La base normativa
L’art. 4 del Regolamento (UE) 2024/1689 (AI Act) impone a fornitori e deployer di sistemi di intelligenza artificiale di adottare “misure per garantire, per quanto possibile, un livello sufficiente di alfabetizzazione in materia di IA” al proprio personale e a chiunque si occupi, per loro conto, del funzionamento e dell’utilizzo di tali sistemi. È una delle poche disposizioni dell’AI Act già pienamente applicabile dal 2 febbraio 2025, ben prima che entrasse in vigore la gran parte degli obblighi sui sistemi ad alto rischio. Questa collocazione temporale non è casuale: il legislatore europeo ha voluto che le organizzazioni costruissero prima le competenze, e solo dopo – o quantomeno in parallelo – i processi di conformità.
La norma è volutamente elastica poichè il livello di alfabetizzazione richiesto va calibrato su conoscenze tecniche, esperienza, istruzione, formazione, contesto di utilizzo dei sistemi e categoria di persone su cui il sistema è destinato a incidere. Ma proprio questa elasticità è spesso letta, erroneamente, come segno di scarsa cogenza. Non lo è infatti l’AI literacy si salda direttamente ad altri due pilastri del Regolamento, ossia la supervisione umana ex art. 14 (che presuppone operatori in grado di comprendere cosa stanno supervisionando) e gli obblighi di accountability che gravano su deployer e fornitori ai sensi degli artt. 26 e 16. Un’organizzazione che non forma il proprio personale non può, per definizione, dimostrare di aver predisposto una supervisione umana effettiva, perché la supervisione presuppone la capacità di comprendere l’output, riconoscerne i limiti e intervenire.
Le tre patologie da non lasciare aperte
Nella pratica professionale emergono tre fenomeni che la sola tecnologia non risolve, e che richiedono formazione mirata.
Il primo è lo shadow AI ossia l’uso di strumenti di intelligenza artificiale generativa non censiti né valutati dall’organizzazione, spesso introdotti dai singoli dipendenti per produttività personale. Il problema non è solo di governance interna, ma giuridico. Dati aziendali, informazioni riservate o dati personali di terzi possono transitare su piattaforme esterne senza che sia stata condotta alcuna valutazione d’impatto, con potenziali violazioni sia del GDPR sia – quando il sistema utilizzato rientra tra quelli ad alto rischio o con obblighi di trasparenza – dell’AI Act stesso. Il personale che non riceve indicazioni chiare su strumenti autorizzati e casi d’uso ammessi tende, semplicemente, a colmare il vuoto con soluzioni proprie.
Il secondo è l’output inesatto, comunemente definito allucinazione ossia un contenuto plausibile nella forma ma privo di fondamento fattuale o normativo. Il rischio non sta nell’errore in sé – inevitabile in sistemi probabilistici – ma nella capacità dell’operatore di riconoscerlo prima che produca effetti verso l’esterno, ad esempio in un parere, in una comunicazione al cliente o in un atto amministrativo.
Il terzo, forse il più insidioso perché meno visibile, è l’automation bias ossia la tendenza, ben documentata negli studi sui fattori umani, a fidarsi acriticamente del risultato prodotto da un sistema automatizzato, specie quando l’operatore è sotto pressione di tempo o percepisce il sistema come autorevole. È la negazione pratica della supervisione umana richiesta dalla norma per i sistemi ad alto rischio: un controllo formale che, senza consapevolezza critica, si riduce a una firma apposta senza reale valutazione.
Una formazione differenziata, non uniforme
L’errore più comune nelle organizzazioni che iniziano a occuparsi di AI literacy è erogare un corso generico, identico per tutti i ruoli. L’art. 4 richiede l’opposto cioè una formazione calibrata su funzione e caso d’uso. I vertici aziendali e i decisori hanno bisogno di comprendere rischi, responsabilità e impatti strategici delle scelte di adozione, più che il dettaglio tecnico dei modelli. Chi sviluppa o configura sistemi – data scientist, funzioni IT – necessita di competenze approfondite su bias, robustezza, tracciabilità dei dati di addestramento. Chi supervisiona decisioni che incidono su persone – selezione del personale, valutazione del merito creditizio, gestione algoritmica dei lavoratori – deve saper riconoscere i segnali di malfunzionamento e sapere come e quando esercitare un intervento correttivo. Gli utilizzatori generici, infine, necessitano soprattutto di regole d’uso chiare e di consapevolezza dei limiti degli strumenti che utilizzano quotidianamente.
