Regolamento IA, articolo 4: chi vigila sull’obbligo di alfabetizzazione IA in Italia?

Ultimo aggiornamento: 15 agosto 2026

L’articolo 4 del regolamento sull’IA è l’unico obbligo che riguarda quasi ogni organizzazione che usa l’IA al lavoro, ed è anche quello che più spesso si crede rinviato per errore.

Chi vigila sul regolamento IA in Italia?

L’Italia si trova in una posizione più avanzata della maggior parte dei Paesi UE, perché ha adottato una legge nazionale dedicata anziché limitarsi a designare autorità esistenti.

La legge 23 settembre 2025, n. 132, entrata in vigore il 10 ottobre 2025, è il primo quadro nazionale organico sull’IA nell’Unione. Il suo articolo 20 individua due autorità nazionali:

• ACN — Agenzia per la Cybersicurezza Nazionale: autorità di vigilanza del mercato, con poteri di ispezione e sanzione, e punto di contatto unico con le istituzioni europee.
• AgID — Agenzia per l’Italia Digitale: autorità di notifica, responsabile dell’accreditamento e della sorveglianza degli organismi di valutazione della conformità, oltre che della promozione dell’innovazione.

Restano ferme le competenze settoriali: Banca d’Italia, CONSOB e IVASS per i mercati bancario, finanziario e assicurativo, e sono fatti salvi i poteri del Garante per la protezione dei dati personali e dell’AGCOM nei rispettivi ambiti.

Il 10 giugno 2026 il Consiglio dei Ministri ha approvato in via preliminare due decreti legislativi attuativi della legge 132/2025. Il primo precisa i poteri delle autorità nazionali e l’uso dell’IA nell’istruzione e nella formazione; sarà quello a conferire formalmente i poteri sanzionatori previsti dal regolamento.

Che cosa richiede esattamente l’articolo 4?

Richiede di adottare misure volte a sostenere un livello sufficiente di alfabetizzazione IA fra le persone che utilizzano sistemi di IA per conto dell’organizzazione. Non richiede un certificato, un corso specifico, una qualifica nominata né un numero minimo di ore. Il regolamento non fissa deliberatamente alcuno standard rigido.

Dopo il Digital Omnibus — approvato dal Parlamento europeo il 16 giugno 2026 e adottato dal Consiglio il 29 giugno 2026 — lo standard è stato attenuato: dall’obbligo di garantire un livello sufficiente a quello di sostenerne lo sviluppo. Da obbligazione di risultato diventa obbligazione di mezzi. La domanda di un’autorità non è più «avete garantito l’alfabetizzazione?» ma «che cosa avete fatto, e sapete dimostrarlo?».

La Commissione europea ha indicato un minimo operativo nelle FAQ sull’alfabetizzazione IA del maggio 2025. Le organizzazioni dovrebbero:

• Garantire una comprensione generale dell’IA — il personale deve sapere che cos’è, come funziona, quali sistemi sono in uso e quali opportunità e rischi comportano.
• Definire i ruoli interni — sviluppate sistemi di IA o utilizzate quelli di terzi? Gli obblighi sono diversi.
• Individuare i rischi — quelli propri dei sistemi effettivamente impiegati e le misure di mitigazione applicabili.

A chi si applica l’obbligo?

Si applica ai fornitori e ai deployer di sistemi di IA. Il fornitore sviluppa un sistema di IA o lo fa sviluppare e lo immette sul mercato con il proprio nome. Il deployer utilizza un sistema di IA sotto la propria autorità nell’esercizio di un’attività professionale. La maggior parte delle organizzazioni è deployer.

L’obbligo copre il personale e, nelle parole del regolamento, «le altre persone che si occupano del funzionamento e dell’utilizzo dei sistemi di IA per loro conto». Va quindi oltre i dipendenti: comprende collaboratori, personale somministrato e liberi professionisti.

