Intelligenza artificiale nelle assunzioni: cinque regimi

In sintesi

• L’intelligenza artificiale nelle assunzioni ricade oggi in cinque regimi giuridici distinti: il regolamento europeo sull’IA, il diritto del lavoro italiano, la Local Law 144 di New York, la legge HB 3773 dell’Illinois e la disciplina californiana sui sistemi decisionali automatizzati. Ciascuno adotta una definizione diversa.
• La scadenza europea si è spostata. Gli obblighi per i sistemi ad alto rischio dell’allegato III passano dal 2 agosto 2026 al 2 dicembre 2027. Gli altri quattro regimi non si sono mossi.
• Un audit annuale sui bias è una misurazione, non una difesa. Produce indici di impatto, non certifica alcuna conformità.
• Una ricerca indipendente ha censito 18 rapporti di audit pubblicati su 391 datori di lavoro esaminati a New York. Il tasso di conformità osservato è prossimo allo zero, e proprio quel divario costituisce l’esposizione.
• La conservazione quadriennale prevista in California rappresenta la soglia pratica. Costruire la catena di prove una sola volta a quel livello soddisfa gran parte degli altri quattro regimi.

Che cosa si intende per sistema decisionale automatizzato nelle assunzioni

La domanda sembra semplice. Non lo è, perché nessun legislatore ha ripreso la definizione di un altro. Il regolamento europeo adotta il perimetro più ampio. Il punto 4 dell’allegato III comprende i sistemi impiegati per diffondere annunci di lavoro mirati, filtrare le candidature, valutare i candidati, decidere in materia di condizioni di lavoro, promozione e cessazione del rapporto, assegnare compiti e monitorare o valutare il rendimento e il comportamento dei lavoratori. La diffusione degli annunci e l’assegnazione dei compiti rientrano quindi nel campo europeo mentre restano invisibili al testo newyorkese. New York, al contrario, ha scritto la prima definizione vincolante e l’ha voluta stretta. Rientra un processo computazionale la cui produzione semplificata assiste in modo sostanziale o sostituisce una decisione discrezionale di assunzione o promozione. I regolamenti attuativi hanno ristretto ulteriormente: la produzione semplificata deve prevalere sugli altri criteri o contraddire una conclusione umana. Quella restrizione ha prodotto effetti concreti. Ha consentito a molti datori di lavoro di concludere che il proprio analizzatore di curriculum si limitava a informare il selezionatore, senza assisterlo in modo sostanziale, e restava quindi fuori dalla legge. La California ha seguito la direzione opposta. La disciplina in vigore dal 1° ottobre 2025 riguarda ogni processo computazionale che assume una decisione o agevola una decisione umana relativa a un beneficio occupazionale. Agevolare è una soglia assai più bassa di assistere in modo sostanziale.

Le definizioni non coincidono, ed è il primo problema

Lo stesso sistema di prescreening può risultare fuori campo a New York, dentro il campo in California e ad alto rischio nell’Unione, nello stesso giorno. Non esiste un test unico. La qualificazione va quindi condotta sistema per sistema, regime per regime, e soprattutto messa per iscritto: è esattamente il ragionamento che un’autorità di controllo esaminerà per primo. Considerare un parere di qualificazione favorevole come risposta valida ovunque è l’errore più diffuso.

I cinque regimi per l’intelligenza artificiale nelle assunzioni

L’intelligenza artificiale nelle assunzioni non è disciplinata da un unico testo con cinque allegati, ma da cinque testi scritti separatamente, in anni diversi, da legislatori che rispondevano a problemi diversi.

Il regolamento europeo sull’IA, allegato III punto 4

Occupazione e gestione dei lavoratori costituiscono una delle otto aree ad alto rischio dell’allegato III. L’articolo 6, paragrafo 2, non lascia margini interpretativi: «Oltre ai sistemi di IA ad alto rischio di cui al paragrafo 1, i sistemi di IA di cui all’allegato III sono considerati ad alto rischio.» La qualificazione trascina con sé l’intero corpo di obblighi del capo III: sistema di gestione dei rischi, governance dei dati, registrazione degli eventi, documentazione tecnica, sorveglianza umana e monitoraggio successivo all’immissione sul mercato. La nostra guida operativa al regolamento europeo sull’IA tratta in dettaglio la ripartizione tra fornitore e deployer.

