Articolo 9: gestione dei rischi per l'IA HR — EU AI Act

Il regolamento non elenca rischi specifici dell’assunzione o della gestione dei lavoratori. Il fornitore individua i rischi che derivano dalla propria finalità prevista.

• Un processo continuo

  Il sistema di gestione dei rischi è un processo iterativo continuo, pianificato ed eseguito per l’intero ciclo di vita del sistema, con riesami e aggiornamenti sistematici periodici (articolo 9(2)).

• Quattro fasi

  Il processo individua e analizza i rischi noti e ragionevolmente prevedibili per la salute, la sicurezza o i diritti fondamentali. Stima e valuta i rischi nell’uso conforme alla finalità prevista e in condizioni di uso improprio ragionevolmente prevedibile. Valuta i rischi che emergono dai dati del monitoraggio successivo all’immissione sul mercato (articolo 72) e adotta misure mirate di gestione dei rischi (articolo 9(2), lettere da a) a d)).

• Il rischio residuo deve essere accettabile

  Il rischio residuo associato a ciascun pericolo e il rischio residuo complessivo devono essere giudicati accettabili. Le misure devono eliminare o ridurre i rischi con la progettazione e lo sviluppo, nella misura in cui sia tecnicamente fattibile, e aggiungere misure di attenuazione e controllo ove opportuno. Devono inoltre fornire ai deployer (le organizzazioni che usano il sistema) le informazioni richieste dall’articolo 13 e, ove opportuno, la formazione (articolo 9(5)).

• Solo i rischi che progettazione o informazioni possono affrontare

  L’articolo 9 riguarda solo i rischi che possono essere ragionevolmente attenuati o eliminati attraverso lo sviluppo o la progettazione del sistema, o la fornitura di adeguate informazioni tecniche (articolo 9(3)).

• Testare con metriche definite in anticipo

  I test servono a individuare le misure più appropriate e devono dimostrare che il sistema funziona in modo coerente per la finalità prevista (articolo 9(6)). Si svolgono, ove opportuno, durante lo sviluppo e in ogni caso prima dell’immissione sul mercato o della messa in servizio (articolo 9(8)). Usano metriche e soglie probabilistiche definite in precedenza. Le prove in condizioni reali sono possibili ai sensi dell’articolo 60 (articolo 9(7)).

• Minori e gruppi vulnerabili

  I fornitori devono valutare se il sistema possa avere un impatto negativo sulle persone di età inferiore a 18 anni e, ove opportuno, su altri gruppi vulnerabili (articolo 9(9)).

La tecnologia HR non è una categoria del regolamento. Conta l’uso elencato nell’allegato III, punto 4 («Occupazione, gestione dei lavoratori e accesso al lavoro autonomo»).

• Punto 4, lettera a): assunzione e selezione

  Sistemi di IA destinati a essere utilizzati per l’assunzione o la selezione di persone fisiche, in particolare per pubblicare annunci di lavoro mirati, analizzare o filtrare le candidature e valutare i candidati.

• Punto 4, lettera b): rapporti di lavoro

  Sistemi di IA destinati a essere utilizzati per adottare decisioni riguardanti le condizioni dei rapporti di lavoro, la promozione o cessazione dei rapporti contrattuali di lavoro, per assegnare compiti sulla base del comportamento individuale o dei tratti e delle caratteristiche personali o per monitorare e valutare le prestazioni e il comportamento delle persone nell’ambito di tali rapporti di lavoro.

• Esiste un’eccezione, e non copre mai la profilazione

  Un sistema dell’allegato III non è ad alto rischio se non presenta un rischio significativo di danno per la salute, la sicurezza o i diritti fondamentali delle persone fisiche, anche nel senso di non influenzare materialmente il risultato del processo decisionale. La deroga si applica solo se è soddisfatta una qualsiasi delle quattro condizioni dell’articolo 6(3), lettere da a) a d). Un sistema che esegue profilazione di persone fisiche è sempre ad alto rischio. Un fornitore che ritiene il proprio sistema non ad alto rischio deve documentare la valutazione prima dell’immissione sul mercato o della messa in servizio (articolo 6(4)). La Commissione doveva fornire orientamenti con esempi pratici entro il 2 febbraio 2026 (articolo 6(5)).

• Lo sviluppatore del software è il fornitore, il datore di lavoro che lo utilizza è un deployer

  Il fornitore è la persona fisica o giuridica, l’autorità pubblica, l’agenzia o altro organismo che sviluppa un sistema di IA, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio (articolo 3, punto 3). I fornitori di sistemi ad alto rischio devono garantire che i loro sistemi siano conformi ai requisiti della sezione 2 (articoli da 8 a 15) (articolo 16, lettera a)). Il deployer è una persona fisica o giuridica, un’autorità pubblica, un’agenzia o altro organismo che utilizza un sistema di IA sotto la propria autorità, salvo che il sistema sia utilizzato nel corso di un’attività personale non professionale (articolo 3, punto 4). Un datore di lavoro che utilizza un sistema HR è un deployer con gli obblighi dell’articolo 26. Un deployer diventa fornitore se appone il proprio nome o marchio su un sistema ad alto rischio già immesso sul mercato, vi apporta una modifica sostanziale o modifica la finalità prevista di un sistema in modo che diventi ad alto rischio (articolo 25(1)).

