--- title: "AI Act: l’obbligo di formazione riguarda anche l’azienda da dieci persone, e i controlli sono partiti" url: https://giornaledellepmi.it/ai-act-lobbligo-di-formazione-riguarda-anche-lazienda-da-dieci-persone-e-i-controlli-sono-partiti/ author: "Gaetano Castaldo" published: 2026-09-03T06:50:29+02:00 modified: 2026-09-02T19:37:40+02:00 publisher: "Il Giornale delle PMI" language: it sections: ["IA"] --- # AI Act: l’obbligo di formazione riguarda anche l’azienda da dieci persone, e i controlli sono partiti *Gaetano Castaldo · 3 Settembre 2026 · Il Giornale delle PMI* L’**articolo 4 del Regolamento UE 2024/1689**, l’AI Act, impone anche a chi usa sistemi di intelligenza artificiale, non solo a chi li produce, di garantire al personale un livello sufficiente di alfabetizzazione. Vale **dal 2 febbraio 2025**, e la vigilanza nazionale è partita il **2 agosto 2026**. L’adempimento però non comincia dalla formazione, ma da una domanda a cui quasi nessuna PMI sa rispondere: **quali strumenti di intelligenza artificiale stiamo già usando?** In una riunione con cinque dirigenti ho fatto una domanda che sembrava banale: “Quale strumento usate per registrare e trascrivere le videochiamate?”. Cinque risposte diverse, e alcuni di quegli strumenti mandavano audio e trascrizioni su piattaforme che l’azienda non avrebbe mai approvato. Nessuno stava violando una procedura, perché la procedura non esisteva. Non è un caso isolato. Nelle aziende che ho seguito negli ultimi due anni, quando ricostruiamo la mappa di quello che è in uso, **circa un terzo degli strumenti risulta scelto dall’azienda**: gli altri due terzi sono entrati da soli. È un’osservazione sul campo, non una statistica. E non si forma nessuno su strumenti che non sa di avere. ## **L’intelligenza artificiale non si compra più** Nel 2023 introdurla significava acquistare qualcosa. Oggi arriva per tre strade, e nessuna passa da una decisione. **Con gli aggiornamenti:** il software che usi da anni aggiunge una funzione già attiva. Il riassunto della posta, lo scoring dei contatti nel gestionale, la lettura automatica delle fatture. **Dal browser:** le estensioni si installano in dieci secondi e chiedono la lettura di tutto quello che compare a schermo, gestionale e posta compresi. **Da sola in riunione:** gli assistenti che prendono appunti si collegano al calendario e si presentano nelle chiamate come partecipanti. Se un collaboratore ne ha attivato uno, entra anche nelle call con i clienti. La domanda “abbiamo introdotto l’intelligenza artificiale?” ha una risposta ufficiale, il **16,4%** delle imprese sopra i 10 addetti (ISTAT), e una risposta vera, più alta, che nessuno conosce. ## **Le sei tracce da cui si ricostruisce l’inventario** Si ricostruisce dalle tracce, in mezza giornata, non con un questionario: chi usa un account personale non lo dichiara in un modulo aziendale. 1. **Le spese ricorrenti.** Estratto della carta aziendale, addebiti mensili fra i 10 e i 50 euro: la fascia degli abbonamenti comprati da singole persone, senza un ordine. 2. **Le applicazioni autorizzate sulla suite.** È il controllo che nessuno fa e che scopre di più: nella console di amministrazione c’è l’elenco delle app di terze parti a cui qualcuno ha dato accesso con “accedi con l’account di lavoro”, con i permessi ricevuti su posta, file e calendario. Accessi permanenti, vivi anche quando la persona non usa più il servizio. 3. **Le estensioni del browser** sui dispositivi aziendali. 4. **I partecipanti delle riunioni** degli ultimi due mesi: cerca quelli che non sono persone. 