Quando l'AI entra in azienda, l'alfabetizzazione smette di essere un fatto personale

Un titolare di uno studio professionale mi ha scritto una frase che riassume il problema meglio di qualsiasi report. “Io l'AI l'ho imparata. Il problema sono i tre ragazzi che lavorano con me: la usano come vogliono e non so cosa ci mettono dentro.” Aveva ragione a preoccuparsi, e non solo per la qualità del lavoro.

Uno dei suoi collaboratori incollava le anagrafiche dei clienti dentro un chatbot gratuito per farsi riassumere le pratiche. Un altro si fidava di ogni numero che il modello tirava fuori, senza controllarlo. Nessuno dei due lo faceva per superficialità. Lo faceva perché nessuno aveva mai spiegato come si usa questa roba. E qui c'è il punto che quasi nessuno ha ancora messo a fuoco: nel momento in cui l'AI entra in un'organizzazione, la competenza per usarla smette di essere un fatto privato del titolare.

Questo articolo fa parte della serie sull'alfabetizzazione AI per chi lavora. I pezzi precedenti guardavano alla singola persona: cosa delegare, come chiedere, come verificare, cosa dichiarare. Qui cambio scala. Perché l'obbligo di legge, quello vero, non riguarda solo te che leggi. Riguarda chiunque tocchi l'AI per conto della tua azienda.

L'obbligo che si sposta dalla persona all'organizzazione

L'Art. 4 dell'AI Act è in vigore dal 2 febbraio 2025. In una riga dice una cosa scomoda per chi ha dei collaboratori: fornitori e utilizzatori di sistemi di AI devono garantire un livello sufficiente di alfabetizzazione del proprio personale e delle altre persone che usano l'AI per loro conto.

Leggila due volte. Non dice “il titolare deve sapere”. Dice “il personale e le altre persone che usano l'AI per conto tuo”. Se hai un dipendente che prepara preventivi con un modello, un collaboratore esterno che scrive le mail ai clienti con un assistente, uno stagista che riassume documenti con un chatbot, quella persona rientra nell'obbligo. Non lei in proprio. Tu, come organizzazione che la usa per conto proprio.

Il pezzo fondativo di questa serie spiega cos'è l'Art. 4 e da quando conta. Quello che aggiungo qui è la conseguenza pratica: la literacy non è una medaglia che appendi in ufficio. È una condizione che deve valere per ogni mano che tocca l'AI.

Perché un corso comprato una volta non chiude il problema

La prima reazione istintiva è “compro un corso, lo faccio fare a tutti, timbro la casella”. Non funziona, e non per ragioni burocratiche.

Non funziona perché i sistemi cambiano ogni mese: il modello che usavi a gennaio ha capacità diverse a giugno. Non funziona perché le persone entrano ed escono, e il corso fatto a marzo non copre l'assunto di settembre. E non funziona perché i casi d'uso si moltiplicano da soli: oggi usi l'AI per le mail, tra due mesi qualcuno la sta usando per i contratti senza avvertirti.

C'è anche una parte sommersa, ed è la più pericolosa. Metà dell'uso dell'AI in un team non passa da nessuna decisione: nasce perché una persona ha trovato uno strumento comodo e ha iniziato a usarlo. Un corso a calendario non intercetta questo uso spontaneo. Un processo continuo sì, perché riparte ogni volta che qualcosa cambia.

I due incidenti dell'apertura lo dimostrano. Il collaboratore che incolla dati dei clienti in un chatbot gratuito non ha un problema di corso: ha un problema di regola condivisa mai scritta. Su cosa non va mai messo dentro un prompt ho un pezzo dedicato. Chi si fida di ogni output ha un problema diverso, ma anche quello ha un nome preciso: manca il passaggio di verifica prima di usare quello che il modello produce.

La literacy non è un evento. È un processo. La differenza è la stessa che passa tra fare un controllo antincendio una volta e avere un estintore che qualcuno ricarica quando serve.

I 4D come lingua comune della squadra

Il framework che uso per non improvvisare si chiama AI Fluency, sviluppato dai professori Rick Dakan e Joseph Feller con Anthropic. Ha quattro competenze, i “4D”. Le cito con attribuzione, perché in un team il valore non è il contenuto del corso: è avere una lingua condivisa invece di quattro persone che vanno a intuito.

