AI Act e formazione obbligatoria: cosa deve fare un'impresa che usa l'AI

AI Act e PMI: chi è il deployer e perché ti riguarda

L'AI Act, cioè il Regolamento (UE) 2024/1689, distingue tra chi sviluppa un sistema di intelligenza artificiale e lo immette sul mercato (il fornitore) e chi lo usa sotto la propria autorità in un'attività professionale. Quest'ultimo, nella versione italiana del regolamento, si chiama deployer (art. 3). L'uso personale e non professionale resta escluso.

Una PMI è deployer in molte situazioni quotidiane:

• l'ufficio commerciale usa un assistente di AI generativa per scrivere offerte ed email;
• il CRM assegna un punteggio ai clienti con un modello predittivo;
• il software del personale filtra i curriculum o suggerisce i turni;
• il sito ha un chatbot che risponde ai clienti;
• in produzione una telecamera con AI controlla la qualità dei pezzi.

Gli obblighi cambiano con il livello di rischio: ci sono pratiche vietate, sistemi ad alto rischio, sistemi con obblighi di trasparenza e la grande maggioranza degli usi, a rischio minimo. Un obbligo, però, riguarda tutti i deployer, qualunque sia lo strumento: l'alfabetizzazione del personale, cioè la formazione di cui parla la sezione seguente.

AI Act e formazione obbligatoria: cosa chiede la norma dal 2026

Quando si parla di formazione obbligatoria nell'AI Act ci si riferisce all'art. 4, sull'alfabetizzazione in materia di AI: riguarda tutti i deployer, qualunque strumento usino.

Il nuovo testo dopo il Digital Omnibus

L'obbligo di alfabetizzazione si applica dal 2 febbraio 2025. Il Regolamento (UE) 2026/1744, noto come Digital Omnibus sull'AI ed entrato in vigore il 27 luglio 2026, ne ha riscritto il testo. Oggi fornitori e deployer devono adottare misure per favorire lo sviluppo dell'alfabetizzazione sull'AI del personale e di chi usa i sistemi per loro conto, e la norma precisa che non è richiesto di assicurare un determinato livello di alfabetizzazione di ciascuna persona. Commissione e Stati membri devono sostenere questi sforzi, anche con esempi pratici pensati per le PMI.

AI Act, formazione obbligatoria in pratica: misure proporzionate

In pratica, chi cerca una "formazione AI obbligatoria" con ore minime e certificati non la trova nell'AI Act: la norma non fissa ore minime né certificati obbligatori. Chiede misure proporzionate: sapere quali strumenti si usano, spiegare a chi li usa come funzionano e quali limiti hanno, dare regole chiare e poter dimostrare cosa si è fatto. Diffida di chi presenta un singolo corso come "l'adempimento" dell'AI Act.

AI Act, obblighi delle aziende già in vigore: divieti e trasparenza

Oltre alla formazione, altri due gruppi di regole dell'AI Act sono già applicabili alle imprese che usano l'AI, con date diverse.

Pratiche vietate (art. 5)

Dal 2 febbraio 2025 sono vietati alcuni usi dell'AI. Per un'impresa i più rilevanti sono i sistemi che riconoscono le emozioni delle persone sul luogo di lavoro (salvo motivi medici o di sicurezza), le tecniche manipolative che possono causare danni significativi e la categorizzazione biometrica per dedurre caratteristiche sensibili. Il Digital Omnibus ha aggiunto nuovi divieti sui contenuti intimi non consensuali e sul materiale pedopornografico generati con l'AI, applicabili dal 2 dicembre 2026. Se un fornitore ti propone uno strumento che "misura lo stress" o "l'engagement" dei dipendenti da volto o voce, fermati e fai verificare.

Trasparenza (art. 50)

Dal 2 agosto 2026 si applicano gli obblighi di trasparenza. Il deployer che pubblica deepfake, cioè immagini, audio o video generati o manipolati che sembrano autentici, deve dichiarare che sono artificiali. Chi pubblica testi generati con l'AI per informare il pubblico su questioni di interesse pubblico deve dichiararlo, salvo che il testo sia stato rivisto da una persona che ne ha la responsabilità editoriale. I chatbot devono far capire alle persone che stanno parlando con un sistema di AI: l'obbligo è del fornitore, ma se ne usi uno sul sito verifica come è configurato.

Selezione e gestione del personale: l'alto rischio nell'AI Act per le PMI

L'Allegato III dell'AI Act considera ad alto rischio, salvo le eccezioni dell'art. 6, i sistemi di AI usati per assumere e selezionare persone (annunci mirati, filtro delle candidature, valutazione dei candidati) e quelli usati per decisioni su condizioni di lavoro, promozioni, cessazioni, assegnazione dei compiti in base a comportamenti o caratteristiche personali, monitoraggio e valutazione delle prestazioni.

Per questi sistemi l'art. 26 chiede al deployer di:

• usarli secondo le istruzioni del fornitore;
• affidare la sorveglianza umana a persone con competenza, formazione e autorità adeguate;
• controllare che i dati inseriti siano pertinenti, per la parte che dipende da lui;
• monitorare il funzionamento e segnalare i rischi al fornitore;
• conservare i log generati automaticamente per almeno sei mesi;
• informare i rappresentanti dei lavoratori e i lavoratori interessati prima di mettere in uso il sistema sul luogo di lavoro (art. 26, par. 7).

Dopo il Digital Omnibus questi obblighi si applicano ai sistemi dell'Allegato III dal 2 dicembre 2027, invece che dal 2 agosto 2026. Il rinvio non cambia le regole già in vigore: l'art. 22 del GDPR sulle decisioni basate unicamente su trattamenti automatizzati e le norme italiane descritte qui sotto.

