Articolo 15 per le tecnologie HR: accuratezza, robustezza e cybersicurezza

L’articolo 15 fissa requisiti di progettazione per il fornitore. Non indica alcun valore di accuratezza per alcun settore.

• art. 15(1)
  Livello adeguato, per tutto il ciclo di vita

  I sistemi di IA ad alto rischio devono essere progettati e sviluppati in modo da raggiungere un adeguato livello di accuratezza, robustezza e cibersicurezza e da funzionare in modo coerente in tal senso per tutto il loro ciclo di vita.

• art. 15(2)
  I parametri di riferimento li promuove la Commissione

  La Commissione promuove, se del caso, lo sviluppo di parametri di riferimento e di metodologie di misurazione, in cooperazione con portatori di interessi quali le autorità di metrologia e di analisi comparativa. Non è un obbligo del fornitore.

• art. 15(3)
  Dichiarare livelli e metriche

  I livelli di accuratezza e le metriche di accuratezza pertinenti devono essere dichiarati nelle istruzioni per l’uso che accompagnano il sistema.

• art. 15(4)
  Resilienza agli errori e circuiti di feedback

  I sistemi devono essere il più resilienti possibile rispetto a errori, guasti o incongruenze che possono verificarsi nel sistema o nell’ambiente in cui opera, in particolare a causa dell’interazione con persone fisiche o altri sistemi. Devono essere adottate misure tecniche e organizzative; ridondanza tecnica, piani di backup o di sicurezza intrinseca sono citati come opzioni. Un sistema che continua ad apprendere dopo l’immissione sul mercato deve essere sviluppato in modo da eliminare o ridurre il più possibile il rischio che output distorti influenzino input futuri (circuiti di feedback).

• art. 15(5)
  Cibersicurezza contro terzi non autorizzati

  I sistemi devono essere resilienti ai tentativi di terzi non autorizzati di alterarne l’uso, gli output o le prestazioni sfruttando le vulnerabilità. Le soluzioni tecniche comprendono, se del caso, misure contro l’avvelenamento dei dati, l’avvelenamento del modello, gli esempi avversari o l’elusione del modello, gli attacchi alla riservatezza e le carenze del modello.

L’articolo 15 vincola solo i fornitori di sistemi di IA ad alto rischio. Le righe seguenti mostrano quando l’IA per le HR diventa ad alto rischio.

• Le tecnologie HR non sono una categoria del regolamento

  Il regolamento non ha una categoria «tecnologie HR». Questo sito usa il termine per l’IA che rientra nel regolamento tramite l’allegato III, punto 4 (occupazione, gestione dei lavoratori e accesso al lavoro autonomo), e tramite il divieto dell’articolo 5, paragrafo 1, lettera f), di inferire le emozioni sul luogo di lavoro.

• Allegato III, punto 4: occupazione e gestione dei lavoratori

  L’allegato III, punto 4, lettera a), riguarda i sistemi di IA destinati a essere utilizzati per l’assunzione o la selezione di persone fisiche, in particolare per pubblicare annunci di lavoro mirati, analizzare e filtrare le candidature e valutare i candidati. La lettera b) riguarda i sistemi di IA destinati a essere utilizzati per adottare decisioni che incidono sulle condizioni dei rapporti di lavoro, sulla promozione o cessazione dei rapporti contrattuali di lavoro, per assegnare compiti sulla base del comportamento individuale o dei tratti o delle caratteristiche personali o per monitorare e valutare le prestazioni e il comportamento delle persone nell’ambito di tali rapporti. Un sistema dell’allegato III è considerato non ad alto rischio solo ai sensi dell’articolo 6, paragrafo 3, e il fornitore deve documentare tale valutazione prima che il sistema sia immesso sul mercato o messo in servizio (articolo 6, paragrafo 4). L’articolo 6, paragrafo 3, non si applica mai quando il sistema effettua la profilazione di persone fisiche. Un fornitore che conclude che il proprio sistema dell’allegato III non è ad alto rischio è soggetto all’obbligo di registrazione dell’articolo 49, paragrafo 2.

• Fornitore e deployer

  Il fornitore, per esempio un produttore di software HR, sviluppa il sistema di IA, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome (articolo 3, punto 3). Un datore di lavoro, un’agenzia di selezione del personale o un altro organismo che usa un sistema sotto la propria autorità è un deployer (articolo 3, punto 4). Un deployer diventa fornitore se appone il proprio nome o marchio su un sistema ad alto rischio già immesso sul mercato, ne apporta una modifica sostanziale che lo lascia ad alto rischio, o modifica la finalità prevista di un sistema non ad alto rischio in modo che lo diventi (articolo 25, paragrafo 1). Il regolamento non si applica agli obblighi dei deployer che sono persone fisiche che usano sistemi di IA nel corso di un’attività non professionale puramente personale (articolo 2, paragrafo 10).

