Articolo 26 per le tecnologie HR: obblighi dei deployer

L’articolo 26 fissa questi obblighi per i deployer di sistemi di IA ad alto rischio.

• art. 26(7)
  Informare i lavoratori e i loro rappresentanti

  I deployer che sono datori di lavoro devono informare i rappresentanti dei lavoratori e i lavoratori interessati, prima di mettere in servizio o usare un sistema di IA ad alto rischio sul luogo di lavoro, che saranno soggetti al suo uso. L’informazione è fornita, se del caso, secondo le norme e le procedure previste dal diritto e dalla prassi dell’Unione e nazionali in materia di informazione dei lavoratori e dei loro rappresentanti.

• art. 26(1)
  Usare secondo le istruzioni

  Adottare idonee misure tecniche e organizzative per utilizzare il sistema conformemente alle istruzioni per l’uso.

• art. 26(2)
  Affidare la sorveglianza umana

  Affidare la sorveglianza umana a persone fisiche che dispongono della competenza, della formazione e dell’autorità necessarie nonché del sostegno necessario.

• art. 26(4)
  Verificare i dati di input

  Nella misura in cui il deployer esercita il controllo sui dati di input, garantire che tali dati siano pertinenti e sufficientemente rappresentativi alla luce della finalità prevista.

• art. 26(5)
  Monitorare, informare, sospendere

  Monitorare il funzionamento sulla base delle istruzioni per l’uso e, se del caso, informare i fornitori. Se l’uso conforme alle istruzioni può presentare un rischio ai sensi dell’articolo 79, paragrafo 1, informare senza indebito ritardo il fornitore o il distributore e l’autorità di vigilanza del mercato e sospendere l’uso. Dopo un incidente grave, informare immediatamente prima il fornitore, poi l’importatore o il distributore e le autorità di vigilanza del mercato. Se il fornitore non è raggiungibile, si applica l’articolo 73 mutatis mutandis.

• art. 26(6)
  Conservare i log

  Conservare i log generati automaticamente dal sistema, nella misura in cui sono sotto il suo controllo, per un periodo adeguato alla finalità prevista e di almeno sei mesi, salvo diversa disposizione del diritto dell’Unione o nazionale, in particolare sulla protezione dei dati personali.

• art. 26(11)
  Informare le persone interessate da decisioni

  Per i sistemi dell’allegato III che prendono o aiutano a prendere decisioni riguardanti persone fisiche, informare tali persone che sono soggette all’uso del sistema, fatto salvo l’articolo 50.

• art. 26(8)
  Le autorità pubbliche si registrano

  I deployer che sono autorità pubbliche, o istituzioni, organi e organismi dell’Unione, devono rispettare gli obblighi di registrazione dell’articolo 49, che riguardano i sistemi dell’allegato III. Se rilevano che il sistema che intendono usare non è registrato nella banca dati dell’UE, non devono usarlo e ne informano il fornitore o il distributore.

• art. 26(9)
  Valutazione d’impatto sulla protezione dei dati

  Se del caso, usare le informazioni fornite a norma dell’articolo 13 per la valutazione d’impatto sulla protezione dei dati prevista dall’articolo 35 del regolamento (UE) 2016/679 o dall’articolo 27 della direttiva (UE) 2016/680.

• art. 26(12)
  Cooperare con le autorità

  Cooperare con le autorità competenti in qualsiasi azione che esse intraprendano in relazione al sistema di IA ad alto rischio.

L’articolo 26 vincola solo i deployer di sistemi di IA ad alto rischio. Le righe seguenti mostrano quando l’IA per le HR diventa ad alto rischio e che cosa significa per un datore di lavoro.

• Le tecnologie HR non sono una categoria del regolamento

  Il regolamento non ha una categoria «tecnologie HR». Questo sito usa il termine per l’IA che rientra nel regolamento tramite l’allegato III, punto 4 (occupazione, gestione dei lavoratori e accesso al lavoro autonomo), e tramite il divieto dell’articolo 5, paragrafo 1, lettera f), di inferire le emozioni sul luogo di lavoro.

• Allegato III, punto 4: occupazione e gestione dei lavoratori

  L’allegato III, punto 4, lettera a), riguarda i sistemi di IA destinati a essere utilizzati per l’assunzione o la selezione di persone fisiche, in particolare per pubblicare annunci di lavoro mirati, analizzare e filtrare le candidature e valutare i candidati. La lettera b) riguarda i sistemi di IA destinati a essere utilizzati per adottare decisioni che incidono sulle condizioni dei rapporti di lavoro, sulla promozione o cessazione dei rapporti contrattuali di lavoro, per assegnare compiti sulla base del comportamento individuale o dei tratti o delle caratteristiche personali o per monitorare e valutare le prestazioni e il comportamento delle persone nell’ambito di tali rapporti. Un sistema dell’allegato III è considerato non ad alto rischio solo ai sensi dell’articolo 6, paragrafo 3, e il fornitore deve documentare tale valutazione prima che il sistema sia immesso sul mercato o messo in servizio (articolo 6, paragrafo 4). L’articolo 6, paragrafo 3, non si applica mai quando il sistema effettua la profilazione di persone fisiche. Un fornitore che conclude che il proprio sistema dell’allegato III non è ad alto rischio è soggetto all’obbligo di registrazione dell’articolo 49, paragrafo 2.

