Che cos'è la conformità nelle assunzioni con IA?
La conformità nelle assunzioni con IA si riferisce all'insieme di obblighi legali che i datori di lavoro devono rispettare quando utilizzano intelligenza artificiale, algoritmi o strumenti automatizzati in qualsiasi fase del processo di selezione. Ciò include software di screening dei curriculum, colloqui basati su chatbot, modelli di punteggio e qualsiasi strumento che filtri o classifichi i candidati senza un giudizio umano diretto.
A partire dal 2026, tre quadri normativi definiscono la conformità nelle assunzioni per la maggior parte dei datori di lavoro nel Regno Unito e nell'UE: il Regolamento Generale sulla Protezione dei Dati (GDPR), la Legge sull'IA dell'UE e la legislazione sul diritto al lavoro. Insieme, creano obblighi specifici su come vengono raccolti i dati dei candidati, come vengono prese le decisioni automatizzate e chi ha il diritto di lavorare.
La conformità non è un semplice esercizio di spunta. Le sanzioni sono significative (fino al 6% del fatturato globale ai sensi della Legge sull'IA dell'UE) e l'attività di enforcement è in aumento. Nel 2023, il Garante per la protezione dei dati personali ha sanzionato OpenAI con una multa di 15 milioni di euro per violazioni del GDPR nel trattamento dei dati degli utenti, segnalando che le autorità di controllo applicano uno scrutinio rigoroso ai sistemi algoritmici che trattano dati personali.
Perché il 2026 è il punto di svolta
Gli obblighi della Legge sull'IA dell'UE per i sistemi di IA ad alto rischio, che includono esplicitamente l'IA nell'occupazione, sono diventati applicabili nell'agosto 2026 per la maggior parte delle organizzazioni. Non è un requisito futuro. Se oggi stai utilizzando l'IA per vagliare, classificare o selezionare i candidati e operi nell'UE, il conto alla rovescia è già partito.
Contemporaneamente, il controllo del Garante sulle decisioni algoritmiche nella selezione del personale si intensifica, e la consapevolezza dei candidati riguardo ai propri diritti GDPR cresce. Costruire ora un processo conforme ti protegge da sanzioni, reclami dei candidati e danni reputazionali.
La Legge sull'IA dell'UE e l'IA nelle assunzioni
La Legge sull'IA dell'UE crea un sistema di classificazione del rischio a quattro livelli per l'IA. L'IA nelle assunzioni si colloca nel livello più regolamentato: alto rischio. L'Allegato III della Legge elenca esplicitamente l'IA utilizzata per il reclutamento e la selezione, inclusi lo screening dei curriculum, la classificazione dei candidati e la valutazione dei colloqui, come applicazioni ad alto rischio.
La data in cui gli obblighi per l'IA ad alto rischio sono diventati applicabili ai sistemi di IA per l'occupazione. Se il tuo strumento di screening elabora candidati nell'UE, i requisiti obbligatori si applicano ora.
Cosa significa la classificazione ad alto rischio in pratica
I datori di lavoro e i fornitori di tecnologia HR che implementano IA ad alto rischio nel reclutamento devono rispettare un impegnativo insieme di obblighi. Non sono linee guida facoltative, ma requisiti legali con conseguenze concrete.
Prima di tutto, deve essere completata una valutazione di conformità prima di implementare il sistema di IA. Ciò comporta la documentazione dello scopo del sistema, dei dati su cui è stato addestrato, delle sue limitazioni note e delle misure adottate per mitigare pregiudizi ed errori. Per i datori di lavoro che acquistano strumenti di terze parti, è necessario richiedere questa documentazione al proprio fornitore.
Requisito di supervisione umana
Ogni sistema di IA ad alto rischio deve essere progettato per consentire la revisione e la correzione da parte di un essere umano. Nel contesto delle assunzioni, ciò significa che nessun candidato dovrebbe essere rifiutato o avanzato alla fase successiva basandosi esclusivamente su una decisione dell'IA senza che una persona abbia la reale capacità di esaminare e annullare tale decisione.