Punto decisivo: l’articolo 4 non è limitato all’IA ad alto rischio. Se l’organizzazione usa un assistente generico per redigere corrispondenza, rientra nell’ambito. La classificazione del rischio determina che cosa si aggiunge, non se l’articolo 4 si applichi.

La mia organizzazione usa davvero sistemi di IA?

Quasi certamente sì, e in più punti di quanto si immagini. Le funzioni di IA sono entrate nei normali software aziendali negli ultimi due anni, spesso senza che sia mai stata presa una decisione di «adottare l’IA».

• Assistenti generativi nelle suite per ufficio — bozze, sintesi, riscrittura, verbali di riunione.
• CRM e strumenti commerciali che assegnano punteggi ai contatti o suggeriscono l’azione successiva.
• Software contabili che categorizzano le registrazioni o segnalano anomalie in automatico.
• Piattaforme di selezione che ordinano, filtrano o abbinano candidature.
• Strumenti di marketing che generano testi, immagini o segmenti di pubblico.
• Chatbot di assistenza clienti e smistamento automatico dei ticket.
• Servizi di traduzione e trascrizione.

A ciò si aggiunge il software che il personale porta con sé. Dove i dipendenti usano strumenti di IA consumer per lavorare senza autorizzazione formale, l’organizzazione resta di fatto il deployer.

Da quando si applica e che cosa è cambiato il 2 agosto 2026?

L’obbligo si applica dal 2 febbraio 2025. Il 2 agosto 2026 le autorità nazionali di vigilanza del mercato hanno acquisito poteri formali di supervisione ed esecuzione.

Il Digital Omnibus ha rinviato le regole sull’alfabetizzazione IA?

No. È il fraintendimento più diffuso sulle riforme del 2026. Il Digital Omnibus ha rinviato l’applicabilità degli obblighi ad alto rischio degli allegati III e I. Non ha rinviato l’articolo 4.

Ha attenuato lo standard — da garantire un livello sufficiente a sostenerne lo sviluppo — lasciando intatti l’obbligo, la data di applicazione e l’avvio della vigilanza il 2 agosto 2026. Chi ha letto i titoli su un «rinvio del regolamento IA» come una tregua generale si trova da diciotto mesi dentro un obbligo vigente.

Per le organizzazioni i cui sistemi non sono ad alto rischio, l’articolo 4 è nel breve periodo l’unico obbligo del regolamento concretamente azionabile.

Quali sanzioni sono previste per l’articolo 4?

All’articolo 4 non è associata alcuna sanzione pecuniaria. È il punto più spesso riportato in modo errato.

L’articolo 99 prevede tre livelli: fino a 35 milioni di euro o il 7 % del fatturato mondiale annuo per la violazione delle pratiche vietate dell’articolo 5; fino a 15 milioni o il 3 % per gli obblighi elencati all’articolo 99, paragrafo 4; e fino a 7,5 milioni o l’1 % per informazioni inesatte o fuorvianti. Per PMI e start-up il tetto si inverte: si applica il valore minore fra i due.

L’articolo 99, paragrafo 4, contiene un elenco tassativo nel quale l’articolo 4 non compare. Una sanzione fondata sul solo inadempimento dell’alfabetizzazione non può quindi poggiare sul regolamento. Molte sintesi commerciali affermano il contrario e citano i 15 milioni; il testo non lo dice.

• L’autorità conserva poteri non pecuniari — richieste di informazioni, misure correttive e ordini di ripristino della conformità.
• Gli Stati membri possono introdurre sanzioni proprie. L’articolo 99, paragrafo 1, li obbliga a stabilire un regime sanzionatorio; per l’Italia ciò dipenderà dai decreti attuativi della legge 132/2025.
• L’assenza di formazione è un’aggravante. Il rischio realistico non è una sanzione autonoma, ma una posizione più debole quando l’autorità vi esamina per altro.

Da dove dovrebbe iniziare un’organizzazione?

