AI Act e formazione: cosa cambia davvero dal 2 agosto 2026
Dal 2 agosto 2026 l'AI Act si applica in via generale, e la formazione è tra i settori ad alto rischio. Una guida tecnica per università, enti e aziende: chi è responsabile di cosa, quali sistemi sono coinvolti e da dove cominciare.
Il 2 agosto 2026 è scattata l'applicazione generale del Regolamento (UE) 2024/1689 — l'AI Act. Per la maggior parte dei settori è una data tra le tante di un calendario lungo; per chi si occupa di istruzione e formazione professionale no, perché la formazione compare esplicitamente nell'Allegato III del regolamento, quello che elenca i sistemi di intelligenza artificiale ad alto rischio.
Questo articolo mette in fila ciò che serve sapere a un ateneo, a un ente di formazione o a un ufficio HR che usa — o sta per usare — strumenti di AI nella didattica: quali usi il regolamento considera ad alto rischio, chi risponde di cosa, e quali domande fare a un fornitore prima di firmare.
Il calendario, in breve
L'AI Act è entrato in vigore il 1° agosto 2024, ma i suoi obblighi si sono accesi a scaglioni:
| Data | Cosa si applica |
|---|---|
| 2 febbraio 2025 | Divieto delle pratiche inaccettabili (art. 5) e obbligo di alfabetizzazione all'AI per chi la usa (art. 4) |
| 2 agosto 2025 | Governance europea e obblighi per i modelli di AI per finalità generali |
| 2 agosto 2026 | Applicazione generale: sistemi ad alto rischio dell'Allegato III, obblighi di trasparenza, apparato sanzionatorio |
| 2 agosto 2027 | Sistemi ad alto rischio integrati in prodotti già regolamentati (Allegato I) |
La data che riguarda la formazione è quella evidenziata: da questo agosto gli obblighi per i sistemi ad alto rischio non sono più un orizzonte, sono diritto applicabile — con sanzioni che arrivano fino a 15 milioni di euro o al 3% del fatturato mondiale per la violazione degli obblighi, e fino a 35 milioni o al 7% per le pratiche vietate.
Perché la formazione è un settore "ad alto rischio"
L'Allegato III, punto 3, elenca quattro usi dell'AI in ambito educativo che il legislatore considera ad alto rischio. Vale la pena leggerli con attenzione, perché coprono più terreno di quanto sembri:
- Accesso e ammissione: sistemi che determinano l'accesso o l'assegnazione di persone a istituti di istruzione o formazione professionale;
- Valutazione dell'apprendimento: sistemi usati per valutare i risultati dell'apprendimento, anche quando la valutazione orienta il percorso dello studente;
- Valutazione del livello adeguato di istruzione: sistemi che stabiliscono a quale livello formativo una persona può accedere;
- Sorveglianza durante le prove: sistemi che rilevano comportamenti vietati degli studenti durante esami e verifiche.
Il filo comune è chiaro: ovunque l'AI incide sul percorso formativo di una persona — chi entra, che voto prende, cosa può fare dopo — il regolamento pretende requisiti di qualità, trasparenza e sorveglianza umana. Non vieta questi usi: li disciplina.
Un sistema che si limita a generare una bozza di dispensa non è alto rischio. Lo stesso sistema, usato per assegnare un voto che decide il superamento di un corso, può diventarlo. Conta l'uso, non la tecnologia.
Attenzione anche al confine con le pratiche vietate: l'articolo 5 proibisce, tra le altre cose, i sistemi che inferiscono le emozioni delle persone in ambito educativo (salvo motivi medici o di sicurezza). Un proctoring che pretende di leggere lo stress sul volto di uno studente non è alto rischio: è fuori legge dal febbraio 2025.
Fornitore o utilizzatore: chi risponde di cosa
Il regolamento distingue due ruoli, e la distinzione è il cuore pratico della questione.
Il fornitore (provider) è chi sviluppa il sistema e lo immette sul mercato: suoi sono gli obblighi più pesanti — gestione del rischio, qualità dei dati di addestramento, documentazione tecnica, marcatura CE, registrazione nella banca dati europea.
L'utilizzatore (deployer) è chi adopera il sistema sotto la propria autorità: l'università che usa una piattaforma di valutazione assistita, l'ente che adotta un sistema di proctoring, l'azienda che affida all'AI la verifica delle competenze interne. Per un sistema ad alto rischio, l'articolo 26 gli chiede tra l'altro di:
- usare il sistema secondo le istruzioni del fornitore;
- affidare la sorveglianza umana a persone con la competenza, la formazione e l'autorità per esercitarla;
- monitorare il funzionamento e sospendere l'uso se emergono rischi;
- conservare i log generati dal sistema, quando sono sotto il suo controllo;
- informare le persone interessate — studenti inclusi — che una decisione che li riguarda passa da un sistema ad alto rischio.