Questo non è soddisfatto da un processo di approvazione automatica in cui una persona approva i risultati dell'IA senza esaminare genuinamente i materiali del candidato. La supervisione deve essere sostanziale. L'essere umano deve avere accesso al ragionamento dell'IA e ai dati sottostanti del candidato, e deve essere in grado di giungere a una conclusione diversa.
Trasparenza verso i candidati
I candidati devono essere informati che l'IA viene utilizzata nella loro valutazione. Questa informativa deve apparire prima dell'inizio dell'interazione con l'IA, nell'offerta di lavoro, nel flusso di candidatura o in un'apposita comunicazione. L'informativa deve spiegare che tipo di IA viene utilizzata, cosa valuta e come il suo output viene utilizzato nella decisione di selezione.
GDPR e dati dei candidati
Il GDPR si applica a ogni datore di lavoro che tratta dati personali di candidati residenti nell'UE o nel Regno Unito, indipendentemente da dove ha sede il datore di lavoro. Il reclutamento è una delle aree a più alto rischio per la conformità al GDPR perché coinvolge grandi volumi di dati personali sensibili di individui che non hanno alcun rapporto preesistente con il datore di lavoro.
Base giuridica per il trattamento
Il trattamento dei dati dei candidati durante il reclutamento attivo si basa tipicamente sugli interessi legittimi (Articolo 6(1)(f)) o sull'esecuzione di un contratto (Articolo 6(1)(b), nelle fasi precontrattuali). Il consenso è raramente la base giusta per il reclutamento: deve essere liberamente dato, il che è compromesso dallo squilibrio di potere tra il datore di lavoro e il cercatore di lavoro.
I dati di categoria speciale, inclusi salute, disabilità, origine etnica e convinzioni religiose, richiedono una base giuridica aggiuntiva ai sensi dell'Articolo 9, più comunemente il consenso esplicito o la necessità per obblighi di diritto del lavoro. Se le tue domande di screening o gli strumenti psicometrici raccolgono inavvertitamente dati di categoria speciale, è necessario documentare questa base aggiuntiva.
Minimizzazione dei dati e limitazione della finalità
Puoi raccogliere solo i dati dei candidati necessari per la decisione di reclutamento. Questo principio riguarda diverse pratiche comuni: chiedere la data di nascita quando l'età non è un requisito genuino, richiedere una fotografia prima del colloquio, o raccogliere informazioni estese sui social media senza un chiaro collegamento al ruolo. Gli strumenti di screening basati su parole chiave possono anche introdurre pregiudizi non intenzionali quando raccolgono dati proxy correlati a caratteristiche protette.
La limitazione della finalità significa che i dati raccolti per un ruolo non possono essere liberamente riutilizzati per un altro senza una nuova base giuridica. Se vuoi conservare i candidati rifiutati per future opportunità, ciò richiede il consenso esplicito, e devi rispettare la revoca di tale consenso prontamente.
Periodi di conservazione
Non esiste un periodo di conservazione unico stabilito dal GDPR per i dati dei candidati. Tuttavia, il principio di limitazione della conservazione richiede di eliminare i dati quando non sono più necessari. In pratica, la maggior parte delle organizzazioni fissa un periodo di conservazione di sei mesi dalla fine del reclutamento. Alcune lo estendono a 12 mesi per eventuali reclami per discriminazione.
Qualunque periodo tu scelga, documentalo nel tuo avviso sulla privacy e applicalo. Un periodo di conservazione che dichiari ma non applichi è peggio che non avere alcun periodo dichiarato. Dimostra ai regolatori che sapevi cosa avresti dovuto fare e hai scelto di non farlo.
Decisioni automatizzate e Articolo 22 del GDPR
L'Articolo 22 del GDPR conferisce alle persone il diritto di non essere soggette a una decisione basata esclusivamente su un trattamento automatizzato che produca effetti giuridici o analoghi effetti significativi. In un contesto di assunzioni, una decisione di rifiuto o di selezione presa interamente da un algoritmo senza un significativo coinvolgimento umano attiva questo diritto.
Cosa attiva l'Articolo 22
Il test fondamentale è se la decisione si basa esclusivamente sul trattamento automatizzato e produce un effetto significativo. Il rifiuto di una domanda di lavoro è un effetto significativo. Essere classificati al di sotto della soglia del colloquio da un algoritmo e quindi non essere mai esaminati da un essere umano è anch'esso un effetto significativo, anche se il datore di lavoro caratterizza il processo come assistito dall'IA piuttosto che deciso dall'IA.
