Proteggere le persone
Prevenire discriminazioni e danni, soprattutto quando l’IA incide su opportunità e condizioni di lavoro.
01 / La ratio legis
Innovare, senza perdere il controllo.
L’AI Act è il regolamento (UE) 2024/1689: stabilisce regole armonizzate per l’intelligenza artificiale. Riguarda anche le imprese che utilizzano sistemi acquistati da altri, non soltanto chi li sviluppa.
La sua finalità è favorire un’IA affidabile e centrata sulla persona, tutelando salute, sicurezza e diritti fondamentali. Regole comuni rendono più prevedibile il mercato europeo e sostengono l’innovazione. Nel lavoro, il problema è concreto: una valutazione apparentemente neutra può riprodurre pregiudizi, escludere candidati o rendere incomprensibile una decisione.
Rendere l’IA affidabile
Chiedere trasparenza, tracciabilità e controllo umano in funzione dell’uso e dei rischi.
Graduare le regole
Più un impiego può incidere sui diritti, più diventano rigorose le garanzie richieste.
Il punto da ricordare
La domanda iniziale non è «Quale marchio di IA uso?», ma «Per quale attività la uso e su chi può produrre effetti?».
La domanda iniziale non è «Quale marchio di IA uso?», ma «Per quale attività la uso e su chi può produrre effetti?».
Riferimenti: artt. 1–3 AI Act; fonti 1–3.
02 / Una mappa per orientarsi
Stessa tecnologia, usi molto diversi.
Non ogni software è un sistema di IA e non ogni utilizzo in ufficio è ad alto rischio. Conta la funzione concreta. Questo schema riassume i principali casi di interesse datoriale; gli obblighi di trasparenza possono aggiungersi ad altri obblighi.
VIETATO
Fermarsi
Fermarsi
Inferire le emozioni al lavoroPer esempio, dedurre entusiasmo o rabbia da dati biometrici del volto o della voce.
Il divieto ammette eccezioni per ragioni mediche o di sicurezza, da valutare rigorosamente. Il consenso non rende lecito un uso vietato.
ALTO RISCHIO
Garanzie rafforzate
Garanzie rafforzate
Selezionare e valutare personeFiltrare CV, valutare candidati, incidere su promozioni o cessazioni, monitorare prestazioni.
Rientra anche l’assegnazione di compiti basata sul comportamento o su caratteristiche individuali. La firma finale di un responsabile non elimina automaticamente l’alto rischio.
TRASPARENZA
Rendere riconoscibile
Rendere riconoscibile
Chatbot e contenuti sinteticiUn assistente che conversa con candidati; un video realistico generato artificialmente.
Occorre distinguere gli obblighi del fornitore da quelli dell’utilizzatore. Non esiste una regola che imponga di etichettare ogni e-mail scritta con l’IA.
USO ORDINARIO
Presidi proporzionati
Presidi proporzionati
Supporto alla produttivitàRiformulare una comunicazione generica o sintetizzare un testo senza valutare persone.
In genere non è alto rischio. Restano alfabetizzazione, riservatezza, correttezza e le altre norme applicabili.
Trasparenza: cosa verificare in concreto?
Per un chatbot, il fornitore deve assicurare che la persona sappia di interagire con l’IA, salvo che sia evidente: chi lo attiva dovrebbe verificare che l’avviso sia presente. Per i deepfake, l’utilizzatore deve dichiarare la generazione o manipolazione artificiale, con le specifiche eccezioni. Per testi pubblicati su questioni di interesse pubblico, la disclosure non è richiesta quando vi siano revisione umana o controllo editoriale e un soggetto assuma la responsabilità editoriale. Non sono obblighi generali di etichettatura di qualunque contenuto aziendale. Fonte 7.
Un’attività HR è sempre ad alto rischio?
No. L’art. 6, par. 3, consente deroghe circoscritte per sistemi dell’allegato III che non comportano rischi significativi, anche perché non influenzano materialmente la decisione, nelle condizioni previste: compiti procedurali limitati, preparatori o altre funzioni elencate dalla norma. La valutazione compete al fornitore e va documentata. Se il sistema dell’allegato III effettua profilazione di persone, è comunque ad alto rischio.
Esempio: uniformare il formato dei CV è diverso dal classificarli per “idoneità”. Non basta chiamare il sistema «assistente» per sottrarlo alle regole.
Riferimenti: artt. 5, 6 e 50; allegato III, punto 4. Fonti 4–7. Gli esempi sono applicazioni illustrative, non classificazioni automatiche di singoli prodotti.
03 / Il calendario
Cosa vale oggi. Cosa preparare.
Il testo originario del 2024 va letto insieme alle modifiche del Digital Omnibus sull’IA del 2026. La Commissione ne indica l’entrata in vigore il 27 luglio 2026.
2025
Divieti originari e alfabetizzazione in materia di IA. L’art. 4 è stato successivamente precisato.
2026
Applicazione generale, incluse le regole di trasparenza dell’art. 50, salve le specifiche disposizioni transitorie.
2027
Regole per i sistemi ad alto rischio dell’allegato III, compresi gli impieghi nella gestione del personale.
