti strumenti di IA sta davvero usando.

Se decidete di fare formazione vera, chi la paga

Il registro copre l'obbligo. Ma su alcuni ruoli la formazione seria serve davvero — e a quel punto conviene sapere che probabilmente la state già pagando.

Ogni azienda con dipendenti versa all'INPS un contributo pari allo 0,30% delle retribuzioni, previsto dalla legge 388/2000. Quel contributo si può destinare a un fondo interprofessionale aderendo, senza costi aggiuntivi: non è un incentivo da richiedere, è una scelta su dove far finire soldi che escono comunque. Se non aderite a nessun fondo, quella quota resta all'INPS e la formazione ve la pagate a parte.

I fondi funzionano su due canali, che cambiano nome da fondo a fondo ma hanno la stessa logica di fondo:

• un conto aziendale, alimentato da quello che la vostra azienda ha accantonato nel tempo, utilizzabile con più libertà e in genere quando volete;
• gli avvisi, cioè bandi periodici che distribuiscono risorse collettive su progetti valutati, spesso con formule aggregate pensate per le imprese piccole.

Il primo canale è più veloce e dipende da quanto avete accumulato; il secondo può finanziare progetti più ampi ma segue scadenze e graduatorie.

Cosa vi chiederà chi organizza i corsi

Se chiamate un ente di formazione, questa è la scheda che vi chiederà per capire su quali canali potete andare. Averla pronta vi fa risparmiare due settimane di rimpalli:

• il territorio in cui si trova l'azienda, perché diversi avvisi sono regionali;
• a quale fondo siete iscritti e, se il fondo li distingue, su quale canale potete contare — conto aziendale o avvisi;
• l'ultimo avviso a cui avete partecipato, che spesso condiziona l'accesso a quello successivo;
• la tipologia di corsi che vi interessa;
• il numero di persone da coinvolgere.

Un'avvertenza che vale la pena mettere per iscritto: la formazione finanziata dai fondi ha vincoli suoi — registri di presenza, monte ore minimi, rendicontazione — che non coincidono con quello che chiede l'articolo 4. Sono due binari diversi. Il fondo vi dice come pagare il corso; l'AI Act vi dice cosa le persone devono sapere. Un corso finanziato che non tocca gli strumenti che usate davvero soddisfa il primo e non il secondo.

L'errore che vedremo fare a molti

Il copione più probabile dei prossimi mesi è questo: un corso generico di due ore su "che cos'è l'intelligenza artificiale", uguale per il magazzino e per l'amministrazione, attestato per tutti, cartellina archiviata, obbligo considerato chiuso.

Non regge per due motivi. Il primo è formale: la nuova formulazione chiede misure proporzionate alle mansioni e al contesto d'uso, e un contenuto identico per ruoli diversi è la definizione di misura non proporzionata. Il secondo è sostanziale, e conta di più: quel corso non riduce il rischio che le aziende stanno correndo davvero, che non è la sanzione. È il preventivo incollato dentro un chatbot pubblico, l'elenco clienti finito in un prompt, la risposta sbagliata di un assistente mandata al cliente senza che nessuno l'abbia riletta.

La formazione che serve parte da lì: dagli strumenti che le vostre persone hanno già aperto sul desktop, e dalle tre o quattro cose che con quegli strumenti non vanno fatte mai.

Nota sulle fonti

Le scadenze rinviate dal Digital Omnibus e la riformulazione dell'articolo 4 vengono dal Regolamento (UE) 2026/1744, entrato in vigore il 27 luglio 2026, come ricostruito da fonti giuridiche specializzate concordanti.

Le affermazioni sulla non necessità di un attestato, sull'assenza di corsi obbligatori, sul perimetro dei soggetti coinvolti e sulle date di vigilanza ed enforcement vengono dalle risposte ufficiali della Commissione europea sull'alfabetizzazione in materia di IA.

La designazione di ACN come autorità di vigilanza del mercato e di AgID come autorità di notifica viene dall'articolo 20 della legge 23 settembre 2025, n. 132.

Il meccanismo del contributo dello 0,30% e dei fondi interprofessionali fa capo alla legge 388/2000. I nomi dei canali e le condizioni di accesso cambiano da fondo a fondo: verificateli sul regolamento del fondo a cui siete iscritti.

Questo articolo descrive un quadro aggiornato ad agosto 2026 e non costituisce consulenza legale. Le valutazioni sulla conformità di una specifica organizzazione vanno fatte con un professionista.