AI Act e PMI: l'obbligo di formazione in vigore dal 2025 che quasi nessuno conosce

C'è una cosa che succede ogni settimana nella tua azienda e di cui probabilmente non sai niente:

• Qualcuno ha aperto ChatGPT e ci ha incollato dentro un preventivo da riscrivere meglio.

• Qualcun altro ha chiesto a un assistente AI di tradurre una email per un cliente estero.

• Qualcuno ha caricato un foglio Excel con i dati di vendita per farsi fare un riassunto in cinque righe.

• Nessuno ti ha chiesto il permesso, e non per cattiva volontà: stavano semplicemente cercando di finire prima.

Fin qui, niente di strano. È il modo in cui si lavora oggi.

La parte che quasi nessun imprenditore italiano conosce è un'altra: da febbraio 2025 esiste una norma europea che chiede alla tua azienda di occuparsi esattamente di questo. Si chiama obbligo di alfabetizzazione in materia di intelligenza artificiale, è l'articolo 4 del Regolamento UE 2024/1689 — l'AI Act — e riguarda anche un'impresa di tre persone. Non è una previsione: è una norma in vigore da oltre un anno e mezzo.

Gli strumenti sono entrati in azienda. Le regole no.

I numeri raccontano bene lo scarto:

Secondo l'ISTAT (Imprese e ICT — Anno 2025), la quota di imprese italiane con almeno 10 addetti che utilizza almeno una tecnologia di intelligenza artificiale è passata dal 7,7% del 2024 al 15,7% del 2025. In dodici mesi è raddoppiata. Tra le grandi imprese siamo già al 53,1%.

Sull'altro piatto della bilancia c'è un dato che pesa molto di più: secondo l'Osservatorio Innovazione Digitale nelle PMI del Politecnico di Milano, meno del 20% delle PMI italiane ha avviato un percorso di alfabetizzazione sull'intelligenza artificiale. E sempre ISTAT segnala che, tra le aziende che hanno valutato un investimento in AI senza poi realizzarlo, il 60% indica la mancanza di competenze adeguate come ostacolo principale.

Messi uno accanto all'altro, questi numeri dicono una cosa sola: l'AI è entrata nelle aziende italiane molto più in fretta della capacità di governarla. Gli strumenti arrivano dal basso, li porta chi lavora, spesso con l'abbonamento personale.

Un dato internazionale completa il quadro: il Work Trend Index 2025 di Microsoft rileva che il 71% dei lavoratori usa strumenti di AI che l'azienda non ha fornito né autorizzato. È una rilevazione globale, non italiana, e va letta con questa cautela — ma l'ordine di grandezza è difficile da ignorare.

Cosa dice davvero l'articolo 4

L'articolo 4 è breve e, per una norma europea, sorprendentemente leggibile. Stabilisce che chi fornisce e chi utilizza sistemi di intelligenza artificiale deve adottare misure per garantire un livello sufficiente di alfabetizzazione sull'AI del proprio personale e di chi usa questi sistemi per suo conto.

Tradotto in italiano corrente: le persone che in azienda usano l'AI devono sapere cosa stanno usando. Cosa questi strumenti possono fare e cosa no, che tipo di errori producono, quali informazioni ha senso inserirci dentro e quali no. Non è un adempimento formale inventato per fare cassa: è la traduzione normativa di un problema che la maggior parte delle PMI ha già in casa.

Il punto che sfugge a tutti: vale anche per chi l'AI si limita a usarla

Questo è l'equivoco più diffuso, e vale la pena chiarirlo bene.

L'AI Act distingue due figure principali. Il fornitore è chi sviluppa un sistema di intelligenza artificiale e lo immette sul mercato. L'utilizzatore — nel testo del regolamento, il deployer — è chi quel sistema lo usa nell'ambito della propria attività professionale.

L'articolo 4 si applica a entrambi.

Quando si sente parlare di AI Act si pensa quasi sempre alle aziende che costruiscono l'intelligenza artificiale: grandi società tecnologiche, software house, sviluppatori. È una lettura comprensibile, ed è sbagliata.

