Articolo 10: governance dei dati per l'IA HR

Il regolamento non fissa una dimensione minima dei dati, né una quota, né un elenco di gruppi protetti. Fissa criteri di qualità e pratiche di governance.

• Pratiche di governance dei dati

  Le pratiche devono essere adeguate alla finalità prevista. Riguardano le scelte di progettazione, la raccolta dei dati e la loro origine e, per i dati personali, la finalità originaria della raccolta. Riguardano la preparazione dei dati, come annotazione, etichettatura, pulizia, aggiornamento, arricchimento e aggregazione. Riguardano anche le ipotesi su ciò che i dati misurano e rappresentano e la valutazione della disponibilità, della quantità e dell’idoneità dei set di dati (articolo 10(2), lettere da a) a e)).

• Esame delle distorsioni e misure

  Le pratiche riguardano anche l’esame delle distorsioni che possono incidere sulla salute e sulla sicurezza, avere un impatto negativo sui diritti fondamentali o causare discriminazioni vietate. Comprendono misure per rilevare, prevenire e attenuare tali distorsioni e l’individuazione delle lacune nei dati che impediscono il rispetto del regolamento (articolo 10(2), lettere da f) a h)).

• Qualità dei set di dati

  I set di dati devono essere pertinenti, sufficientemente rappresentativi e, nella misura del possibile, esenti da errori e completi alla luce della finalità prevista. Devono avere le proprietà statistiche appropriate, anche, ove applicabile, per quanto riguarda le persone o i gruppi di persone nei confronti dei quali il sistema è destinato a essere usato (articolo 10(3)).

• Il contesto d’uso

  I set di dati devono tenere conto, nella misura richiesta dalla finalità prevista, delle caratteristiche peculiari del contesto geografico, situazionale, comportamentale o funzionale d’uso (articolo 10(4)).

• Sistemi senza addestramento di modelli

  Per i sistemi di IA ad alto rischio che non addestrano modelli di IA, l’articolo 10(2)–(4) e l’articolo 4 bis(1) si applicano solo ai set di dati di prova (articolo 10(6)).

La tecnologia HR non è una categoria del regolamento. Conta l’uso elencato nell’allegato III, punto 4 («Occupazione, gestione dei lavoratori e accesso al lavoro autonomo»).

• Punto 4, lettera a): assunzione e selezione

  Sistemi di IA destinati a essere utilizzati per l’assunzione o la selezione di persone fisiche, in particolare per pubblicare annunci di lavoro mirati, analizzare o filtrare le candidature e valutare i candidati.

• Punto 4, lettera b): rapporti di lavoro

  Sistemi di IA destinati a essere utilizzati per adottare decisioni riguardanti le condizioni dei rapporti di lavoro, la promozione o cessazione dei rapporti contrattuali di lavoro, per assegnare compiti sulla base del comportamento individuale o dei tratti e delle caratteristiche personali o per monitorare e valutare le prestazioni e il comportamento delle persone nell’ambito di tali rapporti di lavoro.

• Esiste un’eccezione, e non copre mai la profilazione

  Un sistema dell’allegato III non è ad alto rischio se non presenta un rischio significativo di danno per la salute, la sicurezza o i diritti fondamentali delle persone fisiche, anche nel senso di non influenzare materialmente il risultato del processo decisionale. La deroga si applica solo se è soddisfatta una qualsiasi delle quattro condizioni dell’articolo 6(3), lettere da a) a d). Un sistema che esegue profilazione di persone fisiche è sempre ad alto rischio. Un fornitore che ritiene il proprio sistema non ad alto rischio deve documentare la valutazione prima dell’immissione sul mercato o della messa in servizio (articolo 6(4)). La Commissione doveva fornire orientamenti con esempi pratici entro il 2 febbraio 2026 (articolo 6(5)).

• Lo sviluppatore del software è il fornitore, il datore di lavoro che lo utilizza è un deployer

  Il fornitore è la persona fisica o giuridica, l’autorità pubblica, l’agenzia o altro organismo che sviluppa un sistema di IA, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio (articolo 3, punto 3). I fornitori di sistemi ad alto rischio devono garantire che i loro sistemi siano conformi ai requisiti della sezione 2 (articoli da 8 a 15) (articolo 16, lettera a)). Il deployer è una persona fisica o giuridica, un’autorità pubblica, un’agenzia o altro organismo che utilizza un sistema di IA sotto la propria autorità, salvo che il sistema sia utilizzato nel corso di un’attività personale non professionale (articolo 3, punto 4). Un datore di lavoro che utilizza un sistema HR è un deployer con gli obblighi dell’articolo 26. Un deployer diventa fornitore se appone il proprio nome o marchio su un sistema ad alto rischio già immesso sul mercato, vi apporta una modifica sostanziale o modifica la finalità prevista di un sistema in modo che diventi ad alto rischio (articolo 25(1)).

