Articolo 17: gestione della qualità per l'IA HR

Come il sistema di gestione della qualità dell'articolo 17 dell'EU AI Act si applica all'IA di HR tech — SGQ per gli algoritmi di assunzione e procedure di audit del bias.

Pubblicato 2 aprile 2026

L'articolo 17 dell'EU AI Act impone ai fornitori di sistemi di IA ad alto rischio di istituire e mantenere un sistema di gestione della qualità (SGQ). Per le aziende di HR tech si tratta spesso di un obbligo del tutto nuovo — a differenza della sanità o dell'automotive, la maggior parte dei fornitori di tecnologia per le risorse umane non opera secondo un quadro SGQ formale esistente. Ai sensi dell'allegato III, sezione 4, i sistemi di IA utilizzati nel reclutamento, nella selezione dei candidati, nelle decisioni di promozione e nella gestione del personale sono classificati ad alto rischio e soggetti all'intera portata dell'articolo 17.

Questa pagina spiega quali elementi di SGQ i fornitori di HR tech devono attuare, come strutturare i processi di gestione della qualità per gli strumenti di IA per il reclutamento e la gestione del personale e quali lacune di processo del SGQ a livello di codice Scanara rileva nei sistemi di IA di HR tech.

Componenti del SGQ richiesti per l'IA di HR tech

Processo di approvazione delle versioni del modello

Un processo documentato che specifica chi ha l'autorità di approvare nuove versioni del modello per la messa in produzione, quali prove di convalida sono richieste prima dell'approvazione (risultati dei test di bias, metriche di accuratezza, report di equità) e quali procedure di rollback esistono. A differenza della sanità, la maggior parte delle aziende di HR tech deve creare questo processo da zero.

Procedure di audit del bias pianificate

I test di bias devono essere un processo del SGQ documentato e pianificato — non un'attività estemporanea. Definire la frequenza degli audit (consigliata trimestrale), i gruppi demografici da testare, le soglie statistiche di impatto disparato accettabile e le azioni correttive attivate al superamento delle soglie. Ciò trasforma i test di bias da buona prassi a procedura di qualità formale.

Gestione delle modifiche per gli aggiornamenti del modello

Procedure che disciplinano come le modifiche al modello (riaddestramento, modifiche delle caratteristiche, aggiustamenti delle soglie) vengono valutate, approvate e distribuite. Ogni modifica deve includere una valutazione d'impatto documentata che copra accuratezza, equità e potenziali effetti a valle sugli esiti delle assunzioni prima che la distribuzione sia autorizzata.

Convalida della conformità dell'IA dei fornitori

Quando si utilizzano strumenti di IA di terzi per il reclutamento, i deployer hanno obblighi equivalenti al SGQ ai sensi dell'articolo 26. Documentare le procedure per convalidare le dichiarazioni di conformità del fornitore, condurre test di bias indipendenti degli strumenti del fornitore e conservare le prove di conformità del fornitore come parte del SGQ.

Procedure di reclamo e ricorso dei candidati

Procedure documentate per gestire i reclami dei candidati riguardo agli esiti delle decisioni dell'IA, comprese le procedure di ricorso, i processi di revisione umana e i percorsi di escalation. Questi devono alimentare il processo di azioni correttive del SGQ quando gli schemi di reclamo indicano problemi di qualità sistemici.

Obblighi chiave del SGQ per l'HR tech

L'articolo 17 richiede politiche, procedure e istruzioni scritte che coprano l'intero ciclo di vita dell'IA. Per i fornitori di HR tech privi di un SGQ esistente, ciò significa costruire processi fondamentali di gestione della qualità che affrontino sia i requisiti generali del SGQ sia gli obblighi specifici del lavoro.

Controllo della progettazione degli algoritmi di reclutamento

L'articolo 17 richiede procedure documentate di controllo della progettazione e di verifica. Per l'HR tech, ciò significa documentare come sono progettati gli algoritmi di reclutamento, quali caratteristiche sono selezionate (ed escluse), come le variabili proxy delle caratteristiche protette sono identificate e mitigate e come le decisioni di progettazione sono verificate rispetto ai requisiti di equità.

Test e convalida prima della distribuzione

Le procedure scritte di test e convalida devono includere test di accuratezza per categoria di mansione, test di bias tra gruppi demografici e convalida rispetto agli esiti storici delle assunzioni. I risultati della convalida devono essere documentati e riesaminati prima che qualsiasi versione del modello sia approvata per l'uso in produzione.

Monitoraggio post-commercializzazione per l'IA del lavoro

Monitoraggio continuo dei sistemi di IA di reclutamento distribuiti per rilevare il degrado delle prestazioni, l'emergere di schemi di bias e i cambiamenti negli esiti delle assunzioni. Il monitoraggio deve includere avvisi automatizzati quando i rapporti di impatto negativo superano le soglie e procedure documentate per indagare e risolvere i problemi rilevati.

Competenza e formazione del personale

Documentare le competenze richieste al personale che sviluppa, distribuisce e monitora i sistemi di IA di reclutamento. La formazione deve coprire i principi di equità dell'IA, il diritto antidiscriminatorio, le procedure specifiche del SGQ e come interpretare i risultati degli audit di bias. Conservare i registri di formazione come documentazione del SGQ.

