Regolamento IA HR: conformità tecnologia HR

Conformità al regolamento IA per la tecnologia HR e i sistemi di assunzione IA: obblighi ad alto rischio e requisiti anti-bias.

Aggiornato 22 ottobre 2026

L’IA per l’assunzione e la gestione dei lavoratori può essere ad alto rischio ai sensi dell’allegato III, punto 4.

Dal 2 dicembre 2027, i fornitori di sistemi ad alto rischio devono rispettare gli articoli da 8 a 15 (articolo 113, lettera c), punto i)). I datori di lavoro hanno gli obblighi di deployer dell’articolo 26; sistemi precedenti: articolo 111(2). Dal 2 febbraio 2025, l’articolo 5(1), lettera f), vieta l’IA che inferisce le emozioni nell’ambito del luogo di lavoro e degli istituti di istruzione, tranne che per motivi medici o di sicurezza. Le sanzioni arrivano a 15 milioni di EUR o, per un’impresa, al 3 % del fatturato mondiale annuo, se superiore (articolo 99(4)). Prossimo passo: verifichi i sistemi HR rispetto all’allegato III, punto 4, e all’articolo 5.

La tecnologia HR può essere ad alto rischio in base all’allegato III, punto 4

La tecnologia HR non è una categoria del regolamento. Conta l’uso elencato nell’allegato III, punto 4 («Occupazione, gestione dei lavoratori e accesso al lavoro autonomo»).

Punto 4, lettera a): assunzione e selezione

Sistemi di IA destinati a essere utilizzati per l’assunzione o la selezione di persone fisiche, in particolare per pubblicare annunci di lavoro mirati, analizzare o filtrare le candidature e valutare i candidati.

Punto 4, lettera b): rapporti di lavoro

Sistemi di IA destinati a essere utilizzati per adottare decisioni riguardanti le condizioni dei rapporti di lavoro, la promozione o cessazione dei rapporti contrattuali di lavoro, per assegnare compiti sulla base del comportamento individuale o dei tratti e delle caratteristiche personali o per monitorare e valutare le prestazioni e il comportamento delle persone nell’ambito di tali rapporti di lavoro.

Esiste un’eccezione, e non copre mai la profilazione
Un sistema dell’allegato III non è ad alto rischio se non presenta un rischio significativo di danno per la salute, la sicurezza o i diritti fondamentali delle persone fisiche, anche nel senso di non influenzare materialmente il risultato del processo decisionale. La deroga si applica solo se è soddisfatta una qualsiasi delle quattro condizioni dell’articolo 6(3), lettere da a) a d). Un sistema che esegue profilazione di persone fisiche è sempre ad alto rischio. Un fornitore che ritiene il proprio sistema non ad alto rischio deve documentare la valutazione prima dell’immissione sul mercato o della messa in servizio (articolo 6(4)). La Commissione doveva fornire orientamenti con esempi pratici entro il 2 febbraio 2026 (articolo 6(5)).
Le quattro condizioni dell’articolo 6(3)
La deroga si applica se è soddisfatta una di queste condizioni, tranne che per i sistemi che effettuano profilazione: a) il sistema è destinato a eseguire un compito procedurale limitato; b) è destinato a migliorare il risultato di un’attività umana precedentemente completata; c) è destinato a rilevare schemi decisionali o deviazioni da schemi decisionali precedenti e non è finalizzato a sostituire o influenzare la valutazione umana precedentemente completata senza un adeguato riesame umano; d) è destinato a eseguire un compito preparatorio per una valutazione pertinente ai fini dei casi d’uso elencati nell’allegato III.

