Art. 4 Reg. (UE) 2024/1689 – Alfabetizzazione in materia di IA

Il contesto normativo: perché l'alfabetizzazione in materia di IA

Il Regolamento (UE) 2024/1689 sull'intelligenza artificiale (di seguito «AI Act») non si limita a fissare divieti e requisiti tecnici per i sistemi di IA: si preoccupa anche di chi li usa. L'articolo 4 introduce un obbligo trasversale che riguarda sia i fornitori - coloro che sviluppano o immettono sul mercato un sistema di IA - sia i deployer - coloro che lo utilizzano sotto la propria responsabilità nel corso di un'attività professionale. Entrambi devono fare in modo che il loro personale, nonché chiunque altro operi per loro conto nel gestire e usare il sistema, disponga di un livello di comprensione adeguato. Questa scelta normativa riflette la consapevolezza che la conformità non può ridursi a carta: un sistema formalmente conforme, messo in mano a persone che non ne capiscono il funzionamento, genera rischi concreti.

Il perimetro soggettivo: chi è tenuto e nei confronti di chi

L'obbligo grava su due categorie distinte. Il fornitore (colui che progetta o immette il sistema sul mercato UE) deve curare la formazione del proprio personale tecnico, ma anche dei team commerciali e dei responsabili della gestione post-vendita. Il deployer (l'azienda o l'ente pubblico che integra il sistema nei propri processi) deve garantire che i dipendenti e i collaboratori che interagiscono concretamente con il sistema - dall'operatore di sportello che usa un motore decisionale per valutare pratiche di credito, al medico che si avvale di un supporto diagnostico - abbiano le conoscenze necessarie per farlo in modo consapevole. La norma si estende anche alle persone che operano «per conto» del fornitore o del deployer: una formulazione ampia che comprende consulenti, agenti, lavoratori interinali e outsourcer.

Il metro di misura: cosa significa «livello sufficiente»

L'articolo 4 non stabilisce un curriculum minimo né un numero di ore di formazione. Il livello «sufficiente» va calibrato caso per caso tenendo conto di quattro parametri: (a) le conoscenze tecniche già possedute; (b) l'esperienza pregressa con sistemi analoghi; (c) l'istruzione e la formazione ricevute; (d) il contesto d'uso del sistema. A questo si aggiunge un quinto elemento di natura oggettiva: le caratteristiche delle persone o dei gruppi sui quali il sistema viene utilizzato. Chi impiega un sistema di IA per prendere decisioni che riguardano soggetti vulnerabili - minori, persone con disabilità, richiedenti asilo - deve garantire un livello di consapevolezza più elevato rispetto a chi gestisce un sistema di automazione industriale privo di interazioni con le persone.

La clausola «nella misura del possibile» e le sue implicazioni pratiche

La norma non impone un risultato garantito, ma uno sforzo adeguato. La locuzione «nella misura del possibile» introduce un parametro di proporzionalità che tiene conto delle dimensioni dell'organizzazione, delle risorse disponibili e della complessità del sistema impiegato. Una piccola impresa che usa un chatbot per rispondere alle e-mail dei clienti non è tenuta agli stessi investimenti formativi di una grande banca che impiega un sistema di scoring del credito classificato come ad alto rischio ai sensi dell'allegato III. Tuttavia la clausola non è un'esimente: in caso di incidente o di contestazione da parte dell'autorità di vigilanza, l'operatore dovrà dimostrare di aver adottato misure concrete, documentate e proporzionate al rischio.

Il collegamento sistematico con la supervisione umana e gli obblighi di alto rischio

L'alfabetizzazione non è un fine in sé: è il presupposto per poter esercitare la supervisione umana che l'AI Act richiede per i sistemi ad alto rischio (art. 14). Un deployer che affida la gestione di un sistema ad alto rischio a personale che non comprende cosa il sistema fa, perché si attiva e come interpretarne gli output, non è in grado di intervenire per prevenire o correggere gli esiti indesiderati. Questo significa che, nella pratica, la formazione prevista dall'art. 4 si intreccia strettamente con le istruzioni d'uso che il fornitore deve fornire ai sensi dell'art. 13 (trasparenza) e con le procedure interne di controllo che il deployer deve predisporre. Per i deployer che sono anche datori di lavoro, la formazione in materia di IA si sovrappone - senza necessariamente coincidere - con gli obblighi formativi già previsti dalla normativa sulla salute e sicurezza sul lavoro.

Come adempiere in concreto: indicazioni operative

Un approccio strutturato all'alfabetizzazione in materia di IA può articolarsi in tre fasi. La prima fase è la mappatura: identificare i sistemi di IA in uso (o in sviluppo) e i ruoli che interagiscono con essi, distinguendo chi prende decisioni basate sull'output del sistema da chi lo gestisce tecnicamente. La seconda fase è la valutazione delle lacune: per ciascun ruolo, confrontare le competenze attuali con quelle necessarie, tenendo conto del livello di rischio del sistema. La terza fase è il piano formativo: modulare l'intervento in base al profilo (sessioni tecniche per i team IT, formazione funzionale per gli utenti finali, aggiornamento periodico in caso di modifiche rilevanti al sistema). È opportuno documentare il percorso formativo - programmi, partecipanti, date - per poterlo esibire in caso di controllo da parte dell'autorità di vigilanza del mercato o dell'autorità di supervisione settoriale competente.