Se nella tua azienda succede anche solo una di queste cose, sei un utilizzatore ai sensi del regolamento:

👉 qualcuno usa ChatGPT, Copilot, Gemini o un altro assistente AI, anche saltuariamente;

👉 i collaboratori li usano per scrivere email, preventivi, testi o traduzioni;

👉 c'è un chatbot o un assistente virtuale sul sito o su WhatsApp;

👉 il gestionale, il CRM o il tool di marketing ha funzioni di AI integrate;

👉 qualcuno carica documenti o dati aziendali dentro uno strumento di AI.

Nell'ultimo caso, in particolare, non serve neanche che sia l'azienda ad aver comprato lo strumento. Se il lavoro aziendale ci passa dentro, è un uso aziendale.

Nessuna esenzione per le piccole imprese

La seconda obiezione che sentiamo più spesso è: «Va bene, ma noi siamo in cinque».

L'articolo 4 non prevede esenzioni legate alla dimensione dell'impresa: non c'è una soglia di dipendenti, di fatturato o di settore sotto la quale l'obbligo non si applica. Vale per le piccole imprese, i professionisti, le startup.

Quello che cambia con la dimensione non è se l'obbligo esiste, ma quanto devono essere estese le misure. E su questo il regolamento è più ragionevole di quanto ci si aspetti.

Due date che non vanno confuse

Su questo punto circola parecchia confusione, anche in articoli scritti da chi dovrebbe saperne:

• 2 febbraio 2025 — entra in vigore l'obbligo dell'articolo 4. È da questa data che le aziende devono aver adottato misure di alfabetizzazione.

• 2 agosto 2026 — diventa operativo il quadro sanzionatorio previsto dal regolamento.

Chi scrive che «l'obbligo scatta da agosto 2026» commette un errore fattuale, e la conseguenza pratica è meno rassicurante di come suona: se la tua azienda non ha fatto nulla, non ha davanti una scadenza futura da preparare con calma. Si trova in una situazione di non conformità che dura da oltre un anno.

Parliamo onestamente delle sanzioni

Troverai molti articoli che agitano la cifra di 15 milioni di euro. I massimali previsti dal regolamento per questa categoria di violazioni arrivano effettivamente fino a 15 milioni di euro o al 3% del fatturato mondiale annuo, ma per le piccole e medie imprese la norma stabilisce che si applica il minore tra i due importi. Per un'azienda italiana di dieci persone quella cifra non ha nessuna relazione con l'esposizione reale, e chiunque te la metta davanti sta usando la paura per venderti qualcosa.

Il motivo per cui conviene metterti in regola è un altro, e ha poco a che fare con le multe.

1. Primo: oggi ti trovi in una situazione di non conformità. Se un cliente, un bando o un controllo ti chiede come governi l'uso dell'AI in azienda, non hai niente da mostrare.

2. Secondo, e più importante: il tuo team sta già usando l'AI, senza regole. Dati aziendali e informazioni sui clienti finiscono dentro strumenti che nessuno ha valutato, testi generati dall'AI arrivano ai clienti senza che nessuno li rilegga. Non è un problema normativo che ti riguarderà un giorno: è un problema operativo che hai già adesso.

3. Terzo: come con il GDPR, le domande sulla governance dell'AI stanno entrando nei questionari fornitori, nei bandi e nelle due diligence. È un adempimento che non rende niente finché qualcuno non te lo chiede — e a quel punto vale una commessa.

«Misure adeguate»: cosa significa per un'azienda reale

Qui c'è la buona notizia, ed è più grande di quanto sembri.

Il regolamento non fissa un numero minimo di ore e non prevede un esame. Non esiste una certificazione ufficiale AI Act, né un ente abilitato a rilasciarla: se qualcuno te la propone, ti sta vendendo qualcosa che non esiste.

Quello che la norma chiede sono misure adeguate e proporzionate, tenendo conto delle competenze tecniche delle persone, della loro esperienza e del contesto in cui i sistemi vengono usati. L'asticella per uno studio di cinque persone che usa ChatGPT per scrivere email non è la stessa di una società che fa scoring automatizzato dei candidati.