Gli organismi di diritto pubblico — le scuole e le università pubbliche, per esempio — hanno un obbligo in più: la valutazione d'impatto sui diritti fondamentali (art. 27) prima di mettere in servizio il sistema.
La conseguenza operativa è netta: adottare una piattaforma di AI non trasferisce la responsabilità al fornitore. L'organizzazione che la usa deve poter dimostrare come la usa, chi la sorveglia e che cosa è successo quando qualcosa è andato storto. Senza registri, questa dimostrazione non esiste.
L'obbligo di cui nessuno parla: l'alfabetizzazione
L'articolo 4 — in vigore già dal febbraio 2025 — impone a fornitori e utilizzatori di garantire un livello sufficiente di alfabetizzazione all'AI del personale che opera con questi sistemi, tenendo conto del contesto e delle persone su cui i sistemi vengono usati.
Per un'organizzazione formativa l'obbligo è doppiamente interessante: da un lato riguarda i propri docenti e amministrativi che usano strumenti di AI; dall'altro genera domanda di formazione strutturata e documentabile — che è esattamente il tipo di formazione che deve lasciare traccia. Un corso di alfabetizzazione all'AI erogato senza registri di presenza e di completamento non aiuta a dimostrare nulla.
E la FAD? Due normative che convergono
Chi eroga formazione a distanza finanziata o accreditata conosce già una versione di questo problema: le regioni e i fondi interprofessionali chiedono da anni tracciamento delle presenze, log delle attività e verificabilità dell'identità di chi partecipa. L'AI Act non sostituisce questi requisiti: vi si somma, e spinge nella stessa direzione.
La direzione è una sola: ogni evento formativo rilevante — chi ha partecipato, cosa ha svolto, come è stato valutato, quale ruolo ha avuto l'AI nella valutazione — deve essere registrato in modo integro e ricostruibile. Chi ha già un impianto di tracciamento serio per la FAD ha fatto metà della strada per l'AI Act; chi non ce l'ha, ora ha due ragioni per costruirlo.
Da dove cominciare: cinque domande per un fornitore
Se state valutando (o già usate) una piattaforma con componenti di AI, queste cinque domande separano rapidamente il marketing dalla sostanza:
- Su quali contenuti lavora l'AI? Se la risposta include "conoscenza generale del modello" o fonti fuori dal vostro controllo, non potete rispondere della qualità dei dati né dell'esattezza degli output verso i vostri studenti.
- Dove vengono elaborati e conservati i dati? Datacenter, giurisdizione, eventuali trasferimenti extra-UE: servono per il GDPR oggi e per la documentazione AI Act domani.
- Che cosa viene registrato? Log delle interazioni, degli eventi di valutazione, delle presenze: senza, gli obblighi dell'articolo 26 restano sulla carta.
- Come interviene un umano? Deve esistere un punto in cui un docente rivede, corregge o blocca l'output dell'AI prima che produca effetti su una persona — e deve restarne traccia.
- Chi è il fornitore ai sensi del regolamento? Se la piattaforma incorpora modelli di terzi, la catena delle responsabilità va scritta nel contratto, non lasciata all'interpretazione.
È lo stesso principio su cui è costruito Syllex: l'AI lavora esclusivamente sui materiali autorizzati dall'organizzazione, dentro un perimetro definito, e ogni evento è registrato per garantire tracciabilità e certificazione dell'apprendimento.
In sintesi
- Dal 2 agosto 2026 gli obblighi per i sistemi di AI ad alto rischio si applicano, e quattro usi tipici del mondo formativo rientrano nell'Allegato III.
- Chi usa un sistema ad alto rischio ha obblighi propri — sorveglianza umana competente, monitoraggio, conservazione dei log, informazione agli interessati — che non può delegare al fornitore.
- L'alfabetizzazione all'AI del personale è già obbligatoria da febbraio 2025, e va documentata.
- I requisiti della FAD e quelli dell'AI Act convergono sullo stesso punto: senza registri integri, la conformità non si dimostra.
- La scelta della piattaforma è essa stessa una decisione di conformità: perimetro dei contenuti, localizzazione dei dati e tracciabilità vanno verificati prima dell'adozione, non dopo.
Questo articolo è una sintesi divulgativa e non costituisce consulenza legale. Per una valutazione della vostra situazione specifica, rivolgetevi a un professionista. Se invece volete vedere come Syllex affronta questi requisiti nella pratica, richiedete una dimostrazione.