Articolo 4 dell'AI Act: il testo è cambiato il 27 luglio 2026
Pubblicato il 2026-09-22
Fino al 26 luglio 2026, chi voleva rispettare l'articolo 4 dell'AI Act doveva "adottare misure per garantire, per quanto possibile, un livello sufficiente di alfabetizzazione in materia di IA" tra il proprio personale. È la formulazione che gran parte del materiale italiano in circolazione cita ancora oggi. Dal 27 luglio 2026 non è più quella: il testo è cambiato, e la maggior parte dei riferimenti che si trovano in giro - guide, articoli, slide di formazione - non se ne è accorta.
Non è un dettaglio filologico. Una policy interna, un piano di formazione o una consulenza costruiti sulla formulazione superata rischiano di puntare al bersaglio sbagliato - un obbligo di risultato che, dal 27 luglio 2026, non esiste più nella forma in cui molti continuano a descriverlo. Questo articolo prova a mettere ordine sul testo attuale, verificato sul consolidato EUR-Lex (CELEX:02024R1689, versione 27.07.2026) il 21-22 settembre 2026, e su un paio di equivoci che continuo a vedere ripetuti.
Quando si applica, e a chi
L'articolo 4 si applica dal 2 febbraio 2025, e vincola sia i fornitori (provider) sia gli utilizzatori (deployer) di sistemi di IA. È tra i primi obblighi del regolamento a diventare operativi, insieme ai divieti dell'articolo 5 - molto prima della gran parte del resto del regolamento.
L'errore più comune che leggo è mettere questa data al 2 agosto 2025. Capisco da dove venga: è la data in cui è diventato applicabile un pacchetto consistente di altre disposizioni del regolamento, e per chi legge di fretta le due date si confondono facilmente. Ma per l'articolo 4 la data giusta resta il 2 febbraio 2025.
Cosa dice oggi il testo
Il Digital Omnibus - Regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026
- ha cambiato la sostanza dell'obbligo, non solo la forma. La vecchia formulazione chiedeva di "garantire, per quanto possibile, un livello sufficiente" di alfabetizzazione IA: un verbo impegnativo, "garantire", accompagnato da un correttivo vago, "per quanto possibile", che lasciava aperta la domanda di cosa bastasse per dirsi in regola.
Il testo attuale chiede di "adottare misure a sostegno dello sviluppo" dell'alfabetizzazione IA - e aggiunge, esplicitamente, che l'obbligo non richiede di garantire un livello specifico di alfabetizzazione IA in ogni singola persona. È una differenza che conta nella pratica: prima il bersaglio era un risultato (un livello di competenza raggiunto), ora è un processo (misure adottate, documentabili). Per chi deve dimostrare la conformità - a un audit, a un ispettore, a se stesso - è la differenza tra dover certificare le persone e dover archiviare le prove di cosa si è fatto.
Perché non è "senza conseguenze"
L'articolo 4 non compare tra le disposizioni con il regime sanzionatorio armonizzato dell'articolo 99, commi 3 e 4 - quello con i massimali più alti, pensato per le violazioni sui sistemi vietati e su quelli ad alto rischio. Questo ha portato qualcuno a considerarlo, in pratica, non sanzionabile. Non è così: ricade nel regime residuale dell'articolo 99, comma 1, che lascia agli Stati membri la definizione delle sanzioni per le violazioni non coperte dai commi armonizzati, ed è applicabile dal 2 agosto 2025.
Anche qui gira un equivoco sulla data: non è raro sentire il 2 agosto 2026 citato come "data di enforcement" dell'articolo 4. Quella data è reale, ma riguarda altre disposizioni del regolamento - non l'articolo 4, il cui regime sanzionatorio è già applicabile da un anno prima.
La legge italiana
La Legge 132/2025, in vigore dal 10 ottobre 2025, aggiunge un vincolo specifico per la pubblica amministrazione. L'articolo 14, comma 2, stabilisce che l'uso dell'IA nella PA è "in funzione strumentale e di supporto" alla decisione, e che chi decide "resta l'unica responsabile" della decisione stessa - l'IA non condivide né trasferisce la responsabilità. Il comma 4 aggiunge che gli enti devono rispettare questi obblighi con le risorse già disponibili, senza un budget dedicato: l'alfabetizzazione IA, in un ente pubblico italiano, va costruita dentro il perimetro di spesa esistente, non finanziata a parte.
Cosa serve davvero, in pratica
Se l'obbligo è "misure adottate", quello che serve non è un attestato individuale ma un pacchetto di evidenze che dimostri il processo: un programma di formazione con contenuti coerenti con i ruoli e i rischi reali di chi lo riceve, un registro delle presenze, i materiali usati, e una policy interna che il personale ha firmato per ricevuta e comprensione. È esattamente il tipo di impianto che ho costruito per il consorzio C.I.S.A. nell'ambito del progetto di automazione documentale che sto seguendo in fase di studio di fattibilità: un programma di formazione, un registro, dei materiali, una policy. Non entro nei dettagli di quell'impianto - numero di persone coinvolte, struttura interna, contenuti specifici - perché non è materiale pubblico e non aggiungerebbe nulla a questo articolo; il punto è la forma che deve avere l'evidenza, non i contenuti di un caso particolare.
Due cose che ho imparato costruendo un impianto del genere, e che vale la pena rendere esplicite. La prima: contenuti uguali per tutti non reggono a un controllo serio, perché il rischio reale è diverso per chi usa un sistema di IA ogni giorno per smistare compiti e per chi lo incontra una volta al mese per consultare un archivio indicizzato automaticamente - il programma di formazione deve rifletterlo, non essere lo stesso PDF mandato a tutti per email. La seconda: l'evidenza ha una data di scadenza implicita. Se il testo stesso dell'articolo 4 è cambiato a un anno e mezzo dalla sua applicazione, un programma di formazione fermo alla prima versione non è più evidenza di un obbligo rispettato oggi - va rivisto quando la norma si muove, non archiviato una volta e dimenticato.
Il punto meno ovvio: chi rientra nel perimetro
La parte che sorprende di più chi affronta l'articolo 4 per la prima volta è che il perimetro non si ferma a chi ha un account sul sistema di IA. Rientra chiunque sia toccato dal suo funzionamento, anche chi non lo usa mai direttamente. In un ente che automatizza lo smistamento dei compiti ai referenti - una delle automazioni su cui sto lavorando con C.I.S.A. - il referente che riceve un compito generato da un sistema di IA è dentro il perimetro dell'alfabetizzazione richiesta, anche se non ha mai aperto quel sistema e non saprebbe nemmeno descriverlo. Sapere che un compito può arrivare da un'assegnazione automatica, cosa significa in pratica per il proprio lavoro, e a chi rivolgersi se qualcosa non torna, è già alfabetizzazione IA nel senso dell'articolo 4 - e va costruita anche per queste persone, non solo per chi preme i pulsanti.
Prima di usarlo operativamente
Quanto sopra è verificato sul testo consolidato al 21-22 settembre 2026. La materia si muove: un regolamento con un Digital Omnibus che ne ha già riscritto un articolo a un anno e mezzo dalla sua entrata in applicazione non è un testo che si fissa una volta per tutte. Prima di usare queste informazioni in un contesto operativo - una policy interna, una consulenza, una decisione di conformità - verifica il testo primario sulla versione consolidata più recente, non su questo articolo né su nessun riassunto di terzi.
Se stai affrontando lo stesso problema in un ente pubblico o in un consorzio, la pagina su automazione documentale e AI per la pubblica amministrazione descrive come lo affronto a livello di architettura e di governance.