Pratiche vietate da verificare per prime, ad esempio

Inferenza delle emozioni sul lavoro: articolo 5(1), lettera f)
Sono vietate l’immissione sul mercato, la messa in servizio per tale finalità specifica e l’uso di sistemi di IA per inferire le emozioni di una persona fisica nell’ambito del luogo di lavoro e degli istituti di istruzione, tranne laddove l’uso del sistema di IA sia destinato a essere messo in funzione o immesso sul mercato per motivi medici o di sicurezza. Il regolamento non definisce il «luogo di lavoro». Se il divieto riguardi i candidati nei colloqui video è una questione di interpretazione che questa pagina non risolve.
Categorizzazione biometrica in base a tratti sensibili: articolo 5(1), lettera g)
Sono vietati i sistemi di categorizzazione biometrica che classificano individualmente le persone fisiche sulla base dei loro dati biometrici per dedurne o inferirne la razza, le opinioni politiche, l’appartenenza sindacale, le convinzioni religiose o filosofiche, la vita sessuale o l’orientamento sessuale. Il divieto non riguarda l’etichettatura o il filtraggio di set di dati biometrici legalmente acquisiti, come le immagini, sulla base di dati biometrici, né la categorizzazione di dati biometrici nel settore delle attività di contrasto.
Punteggio sociale: articolo 5(1), lettera c)
Sono vietati i sistemi di IA per la valutazione o la classificazione di persone fisiche o gruppi di persone per un determinato periodo di tempo sulla base del loro comportamento sociale o di caratteristiche personali o della personalità note, inferite o previste, quando il punteggio sociale porta a un trattamento pregiudizievole o sfavorevole in contesti sociali slegati dai contesti in cui i dati sono stati originariamente generati o raccolti, o a un trattamento pregiudizievole o sfavorevole ingiustificato o sproporzionato rispetto al comportamento sociale o alla sua gravità.
Il riconoscimento delle emozioni non vietato
I sistemi di riconoscimento delle emozioni e di categorizzazione biometrica non vietati non sono esclusi dal regolamento. L’allegato III, punto 1, lettere b) e c), elenca come ad alto rischio la categorizzazione biometrica in base ad attributi o caratteristiche sensibili o protetti, e il riconoscimento delle emozioni, nella misura in cui il loro uso è consentito dal diritto dell’Unione o nazionale pertinente. I deployer di un sistema di riconoscimento delle emozioni o di categorizzazione biometrica informano le persone fisiche esposte del funzionamento del sistema e trattano i dati personali conformemente alla normativa sulla protezione dei dati (articolo 50(3)). Un sistema di riconoscimento delle emozioni è un sistema di IA destinato a identificare o inferire emozioni o intenzioni di persone fisiche sulla base dei loro dati biometrici (articolo 3, punto 39).

