AI Act, articolo 4: cosa deve fare davvero una PMI (dopo l’Omnibus)

Rispondi in fretta: cinque domande e sai dove sei

Rispondi sì o no. Il conto delle risposte ti dice cosa fare; il resto della guida spiega perché.

1. In azienda o in studio qualcuno usa ChatGPT, Copilot, Gemini o un altro strumento AI per lavorare, anche con un account personale?
2. Esiste un foglio scritto che dice cosa si può incollare in quegli strumenti e cosa no?
3. Sai elencare gli strumenti AI in uso, con chi li usa e per cosa?
4. Le persone che li usano hanno fatto una formazione sul loro lavoro reale, non un video generico?
5. Se un cliente o il consulente privacy ti chiedesse «cosa avete fatto per l’art. 4», avresti qualcosa da mostrare in cinque minuti?

Primo no: l’art. 4 oggi non ti riguarda, si applica a chi usa sistemi AI. Primo sì e gli altri quattro no: è la situazione più comune, e la strada è corta (formazione applicata, policy di una pagina, registro degli strumenti). Cinque sì: sei a posto, nessuno ti chiede altro.

Cosa dice il testo, parola per parola

L’articolo 4 del Regolamento UE 2024/1689, l’AI Act, è applicabile dal 2 febbraio 2025 e dice che fornitori e deployer «adottano misure» per garantire un livello sufficiente di alfabetizzazione AI del personale che usa sistemi AI. «Deployer» è chiunque usi un sistema AI nel proprio lavoro, anche l’azienda da otto persone con Copilot o lo studio con ChatGPT: non c’è una soglia di dipendenti sotto la quale l’articolo sparisce.

Il 24 luglio 2026 è entrato in vigore il Digital Omnibus, il Regolamento UE 2026/1744 dell’8 luglio 2026, che ha attenuato il testo: resta l’obbligo di adottare misure di sostegno all’alfabetizzazione, ma «senza dover dimostrare un livello specifico», come ricostruisce FiscoeTasse nella scheda sulle modifiche all’AI Act. È sparita la soglia da raggiungere; resta il percorso da avviare.

Sulle sanzioni serve precisione, perché è lì che si costruisce la paura. Le cifre che circolano, fino a 35 milioni di euro o al 7% del fatturato con soglie ridotte per le PMI, riguardano le violazioni gravi dell’AI Act, non l’art. 4. Al 30 settembre 2026 non risulta nessuna sanzione a una PMI per l’alfabetizzazione.

Per gli studi c’è un secondo testo da conoscere: la legge 132 del 23 settembre 2025, in vigore dal 10 ottobre 2025, chiede a chi usa l’AI competenze adeguate e ai professionisti intellettuali di informare i clienti sull’uso di sistemi AI nella prestazione; le sanzioni sono rinviate ai decreti attuativi. Ne parlo in una guida a parte.

Cosa l’articolo 4 non chiede

È qui che si vendono cose che la norma non prevede.

• Non chiede una certificazione, né a te né alle persone che formi.
• Non chiede un esame finale, un punteggio o un «livello» raggiunto: l’Omnibus lo ha reso esplicito.
• Non chiede un ente accreditato, un formatore iscritto a un albo o un corso riconosciuto.
• Non chiede un rinnovo annuale, un abbonamento o un numero minimo di ore.
• Non chiede di formare chi in azienda l’AI non la usa.

Chiede due cose: misure adeguate al ruolo (chi prepara preventivi con ChatGPT deve sapere cose diverse da chi non lo apre mai) e la possibilità di mostrare che le hai adottate. La seconda parte è buon senso: senza traccia, davanti a una domanda non hai niente in mano.

