Articolo 17 per le tecnologie HR: sistema di gestione della qualità

Il sistema deve essere documentato in modo sistematico e ordinato sotto forma di politiche, procedure e istruzioni scritte. Il regolamento elenca 13 aspetti, da a) a m); le righe seguenti mostrano prima a), g), h) e i), poi gli altri nove.

• art. 17(1)(a)
  Strategia per la conformità normativa

  Una strategia per la conformità normativa, compresa l’osservanza delle procedure di valutazione della conformità e delle procedure per la gestione delle modifiche del sistema.

• art. 17(1)(g)
  Sistema di gestione dei rischi

  Il sistema di gestione dei rischi di cui all’articolo 9.

• art. 17(1)(h)
  Monitoraggio successivo all’immissione sul mercato

  L’istituzione, l’attuazione e il mantenimento di un sistema di monitoraggio successivo all’immissione sul mercato a norma dell’articolo 72.

• art. 17(1)(i)
  Comunicazione di incidenti gravi

  Le procedure relative alla comunicazione di un incidente grave a norma dell’articolo 73.

• art. 17(1)(b)–(f), (j)–(m)
  Gli altri nove aspetti

  Progettazione e controllo della progettazione; sviluppo, controllo e garanzia della qualità; procedure di esame, prova e convalida; specifiche tecniche e norme; gestione dei dati; comunicazione con autorità, organismi notificati e altri; conservazione delle registrazioni; gestione delle risorse; un quadro di responsabilità.

• art. 17(2)
  Proporzionato alle dimensioni, non alla protezione

  L’attuazione deve essere proporzionata alle dimensioni dell’organizzazione del fornitore, in particolare se è una PMI, comprese le start-up, o una piccola impresa a media capitalizzazione. I fornitori devono comunque rispettare il grado di rigore e il livello di protezione necessari per la conformità dei loro sistemi di IA ad alto rischio.

L’articolo 17 vincola solo i fornitori di sistemi di IA ad alto rischio. Le righe seguenti mostrano quando l’IA per le HR diventa ad alto rischio.

• Le tecnologie HR non sono una categoria del regolamento

  Il regolamento non ha una categoria «tecnologie HR». Questo sito usa il termine per l’IA che rientra nel regolamento tramite l’allegato III, punto 4 (occupazione, gestione dei lavoratori e accesso al lavoro autonomo), e tramite il divieto dell’articolo 5, paragrafo 1, lettera f), di inferire le emozioni sul luogo di lavoro.

• Allegato III, punto 4: occupazione e gestione dei lavoratori

  L’allegato III, punto 4, lettera a), riguarda i sistemi di IA destinati a essere utilizzati per l’assunzione o la selezione di persone fisiche, in particolare per pubblicare annunci di lavoro mirati, analizzare e filtrare le candidature e valutare i candidati. La lettera b) riguarda i sistemi di IA destinati a essere utilizzati per adottare decisioni che incidono sulle condizioni dei rapporti di lavoro, sulla promozione o cessazione dei rapporti contrattuali di lavoro, per assegnare compiti sulla base del comportamento individuale o dei tratti o delle caratteristiche personali o per monitorare e valutare le prestazioni e il comportamento delle persone nell’ambito di tali rapporti. Un sistema dell’allegato III è considerato non ad alto rischio solo ai sensi dell’articolo 6, paragrafo 3, e il fornitore deve documentare tale valutazione prima che il sistema sia immesso sul mercato o messo in servizio (articolo 6, paragrafo 4). L’articolo 6, paragrafo 3, non si applica mai quando il sistema effettua la profilazione di persone fisiche. Un fornitore che conclude che il proprio sistema dell’allegato III non è ad alto rischio è soggetto all’obbligo di registrazione dell’articolo 49, paragrafo 2.

• Fornitore e deployer

  Il fornitore, per esempio un produttore di software HR, sviluppa il sistema di IA, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome (articolo 3, punto 3). Un datore di lavoro, un’agenzia di selezione del personale o un altro organismo che usa un sistema sotto la propria autorità è un deployer (articolo 3, punto 4). Un deployer diventa fornitore se appone il proprio nome o marchio su un sistema ad alto rischio già immesso sul mercato, ne apporta una modifica sostanziale che lo lascia ad alto rischio, o modifica la finalità prevista di un sistema non ad alto rischio in modo che lo diventi (articolo 25, paragrafo 1). Il regolamento non si applica agli obblighi dei deployer che sono persone fisiche che usano sistemi di IA nel corso di un’attività non professionale puramente personale (articolo 2, paragrafo 10).

