Navigare l'EU AI Act: cosa devono sapere i team di selezione prima di agosto 2026

Il 2 agosto 2026 entreranno pienamente in vigore i requisiti ad alto rischio dell'EU AI Act. Qualsiasi sistema di IA utilizzato per reclutamento, screening o valutazione dei candidati — che analizzi curriculum, valuti assessment, conduca colloqui o classifichi candidati — rientra nella categoria regolatoria più severa della legge. Le sanzioni per la non conformità raggiungono €35 milioni o il 7% del fatturato annuo globale, se superiore.

Non è una preoccupazione futura. Mancano cinque mesi. E per la maggior parte delle organizzazioni che utilizzano l'IA nel recruiting, il divario di conformità è più ampio di quanto pensino.

Cosa dice l'EU AI Act sul recruiting

L'EU AI Act (Regolamento 2024/1689) stabilisce un quadro basato sul rischio per i sistemi di IA in tutti i settori. L'Articolo 6 e l'Allegato III classificano esplicitamente i sistemi di IA utilizzati per "reclutamento o selezione di persone fisiche, per prendere decisioni che incidono sui termini del rapporto di lavoro, o per l'assegnazione di compiti basata sul comportamento individuale" come ad alto rischio.

Questa classificazione si applica praticamente a ogni strumento di IA nello stack moderno di recruiting:

• Strumenti di screening dei curriculum — inclusi filtri ATS e parser CV basati sull'IA
• Piattaforme di assessment — test cognitivi, valutazioni della personalità, valutazioni delle competenze
• Sistemi di colloquio AI — analisi video, colloqui con chatbot, valutazione automatica
• Motori di classificazione dei candidati — algoritmi di shortlisting, scoring di compatibilità, sistemi di raccomandazione
• Chatbot e assistenti AI — qualsiasi IA che interagisce con i candidati durante il processo di selezione

La tempistica: cosa è già in vigore

L'EU AI Act è entrato in vigore il 1° agosto 2024, con un calendario di implementazione graduale:

Già attivo: il divieto di riconoscimento delle emozioni

Dal 2 febbraio 2025, è illegale utilizzare sistemi di IA che inferiscono emozioni da dati biometrici (espressioni facciali, tono della voce, linguaggio del corpo) in contesti lavorativi e di selezione. Questo impatta direttamente le piattaforme di colloquio video che affermavano di valutare "entusiasmo", "sicurezza" o "cultura aziendale" dall'analisi facciale. Qualsiasi fornitore che offre ancora il rilevamento delle emozioni nei colloqui di lavoro sta operando in violazione della legge.

Già attivo: requisiti di trasparenza

Dal 2 agosto 2025, le organizzazioni devono informare i candidati prima dell'inizio del processo che l'IA viene utilizzata nella loro valutazione. Non è una semplice casella da spuntare — richiede una comunicazione significativa su:

• Quali sistemi di IA vengono utilizzati
• Quali dati vengono raccolti ed elaborati
• Come gli output dell'IA influenzano le decisioni di assunzione
• Il diritto del candidato di richiedere una revisione umana

In arrivo ad agosto 2026: conformità completa ad alto rischio

La scadenza di agosto 2026 è quando entrano in vigore i requisiti completi per i sistemi di IA ad alto rischio. Questa è la montagna di conformità che la maggior parte delle organizzazioni non ha ancora scalato.

I sette pilastri della conformità ad alto rischio

Gli Articoli 8-15 dell'EU AI Act definiscono sette categorie di requisiti per i sistemi di IA ad alto rischio. Ecco cosa significa ciascuno per i team di selezione:

1. Sistema di gestione del rischio (Articolo 9)

È necessario implementare un processo continuo di gestione del rischio durante tutto il ciclo di vita del sistema di IA — non una valutazione una tantum, ma una pratica continuativa. Questo include:

• Identificazione e analisi dei rischi noti e prevedibili
• Stima dei rischi per la salute, la sicurezza e i diritti fondamentali
• Adozione di misure di mitigazione del rischio
• Test del sistema rispetto a tali misure

Per l'IA nel recruiting, ciò significa documentare i rischi di bias, discriminazione, opacità ed errori nella valutazione dei candidati — e dimostrare cosa si sta facendo al riguardo.