Il diritto del lavoro italiano

È il livello che le analisi anglosassoni omettono con regolarità, ed è quello che si applica oggi, senza attendere il 2027. Il decreto trasparenza, che ha modificato il decreto legislativo 152 del 1997, impone al datore di lavoro di informare lavoratori e rappresentanze sindacali sull’utilizzo di sistemi decisionali o di monitoraggio automatizzati destinati a fornire indicazioni rilevanti ai fini dell’assunzione, della gestione del rapporto, dell’assegnazione dei compiti e della cessazione. L’informativa è dettagliata e riguarda logiche di funzionamento, categorie di dati e parametri utilizzati. Un sistema di prescreening rientra pienamente in questo obbligo. A questo si aggiunge l’articolo 4 dello Statuto dei Lavoratori sul controllo a distanza, che subordina l’impiego di strumenti da cui derivi anche la possibilità di controllo dell’attività ad accordo sindacale o autorizzazione. Il Garante per la protezione dei dati personali presidia il versante dei dati personali e ha già sanzionato l’uso di algoritmi di gestione del personale ritenuti opachi o discriminatori.

New York: la Local Law 144

In vigore da luglio 2023 e modello per gli altri testi. Il datore di lavoro può utilizzare uno di questi strumenti solo a tre condizioni: un audit indipendente sui bias svolto nei dodici mesi precedenti, la pubblicazione di una sintesi dei risultati e l’informazione ai candidati almeno dieci giorni lavorativi prima dell’uso. Le sanzioni civili arrivano a 1.500 dollari per violazione, e ogni giorno di utilizzo costituisce una violazione autonoma.

Illinois e California

La legge HB 3773 dell’Illinois, applicabile dal 1° gennaio 2026, vieta l’uso di IA che produca un effetto discriminatorio, senza imporre alcun audit. Il risultato è l’illecito. Vieta inoltre il ricorso al codice postale come variabile sostitutiva di una caratteristica protetta. In California la disciplina in vigore dal 1° ottobre 2025 riguarda i datori di lavoro con almeno cinque dipendenti. Contano tre elementi: la prova di test proattivi sui bias è rilevante in sede difensiva, la condotta del fornitore può essere imputata al datore di lavoro, e la conservazione della documentazione del personale passa da due a quattro anni, inclusi i registri dei flussi di candidatura.

Colorado

La legge del Colorado, nel testo modificato, produrrà effetti dal 2027 e segue una logica di dovere di diligenza anziché di audit pubblicato. La trattiamo nella nostra guida dedicata al Colorado AI Act.

La scadenza che si è spostata e le quattro che non si sono mosse

Il 2 agosto 2026 doveva essere la data di applicazione degli obblighi ad alto rischio dell’allegato III. Non lo è più. Nell’ambito del pacchetto Digital Omnibus il Parlamento europeo si è espresso il 16 giugno 2026 con 423 voti favorevoli, 57 contrari e 174 astensioni, e il Consiglio ha dato l’approvazione definitiva il 29 giugno 2026. I sistemi autonomi dell’allegato III, categoria in cui rientrano gli strumenti di selezione, slittano al 2 dicembre 2027, con un rinvio di sedici mesi. I sistemi integrati in prodotti regolamentati dell’allegato I slittano al 2 agosto 2028. Tre elementi non si sono mossi. Le pratiche vietate si applicano dal 2 febbraio 2025 senza periodo transitorio. Il riconoscimento delle emozioni sul luogo di lavoro figura in quell’elenco e non nella categoria ad alto rischio: uno strumento che deduce l’entusiasmo di un candidato da un colloquio registrato è quindi già illecito, non semplicemente regolamentato. Il diritto nazionale non si è mosso. L’articolo 2, paragrafo 11, del regolamento lo prevede espressamente: gli Stati membri possono mantenere o introdurre disposizioni più favorevoli ai lavoratori quanto alla tutela dei loro diritti rispetto all’uso di sistemi di IA da parte dei datori di lavoro, e restano ammessi accordi collettivi più favorevoli. Decreto trasparenza, articolo 4 dello Statuto e disciplina del Garante proseguono quindi il loro corso. E i quattro regimi statunitensi sono rimasti dov’erano. Un ultimo elemento raffredda il sollievo: il rinvio è stato concesso in larga parte perché le norme tecniche armonizzate non sono pronte. Il riferimento rispetto al quale un datore di lavoro sarà valutato è ancora in scrittura. Quei sedici mesi vengono consumati dagli organismi di normazione, non regalati ai deployer.