• Date, sistemi precedenti ed esclusioni dall’ambito di applicazione

  I requisiti per i sistemi dell’allegato III si applicano dal 2 dicembre 2027 (articolo 113, lettera c), punto i)). Un sistema di IA ad alto rischio immesso sul mercato o messo in servizio prima di tale data è coperto solo se, a partire da essa, la sua progettazione subisce modifiche significative. In ogni caso, i fornitori e i deployer di sistemi di IA ad alto rischio destinati a essere utilizzati da autorità pubbliche devono adottare le misure necessarie per conformarsi entro il 2 agosto 2030 (articolo 111(2)). Il regolamento non si applica ai settori che esulano dall’ambito di applicazione del diritto dell’Unione (articolo 2(3)), né ai sistemi o modelli di IA, compreso il loro output, sviluppati e messi in servizio specificamente e al solo scopo di ricerca e sviluppo scientifici (articolo 2(6)), né alle attività di ricerca, prova o sviluppo precedenti all’immissione sul mercato o alla messa in servizio di un sistema; le prove in condizioni reali non sono escluse (articolo 2(8)). Non si applica agli obblighi dei deployer che sono persone fisiche e utilizzano sistemi di IA nel corso di un’attività non professionale puramente personale (articolo 2(10)). I sistemi di IA rilasciati con licenze libere e open source sono esclusi, a meno che siano immessi sul mercato o messi in servizio come sistemi ad alto rischio o come sistemi di cui all’articolo 5 o 50 (articolo 2(12)).

• Verificare prima il divieto di inferire emozioni

  L’articolo 5(1), lettera f), vieta l’immissione sul mercato, la messa in servizio per tale finalità specifica o l’uso di sistemi di IA per inferire le emozioni di una persona fisica nell’ambito del luogo di lavoro e degli istituti di istruzione, tranne laddove l’uso del sistema di IA sia destinato a essere messo in funzione o immesso sul mercato per motivi medici o di sicurezza. Si applica dal 2 febbraio 2025 (articolo 113, lettera a)). Il regolamento non definisce il «luogo di lavoro». Se il divieto riguardi i candidati nei colloqui video è una questione di interpretazione che questa pagina non risolve. La violazione dell’articolo 5 comporta sanzioni fino a 35 milioni di EUR o, per un’impresa, fino al 7 % del fatturato mondiale annuo, se superiore (articolo 99(3)).

• Nessun elenco di rischi HR e nessuna metrica di equità

  Il regolamento non nomina rischi specifici della tecnologia HR né alcuna metrica di equità. Il fornitore individua i rischi noti e ragionevolmente prevedibili per la salute, la sicurezza o i diritti fondamentali quando il sistema è usato conformemente alla finalità prevista (articolo 9(2), lettera a)). Le prove sono eseguite rispetto a metriche e soglie probabilistiche definite preventivamente e adeguate alla finalità prevista (articolo 9(8)).

• Il regolamento non nomina alcuna norma; esistono norme armonizzate e orientamenti

  Il regolamento stesso non nomina alcuna norma per la gestione dei rischi. Chiede di tenere conto dello stato dell’arte generalmente riconosciuto (articolo 8(1)). I sistemi di IA ad alto rischio conformi a norme armonizzate i cui riferimenti sono pubblicati nella Gazzetta ufficiale si presumono conformi ai requisiti della sezione 2 che tali norme contemplano (articolo 40(1)). La Commissione elabora orientamenti sull’applicazione dei requisiti degli articoli da 8 a 15 (articolo 96(1), lettera a)). Qualsiasi altra norma usata da un fornitore è una scelta di progettazione volontaria.

Sono esempi, non requisiti.

• Esempio: uno strumento di classificazione (articolo 9(2), lettera a))

  Il fornitore di uno strumento di classificazione dei CV registra che lo strumento può valutare in modo diverso i candidati il cui percorso professionale si discosta dai dati di addestramento, ad esempio dopo un’interruzione di carriera. Il fornitore decide quali casi di prova e quali misure siano adatti alla finalità prevista.

• Esempio: persone di età inferiore a 18 anni (articolo 9(9))

  Il fornitore di uno strumento che abbina i candidati a posti di apprendistato documenta se è probabile che lo strumento abbia un impatto negativo sulle persone di età inferiore a 18 anni.

• Articolo 9: sistema di gestione dei rischi per l'IA ad alto rischio

  L’articolo come lo formula il regolamento, per tutti i settori.

• Regolamento IA HR: conformità tecnologia HR

  Come il regolamento raggiunge l’IA per l’assunzione, la selezione e la gestione dei lavoratori.

• Articolo 10: governance dei dati per l'IA HR

  Governance dei dati, esame delle distorsioni e articolo 4 bis per la tecnologia HR.

• Articolo 14: sorveglianza umana per l'IA HR

  Le misure di sorveglianza umana per la tecnologia HR.