2028
Regole per i sistemi ad alto rischio integrati nei prodotti soggetti alla pertinente disciplina UE.
Il regolamento è entrato in vigore il 1° agosto 2024. Le regole sui modelli di IA per finalità generali si applicano, in via generale, dal 2 agosto 2025 e riguardano soprattutto i loro fornitori. Per i sistemi già immessi sul mercato o messi in servizio occorre verificare anche il regime transitorio dell’art. 111.
Il rinvio dell’alto rischio non sospende il diritto del lavoro. Privacy, divieti di discriminazione, controlli a distanza e obblighi informativi continuano a operare secondo le rispettive discipline.
Fonti 2–3. Calendario verificato al 13 ottobre 2026; non coincide con quello del solo testo originario collegato dal lettore.
04 / Il ruolo dell’impresa
Acquistare un software non trasferisce ogni responsabilità.
Fornitore
Sviluppa, o fa sviluppare, il sistema e lo commercializza o lo mette in servizio con il proprio nome. Per l’alto rischio cura, tra l’altro, conformità, documentazione e requisiti tecnici.
Deployer: l’utilizzatore professionale
Usa il sistema sotto la propria autorità. È il ruolo tipico del datore di lavoro che impiega un servizio IA: deve governarne l’utilizzo nella propria organizzazione.
Attenzione: una modifica sostanziale o il cambiamento della finalità che rende un sistema ad alto rischio può far assumere all’impresa gli obblighi del fornitore (art. 25). Fonte 8.
Per chi usa IA: sostenere l’alfabetizzazione
L’art. 4 aggiornato richiede misure per sostenere lo sviluppo delle competenze sull’IA del personale e di chi la utilizza per conto dell’impresa, tenendo conto di esperienza, formazione, contesto e persone coinvolte. Precisa che non occorre garantire uno specifico livello di competenza di ogni individuo.
In pratica: spiegare limiti, errori plausibili, protezione dei dati e modalità di verifica; differenziare il percorso di chi scrive testi da quello di chi gestisce selezioni. Un registro delle attività formative è una buona prassi documentale. L’art. 4 non impone un corso unico, un monte ore standard o un “patentino”. Fonte 9.
Per l’alto rischio HR: preparare i presidi dell’art. 26
Usare secondo le istruzioni
Definire finalità, limiti e misure organizzative coerenti con il sistema.
Affidare un controllo reale
Individuare persone competenti, formate e dotate di autorità e supporto.
Curare dati e registrazioni
Dati pertinenti e sufficientemente rappresentativi, se sotto il proprio controllo. Conservare i log controllati per almeno sei mesi, salvo diversa normativa applicabile.
Monitorare e intervenire
Sorvegliare il funzionamento; sospendere l’uso e attivare le comunicazioni previste in caso di rischio; segnalare gli incidenti gravi.
Informare prima dell’uso
Informare rappresentanti dei lavoratori e lavoratori interessati prima dell’impiego sul luogo di lavoro.
Rendere visibile l’impiego
Informare le persone quando sistemi dell’allegato III assumono o assistono decisioni che le riguardano; cooperare con le autorità.
Art. 26, in particolare parr. 1–7, 11–12; decorrenza e regime transitorio da verificare come sopra. Fonte 10.
Serve sempre una valutazione d’impatto sui diritti fondamentali?
No. La valutazione dell’art. 27 (FRIA) riguarda specifici soggetti e impieghi, tra cui organismi di diritto pubblico, privati che forniscono servizi pubblici e determinati sistemi creditizi o assicurativi. Non è imposta indistintamente a ogni datore privato che usa IA per le risorse umane. È distinta dalla valutazione d’impatto privacy (DPIA), che va verificata secondo il GDPR e le norme applicabili. Fonte 11.
05 / Le tutele si sommano
AI Act, privacy e diritto del lavoro.
GDPR
Verificare base giuridica, minimizzazione, informative, sicurezza, rapporti con i fornitori e DPIA ove richiesta. L’art. 22 pone limiti alle decisioni esclusivamente automatizzate con effetti giuridici o analogamente significativi, salve le condizioni ed eccezioni previste.
Statuto dei lavoratori
Se il sistema consente controlli a distanza, verificare l’art. 4 della legge 300/1970: presupposti, eventuale accordo sindacale o autorizzazione e informative. L’informativa AI Act non sostituisce tale procedura. Restano i limiti alle indagini sulle opinioni e sui fatti non pertinenti.
Trasparenza del rapporto
L’art. 11 della legge 132/2025 richiama l’informazione nei casi e con le modalità dell’art. 1-bis del d.lgs. 152/1997, relativo ai sistemi decisionali o di monitoraggio integralmente automatizzati. Non confondere questo ambito con quello dell’alto rischio europeo.
Non discriminazione
Un punteggio informatico non prova da solo la correttezza della scelta. Verificare criteri, dati e risultati: anche parametri apparentemente neutri possono penalizzare gruppi di lavoratori.
Novità italiana pubblicata • In vigore dal 23 ottobre 2026
Decisioni finali: una persona deve poter decidere davvero.