Che cosa misura davvero un audit sui bias

L’audit richiesto dalla Local Law 144 è un esercizio statistico preciso, e conoscerne la forma distingue un audit utile da uno costoso. Il revisore calcola il tasso di selezione per ciascuna categoria di sesso, razza ed etnia, cioè la quota di candidati selezionati all’interno del gruppo. Per uno strumento che assegna punteggi anziché selezionare, calcola il punteggio medio per gruppo. Ne ricava l’indice di impatto: il tasso di selezione di un gruppo rapportato a quello del gruppo più selezionato. Il risultato si legge alla luce della regola dei quattro quinti. Un indice di impatto inferiore all’80 per cento può segnalare un impatto sfavorevole. Si tratta di un’euristica di individuazione, non di una soglia giuridica. Due dettagli meritano più attenzione di quanta ne ricevano. Il revisore può escludere qualunque categoria che rappresenti meno del 2 per cento dei dati sottoposti ad audit, il che sottrae discretamente al calcolo i gruppi piccoli, proprio dove la discriminazione è più difficile da rilevare. E l’indipendenza ha una portata reale: il revisore non deve avere alcun interesse economico nello strumento, e un fornitore non può auditare il proprio prodotto.

Che cosa l’audit non fa

Non vale come certificato di conformità. Non crea alcuna protezione ai sensi del Title VII statunitense né alcuna presunzione favorevole nel diritto italiano. Ed è un’istantanea annuale di un sistema spesso riaddestrato ogni trimestre. Gli undici mesi che separano due audit sono l’intervallo in cui si insedia la deriva. I meccanismi sottostanti sono trattati nelle nostre guide sui bias dell’IA e sui bias algoritmici.

Il livello federale statunitense che nessuno ha abolito

Il 27 gennaio 2025 la EEOC ha rimosso dal proprio sito le linee guida sull’IA del maggio 2023, dopo l’abrogazione del precedente ordine esecutivo presidenziale sull’intelligenza artificiale. L’agenzia ha poi avviato la chiusura dei procedimenti pendenti fondati sull’impatto sfavorevole. Diversi gruppi italiani con una controllata statunitense hanno letto la notizia come una chiusura del fronte federale. È una lettura sbagliata. Il divieto di pratiche che producono un impatto sfavorevole è contenuto nel Title VII, che è una legge. Le Uniform Guidelines on Employee Selection Procedures e i loro requisiti di validazione si applicano a qualsiasi procedura di selezione, algoritmica o meno, e nessuno dei due testi è stato modificato. Le linee guida spiegano la norma, non la creano, e il loro ritiro non abroga nulla. A cambiare è stata la postura sanzionatoria federale, non lo standard. Attori privati, azioni collettive e procuratori generali dei singoli Stati agiscono in modo indipendente dalle priorità della EEOC. Il ritiro della pubblicazione ha reso lo standard meno leggibile senza renderlo meno vincolante, che è una posizione peggiore, non migliore.

Una sola catena di prove per cinque regimi

Cinque regimi, cinque definizioni, tre logiche di responsabilità. Portare avanti cinque progetti di conformità distinti non è sostenibile. Costruire un’unica catena di prove lo è, perché quei testi richiedono artefatti largamente sovrapponibili sotto nomi diversi.

