AI Act e risorse umane: quando selezionare diventa alto rischio

Immaginate un software che legge cinquecento curriculum e ne lascia passare trenta. Per l’azienda che l’ha comprato è uno strumento di efficienza. Per il regolamento europeo sull’intelligenza artificiale appartiene alla fascia più sorvegliata che il testo conosca.

Il termine tecnico è sistema ad alto rischio, e suona più allarmante di quello che significa. Non vuol dire che il software sia pericoloso o difettoso: vuol dire che una sua decisione sbagliata ricade sulla vita di una persona. Un candidato che non viene richiamato, un aumento che non arriva, una promozione che salta. È la ragione per cui, fra tutte le funzioni aziendali toccate dal nuovo regolamento europeo sull’intelligenza artificiale, quella del personale è la più esposta.

Quali strumenti finiscono nella fascia alta

L’elenco non è vago: ci stanno i sistemi usati per cercare e selezionare i candidati, per valutare le prestazioni, per monitorare chi lavora, per decidere retribuzioni e percorsi di carriera. Lo scrive Nicola Laganà, che si occupa di marketing per la piattaforma HR Factorial. Lo conferma dall’altro lato Federica Maria Rita Livelli, consulente di business continuity e risk management, che nella sua rassegna dei settori critici mette le risorse umane al primo posto e ci aggiunge promozioni e licenziamenti.

Le due liste non coincidono: Laganà si ferma alla gestione ordinaria del rapporto, Livelli arriva fino al licenziamento. Messe insieme coprono il ciclo intero, da quando qualcuno manda un curriculum a quando esce dall’azienda. Ci converge anche l’avvocato Alessandro Vercellotti, fondatore di Legal for Digital: selezione e gestione del personale stanno nell’Allegato III, l’elenco degli usi ad alto rischio, insieme a credito, assicurazioni, giustizia e servizi pubblici. La compagnia dice parecchio su come Bruxelles guardi alle assunzioni.

Non conta che software usate, conta a cosa lo usate

Qui sta l’equivoco che costa di più. Molte aziende ragionano per prodotti: questo strumento è conforme, quindi siamo a posto. Il regolamento ragiona invece per usi. Laganà lo spiega così: un assistente AI a cui chiedete di scrivere un annuncio di lavoro comporta obblighi molto diversi dallo stesso identico modello messo a classificare candidati o a suggerire aumenti. Due reparti della stessa azienda, con la stessa licenza, possono così trovarsi in due posizioni normative diverse.

C’è poi un ostacolo che viene prima degli obblighi: molte organizzazioni non sanno quali strumenti di AI circolino davvero al loro interno, perché chatbot e funzioni intelligenti sono entrati nel lavoro quotidiano per iniziativa dei singoli. Per il regolamento conta poco che siano autorizzati o meno: un sistema che influenza decisioni sulle persone è dentro il perimetro. Un selezionatore che incolla curriculum in un chatbot generalista non usa uno strumento HR, ma tratta dati di candidati dentro quel perimetro.

Cosa chiede il regolamento a chi quei sistemi li usa

Il testo distingue due ruoli: il provider costruisce il sistema o lo mette in commercio col proprio marchio, il deployer lo adopera sotto la propria responsabilità pur avendolo comprato da altri. Quasi tutte le aziende che selezionano con l’AI stanno nel secondo gruppo. Vercellotti condensa quello che tocca a loro in tre voci: una persona che vigila su quanto il sistema decide, i registri delle operazioni da conservare e, in parecchi casi, una valutazione d’impatto.

Cosa significhi vigilare lo precisa l’avvocato Luca Marasco, dello studio Eptalex: non basta un controllo qualsiasi. Chi lo esercita deve avere tre cose insieme, e cioè la competenza, la formazione e — parola che nel testo non è messa lì per caso — l’autorità per farlo. Un revisore privo del potere di ribaltare l’esito del sistema non sta sorvegliando, sta firmando.

Un secondo obbligo pesa in modo specifico sulla selezione: chi usa il sistema deve badare, nei limiti del controllo che ha davvero, che i dati in ingresso siano pertinenti e abbastanza rappresentativi. In un’assunzione quei dati sono le assunzioni già fatte dall’azienda, e il rischio che il sistema impari a replicarle è ciò che gli avvocati Vincenzo Gallotto e Francesco Ziliotto richiamano parlando di bias.

Un pezzo, intanto, non aspetta nessuna scadenza futura: l’articolo 4 sull’alfabetizzazione, applicabile dal 2 febbraio 2025, chiede a fornitori e utilizzatori misure a sostegno di quella competenza fra il personale. Che secondo Laganà vuol dire capire funzionamento, limiti e rischi dello strumento, non solo saperlo usare. È la stessa competenza che rende possibile la sorveglianza descritta sopra.

Le regole italiane arrivano prima di quelle europee

Ed eccoci al punto che spiazza di più. Gli obblighi europei dell’Allegato III si applicano dal 2 dicembre 2027, ma i sistemi di selezione sono in funzione adesso, come nota Vercellotti. Il vuoto, però, non è vuoto: almeno tre regole nelle risorse umane mordono già oggi.

• Leggere le emozioni dei dipendenti è vietato dal 2 febbraio 2025. La pratica sta fra quelle che l’articolo 5 considera inaccettabili: non un obbligo rinviato, un divieto. E le sanzioni della fascia più alta arrivano a 35 milioni di euro, oppure al 7 per cento del fatturato mondiale annuo se questo è superiore.
• Chi lavora va informato quando il datore usa sistemi decisionali o di monitoraggio automatizzati. Non è una novità europea: sta nell’articolo 1-bis del decreto legislativo 152 del 1997.
• Una decisione presa solo dalla macchina incontra già un limite. Nei decreti attuativi italiani, ancora da varare, compare un divieto secco: sul rapporto di lavoro non si decide affidandosi al solo trattamento automatizzato, e un licenziamento deciso in quel modo sarebbe nullo. Non è ancora vigente. Ma alle decisioni interamente automatizzate un limite lo pone già l’articolo 22 del GDPR, ed è per questo che, osserva Vercellotti, negli uffici del personale ci si comporta come se quel vincolo fosse operativo.

Anche il quadro nazionale corre più veloce. La legge 132 del 2025 è in vigore dal 10 ottobre 2025; i decreti che la rendono operativa hanno avuto un primo via libera il 10 giugno 2026 e devono chiudere il percorso entro ottobre.

Messe in fila, queste date dicono una cosa che nessuna fonte dice per intero: sulla selezione del personale la parte europea del calendario è l’ultima ad arrivare. Il divieto sulle emozioni vale da oltre un anno, l’obbligo di informare i lavoratori esisteva prima ancora dell’AI Act, i decreti italiani si chiudono nel 2026, l’Allegato III arriva nel dicembre 2027: la più lontana delle quattro.

Non è una questione solo del personale

Un ultimo equivoco riguarda chi se ne debba occupare. Un sistema di selezione tocca tre funzioni: lo compra l’IT, lo usa il personale, sui suoi esiti risponde l’azienda. Gallotto e Ziliotto spostano la questione più in alto: il vertice non può fermarsi ad approvare l’acquisto di uno strumento, ma deve comprenderne i rischi, definire le regole d’uso e verificare che i controlli esistano.

Da agosto, scrive Laganà, non basta più dichiarare di usare l’intelligenza artificiale in modo responsabile: occorre poterlo dimostrare. Ed è per questo che i log e la documentazione delle logiche non sono burocrazia. Sono l’unico modo, davanti a un candidato scartato o a un’autorità, per ricostruire perché quella decisione è stata presa.