In modo cruciale, l'Articolo 22 si applica anche quando il datore di lavoro ritiene che un essere umano sia coinvolto, se quella revisione umana è superficiale o nominale. Il Garante ha chiarito che una persona che si limita ad accettare i risultati dell'IA senza esaminare genuinamente le informazioni sottostanti non costituisce un significativo coinvolgimento umano.
Garanzie richieste
Quando il processo decisionale automatizzato viene utilizzato legalmente, sia con il consenso del candidato sia come necessario per la conclusione di un contratto, devono essere in atto tre garanzie. Prima di tutto, i candidati devono essere informati che è in corso il processo decisionale automatizzato e ricevere informazioni significative sulla logica coinvolta. In secondo luogo, i candidati devono poter richiedere una revisione umana di qualsiasi decisione automatizzata. In terzo luogo, i candidati devono poter contestare la decisione ed esprimere la propria opinione.
In pratica ciò significa costruire un meccanismo orientato al candidato: un avviso chiaro nel flusso di candidatura, un canale di contatto per le richieste di revisione e un processo interno per gestire tali richieste con una valutazione umana genuina.
Come Zyverno gestisce questo aspetto
Lina, la nostra assistente di screening con IA, è progettata con la supervisione umana al suo centro. Ogni raccomandazione dell'IA viene esaminata da un recruiter prima che qualsiasi candidato avanzi o venga rifiutato. I candidati vengono informati sull'uso dell'IA prima che inizi il loro screening.
Verifiche del permesso di lavoro
La legislazione sul diritto al lavoro richiede ai datori di lavoro di verificare che ogni dipendente abbia il permesso di lavorare in Italia prima che inizi il rapporto di lavoro. Il Decreto Legislativo 286/1998 (Testo Unico sull'Immigrazione) stabilisce che l'assunzione di lavoratori extracomunitari privi del permesso di soggiorno per lavoro costituisce una violazione grave, con sanzioni amministrative che possono raggiungere i 5.000 euro per ciascun lavoratore irregolare.
Verifica dell'identità digitale
I cittadini dell'UE, del SEE e della Svizzera godono della libera circolazione in Italia e hanno il diritto di lavorare senza necessità di autorizzazione preventiva. I cittadini di paesi terzi devono essere in possesso di un valido permesso di soggiorno per lavoro prima dell'inizio del rapporto di lavoro. I datori di lavoro devono comunicare l'assunzione al Centro per l'Impiego competente entro il giorno precedente l'inizio del lavoro, conservando copia della documentazione per tutta la durata del rapporto e per i due anni successivi.
La verifica documentale è obbligatoria prima dell'inizio del rapporto di lavoro. In Italia non esiste attualmente un sistema governativo centralizzato di verifica digitale paragonabile a quello del Regno Unido. I datori di lavoro verificano i documenti in formato cartaceo o digitale rilasciati dalle autorità competenti (permesso di soggiorno, carta di soggiorno, documento d'identità UE). L'utilizzo di agenzie di somministrazione accreditate non esonera il datore di lavoro utilizzatore dalla responsabilità di verificare l'autorizzazione al lavoro.
Norme sui dati biometrici
Alcuni prodotti di verifica dell'identità digitale utilizzano il confronto facciale biometrico, confrontando un selfie dal vivo con la foto su un documento. I dati biometrici sono dati di categoria speciale ai sensi del GDPR, richiedendo una base giuridica esplicita. Per le verifiche del permesso di lavoro, questo si basa tipicamente sulla necessità del diritto del lavoro ai sensi dell'Articolo 9(2)(b) del GDPR.
Se stai raccogliendo dati biometrici come parte del tuo processo di assunzione, questo deve essere comunicato nel tuo avviso sulla privacy. I candidati devono capire quali dati biometrici vengono raccolti, come vengono utilizzati e per quanto tempo vengono conservati. I template biometrici devono essere eliminati non appena la verifica è completata, salvo obblighi legali di conservazione più lunghi.
