Normativa europea e conformità aziendale sull’Intelligenza Artificiale

AI Act e Formazione Obbligatoria: Guida Pratica per l’Alfabetizzazione Aziendale dall’Articolo 4 ai Controlli

L’Articolo 4 dell’AI Act impone a tutte le imprese che utilizzano l’intelligenza artificiale di garantire al personale una formazione adeguata. Con l’avvio della vigilanza e dei controlli, adeguarsi richiede un percorso concreto: dall’inventario della “Shadow AI” alla profilazione dei corsi per ruolo.

L’Obbligo dell’Articolo 4: A chi si applica e le scadenze

Il Regolamento Europeo 2024/1689 (AI Act) segna un punto di svolta fondamentale per la governance aziendale dell’Intelligenza Artificiale. Tra le disposizioni più rilevanti per la gestione del personale figura l’Articolo 4, che introduce l’obbligo formale di alfabetizzazione in materia di IA (AI literacy).

• Soggetti obbligati: L’obbligo non ricade unicamente su chi sviluppa o produce software di IA (fornitori), ma si estende direttamente a chiunque impieghi tali sistemi nell’operatività aziendale (deployer/utilizzatori).
• Dimensione aziendale: La norma riguarda l’intero tessuto produttivo, incluse le piccole e medie imprese a partire da dieci dipendenti.
• Decorrenza della norma: L’obbligo di alfabetizzazione è entrato ufficialmente in vigore il 2 febbraio 2025.
• Avvio dei controlli: La vigilanza e la fase ispettivo-sanzionatoria a livello nazionale sono operative dal 2 agosto 2026.

Secondo la definizione normativa, l’alfabetizzazione consiste nel fornire al personale le competenze, le conoscenze e la comprensione necessarie per effettuare un’opera di utilizzo consapevole, interpretare gli output e comprendere limiti e rischi degli strumenti impiegati.

Il punto di partenza: Censire la “Shadow AI” Aziendale

Uno degli errori più comuni commessi dalle aziende è avviare corsi di formazione generici senza conoscere gli strumenti di IA effettivamente presenti nell’organizzazione. Non è possibile formare il personale su software di cui non si conosce l’esistenza.

Secondo le rilevazioni sul campo, circa due terzi degli strumenti di IA operativi nelle imprese sono entrati senza una formale decisione manageriale o una procedura approvata. L’ingresso informale dell’IA avviene principalmente attraverso tre canali:

1. Aggiornamenti trasversali del software: Funzionalità di IA integrate e attivate automaticamente nei programmi gestionali o di posta elettronica già in uso.
2. Estensioni del browser: Componenti aggiuntivi scaricati autonomamente dagli utenti che richiedono permessi di lettura su quanto visualizzato a schermo.
3. Assistenti virtuali nei meeting: Bot di trascrizione e appunto automatico che si collegano ai calendari e partecipano alle videochiamate aziendali e con clienti esterni.

Le 6 tracce per ricostruire l’inventario strumenti

Per adempiere correttamente all’obbligo formativo, l’impresa deve prima ricostruire l’inventario reale degli strumenti in uso. Questa mappatura si effettua in circa mezza giornata analizzando sei tracce chiave:

• Spese ricorrenti da carta aziendale: Verifica degli addebiti mensili (tipicamente tra 10 e 50 euro) relativi ad abbonamenti individuali acquistati dal personale.
• Applicazioni autorizzate sulla suite aziendale: Controllo nella console di amministrazione degli accessi di terze parti concessi con l’account di lavoro (permessi su posta, file e calendari).
• Estensioni del browser: Audit delle estensioni e dei plugin installati sui dispositivi e computer aziendali.
• Partecipanti alle riunioni: Analisi dello storico delle videoconferenze degli ultimi due mesi per individuare account o bot non umani.
• Log di firewall e filtri DNS: Verifica del traffico di rete verso domini e piattaforme esterne di IA generativa tramite la funzione IT.
• Interviste di processo mirate: Domande operative dirette al personale sulle modalità di redazione di verbali, report o analisi (es. “Come è stato elaborato questo documento?”).

Le 4 domande tecniche da porre ai fornitori

Una volta censito ciascuno strumento, è necessario sottoporre il software a un controllo tecnico e contrattuale:

• Ambito di Verifica: Quesito da Rivolgere al Fornitore (in forma scritta)
• Localizzazione Dati: Dove vengono elaborati e conservati i dati, e per quale intervallo di tempo?
• Addestramento Modelli: I contenuti aziendali inseriti vengono usati per l’addestramento dei modelli di IA?
• Permessi di Sistema: Quali autorizzazioni e accessi permanenti possiede lo strumento sull’infrastruttura aziendale?
• Titolarità Contrattuale: Il contratto è intestato all’azienda o a un singolo account personale?

A seguito della verifica, ogni strumento censito deve essere regolarizzato tramite contratto aziendale, sostituito con un’alternativa conforme o disattivato fornendo contestualmente un valido sostituto.

Rischi, responsabilità legali e sanzioni

La responsabilità legale del rispetto delle norme ricade interamente sulla governance aziendale e non sul fornitore del software.

1. Relazione con l’Articolo 99 dell’AI Act: Sebbene l’Articolo 4 non figuri direttamente nell’elenco edittale delle sanzioni pecuniarie dell’Articolo 99 (che prevede sanzioni amministrative fino a 15 milioni di euro o al 3% del fatturato globale), la mancanza di formazione costituisce un’aggravante diretta in caso di contestazioni.
2. Violazione di norme collegate: L’uso improprio di strumenti di IA non mappati espone l’azienda a violazioni sanzionabili in materia di:
   • GDPR e protezione dati personali.
   • Statuto dei Lavoratori (Art. 4, L. 300/1970 relativo al controllo a distanza).
   • Legge 132/2025 (normativa italiana sull’IA), che impone l’obbligo di informare i lavoratori sulle logiche e sull’impiego dei sistemi aziendali.

Come strutturare un piano formativo conforme

Con il quadro chiaro degli strumenti approvati, l’intervento formativo può essere erogato in maniera rapida e mirata. La formazione deve evitare corsi generici identici per tutti i dipendenti e articolarsi su tre profili aziendali specifici:

1. Chi decide (Management e Governance): Formazione incentrata su responsabilità legali, scelta dei contratti, valutazione dei fornitori e rispetto dei diritti dei lavoratori.
2. Chi tratta i dati (IT, HR, Amministrazione): Formazione sulla tutela del dato, riservatezza delle informazioni, gestione delle autorizzazioni e conformità GDPR.
3. Chi produce contenuti (Area Operativa, Marketing, Commerciale): Formazione operativa sull’uso sicuro dei singoli strumenti autorizzati, verifica dell’accuratezza degli output ed evitamento di allucinazioni o bias.

Per dimostrare l’avvenuto adempimento in sede di ispezione da parte delle autorità nazionali (come AgID o il Garante Privacy), è necessario mantenere una traccia scritta e documentata contenente l’elenco dei partecipanti, la data di svolgimento, le ore erogate e gli specifici strumenti/argomenti oggetto del corso.

DESIDERI APPROFONDIRE L’ARGOMENTO CONTATTACI PER UNA CONSULENZA PERSONALIZZATA E GRATUITA