Prima del sì al software HR, il consulente deve (saper) interrogare l’IA

Quando un software, utilizzando sistemi di Intelligenza artificiale (IA), entra nei processi che riguardano i lavoratori, occorre domandarsi cosa decide il sistema, sulla base di quali dati e quale ruolo resta alla persona. Da qui dovrebbe partire il confronto tra impresa e consulente del lavoro, anticipando la firma di un contratto per un software capace di filtrare curricula, comporre turni o attribuire punteggi alle prestazioni.

Non è una questione solo tecnologica: entrano in gioco classificazione del sistema, obblighi informativi, supervisione umana e documentazione da conservare.

La domanda arriva ora sul tavolo dello studio

Su redigo.info, l’autore Antonio Sinibaldi ha posto una domanda che molte imprese preferirebbero rimandare: se domani qualcuno chiedesse di dimostrare come l’azienda utilizza l’IA, cosa sarebbe possibile mostrare? Ebbene, la risposta – «la usiamo un po’ tutti» – fotografa bene il problema.

Gli strumenti entrano nelle organizzazioni per gradi, spesso incorporati in software già utilizzati, e finiscono così per sottrarsi a una visione d’insieme. Quando lo strumento riguarda il personale, quella visione è necessaria. Chi assiste l’impresa nelle assunzioni, nei contratti, nell’organizzazione del lavoro e nel contenzioso è spesso il primo professionista a cui il datore si rivolge. Il consulente non deve diventare un tecnico informatico, però deve saper distinguere un software ordinario da uno capace di far scattare obblighi specifici e quali documenti chiedere.

Quando un software HR è «ad alto rischio»

Il punto di partenza è l’Allegato III, punto 4, del Regolamento (UE) 2024/1689, l’AI Act.

Sono considerati ad alto rischio i sistemi destinati all’assunzione o alla selezione di persone fisiche, in particolare quando vengono utilizzati per pubblicare annunci mirati, analizzare o filtrare candidature e valutare candidati. La categoria comprende anche i sistemi impiegati per adottare decisioni sulle condizioni di lavoro, sulle promozioni o sulle cessazioni, per assegnare compiti sulla base del comportamento individuale o di tratti personali, nonché per monitorare e valutare prestazioni e comportamento dei lavoratori.

Il software che seleziona, assegna i turni e misura le prestazioni può, quindi, intercettare più di una di queste fattispecie.

L’art. 6, par. 3, prevede una deroga per i sistemi dell’Allegato III che non presentano un rischio significativo, ma pone un limite preciso: un sistema che effettua la profilazione di persone fisiche resta sempre ad alto rischio. E nella gestione del personale la profilazione può costituire il cuore stesso del prodotto.

Anche il calendario applicativo merita attenzione. Il Regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus sull’IA, ha spostato al 2 dicembre 2027 l’applicazione dei requisiti per i sistemi ad alto rischio dell’Allegato III. Un contratto firmato oggi, soprattutto se pluriennale, arriverà comunque a quella data. È perciò opportuno che il fornitore abbia già risposto per iscritto alle domande essenziali.

Il deployer deve informare

Per l’AI Act, il datore di lavoro che utilizza il sistema è un deployer. L’art. 26, par. 7, gli impone di informare i rappresentanti dei lavoratori e i lavoratori interessati prima di mettere in servizio o utilizzare un sistema ad alto rischio sul luogo di lavoro. Il par. 11 dello stesso articolo – si guardi il link appena più sopra, ndr. – stabilisce, inoltre, che le persone destinatarie di decisioni adottate con un sistema dell’Allegato III devono essere informate d’essere soggette al suo utilizzo.

Ma il diritto interno presenta già oggi un perimetro rilevante. L’analisi della Fondazione Studi Consulenti del Lavoro del 22 settembre 2026, ripresa da redigo.info, richiama l’art. 1-bis del D.Lgs. 152/1997 sui sistemi decisionali o di monitoraggio automatizzati, l’art. 4 dello Statuto dei lavoratori sui controlli a distanza e la legge 23 settembre 2025, n. 132, che dal 10 ottobre 2025 affianca l’AI Act con disposizioni di settore.

La conseguenza pratica è chiara: l’informativa ai lavoratori deve essere predisposta prima dell’avvio del sistema, sulla base di informazioni che, nella gran parte dei casi, solo il fornitore può dare.

