Se assumi nell’Unione europea e il tuo ATS usa l’intelligenza artificiale per filtrare, ordinare o valutare le candidature, il regolamento (UE) 2024/1689 può riguardarti anche con venti dipendenti e senza aver costruito nessun modello. L’allegato III, punto 4 mette tra gli usi ad alto rischio i sistemi destinati a selezionare persone, in particolare per pubblicare annunci mirati, analizzare e filtrare le candidature e valutare chi si candida. Il fornitore che sviluppa il sistema e l’azienda che lo impiega hanno obblighi diversi, e questa nota parla dei secondi.
Le date sono cambiate da quando il testo è uscito. Il regolamento prevedeva l’applicazione per i sistemi dell’allegato III dal 2 agosto 2026. Il Digital Omnibus sull’IA, in vigore dal 27 luglio 2026, ha spostato quegli obblighi al 2 dicembre 2027, come mostra l’articolo 113 nel testo consolidato. Per chi impiega il sistema l’articolo 99, paragrafo 4, prevede sanzioni fino a 15 milioni di euro o al 3% del fatturato mondiale annuo, se superiore; per le PMI vale l’importo più basso dei due (paragrafo 6).
Una premessa su chi scrive. Join vende un ATS, e le sue funzioni di IA scrivono bozze e fanno suggerimenti: non ordinano né scartano candidature da sole. Per noi è una scelta di prodotto presa prima che il regolamento fosse definitivo, ma la classificazione di una funzione resta un giudizio da verificare caso per caso, il nostro compreso. Leggi quindi queste righe come la posizione di un fornitore. Non sono un parere legale: sono una mappa di cosa chiede il regolamento e di cosa conviene domandare prima di firmare o rinnovare.
Alto rischio o no: dipende da cosa decide
Il regolamento non classifica i prodotti, classifica le finalità. La tabella è una lettura pratica dell’allegato III, non un elenco ufficiale di funzioni.
| Probabilmente ad alto rischio | Probabilmente fuori |
|---|---|
| Ordinare le persone o dare loro un punteggio rispetto a un ruolo | Scrivere il testo di un annuncio (decidere a chi mostrarlo è un altro uso, e l’allegato III cita gli annunci mirati) |
| Filtrare le candidature prima che le veda una persona | Riassumere un CV perché lo legga chi seleziona |
| Prevedere da un CV prestazioni, affinità o permanenza in azienda | Proporre domande per il colloquio a chi lo conduce |
| Scartare una candidatura in automatico, senza revisione umana | Ordinare per data di arrivo o per completezza, senza valutare nessuno |
Il confine è se il sistema incide su chi va avanti nella selezione. In quel caso parti dal presupposto che sia ad alto rischio. L’articolo 6, paragrafo 3 prevede eccezioni, tra cui il compito procedurale limitato e il compito preparatorio a una valutazione, ma non per i sistemi che profilano persone fisiche. E a documentare perché un sistema dell’allegato III non sia ad alto rischio, per il paragrafo 4, è il fornitore.
Cosa deve fare chi lo impiega
Gli obblighi di chi usa un sistema ad alto rischio stanno soprattutto nell’articolo 26. Sono cinque, qui in versione semplificata.
- Una sorveglianza umana che conta. L’articolo 14 chiede che il sistema permetta a chi lo sorveglia di capirne i limiti, di restare consapevole del rischio di fidarsi troppo del risultato (l’automation bias), di interpretarlo, di ignorarlo o ribaltarlo e di fermarlo. A te, per l’articolo 26, paragrafo 2, tocca affidare la sorveglianza a persone con competenza, formazione e autorità. Un pulsante «approva» che nessuno ha il tempo di leggere non è sorveglianza: chi decide deve vedere perché il sistema ha suggerito quel risultato e poterlo contraddire.
- Scopo e limiti per iscritto. L’articolo 13 prevede che il fornitore metta a disposizione istruzioni per l’uso con lo scopo previsto, il livello di accuratezza e le sue metriche e le circostanze note che possono comprometterlo. Tu devi usare il sistema come le istruzioni indicano. Una risposta del tipo «il modello è proprietario, non possiamo dirlo» non regge accanto a quell’articolo.
- Informare le persone. Per l’articolo 26, paragrafo 11, chi impiega un sistema dell’allegato III che prende o assiste decisioni su persone fisiche le informa di essere soggette al suo uso. Con l’articolo 86, chi subisce una decisione basata sul risultato di uno di questi sistemi, con effetti giuridici o di analogo peso e che ritiene dannosa per i propri diritti fondamentali, può chiedere spiegazioni chiare e significative sul ruolo del sistema e sugli elementi principali della decisione. Un’informazione in corpo otto nell’informativa privacy è un modo di adempiere sulla carta. Meglio un linguaggio che la persona trovi e capisca.
