Regolamento IA, articolo 4: cosa impone davvero sull’alfabetizzazione IA

L’articolo 4 del regolamento sull’intelligenza artificiale chiede a chi fornisce e a chi utilizza sistemi di IA di adottare misure che sostengano lo sviluppo dell’alfabetizzazione in materia di IA delle persone che quei sistemi li fanno funzionare, tenendo conto delle loro conoscenze tecniche, della loro esperienza e del contesto d’uso. Non chiede un corso, non chiede un certificato e non chiede di raggiungere un livello misurabile. Il testo attuale lo dice espressamente.

Questa pagina esiste perché sul mercato italiano circola un’altra versione della stessa norma. La versione commerciale suona più o meno così: una nuova legge europea rende obbligatoria la formazione sull’intelligenza artificiale, con multe fino a 15 o 35 milioni di euro, e il modo per mettersi in regola è comprare un corso con attestato. Ognuno di questi tre passaggi è verificabile, e ognuno dei tre non regge alla lettura del testo.

Qui sotto mettiamo il vecchio e il nuovo testo dell’articolo 4 uno accanto all’altro nella versione italiana pubblicata da EUR-Lex, leggiamo l’elenco completo dell’articolo 99, paragrafo 4, riportiamo la posizione della Commissione europea con le sue parole e chiudiamo con la situazione italiana dopo la legge 23 settembre 2025, n. 132. Tutte le fonti sono primarie e sono state riaperte il 6 settembre 2026. Sono informazioni generali, non consulenza legale: il caso specifico va verificato con un professionista.

Cosa impone l’articolo 4 del regolamento IA?

Impone un obbligo di mezzi, non di risultato. Il testo vigente, nella versione italiana pubblicata sulla Gazzetta ufficiale dell’Unione europea, è questo:

Articolo 4 – Alfabetizzazione in materia di IA
1. I fornitori e i deployer di sistemi di IA adottano misure volte a sostenere lo sviluppo dell’alfabetizzazione in materia di IA del loro personale nonché di qualsiasi altra persona che si occupa del funzionamento e dell’utilizzo dei sistemi di IA per loro conto, prendendo in considerazione le loro conoscenze tecniche, la loro esperienza, istruzione e formazione, nonché il contesto in cui i sistemi di IA devono essere utilizzati, e tenendo conto delle persone o dei gruppi di persone su cui i sistemi di IA devono essere utilizzati. Tale obbligo non impone ai fornitori o ai deployer di garantire un livello specifico di alfabetizzazione in materia di IA per alcuna persona.

(EUR-Lex, regolamento (UE) 2026/1744, articolo 1, punto 5, consultato il 6 settembre 2026)

Vale la pena leggere anche i due paragrafi che seguono, perché ribaltano la direzione dello sforzo. Il paragrafo 2 dice che «La Commissione e gli Stati membri sostengono e agevolano gli sforzi dei fornitori e dei deployer di sistemi di IA, in particolare delle PMI, nell’adempimento dell’obbligo di cui al paragrafo 1 del presente articolo», e che a tal fine «la Commissione pubblica esempi pratici di come adempiere a tale obbligo sulla piattaforma unica di informazione di cui all’articolo 62, paragrafo 3, lettera b)». Il paragrafo 3 incarica il consiglio per l’IA di adottare raccomandazioni «tenendo conto dei quadri europei delle competenze».

In altre parole: la norma riformata chiede all’impresa di muoversi, e chiede alle istituzioni europee di renderle più facile farlo pubblicando esempi. Non chiede a un fornitore terzo di certificare che il risultato sia stato raggiunto.

Cosa è cambiato il 27 luglio 2026?

Il regolamento (UE) 2026/1744 dell’8 luglio 2026, pubblicato sulla Gazzetta ufficiale dell’Unione europea il 24 luglio 2026 e noto come omnibus digitale sull’IA, ha sostituito integralmente l’articolo 4. Il regolamento è entrato in vigore, con le parole del suo articolo 4, «il terzo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea»: il 27 luglio 2026.

Il cuore della modifica sta in una manciata di parole.

Il testo originale, per completezza, diceva: «I fornitori e i deployer dei sistemi di IA adottano misure per garantire nella misura del possibile un livello sufficiente di alfabetizzazione in materia di IA del loro personale nonché di qualsiasi altra persona che si occupa del funzionamento e dell’utilizzo dei sistemi di IA per loro conto» (EUR-Lex, regolamento (UE) 2024/1689). Chi vende formazione citando «un livello sufficiente di alfabetizzazione» sta citando una formulazione abrogata.