• Fornitore e deployer

  Il fornitore, per esempio un produttore di software HR, sviluppa il sistema di IA, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome (articolo 3, punto 3). Un datore di lavoro, un’agenzia di selezione del personale o un altro organismo che usa un sistema sotto la propria autorità è un deployer (articolo 3, punto 4). Un deployer diventa fornitore se appone il proprio nome o marchio su un sistema ad alto rischio già immesso sul mercato, ne apporta una modifica sostanziale che lo lascia ad alto rischio, o modifica la finalità prevista di un sistema non ad alto rischio in modo che lo diventi (articolo 25, paragrafo 1). Il regolamento non si applica agli obblighi dei deployer che sono persone fisiche che usano sistemi di IA nel corso di un’attività non professionale puramente personale (articolo 2, paragrafo 10).

• Inferenza delle emozioni sul luogo di lavoro: articolo 5, paragrafo 1, lettera f)

  L’articolo 5, paragrafo 1, lettera f), vieta l’immissione sul mercato, la messa in servizio per questa finalità specifica e l’uso di sistemi di IA per inferire le emozioni di una persona fisica nei luoghi di lavoro e negli istituti di istruzione, tranne quando il sistema è destinato a essere installato o immesso sul mercato per motivi medici o di sicurezza. Il regolamento non definisce il «luogo di lavoro». Il testo non risponde se un colloquio video con un candidato rientri nel divieto; rivolgetevi a un giurista e controllate gli orientamenti della Commissione sulle pratiche vietate (articolo 96, paragrafo 1, lettera b)). L’obbligo di informare le persone esposte dell’articolo 50, paragrafo 3, è distinto e non rende lecito un uso vietato.

• Valutazione d’impatto sui diritti fondamentali (articolo 27)

  L’articolo 27, paragrafo 1, si applica ai deployer di sistemi ad alto rischio di cui all’articolo 6, paragrafo 2, ad eccezione di quelli del settore del punto 2 dell’allegato III, che sono organismi di diritto pubblico o enti privati che forniscono servizi pubblici, e ai deployer di sistemi dell’allegato III, punto 5, lettere b) e c). Un organismo di diritto pubblico che impiega un sistema del punto 4, per esempio per l’assunzione nel pubblico impiego, deve effettuare la valutazione prima dell’impiego. Un datore di lavoro privato che non sia un ente privato che fornisce servizi pubblici non ha obblighi ai sensi dell’articolo 27 per un sistema del punto 4; se un datore di lavoro fornisca servizi pubblici è una questione di fatto, rivolgetevi a un giurista.

• Candidati e dipendenti: articoli 26, paragrafo 11, e 86

  I deployer di sistemi dell’allegato III che adottano decisioni o assistono nell’adozione di decisioni relative a persone fisiche devono informare tali persone che sono soggette all’uso del sistema (articolo 26, paragrafo 11); nelle HR sono i candidati e i dipendenti. Una persona oggetto di una decisione adottata dal deployer sulla base dell’output di un sistema dell’allegato III, escluso il punto 2, che produca effetti giuridici o incida in modo analogo significativamente su di lei in un modo che ritiene avere un impatto negativo sulla sua salute, sicurezza o sui suoi diritti fondamentali ha il diritto di ottenere dal deployer spiegazioni chiare e significative sul ruolo del sistema di IA nella procedura decisionale e sui principali elementi della decisione adottata (articolo 86, paragrafo 1). L’articolo 86 si applica solo nella misura in cui tale diritto non sia previsto altrimenti dal diritto dell’Unione (articolo 86, paragrafo 3).

• Date

  I sistemi dell’allegato III, punto 4, devono rispettare questi obblighi dal 2 dicembre 2027 (articolo 113, paragrafo 3, lettera c), punto i)). Un sistema immesso sul mercato o messo in servizio prima di tale data è coperto solo se dopo subisce modifiche significative della progettazione; in ogni caso, i fornitori e i deployer di sistemi di IA ad alto rischio destinati a essere utilizzati da autorità pubbliche devono adottare le misure necessarie per conformarsi entro il 2 agosto 2030 (articolo 111, paragrafo 2). Il divieto dell’articolo 5, paragrafo 1, lettera f), si applica dal 2 febbraio 2025; l’eccezione dell’articolo 113, paragrafo 3, lettera a), non lo riguarda.

