AI literacy: l'obbligo dell'art. 4 dell'AI Act spiegato semplice

L’art. 4 dell’AI Act impone a chi fornisce o utilizza sistemi di AI di garantire un livello sufficiente di AI literacy al proprio personale: cioè competenze per capire come funziona l’AI, quali rischi comporta e come usarla in sicurezza. L’obbligo si applica già dal 2 febbraio 2025 e riguarda ogni azienda che usa strumenti come ChatGPT, Claude o Gemini al lavoro.

Questa guida fa parte del cluster su AI Act e GDPR per le aziende: qui vediamo in concreto cos’è l’obbligo di AI literacy dell’art. 4, chi riguarda e come organizzare la formazione senza trasformarla in un adempimento di carta.

Risposta rapida

• Cos’è: l’AI literacy è la capacità di usare e supervisionare l’AI con consapevolezza di rischi e limiti.
• Chi obbliga: l’art. 4 dell’AI Act vincola fornitori e utilizzatori (deployer) rispetto al proprio personale.
• Da quando: applicabile dal 2 febbraio 2025; il quadro sanzionatorio dell’AI Act matura fino al 2 agosto 2026.
• Cosa fare: formare chi usa l’AI, calibrare per ruolo, documentare e affiancare misure tecniche.

Cos’è l’AI literacy

L’AI literacy è l’insieme di competenze, conoscenze e consapevolezza che consente a una persona di usare i sistemi di AI in modo informato e di coglierne opportunità e rischi. Non significa saper programmare un modello: significa capire cosa un assistente AI può e non può fare, come tratta gli input, e quali dati è pericoloso condividere.

L’AI Act la definisce all’art. 3 e la impone all’art. 4. Il punto pratico: un dipendente “AI-literate” sa che incollare il fascicolo di un cliente in un assistente AI pubblico può far uscire dati personali dal perimetro aziendale — e sa come evitarlo.

Concretamente, per un’azienda l’AI literacy copre almeno tre livelli:

• Capire lo strumento: come funziona un assistente AI generativo, cosa sono i “prompt”, perché le risposte possono essere imprecise (allucinazioni).
• Capire i rischi: privacy, riservatezza, proprietà intellettuale, bias, dipendenza da output non verificati.
• Capire le regole interne: cosa è ammesso, con quali strumenti, su quali dati — cioè la policy AI aziendale.

L’obbligo dell’art. 4 dell’AI Act

L’art. 4 dell’AI Act stabilisce che fornitori e utilizzatori di sistemi di AI adottino misure per assicurare, “nella misura del possibile”, un livello sufficiente di alfabetizzazione del proprio personale e di chi opera per loro conto nell’uso di questi sistemi. La misura va tarata su conoscenze pregresse, contesto d’uso e categorie di persone verso cui i sistemi sono impiegati.

Tre elementi da tenere a mente:

1. È un obbligo di risultato calibrato, non un corso a taglia unica. La legge non prescrive un monte ore né un programma: chiede un livello “sufficiente” e proporzionato al ruolo.
2. Vale anche per chi usa l’AI, non solo per chi la produce. La maggior parte delle aziende è un deployer (utilizzatore): se i tuoi dipendenti usano assistenti AI, l’obbligo ti riguarda.
3. La tempistica è già attiva. L’art. 4 si applica dal 2 febbraio 2025; le autorità nazionali e il regime sanzionatorio dell’AI Act si completano fino al 2 agosto 2026. Non è un adempimento futuro: è già dovuto.

Attenzione a non confondere AI Act e GDPR: sono complementari, non alternativi. Se vuoi il quadro d’insieme, la guida su AI Act e GDPR: cosa cambia per le aziende e quella sugli obblighi dell’AI Act per le aziende nel 2026 inquadrano dove finisce un obbligo e comincia l’altro.

Chi deve formarsi

L’obbligo copre tutto il personale che usa o supervisiona sistemi di AI per conto dell’azienda. In pratica:

• Chi usa l’AI operativamente — impiegati, addetti al marketing, all’amministrazione, all’HR che redigono testi, riassumono documenti o analizzano dati con un assistente AI.
• Chi la supervisiona o decide — manager, DPO, IT: devono capire abbastanza da valutare i rischi e definire le regole.
• Collaboratori esterni che operano in nome dell’azienda usando i suoi strumenti di AI.

Il livello di formazione va graduato: chi tratta dati sensibili di clienti o pazienti (studi professionali, sanità, HR) ha bisogno di un approfondimento maggiore rispetto a chi usa l’AI per compiti a basso rischio. È lo stesso principio di proporzionalità dell’art. 4.

Come organizzare la formazione

Una formazione utile — non solo formale — combina teoria breve e regole operative. Uno schema pratico:

1. Definisci le regole prima di formare. Una policy AI aziendale chiara è il contenuto stesso del corso: strumenti ammessi, dati vietati, cosa fare in caso di dubbio.
2. Insegna il “cosa non fare” concreto. Il messaggio più importante è semplice: non incollare dati personali o riservati in chiaro in un assistente AI pubblico. Mostra esempi reali.
3. Calibra per ruolo. Moduli diversi per chi usa l’AI ogni giorno e per chi la governa.
4. Rendila ripetibile e tracciabile. Registra destinatari, date e materiali: serve a dimostrare l’adempimento e ad aggiornare quando cambiano strumenti o normativa.
5. Affianca strumenti che rendano le regole eseguibili. La formazione spiega il rischio; una misura tecnica lo riduce ogni giorno, senza dipendere dalla memoria delle persone.

Su come costruire i contenuti e coinvolgere davvero le persone, la guida dedicata a come formare i dipendenti sull’uso dell’AI entra nel dettaglio operativo.

Dalla regola scritta al gesto quotidiano

Il divario tipico è questo: la policy dice “non condividere dati dei clienti”, ma nella fretta un nome, un codice fiscale o un IBAN finisce comunque nel prompt. La formazione riduce l’errore; una misura tecnica lo intercetta.

Riscrivi in tono più formale questa mail per il cliente
Mario Rossi (CF RSSMRA80A01H501U), IBAN
IT60X0542811101000000123456, residente in
Via Verdi 12, 20121 Milano.

Riscrivi in tono più formale questa mail per il cliente
[NOME_1] (CF [CF_1]), IBAN
[IBAN_1], residente in
[INDIRIZZO_1].

PrivActa: rendere eseguibile ciò che la formazione insegna

L’AI literacy insegna alle persone cosa non condividere. Ma nella pratica quotidiana serve qualcosa che lo applichi in automatico. È qui che PrivActa entra come strumento di supporto all’anonimizzazione: individua e maschera nomi, codici fiscali, IBAN, partite IVA e indirizzi italiani, sostituendoli con segnaposto coerenti, sul dispositivo, prima che il testo raggiunga qualunque motore AI — che il team usi ChatGPT, Claude, Gemini o un altro assistente. Il documento originale non lascia il computer.

PrivActa non rende automaticamente conforme all’AI Act o al GDPR, e non sostituisce la formazione né il giudizio del titolare del trattamento: la conformità resta responsabilità dell’azienda. È una misura tecnica di minimizzazione (art. 5(1)(c) GDPR) che riduce l’esposizione dei dati e trasforma la regola “non incollare dati in chiaro” in un gesto di pochi secondi, ripetibile ogni giorno.

Se stai organizzando la formazione per il tuo team, scopri come funziona PrivActa e vedi come si integra nel lavoro quotidiano di HR e reparti che gestiscono dati del personale. Per una visione d’insieme su AI in azienda, la pagina aziende mostra il quadro completo.