Il rinvio di alcune scadenze dell’AI Act al 2026 non sospende ogni obbligo per le risorse umane. Restano centrali le responsabilità di fornitori e datori di lavoro, insieme a privacy, sicurezza e priorità operative.
Il decreto legislativo 179/2026 entra in vigore il 23 ottobre. Le decisioni definitive sul rapporto di lavoro non potranno essere affidate soltanto a un trattamento automatizzato: dovrà intervenire una persona. Il rinvio al 2 dicembre 2027 degli obblighi dell’AI Act per i sistemi ad alto rischio dell’Allegato III riguarda una scadenza europea. Le regole già applicabili restano in vigore e le imprese devono comunque preparare gli adempimenti richiesti.
Nel settore del lavoro, l’AI Act classifica come ad alto rischio alcuni sistemi usati per selezionare i candidati e assumere, decidere promozioni o cessazioni, assegnare compiti in base a caratteristiche individuali, monitorare o valutare prestazioni e comportamenti. Conta la finalità concreta e conta il modo in cui lo strumento viene impiegato.
Quali scadenze sono state rinviate
Il calendario europeo prevede date diverse per gli obblighi generali e per quelli relativi ai sistemi ad alto rischio. Dal 2 febbraio 2025 si applicano i divieti sulle pratiche vietate e le disposizioni sull’alfabetizzazione in materia di IA. Per i sistemi dell’Allegato III, tra cui alcuni impieghi nel settore occupazionale, la scadenza è il 2 dicembre 2027. Per i sistemi dell’Allegato I collegati alla normativa di prodotto, invece, è fissata al 2 agosto 2028. Alcuni obblighi di trasparenza decorrono prima di queste date.
Dal 23 ottobre 2026 il decreto italiano introduce tutele specifiche per i lavoratori. Assunzioni, modifiche e cessazioni del rapporto, valutazioni delle prestazioni e sanzioni disciplinari non possono essere decise esclusivamente da un algoritmo. La decisione finale spetta a una persona, che deve avere potere effettivo e autonomia. Una firma o un’approvazione di facciata del risultato prodotto dal sistema non è sufficiente. Nemmeno il consenso del dipendente permette di derogare a questa regola. L’esclusione di un candidato da una fase di selezione resta fuori dallo specifico divieto; per privacy e discriminazione continuano ad applicarsi le norme pertinenti.
Fornitore e datore di lavoro: obblighi distinti
Gli obblighi cambiano a seconda del ruolo. Il fornitore che sviluppa o immette sul mercato un sistema ad alto rischio deve occuparsi della progettazione, della gestione dei rischi, della documentazione e della conformità. L’impresa che adotta lo strumento come datore di lavoro è invece un deployer. Deve seguire le istruzioni ricevute, affidare la supervisione a persone competenti e dotate dell’autorità necessaria, controllare il funzionamento e conservare i registri previsti. Se modifica la finalità del sistema o interviene su di esso in modo sostanziale, può assumere ulteriori responsabilità.
La supervisione richiede un intervento concreto. Chi controlla il sistema deve conoscerne i limiti, saper interpretare gli esiti e poter intervenire, fino a interromperne l’uso. Le istruzioni del fornitore vanno quindi tradotte in procedure interne: occorre stabilire chi fa cosa e rendere tracciabili le verifiche. Per i sistemi ad alto rischio impiegati sul lavoro, l’AI Act prevede anche che i lavoratori interessati e i loro rappresentanti siano informati in anticipo, secondo le regole applicabili.
È già operativo anche l’obbligo di alfabetizzazione previsto dall’articolo 4 dell’AI Act. Le organizzazioni che forniscono o utilizzano sistemi devono adottare misure adeguate alle competenze e all’esperienza delle persone, oltre che al contesto in cui l’IA viene impiegata. La formazione va quindi calibrata sulle mansioni: chi si occupa di selezione deve conoscere i limiti degli strumenti e le possibili distorsioni; chi valuta il personale deve saper collocare il risultato nel suo contesto e documentare il proprio intervento.
Privacy, sicurezza e priorità per HR
Le disposizioni sull’IA si affiancano al GDPR e alle norme italiane sul lavoro. Quando un trattamento può comportare un rischio elevato per i diritti e le libertà delle persone, il datore di lavoro deve valutare se sia necessaria una valutazione d’impatto sulla protezione dei dati. Si aggiungono gli obblighi informativi del decreto legislativo 152/1997: il lavoratore può chiedere a una persona una spiegazione comprensibile della decisione, del contributo fornito dall’algoritmo e dei principali parametri utilizzati.
Se l’impiego del sistema incide sull’organizzazione, sui ritmi o sulle modalità della prestazione, anche la salute e la sicurezza entrano nella valutazione aziendale. I rischi vanno riportati nel DVR quando hanno un effetto concreto sulle condizioni di lavoro. Il decreto richiede inoltre informazione e formazione sui rischi specifici, da affiancare all’alfabetizzazione generale sull’IA.
Per le funzioni HR, il lavoro operativo parte dagli strumenti già in uso e dalle decisioni che supportano. Occorre:
- mappare strumenti e finalità, compresi i software acquistati e le funzioni integrate nelle piattaforme;
- attribuire responsabilità di controllo e aggiornamento alle funzioni legale, privacy, sicurezza, IT e risorse umane;
- classificare gli impieghi e verificare istruzioni, supervisione, registrazioni e informative;
- formare il personale in base alle mansioni e documentare gli interventi umani e le decisioni.
La pianificazione aziendale deve tenere conto degli obblighi già in vigore. Il rinvio europeo non modifica le attività da avviare ora per mappare e governare gli strumenti utilizzati nelle decisioni sul lavoro.
