L’art. 4 del Regolamento (UE) 2024/1689, l’Artificial Intelligence Act, impone a fornitori e deployer di sistemi di intelligenza artificiale di adottare misure concrete per sostenere l’alfabetizzazione in materia di IA del personale e delle altre persone che utilizzano tali sistemi per loro conto.

Le misure devono essere adeguate alle conoscenze tecniche, all’esperienza, alla formazione, al ruolo e al contesto d’uso. Dopo le modifiche introdotte dal Digital Omnibus on AI, è inoltre chiaro che non esiste un livello standard di alfabetizzazione che ogni lavoratore debba raggiungere, né un corso o una durata minima imposti dalla norma.

L’obbligo è applicabile dal 2 febbraio 2025. Dal 2 agosto 2026 è iniziata invece la fase di vigilanza da parte delle autorità nazionali competenti. Non si tratta quindi di una nuova scadenza formativa, ma del momento in cui diventa ancora più importante poter dimostrare ciò che l’organizzazione ha effettivamente fatto.

Formazione, dati e GDPR

La formazione dovrebbe consentire al personale di comprendere funzionamento, potenzialità e limiti degli strumenti utilizzati e di riconoscere rischi quali bias, errori, allucinazioni, uso improprio degli output e inserimento non autorizzato di dati.È proprio sul tema dei dati che AI Act e GDPR si incontrano più direttamente.

Inserire in un sistema di AI dati di clienti, dipendenti, candidati o altre persone può comportare un trattamento di dati personali e, in alcuni casi, il trasferimento di informazioni a fornitori terzi. Il personale deve quindi sapere quali strumenti sono autorizzati, quali categorie di dati possono essere utilizzate e quali informazioni devono invece essere escluse.La formazione dovrebbe essere differenziata per ruolo e aggiornata quando vengono introdotti nuovi sistemi, cambiano le modalità di utilizzo o si verificano incidenti rilevanti.Il regolamento internoL’AI Act non impone espressamente l’adozione di un regolamento aziendale sull’intelligenza artificiale. Una policy interna rappresenta però uno degli strumenti più efficaci per trasformare la formazione in regole concrete.Il documento dovrebbe disciplinare almeno:

• strumenti AI autorizzati e gestione della shadow AI;
• categorie di dati inseribili o vietate;
• processo di autorizzazione di nuovi strumenti;
• valutazioni privacy, sicurezza e classificazione ai sensi dell’AI Act;
• verifica umana degli output;
• gestione degli incidenti;
• conseguenze derivanti dalla violazione delle regole interne.

Particolare attenzione deve essere riservata ai dati personali, alle informazioni riservate, ai dati dei clienti e ai segreti commerciali.

Prima di introdurre un nuovo strumento dovrebbe inoltre essere verificata l’eventuale necessità di effettuare una DPIA ai sensi dell’art. 35 GDPR.Sistemi ad alto rischio e valutazioni d’impatto

Per i sistemi classificati come high-risk il quadro è più articolato. L’AI Act prevede specifici obblighi di trasparenza, istruzioni d’uso, supervisione umana e organizzazione dell’utilizzo.Va però ricordato che, dopo le modifiche del 2026, le principali disposizioni sui sistemi ad alto rischio seguiranno un calendario differenziato, con applicazione dal 2 dicembre 2027 per i sistemi dell’Allegato III e dal 2 agosto 2028 per quelli collegati all’Allegato I.

Anche la FRIA, la valutazione d’impatto sui diritti fondamentali prevista dall’art. 27 AI Act, non è richiesta per qualsiasi sistema ad alto rischio, ma soltanto nei casi individuati dalla norma.Quando è già stata svolta una DPIA ai sensi del GDPR, le due valutazioni possono essere coordinate, evitando duplicazioni.

Incidenti, lavoratori e documentazione

Un incidente relativo a un sistema di AI non costituisce automaticamente un data breach. Può però diventarlo quando comporta perdita, modifica, divulgazione o accesso non autorizzato a dati personali.Per questo le procedure relative agli incidenti AI dovrebbero essere integrate con quelle già esistenti per cybersecurity e data breach.Un ulteriore livello di attenzione riguarda l’utilizzo di sistemi AI nei rapporti di lavoro. Quando il sistema rientra nel perimetro del D.Lgs. 104/2022, devono essere verificati anche gli specifici obblighi informativi previsti dalla normativa lavoristica.La parte decisiva resta comunque la capacità di documentare ciò che è stato fatto.È opportuno conservare programmi formativi, materiali, registri dei partecipanti, eventuali test, attività di recupero, versioni della policy, evidenze di consegna e aggiornamenti successivi.Non basta quindi poter dire che il personale è stato formato. Bisogna poter dimostrare che l’organizzazione ha individuato i rischi, stabilito regole coerenti, formato le persone e mantenuto il sistema aggiornato.Dalla formazione alla governanceL’AI Literacy non deve essere ridotta a un corso svolto una volta per tutte.Il vero obiettivo è creare un modello di AI governance nel quale formazione, regole interne, protezione dei dati, sicurezza, supervisione umana e documentazione funzionino insieme.Il 2 agosto 2026 segna soprattutto questo passaggio: dall’obbligo già vigente alla necessità concreta di poter dimostrare la qualità e la coerenza delle misure adottate.È qui che si gioca la vera conformità: non nell’attestato di formazione, ma nella capacità dell’organizzazione di governare nel tempo l’uso dell’intelligenza artificiale.

Articolo ripreso da Federprivacy