Siesta AI
L’IA nelle Risorse Umane sta passando da una “sperimentazione interessante” a piena responsabilità legale nell’UE. L’EU AI Act rende concreto questo passaggio e, per molti casi d’uso HR, la data chiave è il 2 agosto 2026, quando iniziano ad applicarsi gli obblighi più stringenti. Se la tua azienda usa IA nei processi di assunzione o nella gestione della forza lavoro, l’obiettivo pratico è saper spiegare cosa usi, perché lo usi e quali controlli esistono attorno a questo, non limitarsi a dire “il fornitore è conforme”.
Perché l’HR è sotto osservazione nell’EU AI Act
L’EU AI Act classifica i sistemi di IA in base al rischio e l’HR è un’area particolarmente monitorata perché i sistemi HR possono influire su carriera, reddito e privacy delle persone. Per questo molti strumenti che in azienda sembrano “di routine” possono comunque rientrare nella categoria ad alto rischio quando incidono su reclutamento, selezione, promozione, cessazione del rapporto, assegnazione dei compiti o monitoraggio delle performance. Un punto non ovvio è che “alto rischio” spesso riguarda meno la sofisticazione del modello e più il punto in cui l’output si inserisce nella catena decisionale. Anche una semplice funzione di ranking o scoring può generare obblighi rilevanti se filtra i candidati o orienta decisioni sui dipendenti.
Dal punto di vista operativo, la maggior parte delle aziende non avrà un unico sistema “IA in HR”. Avrà una catena: funzionalità dell’ATS, fornitori di assessment, livelli di analytics e talvolta componenti aggiuntivi in piattaforme più ampie. I problemi di conformità tipicamente emergono negli spazi tra questi strumenti, quando nessuno sa rispondere con chiarezza quali parti siano automatizzate, quali dati usino e chi sia responsabile della supervisione.
Cosa cambia il 2 agosto 2026 e cosa si applica già prima
Secondo APČR, dal 2 agosto 2026 iniziano ad applicarsi le regole più stringenti per la categoria ad alto rischio, che include scenari HR comuni come lo smistamento automatizzato dei CV, la valutazione di video-colloqui, i test online per i candidati e i sistemi usati per gestire i lavoratori (promozione, cessazione, assegnazione dei compiti, monitoraggio delle performance). L’implicazione pratica è che le aziende dovrebbero considerare agosto 2026 come una scadenza per avere la governance operativa già in funzione, non come una scadenza per iniziare a leggere il regolamento. Se aspetti, finirai per fare classificazione del rischio, due diligence sui fornitori, documentazione interna e formazione nello stesso momento: di solito questo produce evidenze deboli e decisioni affrettate.
APČR evidenzia anche che alcuni requisiti sono già efficaci da febbraio 2025. Un esempio: i sistemi di riconoscimento delle emozioni sul luogo di lavoro sono descritti come rigorosamente vietati, quindi se qualcosa nel tuo stack assomiglia al rilevamento delle emozioni non è un tema “da rivedere più avanti”, ma un tema da bloccare e correggere. APČR richiama inoltre l’obbligo di garantire alfabetizzazione sull’IA per i dipendenti che lavorano con queste tecnologie: un aspetto spesso sottovalutato perché richiede pratica costante tra HR, hiring manager, legale e IT, non una singola sessione formativa. Infine, APČR nota che i soggetti che mettono in opera tali sistemi potrebbero dover informare e consultare i rappresentanti dei lavoratori prima di attivare un sistema ad alto rischio (con riferimento all’Articolo 26(11)): ciò significa che il piano di rollout può creare esso stesso un rischio di non conformità se la consultazione avviene dopo il go-live.
Cosa i datori di lavoro devono garantire nella pratica e da dove iniziare
APČR riassume quattro pilastri che i datori di lavoro devono essere in grado di garantire quando usano strumenti di IA ad alto rischio: supervisione umana, trasparenza, audit ed equità, e documentazione. La supervisione umana deve essere reale: la macchina non può prendere decisioni finali senza controllo umano e la supervisione non può ridursi a convalidare automaticamente gli output. Trasparenza significa che le persone devono essere informate in modo chiaro quando l’IA è coinvolta in una fase rilevante e, in HR, questo spesso riguarda candidati o dipendenti, non solo gli utenti interni che sanno già di aver cliccato una funzionalità “AI”. Audit ed equità richiedono verifiche regolari per ridurre il rischio di discriminazioni non intenzionali (APČR cita età e genere come esempi), ed è difficile difendersi se non riesci a ricostruire quale modello, configurazione e dati abbiano prodotto un determinato output in un dato momento. La documentazione è la spina dorsale che ti consente di dimostrare sicurezza e spiegare come vengono prodotti i risultati: deve riflettere il tuo deployment reale, non solo PDF generici del fornitore.
APČR raccomanda tre primi passi pratici: fare l’audit degli strumenti, verificare i fornitori e investire nella formazione. Se fatto bene, l’audit non è solo un elenco di “strumenti di IA”, ma un inventario di dove l’IA tocca i flussi HR, incluse funzionalità nascoste in piattaforme che non vengono commercializzate come prodotti AI. La verifica dei fornitori dovrebbe concentrarsi su evidenze utilizzabili operativamente: dichiarazioni chiare di responsabilità, accesso alla documentazione tecnica e capacità di supportare esigenze di supervisione, logging e change control. La formazione dovrebbe essere continua e basata sui ruoli, insegnando come usare gli output in modo responsabile, dove l’IA non deve decidere e come documentare override ed eccezioni, perché sono questi dettagli a reggere quando arrivano domande in seguito.