Tradotti in ruoli concreti di squadra, i 4D suonano così:

1) Delegation. Chi decide cosa si automatizza e cosa resta in mano a una persona. È la scelta che viene prima del prompt, e ne ho scritto qui.

2) Description. Come si chiede bene a un modello, con contesto ed esempi, invece di lamentarsi che “non capisce”.

3) Discernment. Chi controlla l'output prima che esca. Numeri, fonti, affermazioni: si verificano, non si prendono per buoni.

4) Diligence. Chi si prende la responsabilità del risultato finale e sa quando va dichiarato che c'è stata l'AI di mezzo.

Il punto forte di questo schema, per una PMI, è che non invecchia con i tool. Un collaboratore che ha in testa i 4D li applica a qualsiasi modello nuovo, senza rifare la formazione da capo ogni volta che esce una versione.

Lo stesso compito, con e senza regola condivisa

Prendi un'attività banale: rispondere a un cliente che chiede lo stato di una pratica. Senza regola condivisa, il collaboratore apre un chatbot, incolla nome, indirizzo e dettagli della pratica, si fa scrivere la risposta e la invia. Veloce, comodo, e con due problemi dentro: dati personali finiti in un servizio che non sai come li tratta, e una risposta partita senza che nessuno abbia controllato le date.

Con i 4D come lingua comune la stessa attività cambia forma. Delegation: il collaboratore sa che scrivere la bozza si delega, premere invio no. Description: al modello dà il contesto senza i dati identificativi del cliente. Discernment: rilegge le date prima di mandare. Diligence: se serve, dichiara che la bozza è stata preparata con un assistente. Stesso tempo risparmiato, rischio quasi azzerato. La differenza non è un tool migliore. È una squadra che sa cosa sta facendo.

Come si trasforma in un processo dentro una PMI

Io non ho dipendenti. Ma ogni PMI e ogni studio con cui lavoro ha lo stesso identico problema, e il modo per affrontarlo è più semplice di quello che sembra. Quattro passaggi, nessuno dei quali richiede un budget da grande azienda.

1) Inventario di chi usa cosa. Scrivi, in una tabella banale, chi usa quale strumento AI e per quale attività. Sembra ovvio, non lo è. Quando ho fatto questo inventario sui miei sistemi sono passato da 4 che credevo di avere a 20 reali. In un team il numero vero è sempre più alto di quello che immagini, perché metà dell'uso è sommerso e non l'ha deciso nessuno.

2) Regole minime condivise. Non un manuale. Tre o quattro regole scritte: cosa non si mette mai nei prompt, chi verifica cosa prima di inviare a un cliente, quando si dichiara l'uso dell'AI. Poche regole che tutti conoscono valgono più di un documento di venti pagine che nessuno apre.

3) Cadenza ricorrente. Un momento fisso quando entra una persona nuova e un aggiornamento breve quando cambia uno strumento importante. La literacy annuale non è un lusso: è la ricarica dell'estintore. Se la fai una volta sola, tra un anno stai coprendo un uso dell'AI che non esiste più.

4) Documentazione. L'Art. 4 chiede di adottare misure. “Misure” vuol dire che devi poter mostrare cosa hai fatto, non giurarlo a parole. Una sola pagina che elenca le regole e le date degli aggiornamenti è già una prova, e ti serve il giorno in cui qualcuno ti chiede conto di come governi l'AI in azienda.

Nessuno di questi quattro passaggi è complicato. Richiedono una decisione: trattare l'uso dell'AI come una cosa che si governa, non come una cosa che capita mentre guardi altrove.

Che aspetto hanno le regole minime

Le “regole minime condivise” del punto due spaventano finché non le vedi scritte. Non sono un regolamento. In uno studio piccolo possono stare in cinque righe, e valgono più di un manuale che nessuno legge.

1) Nei prompt non entrano mai dati che identificano un cliente: nome, indirizzo, codice fiscale, numeri di pratica. Se servono per il ragionamento, si anonimizzano prima.

2) Niente che va a un cliente parte senza che una persona abbia riletto numeri, date e nomi. L'AI prepara, un umano firma.

3) Quando un contenuto importante è stato preparato con l'AI, lo si dichiara nei casi in cui la trasparenza è dovuta. Meglio dirlo prima che spiegarlo dopo.

