Articolo 4 — Alfabetizzazione in materia di IA (Regolamento UE sull'IA)

Articolo 4 del Regolamento (UE) 2024/1689 — Alfabetizzazione in materia di IA. Testo ufficiale, interpretazione pratica, obblighi principali e implicazioni per la conformità.

Sintesi del testo ufficiale

L'articolo 4 del Regolamento (UE) 2024/1689 stabilisce un obbligo generale di alfabetizzazione in materia di IA per i fornitori e i deployer di sistemi di IA che operano nell'ambito di applicazione del Regolamento. L'articolo richiede che fornitori e deployer adottino misure per garantire, nella misura del possibile, che il loro personale e le altre persone che agiscono per loro conto e sono coinvolte nel funzionamento e nell'uso di sistemi di IA possiedano un grado sufficiente di alfabetizzazione in materia di IA.

L'articolo definisce l'alfabetizzazione in materia di IA come le competenze, le conoscenze e la comprensione che consentono alle persone di prendere decisioni consapevoli in merito ai sistemi di IA, di implementarli e utilizzarli correttamente e di essere consapevoli dell'impatto che tali sistemi possono avere. L'obbligo è fondamentalmente calibrato: il livello richiesto di alfabetizzazione deve essere proporzionato alle conoscenze tecniche, all'esperienza, all'istruzione, alla formazione e al contesto delle persone interessate, nonché ai sistemi di IA che gestiscono.

L'articolo 4 non impone quindi uno standard uniforme. Crea invece un quadro di due diligence in cui le organizzazioni devono valutare le esigenze di competenza del personale rilevante rispetto ai sistemi di IA in questione e adottare le opportune azioni correttive o di sviluppo laddove esistano lacune. La disposizione riflette l'intenzione del legislatore — articolata nel considerando 20 — secondo cui la supervisione umana dei sistemi di IA è significativa solo quando le persone che la esercitano possiedono la comprensione di base necessaria per farlo in modo efficace. L'obbligo ha portata orizzontale: si applica indipendentemente dalla categoria di rischio del sistema di IA interessato, rendendolo una delle poche disposizioni del Titolo I che genera obblighi diretti e operativi per tutti gli attori nell'ambito del Regolamento.

Cosa significa in pratica

L'articolo 4 crea un obbligo continuativo di governance interna. Qualsiasi organizzazione che si qualifichi come fornitore (che immette un sistema di IA sul mercato UE o lo mette in servizio) o come deployer (che utilizza un sistema di IA sotto la propria responsabilità in un contesto professionale) deve valutare e affrontare attivamente l'alfabetizzazione in materia di IA del personale rilevante.

In pratica, ciò significa che le organizzazioni devono iniziare mappando i ruoli che interagiscono con i sistemi di IA — che si tratti di costruire, integrare, operare, supervisionare o rivedere gli output dell'IA. Un team legale che utilizza uno strumento di analisi contrattuale, un dipartimento delle risorse umane che impiega un sistema di screening dei CV o un team di ingegneria che mantiene un modello di manutenzione predittiva rientrano tutti nell'ambito di applicazione. Ogni titolare di ruolo deve possedere un livello di alfabetizzazione in materia di IA adeguato alle proprie responsabilità.

In concreto, le azioni di conformità possono includere:

• Conduzione di una valutazione del divario di competenze nei ruoli adiacenti all'IA
• Progettazione o reperimento di formazione specifica per ruolo (il personale tecnico richiede una conoscenza più approfondita del comportamento dei modelli, dei pregiudizi e dell'incertezza; gli utenti aziendali richiedono consapevolezza delle limitazioni e dei percorsi di escalation)
• Documentazione delle misure di alfabetizzazione adottate come parte dei più ampi registri di governance dell'IA
• Revisione e aggiornamento dei programmi di alfabetizzazione man mano che i sistemi di IA evolvono o vengono introdotti nuovi sistemi

Un'azienda di logistica che implementa un modello di ottimizzazione dei percorsi, ad esempio, deve garantire che gli operatori che agiscono in base alle raccomandazioni del modello comprendano gli intervalli di confidenza del sistema, i modi di guasto noti e quando disattivarlo. Analogamente, un operatore sanitario che impiega uno strumento di supporto diagnostico deve garantire che i medici comprendano cosa fa e cosa non fa lo strumento prima di fare affidamento sui suoi output. Il principio di proporzionalità implica che un libero professionista che impiega un semplice strumento di IA sarà soggetto a obblighi meno gravosi rispetto a una multinazionale che implementa sistemi ad alto rischio su larga scala.