2. Governance dei dati (Articolo 10)

I dati di addestramento, validazione e test devono soddisfare criteri di qualità rigorosi. La legge richiede:

• Dati che siano pertinenti, rappresentativi e privi di errori
• Esame dei possibili bias nei dataset di addestramento
• Documentazione delle fonti dei dati, dei metodi di raccolta e delle fasi di elaborazione
• Particolare attenzione alle caratteristiche protette (genere, etnia, età, disabilità)

3. Documentazione tecnica (Articolo 11)

Prima che qualsiasi sistema di IA per il recruiting venga immesso sul mercato o distribuito, deve essere predisposta una documentazione tecnica completa. Questa include architettura del sistema, specifiche di progettazione, algoritmi utilizzati, requisiti dei dati, metriche di performance e limitazioni note.

4. Tenuta dei registri e logging (Articolo 12)

I sistemi di IA ad alto rischio devono automaticamente registrare gli eventi durante il loro funzionamento. Per l'IA nel recruiting, ciò significa:

• Ogni punteggio, classifica o raccomandazione generati dall'IA devono essere tracciabili
• I log devono identificare i dati di input, la versione del modello e l'output
• I registri devono essere conservati per la durata specificata dalla legge applicabile (minimo: durata del processo di selezione + periodo di ricorso)
• I log devono essere accessibili per l'ispezione regolamentare

5. Trasparenza e informazione (Articolo 13)

I sistemi di IA per il recruiting devono essere progettati per essere sufficientemente trasparenti affinché i deployer (datori di lavoro) possano interpretare gli output e utilizzarli adeguatamente. Questo include:

• Istruzioni chiare per gli operatori umani su come interpretare gli output dell'IA
• Documentazione delle capacità e dei limiti del sistema
• Informazioni sul livello di accuratezza e sui bias noti
• Condizioni in cui il sistema può produrre risultati errati

6. Supervisione umana (Articolo 14)

Questo è il requisito che modella fondamentalmente come l'IA può essere utilizzata nel recruiting. La legge stabilisce che i sistemi di IA ad alto rischio devono essere progettati per consentire un'efficace supervisione umana. Nello specifico:

• Un essere umano qualificato deve essere in grado di comprendere gli output dell'IA
• Un essere umano deve essere in grado di ignorare o invertire qualsiasi decisione dell'IA
• Il sistema non deve produrre output che un operatore umano non possa esaminare in modo significativo
• Il rifiuto automatico dei candidati senza revisione umana è esplicitamente non conforme

"L'Articolo 14 non vieta all'IA di intervenire nel recruiting — vieta all'IA di farlo autonomamente. Ogni raccomandazione dell'IA deve passare attraverso un essere umano che possa comprenderla, metterla in discussione e ignorarla."

7. Accuratezza, robustezza e cybersicurezza (Articolo 15)

I sistemi di IA ad alto rischio devono raggiungere un livello adeguato di accuratezza per il loro scopo previsto, essere resilienti agli errori e alle incoerenze, ed essere protetti da accessi o manipolazioni non autorizzate.

Il mandato di monitoraggio dei bias

Sebbene l'EU AI Act non utilizzi il termine "regola dei quattro quinti" (uno standard legale americano), i suoi requisiti di non discriminazione sono ancora più completi. L'Articolo 10(2)(f) richiede che i dati di addestramento vengano esaminati per "possibili bias che potrebbero influire sulla salute e sulla sicurezza delle persone, avere un impatto negativo sui diritti fondamentali". Il Considerando 47 fa riferimento esplicito al rischio di "perpetuare schemi storici di discriminazione" nell'occupazione.

In pratica, ciò significa che le organizzazioni devono:

• Monitorare i tassi di selezione per genere, etnia, età e stato di disabilità
• Documentare qualsiasi impatto disparato e le misure adottate per affrontarlo
• Condurre audit periodici dei bias sugli outcome generati dall'IA
• Fornire ai candidati il diritto di spiegazione per le decisioni influenzate dall'IA

Come appare la conformità nella pratica

Molti fornitori dichiarano "conformità all'EU AI Act" senza specificare cosa intendono. Ecco una checklist pratica per valutare se il tuo stack di IA per il recruiting è davvero pronto per agosto 2026:

• Notifica ai candidati: I candidati vengono informati prima del processo che viene utilizzata l'IA?
• Supervisione umana: Ogni raccomandazione dell'IA passa a un essere umano prima di qualsiasi decisione di assunzione?
• Spiegabilità: Puoi spiegare a un candidato perché ha ottenuto quel punteggio?
• Audit trail: Ogni decisione di scoring dell'IA è registrata con input, versione del modello e output?
• Monitoraggio dei bias: Monitori i tassi di selezione per caratteristiche protette in tempo reale?
• Nessun riconoscimento delle emozioni: Qualche strumento nel tuo stack inferisce emozioni da dati biometrici?
• Diritto di revisione: I candidati possono richiedere la revisione umana di qualsiasi decisione influenzata dall'IA?
• Governance dei dati: Puoi documentare la provenienza e la qualità dei dati di addestramento dell'IA?
• Documentazione tecnica: L'architettura, le performance e i limiti del sistema di IA sono documentati?
• Segnalazione degli incidenti: Hai un processo per segnalare i malfunzionamenti del sistema di IA alle autorità?