1. Censire ogni strumento che assegna punteggi, ordina, filtra o monitora una persona. Comprese le funzionalità attivate dentro un ATS o un sistema HR che nessuno ha acquistato come IA, dove si annida la maggior parte dell’esposizione non dichiarata. La nostra guida sulla shadow AI descrive l’approccio.
2. Qualificare il perimetro regime per regime, per iscritto. Lo stesso strumento riceve cinque risposte. Va conservato il ragionamento e chi lo ha sottoscritto.
3. Condurre una valutazione preliminare strutturata. L’articolo 27 del regolamento offre un modello utilizzabile ben oltre i confini dell’Unione: descrizione dei processi del deployer, periodo e frequenza d’uso, categorie di persone interessate, rischi specifici di pregiudizio, misure di sorveglianza umana attuate e assetti di governance interna e di gestione dei reclami. Il rapporto con la valutazione d’impatto sulla protezione dei dati è trattato nella nostra nota sulla differenza tra PIA, DPIA e valutazione d’impatto sui diritti fondamentali.
4. Commissionare test indipendenti sui bias e conservarne gli artefatti, non solo la sintesi: tassi di selezione e di punteggio, indici di impatto, metodologia, dichiarazione di indipendenza del revisore, risultato pubblicato. La nostra guida all’audit dell’IA tratta la scelta del revisore.
5. Rendere effettiva la sorveglianza umana. L’articolo 14 impone che i sistemi ad alto rischio siano progettati in modo da poter essere effettivamente sorvegliati da persone fisiche durante il periodo di utilizzo. Un selezionatore che valida una graduatoria senza il tempo né gli strumenti per contraddirla non sta sorvegliando nulla. La distinzione è oggetto della nostra guida su human-in-the-loop e human-on-the-loop.
6. Conservare le prove dell’informativa, per quattro anni. Adottare la finestra californiana come soglia globale evita di seguire cinque scadenzari paralleli e copre ampiamente gli obblighi informativi del decreto trasparenza.
7. Rivedere il contratto con il fornitore. Deve imporre la cooperazione all’audit, l’accesso ai dati necessari al calcolo degli indici di impatto, la notifica di ogni modifica sostanziale del modello e l’indicazione di chi effettua l’audit. Poiché un fornitore non può auditare il proprio strumento, il silenzio su questo punto significa che nessuno lo ha fatto.
8. Monitorare tra un audit e l’altro. Seguire i tassi di selezione in continuo, perché l’audit annuale confermi ciò che già sapevate anziché scoprirlo con undici mesi di ritardo. È ordinaria gestione del rischio dell’IA applicata a un imbuto di selezione.

Questa catena è un unico programma. Dalle stesse operazioni nascono l’audit newyorkese, la prova di assenza di effetto discriminatorio per l’Illinois, il set di conservazione californiano, la traccia di diligenza per il Colorado, la documentazione tecnica dell’allegato III e l’informativa dovuta a lavoratori e sindacati.

Il tasso di conformità che nessuno cita

L’argomento più forte per costruire il dispositivo sul serio viene da ciò che la ricerca mostra sugli altri. Uno studio presentato alla conferenza ACM su equità, responsabilità e trasparenza ha esaminato la reazione dei datori di lavoro alla Local Law 144. Su 391 datori di lavoro analizzati da 155 rilevatori, in una collaborazione tra il CAT Lab della Cornell University, il Data & Society Research Institute e Consumer Reports, 18 avevano pubblicato un rapporto di audit e 13 un avviso di trasparenza. Solo undici avevano pubblicato entrambi in forma conforme. Di quel numero esistono due letture. Quella rassicurante: l’applicazione è debole e il rischio statisticamente contenuto. Quella corretta: un’assenza pressoché totale di audit pubblicati in un mercato interamente regolato non è un equilibrio stabile, e chi pubblica non è il bersaglio. Le organizzazioni realmente esposte sono quelle che hanno concluso di essere fuori campo senza conservare traccia del perché.