Lo stesso vale per le versioni in lingua di quella pagina. Le edizioni tedesca, spagnola, francese, italiana e polacca esistono e sono raggiungibili, ma ciascuna espone un avviso di traduzione automatica: la versione italiana avverte che «Si tratta di una traduzione automatica fornita dal servizio eTranslation». Non sono testi autentici, e in più di un caso propagano la formulazione precedente all’omnibus. Per il diritto, la versione italiana autentica è quella pubblicata su EUR-Lex.

Ci sono sanzioni legate all’articolo 4?

Questa è la parte in cui è più facile sbagliare, in entrambe le direzioni. La risposta precisa richiede di distinguere due paragrafi diversi dello stesso articolo 99.

Il paragrafo 4: l’elenco che fissa il tetto di 15 milioni

L’articolo 99, paragrafo 4, è la disposizione che il marketing della formazione cita di solito, senza leggerla. Nella versione italiana originale del regolamento (UE) 2024/1689 il paragrafo si apre così: «La non conformità a qualsiasi delle seguenti disposizioni connesse a operatori o organismi notificati, diverse da quelle di cui all’articolo 5, è soggetta a sanzioni amministrative pecuniarie fino a 15 000 000 EUR o, se l’autore del reato è un’impresa, fino al 3 % del fatturato mondiale totale annuo dell’esercizio precedente, se superiore». Segue l’elenco tassativo, che nella versione del 2024 contava sette lettere:

• a) gli obblighi dei fornitori a norma dell’articolo 16;
• b) gli obblighi dei rappresentati autorizzati a norma dell’articolo 22;
• c) gli obblighi degli importatori a norma dell’articolo 23;
• d) gli obblighi dei distributori a norma dell’articolo 24;
• e) gli obblighi dei deployer a norma dell’articolo 26;
• f) i requisiti e gli obblighi degli organismi notificati a norma dell’articolo 31, dell’articolo 33, paragrafi 1, 3 e 4, o dell’articolo 34;
• g) gli obblighi di trasparenza per i fornitori e i deployers a norma dell’articolo 50.

Il regolamento (UE) 2026/1744 ha aggiunto a questo elenco una sola lettera: «d bis) gli obblighi dei fornitori e degli operatori a norma dell’articolo 25, paragrafi 2 e 4». L’elenco vigente è quindi 16, 22, 23, 24, 25 (paragrafi 2 e 4), 26, 31, 33, 34, 50. L’articolo 4 non compare né nella versione del 2024 né in quella del 2026. Non è un’omissione recente e non è una svista: non c’è mai stato.

Il paragrafo 1: quello che invece esiste, ed è stato rafforzato

Fermarsi qui sarebbe però esattamente lo stesso errore, rovesciato. L’articolo 99, paragrafo 1, obbliga gli Stati membri a prevedere sanzioni per le violazioni del regolamento, e l’omnibus non lo ha indebolito: lo ha reso più esplicito.

La Commissione aggiunge due precisazioni che vale la pena riportare per intero, perché disegnano il perimetro reale del rischio: «Any sanction must be proportionate, based on the individual case and take into account factors such as nature and gravity and the intentional and negligent character of the infringement», e «The AI Act doesn’t create criminal offences or a right to compensation» (Commissione europea, AI literacy Q&A).

L’articolo 4 è stato rinviato?

No. È una confusione comprensibile, perché l’omnibus ha effettivamente rinviato una parte importante del regolamento, ma non questa. L’articolo 113, come modificato, dice:

«a) i capi I e II si applicano a decorrere dal 2 febbraio 2025, ad eccezione dell’articolo 5, paragrafo 1, primo comma, lettere b bis) e b ter), e dell’articolo 5, paragrafi 1 bis e 1 ter, che si applicano a decorrere dal 2 dicembre 2026;»

L’articolo 4 è nel capo I. L’unica eccezione alla data del 2 febbraio 2025 riguarda alcune lettere dell’articolo 5, sulle pratiche vietate. Quello che è stato rinviato davvero è il capo III, sezioni 1, 2 e 3, sui sistemi ad alto rischio: al 2 dicembre 2027 per i sistemi classificati ad alto rischio ai sensi dell’articolo 6, paragrafo 2, e dell’allegato III, e al 2 agosto 2028 per quelli dell’articolo 6, paragrafo 1, e dell’allegato I.

Quindi: l’articolo 4 ha mantenuto la sua data e ha cambiato contenuto restando dov’era. Chi vi dice che «l’obbligo di formazione parte adesso» sta sbagliando di diciannove mesi; chi vi dice che «è stato rimandato» sta sbagliando nella direzione opposta.

Serve un certificato o un corso obbligatorio?