Cosa cambia in pratica in uno studio o in una PMI

Immagina il caso tipico: in ufficio tre persone usano ChatGPT, una usa Copilot, e nessuno ha mai deciso niente (esempio, non un caso reale). Secondo l’Osservatorio Innovazione Digitale nelle PMI del Politecnico di Milano (maggio 2026), solo il 7% delle PMI ha avviato una formazione strutturata sull’AI. La domanda «cosa avete fatto per l’art. 4» arriva da fuori: dal consulente privacy, dal questionario fornitori di un cliente grande, dal commercialista.

Quello che è ragionevole fare, in ordine:

1. Un elenco degli strumenti in uso, compresi gli account personali: chi usa cosa, per quali compiti, con quali dati. È il registro.
2. Una policy di una pagina: cosa non si incolla mai (dati di clienti, contratti, credenziali), su quali account si lavora, chi controlla il risultato prima che esca. Il controllo resta a carico della persona, e la policy lo scrive.
3. Una formazione sul lavoro reale delle persone che usano gli strumenti: i loro documenti, i loro compiti, i loro errori. Una mattina basta, se è applicata.
4. La traccia scritta: chi ha partecipato, quando, su cosa, con quali misure adottate. Attestati nominativi e un verbale.

Fatto questo, hai adottato misure e puoi mostrarlo. Non c’è altro da comprare.

Cosa vendono i pacchetti compliance, e a quanto

Prezzi letti sulle pagine pubbliche dei fornitori il 30 settembre 2026. I pacchetti «AI Act art. 4» si dividono in tre famiglie: il corso a persona (110-125 € o da 249 € a persona), il pacchetto aziendale (da 490 € a distanza o 790 € in presenza, oppure 2.400 € per l’azienda più 1.500 € l’anno) e l’abbonamento (130-350 € per dipendente all’anno).

Il problema non è il prezzo: è cosa c’è dentro. Spesso un video uguale per tutti, un test a crocette e un attestato automatico: non insegna a nessuno come usare lo strumento sul proprio lavoro. Rinnovo annuale e abbonamento, poi, rispondono a un obbligo che non esiste.

Cosa faccio io

L’alfabetizzazione AI documentata è una mattina di formazione sul vostro lavoro, in azienda o online, e te la lascio scritta: policy, registro degli strumenti, attestati nominativi e verbale delle misure adottate. Costa 1.200 € più IVA fino a 10 persone, 60 € a persona oltre. Niente rinnovo, niente abbonamento.

Se la formazione l’hai già fatta e ti manca solo la carta, c’è la policy AI aziendale con il registro degli strumenti a 600 € più IVA. Se invece vuoi una formazione più lunga e centrata sul processo, la formazione AI in azienda costa 900 € per la mezza giornata e 1.600 € per la giornata intera, fino a 8 persone, e vale come misura di alfabetizzazione se la lascio documentata.

Vengo a Verona ed entro un’ora di strada, oppure lavoro in videochiamata in tutta Italia.

Errori da evitare

• Comprare l’abbonamento. L’art. 4 non prevede rinnovi. Se cambiano gli strumenti in azienda, aggiorni il registro e fai un’ora con chi li usa.
• Formare tutti su niente. Un video generico per venti persone, di cui quindici non aprono mai ChatGPT, non è una misura adeguata: è spesa.
• Fermarsi all’attestato. Senza policy e registro dice che qualcuno ha guardato un corso, non che l’azienda ha adottato misure.
• Confondere l’art. 4 con la privacy. Il GDPR resta un capitolo a parte, con il vostro consulente: l’alfabetizzazione non lo chiude.
• Farsi spaventare dai 35 milioni. Quella cifra riguarda le violazioni gravi dell’AI Act, non l’alfabetizzazione; il motivo vero per muoversi è la domanda di un cliente, che arriva prima di qualunque ispezione.

Da dove partire

Se alle cinque domande in cima ti mancano registro, policy e formazione, scrivimi su WhatsApp o mandami un esempio via email a info@cangrandeai.it: quali strumenti usate, in quanti, per fare cosa. Ti dico se basta la policy con il registro o se serve la mattina in azienda, e a quanto. Il primo confronto è gratuito.