Chi deve fare cosa: fornitore e datore di lavoro

Lo sviluppatore del software è il fornitore, il datore di lavoro che lo utilizza è un deployer
Il fornitore è la persona fisica o giuridica, l’autorità pubblica, l’agenzia o altro organismo che sviluppa un sistema di IA, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio (articolo 3, punto 3). I fornitori di sistemi ad alto rischio devono garantire che i loro sistemi siano conformi ai requisiti della sezione 2 (articoli da 8 a 15) (articolo 16, lettera a)). Il deployer è una persona fisica o giuridica, un’autorità pubblica, un’agenzia o altro organismo che utilizza un sistema di IA sotto la propria autorità, salvo che il sistema sia utilizzato nel corso di un’attività personale non professionale (articolo 3, punto 4). Un datore di lavoro che utilizza un sistema HR è un deployer con gli obblighi dell’articolo 26. Un deployer diventa fornitore se appone il proprio nome o marchio su un sistema ad alto rischio già immesso sul mercato, vi apporta una modifica sostanziale o modifica la finalità prevista di un sistema in modo che diventi ad alto rischio (articolo 25(1)).
Passi del fornitore prima dell’immissione sul mercato
Prima di immettere sul mercato o mettere in servizio un sistema ad alto rischio elencato nell’allegato III (eccetto il punto 2), il fornitore registra sé stesso e il proprio sistema nella banca dati dell’UE (articolo 49(1)). Per i sistemi di cui ai punti da 2 a 8 dell’allegato III, il fornitore segue la procedura di valutazione della conformità basata sul controllo interno (allegato VI), che non prevede il coinvolgimento di un organismo notificato (articolo 43(2)). Un fornitore che ha concluso che il proprio sistema dell’allegato III non è ad alto rischio ai sensi dell’articolo 6(3) documenta la valutazione (articolo 6(4)) e registra sé stesso e il sistema nella banca dati dell’UE prima dell’immissione sul mercato o della messa in servizio (articolo 49(2)).
Obblighi del datore di lavoro come deployer
I deployer di sistemi ad alto rischio adottano misure tecniche e organizzative adeguate per utilizzarli conformemente alle istruzioni per l’uso (articolo 26(1)), affidano la sorveglianza umana a persone fisiche dotate della competenza, della formazione e dell’autorità necessarie (articolo 26(2)), monitorano il funzionamento del sistema sulla base delle istruzioni per l’uso (articolo 26(5)) e conservano i log sotto il loro controllo per almeno sei mesi, salvo diversa disposizione di altre norme (articolo 26(6)). I datori di lavoro informano i rappresentanti dei lavoratori e i lavoratori interessati prima di usare il sistema sul luogo di lavoro (articolo 26(7)), se del caso conformemente alle norme e alle procedure del diritto dell’Unione e nazionale in materia di informazione dei lavoratori e dei loro rappresentanti. I deployer di sistemi dell’allegato III che adottano o assistono nell’adozione di decisioni riguardanti persone fisiche informano tali persone che sono soggette al sistema (articolo 26(11)). Le persone interessate hanno diritto a una spiegazione nei casi descritti dall’articolo 86(1). I fornitori e i deployer di sistemi di IA adottano anche misure per promuovere l’alfabetizzazione in materia di IA del proprio personale e delle altre persone che si occupano per loro conto del funzionamento e dell’utilizzo dei sistemi; non sono tenuti a garantire un livello specifico di alfabetizzazione in materia di IA di alcun individuo (articolo 4(1)).
I datori di lavoro pubblici hanno obblighi ulteriori
I deployer che sono autorità pubbliche, o istituzioni, organi e organismi dell’Unione, rispettano gli obblighi di registrazione dell’articolo 49 (articolo 26(8)). Prima di mettere in uso un sistema ad alto rischio di cui all’articolo 6(2), ad eccezione dei sistemi destinati all’ambito elencato nell’allegato III, punto 2, i deployer che sono organismi di diritto pubblico o enti privati che forniscono servizi pubblici effettuano una valutazione dell’impatto sui diritti fondamentali (articolo 27(1)). Un datore di lavoro che non è né un organismo di diritto pubblico né un ente privato che fornisce servizi pubblici non rientra nell’articolo 27(1) per l’allegato III, punto 4.

Date principali

2 febbraio 2025

L’articolo 5 si applica, compreso il divieto della lettera f) di inferire emozioni nell’ambito del luogo di lavoro e degli istituti di istruzione (articolo 113, lettera a)).

2 agosto 2026

L’articolo 50 si applica, compreso l’articolo 50(3) per i deployer di sistemi di riconoscimento delle emozioni e di categorizzazione biometrica (articolo 113).

2 dicembre 2027

I requisiti e gli obblighi del capo III, sezioni da 1 a 3, ad eccezione dell’articolo 6(5), si applicano ai sistemi classificati come ad alto rischio ai sensi dell’articolo 6(2) e dell’allegato III (articolo 113, lettera c), punto i)).

2 agosto 2030

I fornitori e i deployer di sistemi ad alto rischio destinati a essere utilizzati da autorità pubbliche devono adottare le misure necessarie per conformarsi entro questa data (articolo 111(2)). Gli altri sistemi immessi sul mercato o messi in servizio prima del 2 dicembre 2027 sono coperti solo se, a partire da tale data, la loro progettazione subisce modifiche significative.