No, e su questo la Commissione europea è insolitamente diretta. Le tre frasi che seguono vengono tutte dalla stessa pagina di domande e risposte, aggiornata al 27 luglio 2026 e riaperta il 6 settembre 2026.

• Sul certificato: «There is no need for a certificate. Organisations can keep an internal record of trainings and/or other guiding initiatives.»
• Sui corsi obbligatori: «There is no one size fit all when it comes to AI literacy and no strict requirements or mandatory trainings are imposed.»
• Sulla governance: «No, no specific governance structure is mandated to comply with article 4 of the AI Act.»

Nella stessa pagina la Commissione segnala il proprio «living repository» di pratiche di alfabetizzazione IA, liberamente accessibile, e vi accompagna un avvertimento che è di per sé un ottimo antidoto al marketing della conformità: «While at the moment replicating the practices collected in this living repository does not automatically grant presumption of compliance with Article 4, the repository aims to encourage learning and exchange among providers and deployers of AI systems». Se copiare gli esempi della Commissione non compra la conformità, non la compra nemmeno un attestato di un fornitore privato.

Cosa dice la legge italiana sull’intelligenza artificiale?

Qui l’Italia è un caso interessante, perché è l’unico dei grandi mercati europei in cui il quadro nazionale era già in piedi quando gli altri stavano ancora discutendo un disegno di legge. Questo rende le affermazioni di marketing sull’argomento più facili da verificare, non meno.

La legge 23 settembre 2025, n. 132, «Disposizioni e deleghe al Governo in materia di intelligenza artificiale», è stata pubblicata sulla Gazzetta Ufficiale n. 223 del 25 settembre 2025 ed è in vigore dal 10 ottobre 2025: la scheda della Gazzetta Ufficiale riporta testualmente «Entrata in vigore del provvedimento: 10/10/2025». Il testo integrale della legge è nel PDF ufficiale della Gazzetta Ufficiale n. 223.

Chi vigila

L’articolo 20, comma 1, stabilisce che «l’Agenzia per l’Italia digitale (AgID) e l’Agenzia per la cybersicurezza nazionale (ACN) sono designate quali Autorità nazionali per l’intelligenza artificiale, ferma restando l’attribuzione alla Banca d’Italia, alla CONSOB e all’IVASS del ruolo di autorità di vigilanza del mercato ai sensi e secondo quanto previsto dall’articolo 74, paragrafo 6, del regolamento (UE) 2024/1689». Il comma 2 assegna i ruoli previsti dall’articolo 70 del regolamento: «l’AgID è designata quale autorità di notifica […] e l’ACN è designata quale autorità di vigilanza del mercato e punto di contatto unico con le istituzioni dell’Unione europea».

Vale la pena notare una coincidenza rara. Nell’elenco dei punti di contatto unici pubblicato dalla Commissione europea, l’Italia compare con «Agenzia per la cybersicurezza nazionale» senza asterisco: la legenda della pagina precisa che «For Single Points of Contact marked with *, the national designation decision is still pending final adoption». Quell’elenco (Commissione europea, autorità di vigilanza del mercato) riporta però «Last update: 26 September 2025», quindi ha quasi un anno e non è una fotografia attendibile della situazione degli altri Stati membri; per l’Italia, la designazione è comunque confermata dalla legge nazionale.

Le sanzioni italiane sono delegate, e sono agganciate all’articolo 99

L’articolo 24, comma 1, delega il Governo ad adottare, «entro dodici mesi dalla data di entrata in vigore della presente legge», uno o più decreti legislativi «per l’adeguamento della normativa nazionale al regolamento (UE) 2024/1689». Fra i criteri direttivi, la lettera d) prevede di «attribuire alle autorità di cui all’articolo 20 il potere di imporre le sanzioni e le altre misure amministrative previste dall’articolo 99 del regolamento (UE) 2024/1689 per la violazione delle norme del regolamento stesso e degli atti di attuazione, nel rispetto dei limiti edittali e delle procedure previsti dal medesimo articolo 99».

La conseguenza è meccanica: il potere sanzionatorio che il Governo italiano può creare in attuazione di questa delega è delimitato dall’articolo 99 del regolamento europeo, e l’articolo 4 non rientra fra i casi dell’articolo 99, paragrafo 4. Aggiungiamo un dato di calendario e un limite di verifica: dodici mesi dal 10 ottobre 2025 portano a circa il 10 ottobre 2026, cioè oltre la data di questa pagina; non abbiamo verificato se i decreti legislativi attuativi siano stati adottati e non affermiamo quindi che il regime sanzionatorio italiano sia già operativo.