• Date

  I sistemi dell’allegato III, punto 4, devono rispettare questi obblighi dal 2 dicembre 2027 (articolo 113, paragrafo 3, lettera c), punto i)). Un sistema immesso sul mercato o messo in servizio prima di tale data è coperto solo se dopo subisce modifiche significative della progettazione; in ogni caso, i fornitori e i deployer di sistemi di IA ad alto rischio destinati a essere utilizzati da autorità pubbliche devono adottare le misure necessarie per conformarsi entro il 2 agosto 2030 (articolo 111, paragrafo 2). Il divieto dell’articolo 5, paragrafo 1, lettera f), si applica dal 2 febbraio 2025; l’eccezione dell’articolo 113, paragrafo 3, lettera a), non lo riguarda.

• Sanzioni

  La violazione degli obblighi dei fornitori (articolo 16) e dei deployer (articolo 26) può essere punita con sanzioni amministrative pecuniarie fino a 15 milioni di EUR o, se l’autore della violazione è un’impresa, fino al 3 % del suo fatturato mondiale totale annuo dell’esercizio precedente, se superiore (articolo 99, paragrafo 4). Per le PMI, comprese le start-up, ogni sanzione arriva al massimo all’importo più basso (articolo 99, paragrafo 6); lo stesso vale per le piccole imprese a media capitalizzazione (articolo 3, punto 14 ter, articolo 99, paragrafo 6 bis). Ogni Stato membro decide in che misura possono essere inflitte sanzioni alle autorità pubbliche e agli organismi pubblici stabiliti nel proprio territorio (articolo 99, paragrafo 8).

• Limiti dell’ambito di applicazione

  Il regolamento non si applica ai settori che non rientrano nell’ambito di applicazione del diritto dell’Unione (prima frase dell’articolo 2, paragrafo 3), né ai sistemi o modelli di IA, compresi i loro output, sviluppati e messi in servizio specificamente e unicamente a fini di ricerca e sviluppo scientifico (articolo 2, paragrafo 6), né alle attività di ricerca, prova e sviluppo relative a sistemi o modelli di IA prima che siano immessi sul mercato o messi in servizio; le prove in condizioni reali non sono coperte da tale esclusione (articolo 2, paragrafo 8). Non si applica ai sistemi di IA rilasciati con licenza libera e open source, a meno che siano immessi sul mercato o messi in servizio come sistemi di IA ad alto rischio o rientrino negli articoli 5 o 50 (articolo 2, paragrafo 12).

• Nessun valore di accuratezza né metrica di equità

  L’articolo 15 non nomina, per alcun settore, una metrica di accuratezza, un valore minimo, un metodo di prova o una norma, e il regolamento non nomina alcuna metrica di equità per i sistemi HR. Il fornitore dichiara i livelli e le metriche pertinenti (articolo 15, paragrafo 3). La documentazione tecnica deve inoltre descrivere le metriche usate per misurare accuratezza, robustezza e conformità, nonché gli impatti potenzialmente discriminatori (allegato IV, punto 2, lettera g)).

• Presunzioni di conformità

  Il regolamento non nomina da sé alcuna norma. I sistemi conformi a norme armonizzate i cui riferimenti sono pubblicati nella Gazzetta ufficiale sono presunti conformi ai requisiti della sezione 2, nella misura in cui tali norme li coprono (articolo 40, paragrafo 1). Un certificato di cibersicurezza o una dichiarazione di conformità ai sensi del regolamento (UE) 2019/881, pubblicati nella Gazzetta ufficiale, danno una presunzione per i requisiti di cibersicurezza dell’articolo 15 (articolo 42, paragrafo 2); i sistemi rientranti nel regolamento (UE) 2024/2847 che soddisfano le condizioni del suo articolo 12, paragrafo 1, sono considerati conformi a tali requisiti (articolo 42, paragrafo 3). La Commissione elabora orientamenti sull’applicazione dei requisiti e degli obblighi di cui agli articoli da 8 a 15 e agli articoli 25 e 26 (articolo 96, paragrafo 1, lettera a)).

• Esempio: cicli di feedback in uno strumento di classificazione

  Esempio, non un requisito del regolamento: il fornitore di uno strumento di classificazione dei candidati che continua ad apprendere dopo l’immissione sul mercato potrebbe verificare se le sue classifiche precedenti influenzano i dati da cui poi apprende, che è ciò che l’articolo 15, paragrafo 4, sui cicli di feedback, chiede al fornitore di affrontare.

• Articolo 15 regolamento IA: accuratezza, robustezza e cibersicurezza

  L’articolo 15 per tutti i settori: requisiti, date e sanzioni.

• Regolamento IA HR: conformità tecnologia HR

  Panoramica delle tecnologie HR: come il regolamento raggiunge l’IA di selezione e gestione dei lavoratori.

• Articolo 26 per le tecnologie HR: obblighi dei deployer

  IA per le HR e articolo 26: informazione dei lavoratori, sorveglianza umana, monitoraggio e log.

• Allegato III in dettaglio: le 8 categorie ad alto rischio

  Come l’allegato III rende ad alto rischio i sistemi di IA, compresi occupazione e gestione dei lavoratori.