• Date

  I sistemi dell’allegato III, punto 4, devono rispettare questi obblighi dal 2 dicembre 2027 (articolo 113, paragrafo 3, lettera c), punto i)). Un sistema immesso sul mercato o messo in servizio prima di tale data è coperto solo se dopo subisce modifiche significative della progettazione; in ogni caso, i fornitori e i deployer di sistemi di IA ad alto rischio destinati a essere utilizzati da autorità pubbliche devono adottare le misure necessarie per conformarsi entro il 2 agosto 2030 (articolo 111, paragrafo 2). Il divieto dell’articolo 5, paragrafo 1, lettera f), si applica dal 2 febbraio 2025; l’eccezione dell’articolo 113, paragrafo 3, lettera a), non lo riguarda.

• Sanzioni

  La violazione degli obblighi dei fornitori (articolo 16) e dei deployer (articolo 26) può essere punita con sanzioni amministrative pecuniarie fino a 15 milioni di EUR o, se l’autore della violazione è un’impresa, fino al 3 % del suo fatturato mondiale totale annuo dell’esercizio precedente, se superiore (articolo 99, paragrafo 4). Per le PMI, comprese le start-up, ogni sanzione arriva al massimo all’importo più basso (articolo 99, paragrafo 6); lo stesso vale per le piccole imprese a media capitalizzazione (articolo 3, punto 14 ter, articolo 99, paragrafo 6 bis). Ogni Stato membro decide in che misura possono essere inflitte sanzioni alle autorità pubbliche e agli organismi pubblici stabiliti nel proprio territorio (articolo 99, paragrafo 8).

• Valutazione della conformità basata sul controllo interno

  Per i sistemi di IA ad alto rischio dell’allegato III, punti da 2 a 8, tra cui il punto 4, il fornitore segue la procedura di valutazione della conformità basata sul controllo interno dell’allegato VI, che non prevede il coinvolgimento di un organismo notificato (articolo 43, paragrafo 2). In tale procedura il fornitore verifica che il proprio sistema di gestione della qualità sia conforme all’articolo 17 (allegato VI, punto 2).

• Limiti dell’ambito di applicazione

  Il regolamento non si applica ai settori che non rientrano nell’ambito di applicazione del diritto dell’Unione (prima frase dell’articolo 2, paragrafo 3), né ai sistemi o modelli di IA, compresi i loro output, sviluppati e messi in servizio specificamente e unicamente a fini di ricerca e sviluppo scientifico (articolo 2, paragrafo 6), né alle attività di ricerca, prova e sviluppo relative a sistemi o modelli di IA prima che siano immessi sul mercato o messi in servizio; le prove in condizioni reali non sono coperte da tale esclusione (articolo 2, paragrafo 8). Non si applica ai sistemi di IA rilasciati con licenza libera e open source, a meno che siano immessi sul mercato o messi in servizio come sistemi di IA ad alto rischio o rientrino negli articoli 5 o 50 (articolo 2, paragrafo 12).

• Nessuna norma indicata per il sistema

  Il regolamento stesso non nomina alcuna norma o certificazione per il sistema di gestione della qualità. L’articolo 17, paragrafo 1, lettera e), chiede che il sistema indichi le specifiche tecniche, comprese le norme, da applicare. La presunzione di conformità dell’articolo 40, paragrafo 1, copre i requisiti della sezione 2, non l’articolo 17. Il fornitore verifica ogni aspetto rispetto al proprio sistema.

• Sistemi qualità esistenti ai sensi di altro diritto dell’Unione

  I fornitori soggetti a obblighi relativi ai sistemi di gestione della qualità o a una funzione equivalente ai sensi del pertinente diritto settoriale dell’Unione possono includere gli aspetti dell’articolo 17, paragrafo 1, nel sistema di gestione della qualità previsto da tale diritto (articolo 17, paragrafo 3).

• La conservazione per dieci anni è nell’articolo 18

  L’obbligo di conservare la documentazione del sistema di gestione della qualità per dieci anni dopo l’immissione sul mercato o la messa in servizio del sistema è nell’articolo 18, paragrafo 1, non nell’articolo 17.

• Esempio: una tabella delle lacune

  Esempio, non un requisito del regolamento: un fornitore con un sistema qualità esistente potrebbe elencare i 13 aspetti in una tabella, indicare il documento che copre ciascuno e aggiungere documenti dove resta una lacuna.

• Articolo 17 regolamento IA: sistema di gestione qualità

  L’articolo 17 per tutti i settori: i 13 aspetti, la proporzionalità e le sanzioni.

• Regolamento IA HR: conformità tecnologia HR

  Panoramica delle tecnologie HR: come il regolamento raggiunge l’IA di selezione e gestione dei lavoratori.

• Articolo 15 per le tecnologie HR: accuratezza, robustezza e cybersicurezza

  IA per le HR e articolo 15: accuratezza, robustezza, cybersicurezza, date e ruoli.

• Allegato III in dettaglio: le 8 categorie ad alto rischio

  Come l’allegato III rende ad alto rischio i sistemi di IA, compresi occupazione e gestione dei lavoratori.