Se la tua azienda usa un ATS che filtra le candidature, uno strumento che assegna un punteggio ai colloqui o una piattaforma di people analytics che valuta le prestazioni, la domanda giusta non è "riguarda anche noi?". È: è un sistema ad alto rischio, e cosa devo fare prima che qualcuno me lo chieda? La risposta breve: quasi certamente sì, gli obblighi europei arrivano il 2 dicembre 2027, ma la parte italiana della compliance è già esigibile oggi.
Perché il recruiting è quasi sempre "alto rischio"
L'Allegato III, punto 4 del Regolamento UE 2024/1689 elenca fra i sistemi ad alto rischio quelli destinati a:
- selezionare o reclutare persone fisiche — pubblicazione mirata di annunci, analisi e filtro delle candidature, valutazione dei candidati;
- decidere su condizioni di lavoro, promozioni e cessazione del rapporto;
- assegnare compiti sulla base di comportamenti o caratteristiche personali;
- monitorare e valutare prestazioni e comportamento dei lavoratori.
L'art. 6, par. 3 prevede una deroga: un sistema dell'Allegato III non è ad alto rischio se non presenta un rischio significativo, per esempio perché esegue un compito procedurale ristretto o meramente preparatorio. Attenzione però alla clausola di chiusura: un sistema che effettua la profilazione di persone fisiche è sempre considerato ad alto rischio, qualunque sia il compito. Un motore che ordina i candidati per punteggio profila. La deroga, nella pratica del recruiting, si applica molto meno spesso di quanto i fornitori lascino intendere — e chi la invoca deve documentare la propria valutazione e registrarsi ai sensi dell'art. 49, par. 2. È una domanda da mettere per iscritto in fase di acquisto.
Cosa è già vietato e già obbligatorio nel 2026
Il rinvio non ha toccato tre punti che riguardano direttamente l'HR.
- Riconoscimento delle emozioni: vietato. L'art. 5, par. 1, lett. f) proibisce i sistemi che inferiscono le emozioni sul luogo di lavoro, salvo finalità mediche o di sicurezza. Vale dal 2 febbraio 2025 e comprende i video-colloqui con "analisi del tono di voce" o delle microespressioni. È la fascia sanzionatoria più alta: fino a 35 milioni di euro o al 7% del fatturato mondiale.
- Alfabetizzazione AI (art. 4). Chi usa lo strumento deve avere competenze adeguate. Il Regolamento UE 2026/1744 ne ha riformulato la portata in termini di misure a sostegno delle competenze, ma non l'ha cancellato: un recruiter che non sa come pesa il punteggio non è in grado di supervisionare nulla.
- Trasparenza (art. 50), dal 2 agosto 2026. Se il primo contatto con il candidato passa da un chatbot, il candidato deve poter capire che sta interagendo con una macchina.
Il diritto italiano non ha aspettato l'Europa
Qui sta il punto che molte aziende si perdono. Anche azzerando l'AI Act, l'uso di sistemi automatizzati nel rapporto di lavoro in Italia è già regolato:
- Informativa sui sistemi automatizzati — l'art. 1-bis del d.lgs. 152/1997, introdotto dal d.lgs. 104/2022 (decreto trasparenza) e modificato dal d.l. 48/2023 convertito in legge 85/2023, impone di comunicare a lavoratori e rappresentanze l'uso di sistemi decisionali o di monitoraggio integralmente automatizzati che incidono su assunzione, gestione, assegnazione di compiti, sorveglianza e valutazione: finalità, logica di funzionamento, categorie di dati e parametri, misure di controllo e responsabile del sistema. L'avverbio "integralmente" restringe il perimetro rispetto al testo del 2022, ma non è un salvacondotto: un intervento umano puramente formale — un clic di conferma su una graduatoria già fatta — non trasforma il sistema in "non integralmente automatizzato".
- Controllo a distanza — se lo strumento consente anche solo potenzialmente di controllare l'attività dei lavoratori, si applica l'art. 4 della legge 300/1970: serve l'accordo sindacale o l'autorizzazione dell'Ispettorato del lavoro.