La formazione nella legge italiana: un obiettivo, non un adempimento

Questo è il punto che viene raccontato peggio. La legge 132/2025 parla effettivamente di alfabetizzazione e formazione, all’articolo 24, comma 2, lettere e) ed f):

«e) previsione di percorsi di alfabetizzazione e formazione in materia di utilizzo dei sistemi di intelligenza artificiale;»

«f) previsione, da parte degli ordini professionali e delle associazioni di categoria maggiormente rappresentative […] di percorsi di alfabetizzazione e formazione, per i professionisti e per gli operatori dello specifico settore, all’uso dei sistemi di intelligenza artificiale […]»

L’Italia è, fra i grandi mercati europei, l’unica ad avere iscritto la formazione sull’IA fra gli obiettivi della propria legge nazionale. Ma quelle due lettere sono criteri direttivi di una delega al Governo: dicono cosa il Governo dovrà prevedere quando eserciterà la delega, non cosa un datore di lavoro deve fare oggi. Non creano un obbligo formativo in capo alle imprese, non fissano ore, non fissano contenuti e non fissano scadenze aziendali. Chi le cita come prova che anche la legge italiana renderebbe obbligatoria la formazione del personale sta trasformando un’aspirazione di politica pubblica in un adempimento che non esiste.

Le affermazioni più diffuse, verificate una per una

In Italia i fornitori di formazione ripetono comunemente le affermazioni della prima colonna. Non nominiamo nessuno: il punto non è chi le dice, ma se reggono al testo.

Cosa non esiste: le assenze che abbiamo verificato

Un’assenza è un’affermazione come le altre, e va documentata allo stesso modo. Ecco dove abbiamo guardato e come.

• Non esiste un articolo 4 nell’elenco dell’articolo 99, paragrafo 4. Abbiamo letto l’elenco completo delle lettere nella versione italiana pubblicata su EUR-Lex, lettera per lettera, e non cercando il carattere «4», che restituirebbe falsi positivi su articolo 24, 34 e 50. Sette lettere nella versione originale, una sola aggiunta («d bis») nella versione del 2026: dieci riferimenti normativi in tutto, nessuno dei quali è l’articolo 4.
• Non esiste un certificato di alfabetizzazione IA previsto dal regolamento. Né il testo dell’articolo 4 né la pagina di domande e risposte della Commissione ne prevedono uno; quest’ultima nega esplicitamente che serva.
• Non esiste un livello minimo di alfabetizzazione definito nel testo. Il testo originale diceva «sufficiente» senza definirlo; il testo vigente ha tolto anche quello e dice che nessun livello specifico è richiesto per alcuna persona.
• Non esiste un finanziamento pubblico della formazione nella legge italiana sull’IA. L’articolo 27 della legge 132/2025 è una clausola di invarianza finanziaria: «Dall’attuazione della presente legge, ad esclusione dell’articolo 21, non devono derivare nuovi o maggiori oneri a carico della finanza pubblica». Su quali strumenti esistano davvero, e a quali condizioni, abbiamo scritto una pagina a parte: finanziamenti per la formazione sull’IA in Italia.

E per onestà, il limite di questa pagina: non abbiamo verificato se i decreti legislativi previsti dall’articolo 24 della legge 132/2025 siano stati adottati alla data di pubblicazione, né quale contenuto abbiano. Il termine della delega cade intorno al 10 ottobre 2026. Chi legge questa pagina dopo quella data faccia una verifica aggiornata.

Cosa conviene fare, allora?

La lettura ragionevole dell’articolo 4 riformato è anche la più pratica. L’obbligo esiste, è proporzionato al contesto e si soddisfa con misure sensate, documentate internamente. Il punto non è comprare una prova di conformità: è che le persone sappiano dove l’IA aiuta, dove peggiora il lavoro e cosa non deve uscire dall’azienda.

In concreto, quattro cose che valgono più di un attestato:

• Sapere quali sistemi di IA l’azienda usa davvero, compresi quelli che nessuno ha mai autorizzato formalmente. Senza questo elenco, ogni discorso sull’articolo 4 è astratto.
• Scrivere una politica interna breve: strumenti approvati, cosa non si incolla mai, chi autorizza un’eccezione, che fine fanno i dati. Ne abbiamo descritto la struttura in politica di utilizzo dell’IA in azienda.
• Fare formazione sui compiti reali, non su esempi generici: sui documenti dell’azienda, sulle domande dei suoi clienti, nella lingua in cui il lavoro viene fatto.
• Tenere una registrazione interna di cosa è stato fatto e quando, e rivederla periodicamente. È esattamente ciò che la Commissione suggerisce al posto del certificato.

È così che affrontiamo la questione nei progetti che seguiamo: la formazione fa parte dell’implementazione, non è un catalogo di corsi. Se vuole vedere come si traduce in pratica, la pagina è formazione IA per aziende.