Obblighi principali

• Valutare le esigenze di alfabetizzazione in materia di IA: Fornitori e deployer devono identificare quali dipendenti e persone designate interagiscono con i sistemi di IA e valutare il loro livello attuale di alfabetizzazione in materia di IA rispetto alle esigenze di quei ruoli.
• Adottare misure di alfabetizzazione appropriate: Le organizzazioni devono implementare attivamente misure — formazione, documentazione, orientamento o aggiornamento strutturato — proporzionate al ruolo di ciascuna persona, alle competenze esistenti e ai sistemi coinvolti.
• Applicare la proporzionalità: Il livello di alfabetizzazione in materia di IA richiesto non è uniforme; deve riflettere la complessità tecnica del sistema di IA, il grado di autonomia che esercita e il potenziale impatto delle decisioni del titolare del ruolo.
• Mantenere una copertura continua: L'obbligo è continuo. Man mano che i sistemi di IA cambiano, che vengono dispiegati nuovi sistemi o che il personale ruota in ruoli adiacenti all'IA, le misure di alfabetizzazione devono essere riviste e aggiornate di conseguenza.
• Estendere l'obbligo ai terzi che agiscono per conto dell'organizzazione: L'articolo comprende espressamente le persone che agiscono per conto di fornitori o deployer, il che significa che il personale in contratto, i fornitori di servizi e gli agenti coinvolti nel funzionamento dei sistemi di IA rientrano nell'ambito di applicazione.
• Documentare gli sforzi compiuti: Sebbene l'articolo 4 non specifichi un requisito di documentazione, l'allineamento con le più ampie aspettative di governance del Regolamento (in particolare per i sistemi ad alto rischio) significa che i registri delle valutazioni dell'alfabetizzazione e delle attività formative costituiscono la best practice e supportano una conformità dimostrabile.

Relazione con altri articoli

L'articolo 4 è collocato nel Titolo I (Disposizioni generali) e funziona come abilitatore orizzontale degli obblighi più specifici del Regolamento. È direttamente collegato all'articolo 9 (sistema di gestione del rischio per i sistemi di IA ad alto rischio), che richiede che le persone responsabili della gestione del rischio dell'IA possiedano le competenze necessarie — uno standard che presuppone un'alfabetizzazione di base in materia di IA. Rafforza l'articolo 14 (supervisione umana), in cui la supervisione significativa da parte di persone fisiche dipende dalla comprensione da parte di queste ultime degli output, delle limitazioni e dei modi di guasto dei sistemi di IA.

L'articolo 4 si collega anche all'articolo 16, lettera g), che richiede ai fornitori di sistemi di IA ad alto rischio di adottare misure per garantire che i deployer possano interpretare e utilizzare il sistema in modo appropriato, e all'articolo 26, paragrafo 2, che obbliga i deployer ad assegnare la supervisione umana a persone con le competenze necessarie. Nel contesto dei modelli di IA per finalità generali (Titolo VIII), l'articolo 4 sostiene l'aspettativa che i deployer che basano il loro lavoro sugli output dei modelli GPAI comprendano la natura e le limitazioni di tali modelli. La lettura dell'articolo 4 insieme al considerando 20 chiarisce l'intenzione del legislatore che l'alfabetizzazione in materia di IA è una precondizione per l'esercizio efficace di tutti gli altri obblighi ai sensi del Regolamento.

Calendario di conformità

Il Regolamento UE sull'IA è entrato in vigore il 1° agosto 2024, venti giorni dopo la pubblicazione nella Gazzetta ufficiale. Il Regolamento si applica in fasi:

• 2 febbraio 2025 — I divieti sulle pratiche di IA a rischio inaccettabile (articolo 5) sono diventati applicabili.
• 2 agosto 2025 — L'articolo 4 è diventato applicabile, insieme alle disposizioni sui modelli di IA per finalità generali (Titolo VIII) e agli obblighi che disciplinano gli organismi notificati e le autorità di vigilanza del mercato. Le organizzazioni avrebbero dovuto avere in atto misure di alfabetizzazione in materia di IA entro tale data.
• 2 agosto 2026 — Si applicano gli obblighi per i sistemi di IA ad alto rischio elencati nell'Allegato I (sistemi componenti di sicurezza in prodotti regolamentati).
• 2 agosto 2027 — Gli obblighi per i sistemi di IA ad alto rischio elencati nell'Allegato III (sistemi ad alto rischio autonomi) si applicano integralmente, compresi gli articoli 9–14 e 26, per i quali l'alfabetizzazione di cui all'articolo 4 è un prerequisito.

Le organizzazioni che non hanno ancora condotto una valutazione del divario di alfabetizzazione o implementato misure di formazione sono già non conformi all'articolo 4 a partire dall'agosto 2025 e dovrebbero trattare la remediation come una priorità immediata.