- GDPR — base giuridica, minimizzazione, tempi di conservazione dei CV, informativa e, dove la decisione è interamente automatizzata e produce effetti giuridici o significativi, l'art. 22 con il diritto a intervento umano, spiegazione e contestazione. (Una revisione dell'art. 22 è nel Digital Omnibus sui dati, ancora in negoziato: non è diritto vigente e non va usata come presupposto.)
- Legge 23 settembre 2025, n. 132 — l'art. 11 impone che l'IA nel lavoro sia usata in modo sicuro, affidabile e trasparente, senza discriminazioni, e ribadisce l'obbligo di informare il lavoratore nei casi dell'art. 1-bis; l'art. 12 istituisce presso il Ministero del lavoro l'Osservatorio sull'adozione di sistemi di IA nel mondo del lavoro. Il pacchetto attuativo è stato approvato dal Consiglio dei ministri il 10 giugno 2026.
La checklist operativa
| # | Azione | Riferimento |
|---|---|---|
| 1 | Inventaria gli strumenti HR con componenti AI, inclusi i moduli attivati di default dal fornitore | prerequisito di tutto |
| 2 | Definisci il tuo ruolo: quasi sempre deployer, ma diventi fornitore se rimarchi o modifichi sostanzialmente lo strumento | artt. 3 e 25 |
| 3 | Chiedi al fornitore, per iscritto: classificazione Allegato III, istruzioni per l'uso, eventuale deroga art. 6, par. 3 documentata, misure contro i bias | art. 6, par. 3 e 49, par. 2 |
| 4 | Predisponi informativa ai lavoratori e alle rappresentanze e verifica se serve l'accordo sindacale | art. 1-bis d.lgs. 152/1997; art. 4 l. 300/1970 |
| 5 | Assegna la supervisione umana a persone con competenza, formazione e autorità per ribaltare l'esito | art. 26, par. 2 (dal 2027) |
| 6 | Verifica che i dati di input siano pertinenti e rappresentativi e conserva i log per almeno 6 mesi | art. 26, parr. 4 e 6 (dal 2027) |
| 7 | Misura il tasso di selezione per gruppo e documenta i test di non discriminazione | art. 11 l. 132/2025; normativa antidiscriminatoria |
| 8 | Informa i candidati che sono soggetti al sistema | art. 26, par. 11 (dal 2027); già oggi via GDPR |
Due precisazioni che fanno risparmiare tempo. La FRIA dell'art. 27 non ricade sul datore di lavoro privato: riguarda enti pubblici, privati che erogano servizi pubblici e i sistemi dell'Allegato III, punti 5, lett. b) e c). La DPIA del GDPR, invece, nella selezione del personale è quasi sempre necessaria. E dal 2 dicembre 2027 scatta l'art. 26, par. 7: prima di mettere in servizio un sistema ad alto rischio sul luogo di lavoro, il datore deve informare rappresentanti e lavoratori interessati.
Il calendario, in una riga per data
| Data | Cosa riguarda l'HR |
|---|---|
| 2 febbraio 2025 | Divieto di riconoscimento delle emozioni sul lavoro; alfabetizzazione AI |
| 2 agosto 2026 | Trasparenza (art. 50); vigilanza e sanzioni pienamente operative |
| 2 dicembre 2027 | Obblighi sui sistemi ad alto rischio dell'Allegato III, incluso il punto 4 (lavoro) |
| 2 agosto 2028 | Sistemi ad alto rischio integrati in prodotti dell'Allegato I |
| già oggi | Art. 1-bis d.lgs. 152/1997, art. 4 Statuto dei lavoratori, GDPR, legge 132/2025 |
Da dove partire
Il modo più economico di affrontare il 2027 è scoprire adesso quanti strumenti HR con AI sono già in casa e quali di questi violano oggi una regola italiana, non europea. Un gap assessment indipendente sul perimetro HR — inventario, ruoli, informative, accordi sindacali, supervisione umana — costa una frazione di quanto costa rifare una selezione contestata, e produce esattamente il fascicolo che un'autorità chiederà di vedere.