Per la stragrande maggioranza delle PMI italiane mettersi in regola è alla portata: non serve un progetto da mesi, né competenze tecniche interne.

Cosa serve davvero per essere in regola

Nella pratica, un'azienda che usa l'AI in modo ordinario deve arrivare ad avere tre cose:

1️⃣ Persone formate. Una sessione tarata su come si lavora davvero in quell'azienda: cosa può fare l'AI e cosa no, come si scrive una richiesta che produce un risultato utile, come si riconosce una risposta sbagliata, quali dati non vanno mai inseriti in uno strumento esterno.

2️⃣ Regole scritte. Una policy interna che dica cosa si può fare, cosa no e con quali dati. Non un documento da venti pagine: una pagina che le persone leggono davvero vale molto di più.

3️⃣ La prova documentale. È il punto che quasi tutti sottovalutano, e fa la differenza tra «abbiamo fatto formazione» e «siamo in regola». La conformità si dimostra, non si dichiara. Servono il registro della formazione, gli attestati nominativi e l'inventario dei sistemi di AI in uso. Se domani qualcuno chiede, conta solo quello che puoi mettere sul tavolo.

Cinque errori che vediamo più spesso

• Pensare che riguardi solo chi sviluppa l'AI. È l'errore numero uno, e porta ad archiviare la questione in trenta secondi.

• Fare formazione senza lasciare traccia. Molte aziende hanno organizzato un incontro generico sull'intelligenza artificiale. Ottima cosa, ma se non esiste un registro, un attestato nominativo e una policy, agli atti non c'è nulla da esibire.

• Comprare una certificazione che non esiste. Ripetiamolo perché sta diventando un mercato: l'AI Act non prevede certificazioni ufficiali di alfabetizzazione.

• Vietare l'AI invece di governarla. È la reazione istintiva di molti titolari, ed è quella che produce il danno peggiore: le persone continuano a usarla, ma di nascosto e senza chiedere. Il rischio non sparisce, diventa invisibile.

• Aspettare. Aspettare i decreti attuativi, aspettare che si capisca meglio, aspettare che lo faccia qualcun altro nel settore. L'obbligo intanto è in vigore, e ogni mese che passa allunga il periodo di non conformità.

In sintesi

L'articolo 4 riguarda la tua azienda se in azienda si usa l'intelligenza artificiale, indipendentemente da quante persone siete e da chi ha comprato lo strumento. È in vigore dal 2 febbraio 2025, le sanzioni sono azionabili dal 2 agosto 2026, e non esiste esenzione per le piccole imprese. La norma però non chiede l'impossibile: chiede misure proporzionate e documentate.

E c'è un effetto collaterale che vale quanto l'adempimento: alla fine il tuo team sa usare l'AI meglio di prima. Guardando il dato ISTAT sul 60% di aziende bloccate dalla mancanza di competenze, probabilmente è quello il vero motivo per cui conviene farlo.

Da dove iniziare

Se leggendo questo articolo ti sei accorto che nella tua azienda l'AI si usa già e regole non ce ne sono, sei nella condizione della maggior parte delle PMI italiane. È un punto di partenza molto comune.

Abbiamo costruito un percorso pensato esattamente per questo: una giornata di formazione in azienda che assolve l'obbligo dell'articolo 4 e si chiude con la consegna del fascicolo documentale completo — attestati nominativi, registro della formazione, registro dei sistemi AI, policy interna e verbale di erogazione.

Sono gli stessi documenti che abbiamo costruito per noi e per i nostri clienti, compilati sulla tua realtà e non scaricati da un modello.

Puoi vedere come funziona qui: Formazione AI Act per PMI 🔖

Se invece preferisci prima capire se e quanto l'obbligo ti riguarda, scrivici dal modulo contatti su cscreationstudio.com: bastano quindici minuti di chiacchierata per avere una risposta chiara. Se non ti riguarda, te lo diciamo.

**Il testo e le immagini inseriti in questo articolo sono stati creati parzialmente con AI.