Sovrapposizioni normative

Sebbene l'HR tech non disponga di un quadro SGQ dedicato come la ISO 13485 della sanità, diversi obblighi normativi si sovrappongono all'articolo 17 e possono fornire una struttura per costruire un SGQ conforme.

ISO 42001 — Sistemi di gestione dell'IA

La ISO 42001 offre il quadro più direttamente applicabile alle aziende di HR tech che costruiscono un SGQ conforme all'AI Act. Copre la governance dell'IA, la gestione del rischio, la gestione dei dati e il monitoraggio delle prestazioni — allineandosi strettamente ai requisiti dell'articolo 17 e fornendo una struttura di sistema di gestione certificabile.

ISO 9001 — SGQ generico

La ISO 9001 fornisce il quadro SGQ fondamentale (controllo dei documenti, riesame della direzione, azioni correttive, audit interno) richiesto dall'articolo 17. Le aziende di HR tech prive di un SGQ esistente dovrebbero considerare la ISO 9001 come struttura portante, estesa con procedure specifiche per l'IA e per il lavoro.

Direttive sulla parità di trattamento

Le direttive UE sulla parità di trattamento (2000/43/CE, 2000/78/CE) vietano la discriminazione nel lavoro. Le procedure del SGQ dell'articolo 17 per i test di bias e il monitoraggio dell'equità sostengono direttamente la conformità a tali direttive. Documentare le procedure di audit del bias come parte del SGQ crea una traccia verificabile degli sforzi antidiscriminazione.

Responsabilizzazione del GDPR (art. 5, par. 2)

L'articolo 5, paragrafo 2, del GDPR impone ai titolari del trattamento di dimostrare il rispetto dei principi di protezione dei dati. Le procedure del SGQ di gestione dei dati richieste dall'articolo 17 — che coprono la selezione, la raccolta, l'annotazione e la conservazione dei dati — si sovrappongono ai requisiti di responsabilizzazione del GDPR per documentare il trattamento lecito dei dati personali dei candidati.

Violazioni comuni rilevate da Scanara

Nessun versionamento del modello o flusso di approvazione

Pipeline di distribuzione che inviano in produzione gli aggiornamenti dei modelli di reclutamento senza etichettatura della versione, gate di approvazione o firma documentata. Scanara segnala le configurazioni CI/CD in cui gli artefatti del modello sono distribuiti direttamente senza un flusso di approvazione — in violazione dei requisiti dell'articolo 17 in materia di controllo della progettazione e verifica.

Modifiche al modello senza valutazione d'impatto

Riaddestramento del modello, modifiche delle caratteristiche o aggiustamenti delle soglie distribuiti senza una valutazione d'impatto documentata. Scanara rileva le pipeline di aggiornamento del modello prive di fasi di valutazione d'impatto sull'equità o in cui le modifiche sono distribuite senza valutare gli effetti sugli esiti delle assunzioni tra i gruppi demografici.

Nessuna procedura di convalida del modello documentata

Sistemi di IA di reclutamento distribuiti senza una procedura di convalida documentata che specifichi i criteri di accettazione per accuratezza ed equità. Scanara individua le distribuzioni prive di riferimenti a report di convalida o risultati di audit del bias, o in cui le fasi di convalida sono del tutto assenti dal flusso di distribuzione.

Monitoraggio post-commercializzazione non collegato alle azioni correttive

Sistemi di monitoraggio che tracciano gli esiti delle assunzioni o le metriche di bias ma privi di escalation automatizzata verso un processo di azioni correttive al superamento delle soglie. Scanara segnala le configurazioni di monitoraggio in cui il rilevamento di un impatto negativo non attiva flussi documentati di indagine e rimedio.

Lista di controllo della conformità all'articolo 17 per l'HR tech

Art. 17(1)(a)

Strategia di conformità normativa

Documentare una strategia di conformità all'AI Act che copra tutti i sistemi di IA di reclutamento ad alto rischio. Definire quali sistemi rientrano nell'ambito, le norme applicabili (ISO 42001, ISO 9001) e la tempistica per l'attuazione del SGQ.

Art. 17(1)(b)

Controllo della progettazione e verifica

Istituire procedure per progettare e verificare gli algoritmi di reclutamento, comprese la revisione della selezione delle caratteristiche, il rilevamento delle variabili proxy e le attività di verifica dell'equità sin dalla progettazione.

Art. 17(1)(c)

Procedure di test e convalida

Definire procedure di convalida comprendenti test di accuratezza, audit del bias sulle caratteristiche protette e criteri di accettazione da soddisfare prima della distribuzione in produzione.

Art. 17(1)(e)

Procedure di gestione dei dati

Istituire procedure per la selezione, la raccolta, l'annotazione, la conservazione e il filtraggio dei dati dei candidati. Affrontare i requisiti del GDPR per il trattamento dei dati di lavoro e le politiche di conservazione dei dati.

Art. 17(1)(i)

Programma di audit interno

Attuare un programma di audit interno che copra la governance dei modelli di IA, la conformità dei test di bias, le pratiche di gestione dei dati e l'efficacia delle azioni correttive. Programmare audit almeno annualmente.

Domande frequenti

Come aiuta Scanara

Scanara automatizza la conformità al Regolamento sull'IA dal codice al dossier. Connetti i tuoi repo GitHub e ottieni report di conformità in pochi minuti.