Con l’AI Act entrano in vigore nuove regole sulle decisioni algoritmiche che riguardano assunzioni e gestione del personale. Controllo umano, spiegazioni, tutele e risarcimenti ridisegnano gli obblighi delle imprese.
Dal 23 ottobre 2026 il decreto legislativo 179/2026 impone che le decisioni definitive sul rapporto di lavoro siano affidate a una persona, non a un algoritmo. La regola si applica ad assunzioni, modifiche contrattuali, valutazioni delle prestazioni, provvedimenti disciplinari e licenziamenti. Se viene violata, la decisione è nulla. Per le imprese l’obbligo è operativo da subito; le prescrizioni europee sui sistemi di selezione ad alto rischio seguono invece un calendario distinto.
Recruitment e gestione: le decisioni coinvolte
L’AI Act considera ad alto rischio i sistemi utilizzati per selezionare o assumere persone, pubblicare annunci mirati, analizzare e filtrare candidature, valutare candidati e monitorare o valutare le prestazioni dei lavoratori. La classificazione comprende anche gli strumenti che incidono sulle promozioni e sulle cessazioni, assegnano compiti in base a caratteristiche personali o controllano il comportamento lavorativo. Per fornitori e utilizzatori sono previsti requisiti specifici: gestione dei rischi, documentazione, registrazione dei log e supervisione umana.
La norma italiana traccia una distinzione tra la decisione finale di assunzione e le attività che la precedono. La ricerca e la preselezione dei candidati sono escluse dalla nullità prevista per le decisioni definitive. Restano comunque applicabili le tutele in materia di dati personali e discriminazione; i sistemi impiegati nel reclutamento rientrano inoltre tra quelli ad alto rischio secondo l’AI Act.
Le due decorrenze non coincidono. Le principali prescrizioni europee per i sistemi ad alto rischio, comprese quelle sull’occupazione e sulla gestione dei lavoratori, sono previste dal 2 dicembre 2027. Dal 23 ottobre 2026, invece, è già in vigore la garanzia italiana della responsabilità umana nelle decisioni sul rapporto di lavoro, insieme agli obblighi nazionali di informazione e sicurezza.
Controllo umano, spiegazioni e tutela del lavoratore
Una firma apposta dopo la raccomandazione del software non basta a rendere effettiva la supervisione. Chi ha la responsabilità della decisione deve disporre di potere effettivo e autonomo: esaminare il risultato, valutarlo e discostarsene. Anche l’organizzazione aziendale deve consentire un intervento umano concreto e ricostruibile. La persona chiamata a decidere deve poter comprendere il contributo del sistema e assumersi la responsabilità dell’esito.
Il lavoratore può chiedere una motivazione comprensibile che chiarisca se l’AI ha inciso sulla decisione, in che modo e sulla base di quali parametri. Si applicano anche le garanzie del GDPR sulle decisioni automatizzate e sull’accesso ai dati personali. Se una valutazione appare discriminatoria o si fonda su informazioni inesatte, il dipendente può contestarla con gli strumenti previsti dalla normativa sul lavoro e sulla protezione dei dati, chiedendo che siano verificati la decisione e i dati utilizzati.
Va considerata anche la sicurezza. Quando l’AI incide su ritmi, turni, organizzazione o modalità della prestazione, il datore di lavoro deve includerne gli effetti nella valutazione dei rischi e informare e formare i lavoratori sui rischi specifici e sulle misure di prevenzione. Il DVR deve riflettere i rischi concreti legati all’organizzazione assistita dall’AI.
Risarcimenti e scadenze per le imprese
L’atto lavorativo adottato senza il controllo umano richiesto è nullo. Per il risarcimento occorre invece una domanda fondata sul danno e sulle regole applicabili. In vigore dal 30 settembre 2026, il decreto 160/2026 mette a disposizione strumenti specifici per chi sostiene di aver subito un danno causato dall’AI. In una causa civile, il danneggiato può chiedere al giudice di ordinare l’esibizione di prove pertinenti: tra queste, registri di funzionamento, documenti sulla gestione dei rischi e informazioni sulla supervisione. La richiesta va motivata e il giudice tutela i segreti commerciali.
Se il danno deriva dalla violazione di obblighi applicabili dell’AI Act, il decreto introduce una presunzione del nesso causale, che può essere superata con prova contraria. Per ottenere il risarcimento devono essere accertati i presupposti della responsabilità e il danno. Le possibili violazioni del regolamento possono inoltre essere segnalate all’autorità di vigilanza competente; nei rispettivi ambiti intervengono il Garante per la protezione dei dati personali e le autorità di settore.
Alle imprese spetta ora censire gli strumenti usati nel recruitment e nella gestione del personale, separare le raccomandazioni automatiche dalle decisioni finali e attribuire le responsabilità a persone dotate di reale autonomia. Dovranno anche conservare gli elementi necessari a ricostruire il processo, aggiornare la valutazione dei rischi e predisporre informazione e formazione. Gli ordini professionali hanno sei mesi dall’entrata in vigore per adeguare le regole formative; entro dodici mesi sono attesi i decreti sull’equo compenso legato all’uso dell’AI. Per i lavoratori, la garanzia immediata è che il licenziamento non può essere deciso soltanto da un algoritmo. Per le aziende, la priorità è rendere verificabile chi ha valutato e preso la decisione.
