Diffida da chi ti vende un certificato di conformità all'AI Act

Ti è arrivato un preventivo per un corso che promette di renderti «a norma con l'AI Act», certificato incluso? Vale la pena fermarsi un momento. L'articolo 4 dell'AI Act — quello sull'alfabetizzazione in materia di IA — è appena stato riscritto dal Digital Omnibus, in vigore dal 27 luglio 2026. E proprio la sua nuova formulazione spiega perché, su questo obbligo, un «certificato di conformità» è una promessa che nessuno può davvero mantenere.

Il Digital Omnibus, in breve

Il Digital Omnibus sull'IA (Regolamento UE 2026/1744) è un pacchetto di semplificazione: pubblicato in Gazzetta ufficiale il 24 luglio 2026 ed efficace dal 27, ritocca l'AI Act in vari punti. Una premessa per evitare equivoci: non è un rinvio generalizzato. Gli obblighi di trasparenza dell'articolo 50 restano in vigore dal 2 agosto 2026; l'unico slittamento riguarda la marcatura leggibile da macchina degli output dei sistemi generativi già immessi sul mercato prima di quella data, ammessa fino al 2 dicembre 2026. La modifica che tocca ogni azienda è un'altra: quella dell'articolo 4, in vigore dal 2 febbraio 2025 e rivolto sia a chi sviluppa sistemi di IA sia a chi semplicemente li utilizza.

Come cambia il testo dell'articolo 4

Per pesare davvero la modifica conviene leggere i due testi ufficiali, uno di seguito all'altro.

Formulazione originaria (Reg. UE 2024/1689, applicabile dal 2 febbraio 2025):

«I fornitori e i deployer dei sistemi di IA adottano misure per garantire nella misura del possibile un livello sufficiente di alfabetizzazione in materia di IA del loro personale […], prendendo in considerazione le loro conoscenze tecniche, la loro esperienza, istruzione e formazione, nonché il contesto in cui i sistemi di IA devono essere utilizzati […]».

Formulazione in vigore dal 27 luglio 2026 (art. 4, par. 1, come sostituito dal Reg. UE 2026/1744):

«I fornitori e i deployer di sistemi di IA adottano misure volte a sostenere lo sviluppo dell'alfabetizzazione in materia di IA del loro personale […]. Tale obbligo non impone ai fornitori o ai deployer di garantire un livello specifico di alfabetizzazione in materia di IA per alcuna persona.»

Cambiano due cose: il verbo dell'obbligo — da «garantire un livello sufficiente» a «sostenere lo sviluppo» — e una precisazione finale prima assente, secondo cui non si è tenuti ad assicurare un livello specifico a nessuno. Tutto il resto, cioè i criteri di calibrazione su ruoli, competenze, esperienza e contesto, resta parola per parola identico. È il dettaglio da tenere a mente: un percorso unico e uguale per tutti non era conforme prima e non lo è nemmeno adesso.

Un obbligo di natura diversa

La differenza sembra lessicale e invece riguarda la sostanza. Con il testo del 2024 le misure puntavano a un esito verificabile — la competenza effettivamente acquisita dalle persone; con quello del 2026 puntano a un'attività da portare avanti con continuità — alimentare la crescita di quelle competenze. In termini giuridici si passa da un obbligo tarato sul risultato a uno tarato sui mezzi impiegati. La conseguenza pratica è netta: l'azienda non deve più poter attestare «a che livello sono arrivate le persone», ma poter descrivere «quali misure ha messo in campo, per quali ruoli e con quale criterio».

Nella stessa logica rientra la sparizione dell'inciso «nella misura del possibile»: era un temperamento di «garantire», necessario perché nessuna organizzazione può assicurare che un singolo apprenda; venuto meno l'obiettivo di risultato, non resta nulla da temperare. Il considerando 8 del regolamento collega la modifica alla proporzionalità — obblighi troppo rigidi gravano soprattutto sulle imprese più piccole — e ribadisce che l'alfabetizzazione «dovrebbe essere una priorità strategica, indipendentemente dagli obblighi normativi e dalle possibili sanzioni».