Domande frequenti

Che cos’è un sistema decisionale automatizzato nelle assunzioni? È qualunque software che, tramite apprendimento automatico, statistica, analisi dei dati o IA, produce un punteggio, una graduatoria o una raccomandazione che assiste in modo sostanziale o sostituisce una decisione umana di assunzione o promozione. In concreto: analizzatori di curriculum, motori di abbinamento delle candidature, correzione di test, analisi di colloqui video e alcuni strumenti di ricerca attiva. Se un determinato strumento vi rientri dipende dalla giurisdizione, perché New York, la California e l’Unione applicano tre soglie diverse. Il rinvio europeo elimina gli obblighi per l’intelligenza artificiale nelle assunzioni? No, sposta la data. I sistemi autonomi dell’allegato III hanno ora tempo fino al 2 dicembre 2027 anziché al 2 agosto 2026, con conferma del Consiglio del 29 giugno 2026. Le pratiche vietate, incluso il riconoscimento delle emozioni sul luogo di lavoro, si applicano da febbraio 2025 e non sono state rinviate. Gli Stati membri restano liberi, ai sensi dell’articolo 2 paragrafo 11, di mantenere regole più protettive. E il decreto trasparenza si applica già oggi. Occorre informare sindacati e lavoratori prima di introdurre uno strumento di selezione automatizzata? Sì. Il decreto trasparenza impone di informare lavoratori e rappresentanze sindacali sull’uso di sistemi decisionali o di monitoraggio automatizzati rilevanti ai fini dell’assunzione e della gestione del rapporto, con indicazione delle logiche di funzionamento e dei parametri. Se dallo strumento deriva anche solo la possibilità di controllo dell’attività, si aggiunge l’articolo 4 dello Statuto dei Lavoratori, che richiede accordo sindacale o autorizzazione. Nessuno dei due obblighi beneficia del rinvio europeo. Un audit annuale sui bias rende lo strumento conforme? No. Soddisfa un requisito specifico di una legge specifica e calcola indici di impatto in un dato momento. Non convalida lo strumento come pertinente alla mansione e giustificato da una necessità organizzativa, non crea alcuna protezione ai sensi del Title VII e non dice nulla sul criterio dell’effetto adottato dall’Illinois né sugli obblighi europei per l’alto rischio. Scambiare il certificato di audit per una conclusione di conformità è l’errore più diffuso in questo campo. Chi risponde se lo strumento di un fornitore discrimina? In primo luogo il datore di lavoro, in tutti e cinque i regimi esaminati. New York pone l’obbligo in capo a chi utilizza lo strumento. La disciplina californiana prevede l’imputazione della condotta del fornitore al datore di lavoro. Il regolamento europeo ripartisce gli obblighi tra fornitore e deployer, ma il deployer, definito come il soggetto che utilizza il sistema sotto la propria autorità, sopporta gli obblighi di utilizzo. Il fornitore corre un rischio contrattuale e reputazionale. Il rischio regolatorio resta vostro. Queste regole valgono per un’azienda italiana che non assume negli Stati Uniti? Sì, per almeno due vie. Decreto trasparenza, articolo 4 dello Statuto e GDPR si applicano immediatamente, senza attendere dicembre 2027. E il regolamento europeo coprirà ogni sistema di prescreening o di valutazione riconducibile al punto 4 dell’allegato III. I testi statunitensi riguardano soltanto i gruppi con una società o candidati negli Stati Uniti, ma restano il riferimento più severo e quindi il più utile per tarare un dispositivo unico.

Conclusione

L’intelligenza artificiale nelle assunzioni è oggi la categoria di IA aziendale regolata con maggiore densità, ed è anche quella con più probabilità di essere stata attivata dentro una piattaforma HR esistente senza alcuna decisione di acquisto. Cinque regimi la raggiungono con tre logiche di responsabilità incompatibili, e la scadenza appena spostata era l’unica a concedere respiro. La risposta che regge la scala non è cinque progetti di conformità. È un inventario, una qualificazione per regime, una struttura di valutazione, un test indipendente con artefatti conservati, una conservazione quadriennale e un modello di clausola per i fornitori. Ciascuno dei regimi esaminati si soddisfa con prove tratte da quell’unica catena. AI Sigil è costruito per reggere quella catena: inventario dei sistemi, classificazione per framework, mappatura dei controlli e prove verificabili su tutti i regimi che vi riguardano. Per vedere come il vostro processo di selezione si proietta su tutti e cinque, partite dal nostro framework di governance dell’IA.