• Date, sistemi precedenti ed esclusioni dall’ambito di applicazione

  I requisiti per i sistemi dell’allegato III si applicano dal 2 dicembre 2027 (articolo 113, lettera c), punto i)). Un sistema di IA ad alto rischio immesso sul mercato o messo in servizio prima di tale data è coperto solo se, a partire da essa, la sua progettazione subisce modifiche significative. In ogni caso, i fornitori e i deployer di sistemi di IA ad alto rischio destinati a essere utilizzati da autorità pubbliche devono adottare le misure necessarie per conformarsi entro il 2 agosto 2030 (articolo 111(2)). Il regolamento non si applica ai settori che esulano dall’ambito di applicazione del diritto dell’Unione (articolo 2(3)), né ai sistemi o modelli di IA, compreso il loro output, sviluppati e messi in servizio specificamente e al solo scopo di ricerca e sviluppo scientifici (articolo 2(6)), né alle attività di ricerca, prova o sviluppo precedenti all’immissione sul mercato o alla messa in servizio di un sistema; le prove in condizioni reali non sono escluse (articolo 2(8)). Non si applica agli obblighi dei deployer che sono persone fisiche e utilizzano sistemi di IA nel corso di un’attività non professionale puramente personale (articolo 2(10)). I sistemi di IA rilasciati con licenze libere e open source sono esclusi, a meno che siano immessi sul mercato o messi in servizio come sistemi ad alto rischio o come sistemi di cui all’articolo 5 o 50 (articolo 2(12)).

• L’articolo 4 bis consente categorie particolari di dati per rilevare distorsioni, a condizioni

  I fornitori di sistemi ad alto rischio possono eccezionalmente trattare categorie particolari di dati personali nella misura strettamente necessaria per rilevare e correggere le distorsioni ai sensi dell’articolo 10(2), lettere f) e g), se sono soddisfatte tutte le condizioni dell’articolo 4 bis(1), ad esempio che altri dati, anche sintetici o anonimizzati, non permettano di raggiungere l’obiettivo. I deployer di sistemi ad alto rischio possono farlo ai sensi dell’articolo 4 bis(2), alle stesse condizioni e garanzie. L’articolo 4 bis(2) non crea alcun obbligo di effettuare tale rilevazione e correzione delle distorsioni. Il GDPR continua ad applicarsi in parallelo (articolo 2(7)).

• Datori di lavoro: i dati di input sotto il loro controllo

  Nella misura in cui il deployer esercita il controllo sui dati di input, garantisce che tali dati siano pertinenti e sufficientemente rappresentativi alla luce della finalità prevista del sistema di IA ad alto rischio (articolo 26(4)).

• Nessuna quota, nessun elenco di caratteristiche protette, nessuna metrica di equità

  Il regolamento non fissa alcuna quota né regola di parità demografica e l’articolo 10 non elenca caratteristiche protette; rinvia alla discriminazione vietata dal diritto dell’Unione (articolo 10(2), lettera f)). Altre disposizioni nominano tratti sensibili per le proprie finalità (articolo 5(1), lettera g), allegato III, punto 1, lettera b)). Il fornitore decide come esaminare e misurare le distorsioni per la propria finalità prevista.

• Esiste una presunzione per l’articolo 10(4)

  I sistemi di IA ad alto rischio addestrati e sottoposti a prova con dati che riflettono il contesto geografico, comportamentale, contestuale o funzionale specifico in cui sono destinati a essere usati si presumono conformi ai requisiti pertinenti dell’articolo 10(4) (articolo 42(1)).

• Il regolamento non nomina alcuna norma; esistono norme armonizzate e orientamenti

  Il regolamento stesso non nomina alcuna norma per la qualità dei dati. Chiede di tenere conto dello stato dell’arte generalmente riconosciuto (articolo 8(1)). I sistemi di IA ad alto rischio conformi a norme armonizzate i cui riferimenti sono pubblicati nella Gazzetta ufficiale si presumono conformi ai requisiti della sezione 2 che tali norme contemplano (articolo 40(1)). La Commissione elabora orientamenti sull’applicazione dei requisiti degli articoli da 8 a 15 (articolo 96(1), lettera a)). Qualsiasi altra norma usata da un fornitore è una scelta di progettazione volontaria.

Sono esempi, non requisiti.

• Esempio: rappresentatività (articolo 10(3))

  Il fornitore di uno strumento di selezione dei CV verifica se i suoi dati di addestramento, convalida e prova contengono i gruppi di candidati cui lo strumento è destinato e registra ogni lacuna (articolo 10(2), lettera h)).

• Esempio: cicli di feedback (articolo 10(2), lettera f))

  Uno strumento di classificazione addestrato su decisioni di assunzione passate può ripetere schemi passati. Il fornitore lo esamina, in particolare quando gli output dello strumento influenzano i dati da cui poi apprende.

• Articolo 10: governance dei dati per l'IA ad alto rischio

  L’articolo come lo formula il regolamento, per tutti i settori.

• Regolamento IA HR: conformità tecnologia HR

  Come il regolamento raggiunge l’IA per l’assunzione, la selezione e la gestione dei lavoratori.

• Articolo 9: gestione dei rischi per l'IA HR — EU AI Act

  La gestione dei rischi per l’intero ciclo di vita per la tecnologia HR.

• Articolo 13: trasparenza per l'IA HR — EU AI Act

  Le istruzioni per l’uso per la tecnologia HR e chi informa candidati e lavoratori.