• Sanzioni

  La violazione degli obblighi dei fornitori (articolo 16) e dei deployer (articolo 26) può essere punita con sanzioni amministrative pecuniarie fino a 15 milioni di EUR o, se l’autore della violazione è un’impresa, fino al 3 % del suo fatturato mondiale totale annuo dell’esercizio precedente, se superiore (articolo 99, paragrafo 4). Per le PMI, comprese le start-up, ogni sanzione arriva al massimo all’importo più basso (articolo 99, paragrafo 6); lo stesso vale per le piccole imprese a media capitalizzazione (articolo 3, punto 14 ter, articolo 99, paragrafo 6 bis). Ogni Stato membro decide in che misura possono essere inflitte sanzioni alle autorità pubbliche e agli organismi pubblici stabiliti nel proprio territorio (articolo 99, paragrafo 8).

• Limiti dell’ambito di applicazione

  Il regolamento non si applica ai settori che non rientrano nell’ambito di applicazione del diritto dell’Unione (prima frase dell’articolo 2, paragrafo 3), né ai sistemi o modelli di IA, compresi i loro output, sviluppati e messi in servizio specificamente e unicamente a fini di ricerca e sviluppo scientifico (articolo 2, paragrafo 6), né alle attività di ricerca, prova e sviluppo relative a sistemi o modelli di IA prima che siano immessi sul mercato o messi in servizio; le prove in condizioni reali non sono coperte da tale esclusione (articolo 2, paragrafo 8). Non si applica ai sistemi di IA rilasciati con licenza libera e open source, a meno che siano immessi sul mercato o messi in servizio come sistemi di IA ad alto rischio o rientrino negli articoli 5 o 50 (articolo 2, paragrafo 12).

• Nessuna cifra su personale o formazione

  L’articolo 26 non fissa organico, ore di formazione o qualifica per le persone che sorvegliano un sistema HR. Richiede la competenza, la formazione, l’autorità e il sostegno necessari (articolo 26, paragrafo 2). La Commissione elabora orientamenti sull’applicazione dei requisiti e degli obblighi di cui agli articoli da 8 a 15 e agli articoli 25 e 26 (articolo 96, paragrafo 1, lettera a)). L’articolo 4 impone ai deployer, come ai fornitori, di adottare misure per promuovere l’alfabetizzazione in materia di IA del loro personale e delle altre persone che si occupano del funzionamento e dell’uso dei sistemi di IA per loro conto; non impone di garantire un livello specifico (articolo 4, paragrafo 1).

• Chi prende la decisione di assunzione

  L’articolo 26 non dice che una persona debba prendere la decisione finale di assunzione. Richiede la sorveglianza umana da parte di persone fisiche con la competenza, la formazione e l’autorità necessarie, e i diritti di informazione e di spiegazione descritti sopra. Il diritto dell’Unione sulla protezione dei dati personali si applica accanto al regolamento (articolo 2, paragrafo 7). L’articolo 85 consente a chiunque abbia motivo di ritenere che vi sia stata una violazione del regolamento di presentare un reclamo all’autorità di vigilanza del mercato competente, fatti salvi altri rimedi (articolo 85).

• Norme nazionali a favore dei lavoratori

  L’articolo 2, paragrafo 11, non osta a che l’Unione o gli Stati membri mantengano o introducano disposizioni più favorevoli ai lavoratori per quanto riguarda l’uso di sistemi di IA da parte dei datori di lavoro, né a che incoraggino o consentano l’applicazione di contratti collettivi più favorevoli ai lavoratori. Il regolamento non contiene alcun diritto di codeterminazione; l’articolo 26, paragrafo 7, richiede solo di informare i rappresentanti dei lavoratori e i lavoratori interessati. Ciò che aggiunge il diritto nazionale è fuori da questa pagina.

• Log e dati personali

  L’articolo 26, paragrafo 6, fissa almeno sei mesi per i log sotto il controllo del deployer e cede il passo ad altro diritto dell’Unione o nazionale, in particolare sulla protezione dei dati personali. Il regolamento non nomina alcun periodo di conservazione per i dati di candidati o dipendenti.

• Articolo 26: obblighi del deployer per l'IA ad alto rischio

  L’articolo 26 per tutti i settori: chi è deployer, gli obblighi, l’articolo 27 e le sanzioni.

• Regolamento IA HR: conformità tecnologia HR

  Panoramica delle tecnologie HR: come il regolamento raggiunge l’IA di selezione e gestione dei lavoratori.

• Articolo 50 per le tecnologie HR: trasparenza e divieto di inferire le emozioni

  IA per le HR e articolo 50: chatbot, riconoscimento delle emozioni e divieto di inferire le emozioni sul lavoro.

• Allegato III in dettaglio: le 8 categorie ad alto rischio

  Come l’allegato III rende ad alto rischio i sistemi di IA, compresi occupazione e gestione dei lavoratori.