1. Censite i sistemi di IA. Includete le funzioni di IA presenti in software già in licenza, non solo gli strumenti acquistati come «IA».
2. Stabilite il vostro ruolo — fornitore o deployer, sistema per sistema.
3. Individuate chi utilizza ciascun sistema, collaboratori compresi.
4. Fornite a queste persone una comprensione generale — che cosa fanno i sistemi, dove falliscono e che cosa l’organizzazione si attende.
5. Mettete per iscritto che cosa avete fatto e quando. In un’obbligazione di mezzi, la prova dello sforzo è la conformità.

La proporzionalità attraversa tutto. Un’impresa di dodici persone con un assistente per la corrispondenza non è misurata con il metro di una banca che utilizza modelli di scoring creditizio.

Domande frequenti

L’articolo 4 vale anche per le piccole imprese?

Sì. Il regolamento IA non prevede per l’articolo 4 alcuna soglia dimensionale né un numero minimo di dipendenti. Anche un libero professionista che usa un assistente IA per le email ai clienti è deployer. Con la dimensione cambia solo la proporzionalità delle misure attese: un’organizzazione piccola deve fare meno, ma non nulla.

Serve un certificato come prova?

No. Il regolamento non indica alcuna qualifica, certificato o corso accreditato, e non esiste un sistema di accreditamento specifico per l’articolo 4. Ciò che conta è aver adottato misure e poterlo dimostrare: contenuti, partecipanti, data e collegamento con i sistemi di IA effettivamente utilizzati in azienda.

Che cosa aggiunge la legge 132/2025 al regolamento europeo?

Definisce l’architettura istituzionale italiana e introduce regole settoriali su sanità, lavoro, professioni e diritto d’autore, oltre a nuove fattispecie penali. Non sostituisce il regolamento, che si applica direttamente, ma stabilisce chi vigila in Italia e come saranno esercitati i poteri sanzionatori.

L’articolo 4 riguarda solo i sistemi ad alto rischio?

No. L’articolo 4 si applica indipendentemente dalla classificazione di rischio del sistema utilizzato. La qualificazione come alto rischio attiva soltanto obblighi ulteriori, come la sorveglianza umana dell’articolo 26. L’obbligo di alfabetizzazione riguarda ogni fornitore e ogni deployer di qualsiasi sistema di IA.

L’obbligo copre collaboratori e liberi professionisti?

Sì. L’articolo 4 comprende il personale e le altre persone che si occupano del funzionamento e dell’utilizzo dei sistemi di IA per conto dell’organizzazione. Collaboratori, personale somministrato e liberi professionisti che utilizzano i vostri sistemi rientrano: è l’obbligo di portata più ampia dell’intero regolamento.

Che cosa succede se non facciamo nulla?

L’articolo 4 non porta con sé una sanzione propria, perché non figura nell’elenco tassativo dell’articolo 99, paragrafo 4. L’autorità di vigilanza può comunque chiedere informazioni e misure correttive, l’Italia può introdurre sanzioni nazionali, e l’assenza di formazione indebolisce la vostra posizione in qualsiasi altro controllo.

La scadenza sull’alfabetizzazione IA è stata spostata?

No. Il Digital Omnibus ha spostato gli obblighi ad alto rischio a dicembre 2027 e agosto 2028, ed è di questo che ha parlato la stampa. L’articolo 4 non è stato toccato. È stato attenuato soltanto lo standard, da garantire a sostenere, ma né la data di applicazione né quella di avvio della vigilanza si sono spostate.

Fonti

• Regolamento (UE) 2024/1689 — testo integrale su EUR-Lex
• Commissione europea — governance e applicazione del regolamento IA
• Panoramica dei piani nazionali di attuazione

Questo articolo illustra il regolamento in termini generali e non costituisce consulenza legale. Gli obblighi concreti dipendono dai vostri sistemi e dalla vostra giurisdizione.