Il nodo dei «certificati di conformità»

Ed eccoci ai corsi con «conformità garantita». Il motivo per diffidare non è ideologico: sta nella struttura stessa della norma.

• Manca il metro. Né la versione 2024 né quella 2026 dell'articolo 4 fissano durate, programmi o livelli minimi: manca proprio l'oggetto che una certificazione dovrebbe misurare.
• Lo scrive la Commissione. Nel documento AI Literacy — Q&A (Ufficio europeo per l'IA, 7 maggio 2025) si legge che il livello «sufficiente» va valutato in base al contesto, caso per caso, e che non è richiesto far ottenere certificazioni formali né sottoporre il personale a esami delle conoscenze.
• Nemmeno le prassi «ufficiali» garantiscono. Il living repository delle pratiche dei firmatari dell'AI Pact avverte che riprodurre quelle prassi non genera alcuna presunzione di conformità e che pubblicarle non equivale ad approvarle. Se non basta un esempio raccolto dalla Commissione, difficilmente basta l'attestato di un fornitore.
• E dal 27 luglio c'è un ulteriore motivo, dal testo stesso. Se la legge afferma che non occorre assicurare un livello specifico ad alcuna persona, un attestato che certifica proprio il livello del singolo dipendente misura un dato che, per stabilire se hai adempiuto, la norma considera irrilevante. Non è del tutto privo di utilità, ma risponde alla domanda sbagliata.

In sintesi: chi promette una «certificazione ufficiale AI Act» o la «conformità garantita» sta vendendo qualcosa che, ad oggi, nessuno è in grado di rilasciare.

L'errore opposto: smettere di formare

Attenzione però a non trarne la conclusione contraria. Leggere la riscrittura come un lasciapassare per sospendere la formazione significa fermarsi al verbo e ignorare l'impianto della disciplina. L'articolo 4 non ha mai avuto una sanzione propria dentro l'AI Act; ma dal 2 agosto 2026 scattano gli obblighi di trasparenza dell'articolo 50 con il pieno regime sanzionatorio. Un contenuto generato dall'IA non segnalato, o un assistente conversazionale che non si dichiara, sono violazioni che possono essere multate. E chi le commette è, nella pratica, chi non aveva chiaro il proprio ruolo, la norma o lo strumento che stava usando per conto dell'azienda. La formazione non è punita di per sé, ma è ciò che riduce la probabilità di finire nelle violazioni che invece lo sono: tagliarla adesso significa abbassare la guardia proprio dove nasce il rischio.

Come muoverti in modo difendibile

Allinearsi al nuovo testo non vuol dire procurarsi un certificato, ma poter dimostrare misure adeguate e su misura. In concreto:

• Fotografa il livello di partenza, distinto per ruoli: i criteri dell'articolo 4 si rispettano solo dopo averli misurati.
• Costruisci percorsi differenziati anziché un modulo unico: la calibrazione su ruoli e contesto è l'unica parte dell'obbligo rimasta intatta.
• Metti per iscritto ciò che fai — programma, destinatari, criterio, materiali: è l'accountability del GDPR applicata qui, e non c'è nulla da spedire a registri pubblici.
• Rendilo ricorrente: strumenti, ruoli e rischi evolvono, e l'alfabetizzazione è un processo, non un adempimento una tantum.

Persino il preambolo dell'AI Act ricorda che investire in competenze dovrebbe essere una scelta strategica, al di là di obblighi e sanzioni. Forse la domanda giusta non è come procurarsi un timbro, ma se — dopo questi mesi — in azienda si usa l'IA con più consapevolezza, o se ci si è limitati a poterlo mettere agli atti.

Riferimenti: Reg. UE 2024/1689 (AI Act), artt. 3 punto 56, 4, 50, 99; Reg. UE 2026/1744 (Digital Omnibus sull'IA), art. 1 e considerando 8, in vigore dal 27 luglio 2026; Ufficio europeo per l'IA, AI Literacy — Q&A (7 maggio 2025) e Living repository of AI literacy practices. Contenuto informativo, non costituisce consulenza legale.