C’è poi il tema delle persone che utilizzeranno quotidianamente lo strumento. Nella versione modificata dal Regolamento 2026/1744, l’art. 4 dell’AI Act richiede a fornitori e deployer di adottare misure per sostenere l’alfabetizzazione in materia di IA del proprio personale. In un’azienda significa almeno sapere chi utilizza il software, per quali finalità e quali indicazioni abbia ricevuto sul suo funzionamento e sui limiti che ha.

Il fascicolo del cliente: cosa conservare?

Il registro interno proposto da Sinibaldi, con strumenti, utenti e attività, costituisce il punto di partenza. Per un sistema HR il consulente può chiedere al cliente una scheda dedicata, capace di reggere anche nel momento in cui un candidato escluso o un ispettore chieda conto delle modalità di utilizzo del sistema. Dovrebbero essere indicati il nome del prodotto e del fornitore, l’uso previsto, le categorie di dati trattati e le decisioni che restano affidate a una persona.

Va anche individuato chi esercita la sorveglianza umana. L’art. 26, par. 2, richiede che sia affidata a persone dotate di competenza, formazione e autorità adeguate. La scelta, quindi, non è un dettaglio tecnico, ma una decisione organizzativa.

Servono poi la copia dell’informativa consegnata, con la data, e la prova che rappresentanze e lavoratori siano stati informati prima dell’avvio.

Un altro dettaglio riguarda i log. L’art. 26, par. 6, richiede al deployer di conservare quelli generati automaticamente dal sistema, nella misura in cui siano sotto il suo controllo, per almeno sei mesi, salvo diversa previsione della normativa sulla protezione dei dati. Se il software opera in cloud, il contratto dovrà chiarire chi conserva i log, per quanto tempo e con quali modalità il datore di lavoro può ottenerli.

Cinque domande al fornitore prima della firma

Il parere del consulente diventa più solido se il cliente dispone di risposte scritte a poche domande decisive:

1. il sistema è classificato come ad alto rischio ai sensi dell’Allegato III, punto 4? Se no, su quale valutazione documentata si basa questa conclusione?
2. quali dati utilizza il sistema e quali criteri incidono sul risultato? Quali informazioni fornisce per predisporre l’informativa ai lavoratori?
3. in quale punto del processo interviene una persona? Il sistema consente di correggere, modificare o ignorare il proprio output?
4. dove vengono conservati i log e per quanto tempo? Come può ottenerli il datore di lavoro su richiesta?
5. quali istruzioni e materiali esplicativi sono messi a disposizione del personale che utilizzerà lo strumento?

Se le risposte arrivano vaghe, quella vaghezza è già un’informazione utile per il cliente.

Le parole da spiegare al cliente

E’ parte importante del lavoro del consulente, su questo terreno, la traduzione. Deployer, sistema ad alto rischio, sorveglianza umana, profilazione e accountability sono termini che il cliente incontra nei documenti del fornitore e che tende a interpretare attraverso il proprio linguaggio. Un parere chiaro comincia dal dare a ciascun termine un significato condiviso, prima ancora di discutere gli obblighi.

È un terreno sul quale il pubblico di redigo.info e il mondo dell’Associazione Italiana Professionisti dell’Intelligenza Artificiale (AIPIA) si incontrano naturalmente. Da una parte c’è chi conosce il rapporto di lavoro e le sue regole; dall’altra chi progetta, integra e governa sistemi di IA.

Per avere definizioni brevi da condividere con il cliente, AIPIA dispone di un glossario pubblico con voci dedicate ad AI Act, bias, accountability e guardrail: uno strumento pensato per spiegare questi concetti senza dover ricorrere a un linguaggio tecnico.

La documentazione è già tutela

C’è, infine, un vantaggio meno evidente. Il consulente che chiede questa documentazione prima della firma non sta semplicemente accumulando carte, sta costruendo la traccia delle decisioni assunte.

Data dell’informativa, nome della persona incaricata della sorveglianza, dichiarazioni del fornitore, modalità di conservazione dei log. Elementi che, quando tutto funziona, possono sembrare secondari. Dopo una contestazione, possono diventare decisivi. Ricostruire la documentazione a posteriori significa affidarsi alla memoria e ai documenti rimasti disponibili. Averla costruita prima consente, invece, di dimostrare non soltanto che cosa l’impresa ha fatto, ma anche come e perché.

Ed è forse qui che il ruolo del consulente del lavoro assume il suo valore più concreto: non intervenire quando il problema è già emerso, ma aiutare l’impresa a porre le domande giuste prima che il software entri nell’organizzazione.

Rafael Patron per redigo.info

Presidente del Comitato Tecnico-Scientifico AIPIA