L’art. 41 del d.lgs. 179/2026 riserva a una persona fisica con potere effettivo e autonomo le decisioni finali assistite dall’IA su costituzione, modifica e cessazione del rapporto, comprese sanzioni disciplinari e valutazioni delle prestazioni. Il consenso del lavoratore non deroga al divieto; sono previste nullità delle decisioni adottate in violazione e del licenziamento.
La norma distingue le attività di ricerca e selezione delle candidature dalle decisioni finali di costituzione del rapporto, senza eliminare le tutele GDPR. Prevede inoltre, su richiesta, una motivazione intelligibile con incidenza dell’IA e principali parametri considerati. Al 13 ottobre il decreto è pubblicato, ma non ancora in vigore.
Fonti 12–14. Il rinvio delle regole europee sull’alto rischio non rinvia questa decorrenza nazionale.
Le sanzioni: massimali, non importi automatici
L’art. 99 prevede, per i divieti, fino a 35 milioni di euro o al 7% del fatturato mondiale annuo precedente; per gli obblighi elencati, inclusi artt. 26 e 50, fino a 15 milioni o al 3%. Per le imprese vale in generale il massimale maggiore; per le PMI quello minore tra importo e percentuale. Gravità, dimensioni e circostanze incidono sulla sanzione concreta. Non ogni irregolarità ricade nella stessa fascia. Fonte 15.
06 / Dalla norma all’organizzazione
Sei verifiche prima di attivare l’IA.
Una checklist organizzativa da usare con HR, consulente del lavoro, referente privacy e fornitore. Le spunte servono all’autoverifica e restano nella sessione aperta.
Caso A • Una bozza di e-mail
Un’impiegata chiede di rendere più chiara una comunicazione generica. In genere è un uso ordinario: strumento autorizzato, dati necessari e verifica del testo prima dell’invio.
Caso B • La graduatoria dei CV
Il sistema assegna punteggi e scarta candidati. È un tipico impiego dell’allegato III: vanno esaminati alto rischio, discriminazioni, GDPR e supervisione. «Decide il software» non è una giustificazione.
L’IA assiste.
La responsabilità si organizza.
La checklist è una proposta operativa; non ogni voce costituisce, da sola, un autonomo obbligo imposto dall’AI Act.
07 / Verifica la comprensione
Otto domande. Le idee che contano.
Scegli una risposta per domanda, poi verifica il risultato. La correzione spiega il punto giuridico. È un’autoverifica didattica, non una certificazione di conformità o di formazione.
Soluzioni commentate
1 · B — Il regolamento adotta un approccio basato sul rischio: finalità e impatto sulle persone determinano le garanzie.
2 · C — Chi usa il sistema sotto la propria autorità è normalmente deployer; acquistarlo non elimina i suoi obblighi.
3 · D — L’inferenza delle emozioni al lavoro è vietata, salvo i casi previsti per ragioni mediche o di sicurezza. Una semplice informativa o il consenso non bastano.
4 · A — Valutare candidati incide sull’accesso al lavoro. La presenza di una successiva firma umana non esclude di per sé l’alto rischio.
5 · C — Occorrono misure coerenti con persone, esperienza e contesto. La norma non impone di garantire uno specifico livello individuale né un monte ore standard.
6 · B — Le fonti ufficiali aggiornate riportano il 2 dicembre 2027 per l’allegato III. Restano da verificare le disposizioni transitorie e gli obblighi di altre normative.
7 · D — L’art. 4 dello Statuto dei lavoratori e il GDPR continuano a operare. I rispettivi presupposti non sono sostituiti dall’informativa AI Act.
8 · A — La decisione finale deve essere umana e autonoma. La norma prevede la nullità del licenziamento adottato in violazione; al 13 ottobre 2026 non è ancora in vigore.
Fonti e aggiornamento
Approfondisci sulle fonti ufficiali.
Verifica delle fonti: 13 ottobre 2026. Il collegamento EUR-Lex fornito dall’utente identifica il testo originario. Per le modifiche del 2026 sono state consultate anche la Commissione europea e la riproduzione aggiornata degli articoli nell’AI Act Service Desk. I testi normativi prevalgono sulle sintesi divulgative.
- Regolamento (UE) 2024/1689 — testo originario in italiano
- Commissione europea — quadro e calendario aggiornati
- Digital Omnibus sull’IA — regolamento (UE) 2026/1744
- Art. 5 — pratiche vietate
- Art. 6 — classificazione e deroghe
- Allegato III — impieghi ad alto rischio
- Art. 50 — trasparenza
- Art. 25 — responsabilità nella catena del valore
- Art. 4 aggiornato — alfabetizzazione
- Art. 26 — obblighi degli utilizzatori
- Art. 27 — valutazione dei diritti fondamentali
- Garante — tutele dei lavoratori e sistemi automatizzati
- D.lgs. 179/2026 — pubblicazione ed entrata in vigore
- D.lgs. 179/2026, art. 41 — con note su legge 132/2025, art. 11, e d.lgs. 152/1997, art. 1-bis
- Art. 99 — sanzioni