5. **I log del firewall o del filtro DNS.** Questi, come la console del punto 2, li chiedi a chi vi gestisce i sistemi. 6. **Le persone, con la domanda giusta.** Non “usi l’intelligenza artificiale?”, a cui rispondono no in buona fede, ma: **come hai preparato questo documento? Come sono nati questi appunti?** ## **Le quattro domande su ogni strumento trovato** Non sono domande legali: sono tecniche, e la risposta si chiede al fornitore per iscritto. 1. **Dove vengono elaborati i dati, e per quanto restano.** Chi dichiara di trattarli in Europa può appoggiarsi a un subfornitore che li elabora altrove, e certi assistenti conservano le trascrizioni per mesi: lo scopri solo chiedendo. 2. **Se i nostri contenuti addestrano i modelli.** È la differenza fra piano gratuito e aziendale dello stesso strumento, e spesso l’interruttore è per singolo utente, non per azienda. 3. **Quali permessi ha sul nostro ambiente.** Un conto è uno strumento in cui incolli un testo, un altro è uno che ha accesso permanente alla casella di posta: il secondo è un fornitore con le chiavi. 4. **Chi è l’intestatario del contratto.** Se è una persona, quando se ne va lo strumento resta con lei, insieme a quello che ci ha caricato dentro. Da lì, ogni strumento si tiene portando il contratto in capo all’azienda, si sostituisce con la versione aziendale, oppure si spegne, ma **solo offrendo l’alternativa lo stesso giorno**: un divieto senza sostituto non elimina lo strumento, lo fa scendere dall’account aziendale a quello personale, dove non lo vedi più. ## **Cosa rischi davvero** Sull’articolo 4 circolano due affermazioni sbagliate, verificabili sul testo del regolamento. La prima: **non compare nell’elenco delle violazioni sanzionate dall’articolo 99**, quello delle multe fino a 15 milioni. La seconda: **l’AI Act non impone a un’impresa privata un registro dei propri strumenti di AI**, l’iscrizione alla banca dati europea riguarda fornitori di sistemi ad alto rischio e soggetti pubblici. A risponderne sei tu che guidi l’impresa, non il fornitore del software. E l’inventario non lo fai perché te lo chiede una legge: lo fai perché senza non sai quali norme ti riguardano. Nel caso dei cinque dirigenti erano tre: protezione dei dati, lo Statuto dei lavoratori sul controllo a distanza, la legge 132/2025, che ti obbliga a dire ai lavoratori quali sistemi usi e con quali logiche. E la formazione mancante non è l’illecito: è l’aggravante di tutti gli altri. Con l’elenco in mano, la formazione si imposta in un pomeriggio. Tre gruppi: chi decide, chi tratta i dati, chi produce contenuti. Ognuno sui suoi strumenti, lasciando traccia scritta: chi ha partecipato, quando, su cosa. Senza elenco compri un corso uguale per tutti, e speri che basti. E la prima volta che chiedi “cosa stiamo usando?”, rispondono tutti la stessa cosa. **Fonti** - Regolamento (UE) 2024/1689 (AI Act), articoli 4, 49 e 99: [https://eur-lex.europa.eu/eli/reg/2024/1689/oj](https://eur-lex.europa.eu/eli/reg/2024/1689/oj) - Legge 23 settembre 2025, n. 132: [https://www.gazzettaufficiale.it/eli/id/2025/09/25/25G00143/sg](https://www.gazzettaufficiale.it/eli/id/2025/09/25/25G00143/sg) - ISTAT, “Imprese e ICT”, dicembre 2025: [https://www.istat.it/comunicato-stampa/imprese-e-ict-anno-2025/](https://www.istat.it/comunicato-stampa/imprese-e-ict-anno-2025/) --- Fonte: [AI Act: l’obbligo di formazione riguarda anche l’azienda da dieci persone, e i controlli sono partiti](https://giornaledellepmi.it/ai-act-lobbligo-di-formazione-riguarda-anche-lazienda-da-dieci-persone-e-i-controlli-sono-partiti/), Il Giornale delle PMI.