4) Se qualcuno inizia a usare un nuovo strumento AI per il lavoro, lo comunica, così finisce nell'inventario invece che nel sommerso.

Quattro righe. Le legge un assunto nuovo in due minuti, e coprono i tre errori che vedo più spesso in chi parte senza metodo: dati esposti, output non verificato, uso sommerso. Da qui, se il contesto lo richiede, si aggiunge. Ma queste quattro tengono in piedi la maggior parte del rischio quotidiano di una PMI che ha appena messo l'AI in mano a più persone.

Cosa vuol dire “livello sufficiente” e chi lo stabilisce

La domanda che arriva sempre a questo punto è “sufficiente quanto?”. L'Art. 4 non fissa un esame, non impone una certificazione, non dice quante ore di formazione servono. Chiede misure proporzionate: al contesto, ai rischi dei sistemi che usi, alle persone che li usano.

In pratica significa che non devi rendere i tuoi collaboratori dei data scientist. Devi renderli capaci di usare in sicurezza gli strumenti che toccano davvero. Chi genera solo bozze di testo ha bisogno di un livello diverso da chi usa un sistema che prende decisioni sui clienti. Il livello si tara sul rischio, non sull'ambizione.

Sulle date conviene essere precisi, perché in giro si leggono scadenze sbagliate. L'obbligo di alfabetizzazione è attivo dal 2 febbraio 2025. Il 2 agosto 2026 diventano applicabili gli obblighi di trasparenza dell'Art. 50 e la parte di governance. Gli obblighi più pesanti sui sistemi ad alto rischio dell'Allegato III sono stati rinviati al 2 dicembre 2027. Chi ti dice che il 2 agosto “scatta l'alto rischio” sta sbagliando la lettura della norma.

L'errore da evitare: trasformarlo in teatro

C'è un modo di sbagliare tutto pur rispettando la forma: fare della literacy un adempimento vuoto. Il corso comprato, l'attestato archiviato, e nella pratica niente che cambia. Compliance di facciata, che copre la casella e lascia intatti i problemi veri.

Il senso è un altro, ed è anche il motivo per cui conviene farlo sul serio. Una squadra che sa cosa non mettere nei prompt, che verifica prima di inviare, che sa quando dire al cliente che c'è stata l'AI, fa meno errori operativi. Meno mail sbagliate partite da sole, meno dati esposti, meno numeri inventati usati come veri. La literacy fatta bene copre l'obbligo e riduce gli incidenti nello stesso movimento. È uno dei pochi casi in cui la cosa giusta da fare per la legge coincide con la cosa giusta da fare per il lavoro.

Domande frequenti

L'Art. 4 vale anche se ho solo collaboratori esterni e nessun dipendente?

Sì. La norma parla di personale e di altre persone che usano l'AI per conto dell'organizzazione. Un freelance che ti scrive le mail ai clienti con un assistente rientra in quel “per conto tuo”. La forma del contratto non cambia l'obbligo.

Devo far fare ai miei collaboratori un corso certificato?

No. L'Art. 4 non impone certificazioni né un numero minimo di ore. Chiede misure proporzionate al rischio dei sistemi che usate. Regole condivise, un onboarding sull'uso sicuro e un aggiornamento periodico documentato sono già misure valide.

Da quando è obbligatorio e cosa cambia il 2 agosto 2026?

L'obbligo di alfabetizzazione è in vigore dal 2 febbraio 2025. Il 2 agosto 2026 diventano applicabili gli obblighi di trasparenza dell'Art. 50 e la governance. I sistemi ad alto rischio dell'Allegato III sono rinviati al 2 dicembre 2027.

Se vuoi capire dove sei messo prima di mettere mano a corsi e documenti, ho preparato un self-check gratuito sull'AI Act: dieci minuti, nessuna vendita, ti dice a che punto è la tua situazione.

Non è formazione in più da subire. È il passaggio da un uso che capita a un uso che decidi. Le PMI e gli studi che lo fanno adesso, dentro la finestra dell'AI Act, non lo fanno per paura della sanzione. Lo fanno perché una squadra che sa cosa sta facendo con l'AI lavora meglio, e la copertura dell'obbligo arriva come conseguenza, non come scopo.

L'alfabetizzazione AI del team non è un adempimento da spuntare una volta. È il modo in cui decidi che l'AI, in azienda, la governi tu e non il caso.