Cittadini UE/SEE in Italia
I cittadini dell'UE, del SEE e della Svizzera residenti in Italia godono della libera circolazione e del diritto di lavorare. Possono dimostrare la propria identità con il documento d'identità nazionale o il passaporto in corso di validità; non è necessario alcun permesso di lavoro aggiuntivo. Richiedere documentazione aggiuntiva o diversa rispetto a quella richiesta ai cittadini italiani può costituire discriminazione diretta per motivi di nazionalità.
Costruire un processo di screening con IA conforme
Un processo conforme non significa un processo più lento. Il GDPR e la Legge sull'IA dell'UE definiscono obblighi, non progetti di flusso di lavoro. Con le giuste basi, puoi gestire un processo di screening rapido e ad alto volume che soddisfi tutti i requisiti. Ecco i sei passi per costruirlo.
Documenta i tuoi strumenti di IA
Crea un inventario di ogni strumento di IA o algoritmico utilizzato nel tuo processo di reclutamento. Per ogni strumento, documenta il suo scopo, il fornitore, come tratta i dati dei candidati, se produce decisioni o classificazioni e quale documentazione fornisce il fornitore ai sensi della Legge sull'IA dell'UE.
Stabilisci la tua base giuridica
Per ogni fase in cui tratti i dati dei candidati, documenta la base giuridica. Gli interessi legittimi sono comuni per lo screening iniziale. Il consenso può essere necessario per conservare i dati oltre il periodo di reclutamento attivo. I dati di categoria speciale richiedono una base aggiuntiva dell'Articolo 9.
Aggiorna il tuo avviso sulla privacy
Il tuo avviso sulla privacy rivolto ai candidati deve comunicare quali dati raccogli, la tua base giuridica, per quanto tempo li conservi, se viene utilizzato il processo decisionale automatizzato e quale logica è coinvolta, e come i candidati possono esercitare i loro diritti inclusi accesso, cancellazione, rettifica e opposizione.
Integra la revisione umana
Progetta il tuo processo in modo che un essere umano esamini genuinamente i risultati dell'IA prima che venga presa una decisione con effetti significativi. Ciò significa che l'essere umano deve vedere i materiali sottostanti del candidato, avere spiegato il ragionamento dell'IA e avere la capacità pratica di annullare il risultato dell'IA.
Crea un processo di gestione dei diritti dei candidati
Stabilisci un processo documentato per gestire le richieste di revisione ai sensi dell'Articolo 22, le Richieste di Accesso agli Atti e le richieste di cancellazione. I termini di risposta del GDPR sono rigidi: un mese per le richieste di accesso, estendibile a tre nei casi complessi. I candidati in fase di reclutamento attivo presentano frequentemente richieste di accesso, quindi è necessario avere un processo pronto.
Imposta calendari di conservazione ed eliminazione
Configura il tuo ATS o sistema HR per segnalare o eliminare automaticamente i dati dei candidati al raggiungimento del periodo di conservazione definito. I processi di eliminazione manuale falliscono sistematicamente. L'automazione è l'unico modo affidabile per applicare la conservazione su larga scala.
Andare oltre
Un processo conforme e un processo di assunzione di qualità non sono in conflitto. Leggi la nostra guida su come migliorare la qualità delle assunzioni per passi pratici che funzionano insieme al tuo framework di conformità.
Checklist di audit della conformità
Inventario degli strumenti di IA documentato
Ogni strumento di IA/algoritmico nel processo di reclutamento elencato con fornitore, scopo e classificazione ai sensi della Legge sull'IA dell'UE.
Base giuridica documentata per fase
Base giuridica registrata per ogni attività di trattamento: screening, colloquio, verifica delle referenze, offerta e conservazione.
Avviso sulla privacy aggiornato
L'avviso sulla privacy per i candidati comunica l'uso dell'IA, la base giuridica, i periodi di conservazione e i diritti dei candidati incluso l'Articolo 22.
Revisione umana in atto
Nessun candidato rifiutato o selezionato basandosi esclusivamente sui risultati automatizzati. Il revisore umano ha accesso al ragionamento dell'IA e può annullarlo.