Cosa aggiunge la legge italiana sull'AI: legge 132/2025

La legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, contiene i principi italiani sull'intelligenza artificiale e alcune regole di settore che toccano direttamente le imprese.

• Lavoro (art. 11): l'uso dell'AI nel lavoro deve essere sicuro, affidabile e trasparente, non può contrastare con la dignità umana né violare la riservatezza dei dati. Il datore di lavoro deve informare il lavoratore dell'uso dell'AI nei casi e con le modalità dell'art. 1-bis del d.lgs. 26 maggio 1997, n. 152, che riguarda i sistemi decisionali o di monitoraggio integralmente automatizzati.
• Osservatorio (art. 12): presso il Ministero del lavoro è istituito un Osservatorio sull'adozione dell'AI nel mondo del lavoro, che promuove anche la formazione di lavoratori e datori di lavoro.
• Professioni (art. 13): il professionista intellettuale che usa l'AI deve informarne il cliente con un linguaggio chiaro. Se il tuo consulente usa strumenti di AI per il tuo lavoro, ha l'obbligo di dirtelo.
• Reati (art. 26): tra le modifiche al codice penale c'è il nuovo reato di illecita diffusione di contenuti generati o alterati con l'AI (art. 612-quater c.p.), da tenere presente anche nel marketing.

Il d.lgs. 179/2026: decisioni sul personale, sicurezza e sanzioni

Il decreto legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale n. 234 dell'8 ottobre 2026 e in vigore dal 23 ottobre 2026, adegua la normativa italiana all'AI Act. Individua le autorità nazionali (AgID e Agenzia per la cybersicurezza nazionale), disciplina le sanzioni e detta regole sull'AI nella formazione, nelle professioni, nella sanità e nel lavoro. Per una PMI contano soprattutto due articoli.

Art. 41: le decisioni sul personale le prende una persona

Il datore di lavoro che usa sistemi di AI deve fare in modo che le decisioni finali su assunzione, modifica o cessazione del rapporto, provvedimenti disciplinari e valutazioni non si basino solo su trattamenti automatizzati: la decisione finale spetta a una persona fisica con un potere effettivo e autonomo. La ricerca e selezione dei candidati non rientra tra le decisioni finali sull'assunzione, e il consenso del lavoratore non rende lecita una decisione automatizzata. Il lavoratore può chiedere, con l'intervento di una persona, una motivazione comprensibile che indichi il peso dell'AI e i parametri principali. Il licenziamento e le altre decisioni adottate in violazione di queste regole sono nulli.

Art. 42: AI, sicurezza sul lavoro e formazione dei lavoratori

I sistemi di AI che incidono sull'organizzazione del lavoro, sui ritmi, sulle modalità di esecuzione o su decisioni rilevanti per la sicurezza vanno considerati nella valutazione dei rischi prevista dall'art. 28 del d.lgs. 81/2008. Il datore di lavoro deve assicurare ai lavoratori un'adeguata informazione e formazione sui rischi specifici legati all'uso dell'AI e sulle misure adottate.

Sanzioni

Il decreto prevede sanzioni fino a 35 milioni di euro o al 7% del fatturato mondiale per le pratiche vietate e fino a 15 milioni o al 3% per la violazione di altri obblighi, tra cui quelli dei deployer e di trasparenza. Per le PMI vale il criterio dell'art. 99, par. 6, dell'AI Act: si applica il più basso tra l'importo fisso e la percentuale. Per le violazioni di scarsa gravità sono previste anche misure non pecuniarie, come l'ordine di rimediare entro un termine.

AI Act, cosa devono fare le aziende: la checklist in sei passi

Per una PMI che vuole mettersi in regola senza complicarsi la vita, questi sono i passi in ordine di priorità.

1. Fai l'inventario degli strumenti di AI. Includi anche le funzioni di AI dentro software che usi da anni: CRM, programmi per il personale, strumenti di marketing.
2. Classifica gli usi. Uso comune, obblighi di trasparenza, possibile alto rischio (soprattutto in ambito HR), pratiche da evitare.
3. Scrivi regole interne. Una policy aziendale sull'uso dell'AI chiarisce strumenti ammessi, dati da non inserire e verifiche obbligatorie.
4. Organizza la formazione e tienine traccia. Proporzionata al ruolo: chi usa l'AI per scrivere email ha bisogno di meno di chi la usa per valutare persone.
5. Proteggi le decisioni sul personale. Informativa ai sensi dell'art. 1-bis del d.lgs. 152/1997 quando serve, decisione finale umana (art. 41 del d.lgs. 179/2026), aggiornamento del DVR (art. 42), coinvolgimento delle rappresentanze.
6. Chiedi documentazione ai fornitori di software. Istruzioni d'uso, classificazione AI Act, trattamento dei dati: inseriscili nel contratto di fornitura con chi vende il software.

Come può aiutarti Next-OS con AI Act e formazione obbligatoria

Next-OS ti permette di fare domande sull'AI Act e sulle norme italiane in linguaggio semplice, con le fonti citate. Puoi confrontare il testo dell'art. 4 prima e dopo il Regolamento (UE) 2026/1744 con le modifiche evidenziate, e preparare dai tuoi modelli la bozza della policy interna o dell'informativa ai lavoratori, da rivedere con il consulente.

Aptus.AI dichiara che Next-OS non è un sistema di AI per finalità generali e non rientra tra i sistemi ad alto rischio dell'AI Act. Per vedere gli altri usi dell'intelligenza artificiale per le PMI, torna alla pagina principale.