A questo si affianca il ruolo delle funzioni legali, compliance e del DPO, che dovrebbero non solo ricevere una formazione specifica ma partecipare alla progettazione dei percorsi per gli altri ruoli, assicurando che i contenuti riflettano correttamente gli obblighi normativi applicabili.
Documentazione come prova di compliance
Un aspetto spesso trascurato è che la formazione erogata, se documentata – programmi, destinatari, contenuti, data di erogazione, eventuali test di verifica – diventa essa stessa un elemento di prova spendibile in sede di controllo da parte delle autorità di vigilanza o, eventualmente, in un contenzioso relativo a un danno causato da un sistema di IA. Dimostrare di aver formato il personale in modo differenziato e aggiornato rafforza la posizione dell’organizzazione rispetto agli obblighi di diligenza previsti dall’AI Act e, indirettamente, rispetto ai criteri di valutazione della responsabilità civile.
Un obbligo che dialoga con altre normative
L’AI literacy non vive isolata. Si intreccia con gli obblighi formativi già previsti dal GDPR per titolari, responsabili del trattamento e per lo stesso DPO, e con le previsioni della direttiva NIS2 in materia di formazione sulla sicurezza informatica per i soggetti rientranti nel suo perimetro. Un’organizzazione che integra questi percorsi in un’unica strategia formativa, anziché trattarli come adempimenti separati, riduce sensibilmente il rischio di sovrapposizioni, duplicazioni e, soprattutto, di lacune.
Formazione come elemento di due diligence, non solo interno
Un ultimo profilo merita attenzione, l’AI literacy non riguarda solo il personale che utilizza sistemi sviluppati internamente, ma si estende a chi adotta soluzioni acquistate da fornitori terzi. In fase di selezione di un fornitore di sistemi di IA, la capacità dell’organizzazione acquirente di porre le domande corrette – su dataset di addestramento, su limiti dichiarati del sistema, su meccanismi di mitigazione dei bias – dipende direttamente dal livello di alfabetizzazione raggiunto dalle funzioni coinvolte nella “due diligence”. Un contratto di fornitura ben negoziato, che alloca correttamente rischi e responsabilità tra le parti, presuppone quindi anch’esso un committente formato, capace di comprendere ciò che sta acquistando e di tradurre tale comprensione in clausole contrattuali adeguate, in tema di garanzie, livelli di servizio e responsabilità per malfunzionamenti.
Il collegamento con il sistema sanzionatorio
Sebbene l’art. 4 dell’AI Act non sia accompagnato da una sanzione specifica e autonoma nell’apparato sanzionatorio previsto dagli artt. 99 e seguenti del Regolamento, la sua violazione non è priva di conseguenze pratiche. L’assenza di percorsi formativi documentati rappresenta un elemento che le autorità di vigilanza – in Italia, come visto, principalmente l’ACN per i profili di vigilanza del mercato – possono valorizzare nella valutazione complessiva della diligenza organizzativa, specie quando si tratti di accertare se la supervisione umana su un sistema ad alto rischio sia stata effettiva o meramente nominale. Nella prassi dei controlli, la mancanza di formazione tende a essere un indicatore sintomatico di carenze più ampie nel sistema di gestione del rischio richiesto dall’art. 9 del Regolamento.
In definitiva, investire nell’AI literacy significa investire nella capacità dell’organizzazione di dimostrare, oggi e in futuro, di aver esercitato un controllo umano reale sui propri sistemi di intelligenza artificiale non solo formale, ma verificabile nel momento in cui viene richiesto di renderne conto.