Processo dei diritti dei candidati operativo
Processo documentato per le richieste di accesso, le richieste di revisione ai sensi dell'Articolo 22 e le richieste di cancellazione con un responsabile designato e termini conformi al GDPR.
Calendario di conservazione applicato automaticamente
Eliminazione o segnalazione forzata dal sistema al raggiungimento del periodo di conservazione definito. Non dipende da azioni manuali.
Sanzioni ed enforcement
Sia il GDPR che la Legge sull'IA dell'UE comportano sanzioni finanziarie sostanziali. Comprendere la struttura delle sanzioni calibra il business case: il costo di un programma di conformità è una frazione del costo di un'azione di enforcement materiale.
Sanzioni GDPR
L'enforcement del GDPR opera su un sistema a due livelli. Le violazioni meno gravi, come registri inadeguati e avvisi sulla privacy mancanti, comportano sanzioni fino a 10 milioni di euro o il 2% del fatturato annuo globale, la cifra più alta. Le violazioni più gravi, incluso il trattamento senza base giuridica, la violazione dei diritti degli interessati e la sicurezza inadeguata, comportano sanzioni fino a 20 milioni di euro o il 4% del fatturato annuo globale.
Sanzioni della Legge sull'IA dell'UE
La Legge sull'IA dell'UE applica sanzioni separate. L'utilizzo di applicazioni di IA vietate comporta sanzioni fino a 35 milioni di euro o il 7% del fatturato annuo globale. Le violazioni relative ai sistemi di IA ad alto rischio, incluso il mancato rispetto dei requisiti di trasparenza, supervisione umana o documentazione, comportano sanzioni fino a 15 milioni di euro o il 3% del fatturato annuo.
Per un'azienda con 50 milioni di euro di fatturato annuo, una sanzione GDPR del 4% equivale a 2 milioni di euro. Una sanzione della Legge sull'IA dell'UE del 3% equivale a 1,5 milioni di euro. Non sono massimi teorici. Sono la struttura effettiva delle sanzioni che i regolatori applicano quando riscontrano una non conformità materiale.
Errori di conformità comuni
Trattare la conformità del fornitore di IA come la propria conformità
Un fornitore conforme al GDPR nel proprio trattamento dei dati non rende conforme il tuo utilizzo del loro strumento. Sei tu il titolare del trattamento. Sei responsabile di stabilire la tua base giuridica, fornire l'avviso sulla privacy e assicurarti che i dati non vengano conservati più a lungo del necessario.
Fare affidamento sul consenso come base giuridica per lo screening
Il consenso deve essere liberamente dato. I candidati che hanno bisogno di un lavoro e vogliono essere considerati per esso non sono in grado di rifiutare liberamente il consenso. Le linee guida del Garante sui dati di impiego chiariscono che il consenso è raramente la base giuridica appropriata per il trattamento nella selezione del personale.
Revisione umana nominale che non soddisfa l'Articolo 22
Costruire un passaggio di revisione in cui una persona clicca su approva per ogni raccomandazione dell'IA senza esaminare i dati sottostanti non soddisfa il requisito di supervisione umana. Se la revisione umana non è genuina, stai ancora prendendo decisioni basate esclusivamente sul trattamento automatizzato.
Non aggiornare l'avviso sulla privacy quando cambiano gli strumenti di IA
L'introduzione di un nuovo strumento di screening IA, o la modifica di quello utilizzato, attiva l'obbligo di aggiornare l'avviso sulla privacy per i candidati. I candidati hanno il diritto di sapere, al momento della candidatura, quale trattamento automatizzato sarà applicato ai loro dati.
Nessun processo per i fallimenti delle verifiche del diritto al lavoro
I datori di lavoro a volte conducono le verifiche del diritto al lavoro ma non hanno un processo documentato su cosa fare quando una verifica fallisce o restituisce un risultato poco chiaro. Senza un processo documentato, i singoli responsabili prendono decisioni incoerenti, alcune delle quali potrebbero costituire discriminazione illegale.
Domande frequenti
Il prossimo nella serie
ATS con screening IA: Guida all'acquisto
Come valutare le piattaforme ATS con screening IA nativo rispetto agli strumenti aggiuntivi, e cosa cercare quando la conformità è un requisito.
Torna a tutte le guide