- Registri. Per l’articolo 12 il sistema deve poter registrare automaticamente gli eventi, e per l’articolo 26, paragrafo 6, se i registri sono sotto il tuo controllo li conservi per almeno sei mesi, salvo diverse norme di legge. Molti fornitori li conservano, pochi rendono facile esportarli. Chiedilo prima di firmare.
- Dati e monitoraggio. L’esame dei possibili bias nei dati di addestramento, con le misure per individuarli e attenuarli, rientra nei requisiti di progettazione dell’articolo 10: è lavoro del fornitore. Per te valgono due cose. Se controlli i dati di input, devono essere pertinenti e sufficientemente rappresentativi (articolo 26, paragrafo 4). Devi poi monitorare il funzionamento secondo le istruzioni e, se vedi un rischio, informare il fornitore e sospendere l’uso (paragrafo 5). Un test fatto una volta al lancio, a mio parere, non basta: se cambia il modello, o cambia chi si candida, il test va rifatto.
Cosa si aggiunge in Italia
Alle regole europee si sommano norme italiane già in vigore. L’articolo 1-bis del d.lgs. 152/1997, nel testo vigente dal 5 maggio 2023, chiede al datore di lavoro di informare il lavoratore quando impiega sistemi decisionali o di monitoraggio integralmente automatizzati, compresi quelli che forniscono indicazioni rilevanti per l’assunzione. L’informazione copre aspetti interessati, scopi, logica e funzionamento, categorie di dati e parametri principali, misure di controllo e livello di accuratezza. Chi chiede accesso ai dati o chiarimenti riceve una risposta scritta entro trenta giorni. La legge 132/2025, applicabile dal 10 ottobre 2025, aggiunge all’articolo 11 che l’IA sul lavoro dev’essere sicura, affidabile e trasparente e non deve discriminare, e per l’informazione rimanda a quell’articolo 1-bis. C’è infine l’articolo 22 del GDPR, sulle decisioni basate unicamente su un trattamento automatizzato.
Questi testi parlano di lavoratori e di sistemi «integralmente automatizzati». Se valgano per chi non è ancora stato assunto e per il tuo strumento lo dice un consulente del lavoro o chi ti segue sulla privacy, non una nota di blog. Per il criterio di fondo, cioè se l’IA assiste o decide, c’è la nota sull’AI recruiting; per le definizioni, la voce sull’AI Act nelle risorse umane.
Cinque domande da fare al fornitore
Sono quelle che faremmo noi prima di firmare un contratto che dà all’IA un ruolo nelle decisioni di selezione.
| Domanda | Risposta che deve insospettirti |
|---|---|
| La vostra IA è un sistema ad alto rischio secondo l’AI Act e che cosa, in concreto, la colloca lì o fuori? | Giri di parole. Un fornitore che esita di solito non ha fatto il lavoro: la risposta deve essere precisa, funzione per funzione. |
| Una persona candidata può chiedere che ruolo ha avuto la vostra IA nel suo rifiuto? Che cosa le rispondereste? | Per rispondere servono i legali. Il sistema è troppo autonomo. |
| Con quale metodo testate i bias e quando l’avete fatto l’ultima volta? | «Testiamo i bias», senza altro. Una risposta solida indica il metodo e la data dell’ultimo risultato. |
| Com’è la sorveglianza umana nel prodotto, per impostazione predefinita? | È un’opzione da attivare, sepolta a tre schermate di distanza. La maggior parte dei clienti non la attiva. Conta l’impostazione predefinita. |
| Se riceviamo una richiesta da un’autorità, che cosa ci consegnate in 48 ore? | Nessuna risposta: il fornitore non ha pensato al tuo lato del contratto. Le 48 ore sono un nostro metro, non un termine di legge. |
Per un’azienda da trenta persone
Non hai un ufficio compliance e probabilmente non puoi controllare i dati di addestramento di un fornitore. Puoi scegliere fornitori le cui risposte alle cinque domande sono brevi, precise e non finiscono con «fidati». È anche per questo che le funzioni di IA di Join propongono bozze e suggerimenti, tra cui Job Studio per gli annunci, e non ordinano né scartano candidature. L’unica esclusione automatica è quella delle domande Knockout, una regola che imposti tu su un requisito che hai scelto. Il regolamento non ha cambiato quella scelta: ha reso più leggibile il costo di sbagliarla.
Se porti a casa una cosa sola: leggi la parte del contratto del tuo ATS che parla di IA, poi rileggila con le cinque domande davanti. Le risposte devono essere abbastanza chiare perché, se un’autorità telefona, tu racconti la stessa storia che racconteresti a una persona candidata. Se non lo sono, c’è da lavorare prima di firmare.