Sanzioni

La violazione dell’articolo 5 comporta sanzioni fino a 35 milioni di EUR o, per un’impresa, fino al 7 % del suo fatturato mondiale totale annuo dell’esercizio precedente, se superiore (articolo 99(3)). La violazione degli obblighi dei fornitori (articolo 16), dei deployer (articolo 26) e degli obblighi di trasparenza dell’articolo 50 comporta sanzioni fino a 15 milioni di EUR o, per un’impresa, fino al 3 %, se superiore (articolo 99(4)). Per le PMI, comprese le start-up, ogni sanzione arriva al massimo al minore tra la percentuale e l’importo (articolo 99(6)); per le piccole imprese a media capitalizzazione (articolo 3, punto 14 ter) lo stesso vale per le sanzioni dell’articolo 99(4) e (5) (articolo 99(6 bis)). Ogni Stato membro stabilisce in quale misura possono essere inflitte sanzioni amministrative pecuniarie alle autorità pubbliche e agli organismi stabiliti in tale Stato membro (articolo 99(8)). Le norme sulle sanzioni del capo XII si applicano dal 2 agosto 2025, eccetto l’articolo 101 (articolo 113, lettera b)).

Selezione di requisiti, articolo per articolo (non esaustiva)

art. 9
Sistema di gestione dei rischi
Un sistema di gestione dei rischi è istituito, attuato, documentato e mantenuto come processo iterativo continuo per l’intero ciclo di vita (articolo 9(1) e (2)).
art. 10
Dati e governance dei dati
I set di dati di addestramento, convalida e prova soddisfano i criteri di qualità e sono soggetti a pratiche di governance dei dati che comprendono l’esame di possibili distorsioni (articolo 10(2)–(4)).
art. 12
Conservazione delle registrazioni
I sistemi di IA ad alto rischio consentono tecnicamente la registrazione automatica degli eventi (log) per tutta la durata di vita del sistema (articolo 12(1)).
art. 13
Trasparenza e fornitura di informazioni ai deployer
Il funzionamento è sufficientemente trasparente da consentire ai deployer di interpretare l’output e utilizzarlo adeguatamente, e il sistema è accompagnato da istruzioni per l’uso (articolo 13(1)–(3)).
art. 14
Sorveglianza umana
I sistemi sono progettati in modo che le persone fisiche possano sorvegliarli efficacemente durante l’uso (articolo 14(1)).
art. 15
Accuratezza, robustezza e cibersicurezza
I sistemi raggiungono un adeguato livello di accuratezza, robustezza e cibersicurezza e funzionano in modo coerente in tal senso per tutto il loro ciclo di vita; i livelli di accuratezza e le relative metriche sono dichiarati nelle istruzioni per l’uso (articolo 15(1) e (3)).
art. 26
Obblighi dei deployer
I deployer utilizzano il sistema conformemente alle istruzioni per l’uso, affidano la sorveglianza umana, monitorano il funzionamento sulla base delle istruzioni per l’uso, conservano i log sotto il loro controllo e informano le persone soggette a decisioni (articolo 26(1), (2), (5), (6) e (11)). I datori di lavoro informano i rappresentanti dei lavoratori e i lavoratori interessati, se del caso conformemente alle norme e alle procedure del diritto dell’Unione e nazionale in materia di informazione dei lavoratori e dei loro rappresentanti (articolo 26(7)).
art. 50
Obblighi di trasparenza
I fornitori garantiscono che i sistemi di IA destinati a interagire direttamente con persone fisiche informino tali persone che stanno interagendo con un sistema di IA, a meno che ciò non risulti evidente (articolo 50(1)). I deployer di sistemi di riconoscimento delle emozioni o di categorizzazione biometrica informano le persone fisiche esposte (articolo 50(3)).

Domande frequenti: sistemi ad alto rischio, analisi delle emozioni, informazione dei lavoratori, date e sanzioni

Quali sistemi di IA HR sono ad alto rischio?

I sistemi destinati a essere utilizzati per le finalità elencate nell’allegato III, punto 4, lettere a) e b), salvo che si applichi l’eccezione dell’articolo 6(3). Un sistema che esegue profilazione di persone fisiche è sempre ad alto rischio. L’allegato III, punto 4, non nomina strumenti come la redazione di descrizioni di posizioni lavorative, la pianificazione dei turni o i chatbot HR; la loro inclusione dipende dalla finalità prevista. Un chatbot che interagisce direttamente con le persone ha l’obbligo di informazione dell’articolo 50(1).