La connessione con il GDPR

L'EU AI Act non sostituisce il GDPR — si sovrappone ad esso. Le organizzazioni che utilizzano l'IA nel recruiting devono conformarsi a entrambi simultaneamente. Principali considerazioni GDPR per gli strumenti di IA nel recruiting:

• Articolo 22 (decisioni automatizzate): I candidati hanno il diritto di non essere soggetti a decisioni basate esclusivamente su elaborazioni automatizzate che producono effetti legali o significativamente analoghi. Questo si allinea al requisito di supervisione umana dell'AI Act.
• Base giuridica: Il trattamento dei dati dei candidati attraverso sistemi di IA richiede una base giuridica — tipicamente interesse legittimo o consenso esplicito.
• Minimizzazione dei dati: Raccogliere ed elaborare solo i dati necessari per la decisione di assunzione.
• Diritto alla cancellazione: I candidati possono richiedere l'eliminazione dei loro dati, inclusi punteggi e profili generati dall'IA.
• Valutazione d'impatto sulla protezione dei dati (DPIA): I sistemi di IA per il recruiting quasi certamente attivano il requisito di una DPIA ai sensi dell'Articolo 35 del GDPR.

Cosa succede se non sei pronto

La struttura sanzionatoria dell'EU AI Act è concepita per garantire che la conformità non sia opzionale:

• Pratiche vietate (es. riconoscimento delle emozioni nel recruiting): Fino a €35 milioni o il 7% del fatturato annuo globale
• Non conformità ad alto rischio (es. documentazione mancante, nessuna supervisione umana): Fino a €15 milioni o il 3% del fatturato annuo globale
• Informazioni errate alle autorità: Fino a €7,5 milioni o l'1% del fatturato annuo globale

Oltre alle multe, la non conformità crea rischi di contenzioso. I candidati che ritengono di essere stati discriminati da strumenti di IA per il recruiting hanno ora un chiaro quadro normativo per contestare tali decisioni. I tribunali del lavoro in tutta l'UE si prevede faranno riferimento all'AI Act come standard di diligenza per le assunzioni assistite dall'IA.

Cinque passi per prepararsi

Con cinque mesi all'applicazione completa, ecco una roadmap pratica per i team di selezione:

• 1. Audit del tuo stack di IA. Mappa ogni strumento di IA che tocca il tuo processo di recruiting — filtri ATS, piattaforme di assessment, strumenti per i colloqui, motori di ranking, chatbot. Determina quali rientrano nella classificazione ad alto rischio.
• 2. Valuta i tuoi fornitori. Chiedi a ciascun fornitore la loro documentazione di conformità all'EU AI Act. Se non possono fornirla, non sono pronti — e di conseguenza, non lo sei nemmeno tu.
• 3. Implementa la supervisione umana. Assicurati che nessuna raccomandazione generata dall'IA porti al rifiuto di un candidato senza revisione umana. Documenta il processo decisionale umano.
• 4. Stabilisci il monitoraggio dei bias. Inizia a tracciare i tassi di selezione per caratteristiche protette. Se trovi un impatto disparato, documenta le misure di mitigazione.
• 5. Prepara la documentazione. Crea o richiedi documentazione tecnica per ogni sistema di IA nel tuo stack di recruiting. Include valutazioni del rischio, procedure di governance dei dati e piani di risposta agli incidenti.

Il punto di fondo

L'EU AI Act non è un ostacolo al recruiting basato sull'IA — è un framework per farlo responsabilmente. Le organizzazioni che abbracciano la conformità si troveranno con strumenti più affidabili, decisioni più difendibili ed esperienze candidate migliori. Quelle che lo ignorano affrontano sanzioni finanziarie, esposizione legale e rischio reputazionale.

La domanda non è se conformarsi. È se guidare o rincorrere. Agosto 2026 è più vicino di quanto pensi.