Formare i dipendenti sull'uso dell'AI (AI literacy operativa)

Formare i dipendenti sull’uso dell’AI significa insegnare tre cose: come funzionano gli assistenti AI e dove vanno a finire i dati inseriti, quali informazioni non vanno mai incollate in chiaro, e le regole concrete dell’azienda. Non è solo buona pratica: l’AI Act la rende un obbligo (art. 4, AI literacy) per chiunque usi questi strumenti al lavoro.

Questa guida operativa fa parte del percorso descritto nella pillar policy AI aziendale: la policy stabilisce le regole, la formazione le trasferisce alle persone che ogni giorno usano strumenti come ChatGPT, Claude o Gemini.

Risposta rapida: cosa serve

• Perché: c’è un obbligo (AI Act, art. 4) e un rischio reale (dati di clienti che escono senza controllo).
• Cosa insegnare: come funziona l’AI, quali dati non incollare, le regole dell’azienda.
• Come: sessione iniziale breve + policy scritta + aggiornamenti periodici, con traccia documentata.
• Il legame normativo: l’AI literacy dell’art. 4 vale anche per chi usa l’AI, non solo per chi la sviluppa.

1. Perché formare: obbligo e rischio

Ci sono due ragioni, e vanno tenute insieme.

La prima è normativa. L’articolo 4 dell’AI Act, applicabile dal 2 febbraio 2025, chiede a fornitori e utilizzatori di sistemi di AI di assicurare un livello sufficiente di alfabetizzazione del personale che li usa per loro conto. Vale anche per la piccola azienda o lo studio che si limita a usare un assistente AI generico: se i tuoi collaboratori usano ChatGPT o Gemini per lavoro, l’obbligo di formarli ti riguarda. Approfondiamo l’inquadramento nella guida su l’obbligo di AI literacy dell’art. 4.

La seconda ragione è il rischio concreto. Senza formazione, i dipendenti usano l’AI comunque — solo di nascosto e senza regole. È il fenomeno della Shadow AI: strumenti non approvati, account personali, dati aziendali incollati in chiaro dentro chat che possono trattare quegli input e, in certe configurazioni, riutilizzarli. Un collaboratore che incolla l’elenco clienti in un assistente AI per “farsi riassumere le note” ha appena fatto uscire dati personali dal perimetro dell’azienda. La formazione trasforma un comportamento invisibile e rischioso in un uso consapevole e tracciabile.

2. Cosa insegnare

Un buon programma sta su tre blocchi, dal generale al pratico.

Blocco 1 — Come funziona l’AI (e dove finiscono i dati)

Le persone rispettano una regola solo se ne capiscono il motivo. Spiega in termini semplici che gli assistenti AI inviano il testo a un server esterno, che quell’input può essere conservato e, in alcune configurazioni, usato per migliorare i modelli. Chiarisci la differenza tra un account personale gratuito e una versione aziendale con impostazioni di privacy diverse. L’obiettivo non è spaventare, ma far capire che ciò che incollo esce dal mio computer.

Blocco 2 — Quali dati non incollare in chiaro

È il cuore operativo. Elenca in modo concreto cosa non deve mai finire in un prompt senza mascheratura:

• nome e cognome di clienti, pazienti, dipendenti;
• codici fiscali, IBAN, partite IVA;
• indirizzi, email, numeri di telefono;
• dati particolari (salute, situazione economica, orientamento);
• interi documenti riservati (contratti, cartelle, buste paga).

La regola da far entrare in testa è quella spiegata nella guida non incollare dati in chiaro nell’AI: prima si anonimizza, poi si invia.

Blocco 3 — Le regole dell’azienda

Qui la formazione si aggancia alla policy AI: quali strumenti sono approvati, per quali compiti è ammesso usare l’AI, chi contattare in caso di dubbio, come si maschera un documento prima dell’invio. Non regole astratte, ma il “come si fa qui da noi”.

3. Come organizzare la formazione

Non serve un corso universitario. Serve qualcosa di breve, concreto e ripetibile.

1. Sessione iniziale (30–45 minuti): i tre blocchi sopra, con esempi reali del settore. Meglio dal vivo o in videocall che una slide letta da soli.
2. Policy scritta di riferimento: un documento a cui tornare, firmato per presa visione. È anche la prova che la formazione è avvenuta.
3. Esempi pratici: mostra un prima/dopo reale, non solo teoria (vedi sotto).
4. Aggiornamenti periodici: gli strumenti cambiano in fretta. Un richiamo ogni 6–12 mesi mantiene vive le regole.
5. Traccia tutto: materiali, partecipanti, date. È ciò che rende l’obbligo dimostrabile.

Per un’azienda con più sedi o studi in rete, ha senso standardizzare il materiale una volta e riusarlo: la parte HR può gestire il programma come un normale onboarding.

Un esempio prima/dopo da mostrare in aula

Il modo più efficace per far capire la regola è farla vedere. Mostra ai partecipanti la differenza tra ciò che non si incolla e ciò che si può incollare:

Riassumi questa nota per la pratica:
Il sig. Mario Rossi (CF RSSMRA80A01H501U),
residente in Via Verdi 12, Milano, ha versato
un acconto sull'IBAN IT60X0542811101000000123456
e chiede una dilazione sul saldo.

Riassumi questa nota per la pratica:
Il sig. [NOME_1] (CF [CF_1]),
residente in [INDIRIZZO_1], ha versato
un acconto sull'IBAN [IBAN_1]
e chiede una dilazione sul saldo.

Il testo mascherato è ancora perfettamente utile: l’assistente AI può comunque riassumere, riscrivere o strutturare la nota. Semplicemente, non vede più i dati reali.

4. Il legame con l’AI Act (art. 4)

L’articolo 4 non chiede un attestato o un corso certificato: chiede un livello di alfabetizzazione adeguato al ruolo delle persone. Un DPO ha bisogno di più profondità di un collaboratore amministrativo, ma tutti devono sapere l’essenziale: cosa è l’AI, quali rischi comporta per i dati e come usarla nel rispetto delle regole interne.

Questo si intreccia con il GDPR: incollare dati personali di clienti in un assistente AI è un trattamento, e va fatto rispettando la minimizzazione. Anonimizzare prima dell’invio è proprio la misura tecnica che riduce i dati esposti — un principio, non un timbro di conformità. Formare le persone su quando e come farlo è ciò che collega l’obbligo di literacy dell’AI Act alla protezione dei dati richiesta dal GDPR.

Rendere la regola facile da rispettare

C’è un limite noto della sola formazione: sotto pressione, con venti pratiche aperte, anche il collaboratore più diligente dimentica un CF in una tabella o un nome in un allegato. La formazione insegna cosa fare; uno strumento la rende facile da fare sempre.

È qui che entra PrivActa, come strumento di supporto all’anonimizzazione: individua e maschera automaticamente nomi, codici fiscali, IBAN, partite IVA e indirizzi italiani, sostituendoli con segnaposto coerenti — sul dispositivo, prima che i dati arrivino a qualunque motore AI, che il team usi ChatGPT, Claude, Gemini o un altro assistente. Non sostituisce il giudizio delle persone né rende automaticamente conformi: resta buona pratica ricontrollare il risultato. Ma trasforma la regola imparata in aula in un gesto di pochi secondi, uguale per tutto il team.

Se gestisci un team o più studi, scopri come PrivActa funziona e come inserirlo nel programma di formazione e onboarding HR. Per le organizzazioni con più utenti, la pagina PrivActa per le aziende spiega l’approccio a più postazioni.

Domande frequenti