L’analisi delle emozioni nei colloqui video è consentita?

Verifichi prima l’articolo 5(1), lettera f). Vieta i sistemi di IA che inferiscono le emozioni di una persona fisica nell’ambito del luogo di lavoro e degli istituti di istruzione, tranne laddove l’uso del sistema sia destinato a essere messo in funzione o immesso sul mercato per motivi medici o di sicurezza. Il regolamento non definisce il «luogo di lavoro» e se riguardi i candidati nei colloqui è una questione di interpretazione cui il regolamento non risponde. Il riconoscimento delle emozioni non vietato è elencato come ad alto rischio nell’allegato III, punto 1, lettera c), nella misura in cui il suo uso è consentito dal diritto dell’Unione o nazionale, e i deployer devono informare le persone esposte (articolo 50(3)).

Un datore di lavoro deve informare i lavoratori di un sistema di IA HR?

Prima di mettere in servizio o utilizzare un sistema ad alto rischio sul luogo di lavoro, i datori di lavoro devono informare i rappresentanti dei lavoratori e i lavoratori interessati (articolo 26(7)), se del caso conformemente alle norme e alle procedure del diritto dell’Unione e nazionale in materia di informazione dei lavoratori e dei loro rappresentanti. I deployer di sistemi dell’allegato III che adottano o assistono nell’adozione di decisioni riguardanti persone fisiche devono inoltre informare tali persone che sono soggette al sistema (articolo 26(11)). Gli Stati membri possono mantenere o introdurre norme più favorevoli ai lavoratori (articolo 2(11)).

Da quando si applicano le norme?

L’articolo 5 si applica dal 2 febbraio 2025, eccetto l’articolo 5(1), primo comma, lettere ba) e bb), e i paragrafi 1 bis e 1 ter, che si applicano dal 2 dicembre 2026 (articolo 113, lettera a)). I requisiti per i sistemi dell’allegato III si applicano dal 2 dicembre 2027 (articolo 113, lettera c), punto i)). Un sistema di IA ad alto rischio immesso sul mercato o messo in servizio prima di tale data è coperto solo se, a partire da essa, la sua progettazione subisce modifiche significative. In ogni caso, i fornitori e i deployer di sistemi di IA ad alto rischio destinati a essere utilizzati da autorità pubbliche devono adottare le misure necessarie per conformarsi entro il 2 agosto 2030 (articolo 111(2)).

A quanto ammontano le sanzioni, e sono più basse per le piccole imprese?

La violazione dell’articolo 5 comporta sanzioni fino a 35 milioni di EUR o, per un’impresa, fino al 7 % del fatturato mondiale annuo, se superiore (articolo 99(3)). La violazione degli obblighi dei fornitori (articolo 16), dei deployer (articolo 26) e dell’articolo 50 comporta sanzioni fino a 15 milioni di EUR o, per un’impresa, fino al 3 %, se superiore (articolo 99(4)). Per le PMI, comprese le start-up, ogni sanzione arriva al massimo al minore tra la percentuale e l’importo (articolo 99(6)); le piccole imprese a media capitalizzazione (articolo 3, punto 14 ter) hanno lo stesso limite per le sanzioni dell’articolo 99(4) e (5) (articolo 99(6 bis)). Ogni Stato membro stabilisce in quale misura possono essere inflitte sanzioni alle autorità pubbliche (articolo 99(8)).

Da leggere dopo: le guide sugli articoli 9 e 14, le pratiche vietate e l’allegato III

Scanara prepara evidenze dai vostri repository

Scanara legge i vostri repository GitHub collegati ed esegue scansioni basate su regole per individuare pattern comuni di IA e machine learning. Può non rilevare il codice non standard. Separatamente genera bozze di documentazione a partire da modelli e dalle vostre risposte alle valutazioni, come evidenze per il vostro lavoro di conformità. La classificazione la decidete voi.

Scoprite come Scanara analizza i vostri repository