Intelligenza artificiale nel recruiting: quali controlli servono per evitare selezioni discriminatorie
Un candidato può essere escluso da una selezione prima che un responsabile delle risorse umane abbia esaminato il suo curriculum. Accade quando un sistema automatizzato attribuisce punteggi alle candidature, stabilisce graduatorie o applica criteri di esclusione che incidono sull’accesso alle fasi successive del colloquio. Il problema diventa particolarmente delicato quando le regole utilizzate dal software non sono sufficientemente comprensibili oppure producono risultati differenti tra persone con caratteristiche comparabili.
L’impiego dell’intelligenza artificiale nel recruiting pone quindi una questione che riguarda direttamente l’accesso al lavoro: come verificare che una valutazione automatizzata sia pertinente rispetto alle competenze richieste e non introduca discriminazioni difficili da individuare.
Il regolamento europeo sull’intelligenza artificiale, conosciuto come AI Act, considera numerosi sistemi utilizzati nella selezione del personale applicazioni ad alto rischio. La normativa prevede controlli sulla qualità dei dati, sulla trasparenza dei risultati e sulla supervisione umana. Le scadenze, tuttavia, richiedono attenzione: una parte delle disposizioni europee è già applicabile, mentre gli obblighi specifici per i sistemi di recruiting classificati ad alto rischio entreranno in applicazione il 2 dicembre 2027.
Quali strumenti di selezione rientrano tra i sistemi ad alto rischio
L’allegato III del regolamento UE 2024/1689 individua espressamente le applicazioni dell’intelligenza artificiale destinate al reclutamento e alla selezione delle persone. Il riferimento comprende i sistemi utilizzati per pubblicare annunci di lavoro mirati, analizzare e filtrare candidature e valutare i candidati.
La classificazione riguarda anche determinate applicazioni impiegate nella gestione dei rapporti di lavoro, nelle decisioni sulle condizioni contrattuali, nelle promozioni, nelle cessazioni dei rapporti e nella valutazione delle prestazioni.
La distinzione è importante perché non qualsiasi software utilizzato da un ufficio del personale viene automaticamente considerato ad alto rischio. Un programma che organizza gli appuntamenti o archivia documenti senza valutare le persone svolge una funzione differente rispetto a un sistema che assegna probabilità di successo professionale o suggerisce quali candidature scartare.
L’AI Act contempla inoltre alcune eccezioni alla classificazione ad alto rischio per applicazioni che svolgono attività procedurali circoscritte, non influenzano materialmente l’esito della decisione e soddisfano le condizioni previste dall’articolo 6. La possibilità di applicare queste eccezioni richiede una valutazione documentata. I sistemi che effettuano profilazione di persone fisiche nell’ambito delle categorie dell’allegato III restano comunque considerati ad alto rischio.
Per le aziende che adottano l’intelligenza artificiale nel recruiting, il primo controllo consiste dunque nell’individuare la funzione effettiva dello strumento. La denominazione commerciale del prodotto, la presenza di un algoritmo o la dichiarazione del fornitore non sono sufficienti per stabilire quale disciplina debba essere applicata.
Occorre verificare quali informazioni vengano elaborate, quali risultati produca il sistema e quanto tali risultati incidano sulle decisioni dei selezionatori.
Il rischio di discriminazione può nascere dai dati utilizzati
Un sistema addestrato sui risultati di precedenti selezioni può apprendere relazioni statistiche che riflettono anche le caratteristiche delle persone assunte in passato. Se i dati storici contengono squilibri, l’algoritmo potrebbe riprodurli nelle valutazioni successive.
Il meccanismo non richiede necessariamente che il software utilizzi esplicitamente informazioni come genere, origine etnica o disabilità. Alcuni elementi apparentemente neutrali possono funzionare come indicatori indiretti di caratteristiche personali.
Un’interruzione della carriera, per esempio, può avere spiegazioni differenti: maternità, assistenza familiare, problemi di salute, formazione o cambiamenti professionali. Penalizzare automaticamente tutte le interruzioni sulla base della loro durata rischia di produrre effetti sfavorevoli su determinate categorie di candidati.
Un problema analogo potrebbe emergere attribuendo particolare importanza alla continuità lavorativa, alla provenienza da specifiche università oppure a determinate caratteristiche linguistiche, senza dimostrare che siano effettivamente necessarie per la posizione disponibile.
Si tratta di rischi potenziali, non della prova che ogni sistema utilizzi criteri discriminatori. La valutazione dipende dai dati, dal modello, dall’impiego concreto e dal rapporto tra le caratteristiche esaminate e le mansioni professionali.
La discriminazione indiretta merita particolare attenzione. Anche un criterio formulato in termini neutrali può determinare uno svantaggio per un gruppo protetto, salvo che ricorrano le condizioni giuridiche che ne giustificano l’utilizzo, compresa la proporzionalità rispetto a un obiettivo legittimo.
Le norme antidiscriminatorie europee e italiane continuano ad applicarsi indipendentemente dalle scadenze dell’AI Act. L’utilizzo di una tecnologia non modifica la responsabilità di rispettare la parità di trattamento nell’accesso all’occupazione.
Le verifiche tecniche devono riguardare gli esiti delle selezioni
Controllare l’accuratezza di un algoritmo significa verificare quanto correttamente svolga il compito assegnato. Nel recruiting, però, una percentuale elevata di classificazioni considerate corrette non dimostra automaticamente l’assenza di discriminazioni.
Un modello può ottenere risultati soddisfacenti sul campione complessivo e mostrare prestazioni significativamente peggiori per specifici gruppi di persone. Possono cambiare, ad esempio, i tassi di esclusione oppure la frequenza con cui candidati potenzialmente idonei vengono giudicati inadatti.
Per questo, una verifica attendibile dovrebbe considerare la rappresentatività dei dati utilizzati, la pertinenza delle variabili e le differenze nei risultati, attraverso metodi statistici appropriati e nel rispetto della normativa sulla protezione dei dati personali.
L’analisi richiede particolare cautela quando riguarda caratteristiche protette. La raccolta di informazioni sensibili per misurare possibili disparità non è automaticamente consentita: deve poggiare su una base giuridica adeguata e rispettare le condizioni previste dal GDPR.
L’AI Act disciplina specificamente, all’articolo 10, le condizioni entro cui i fornitori di sistemi ad alto rischio possono trattare categorie particolari di dati personali per individuare e correggere distorsioni. La possibilità è subordinata a rigorosi requisiti, tra cui la stretta necessità e specifiche garanzie.
Per l’intelligenza artificiale nel recruiting assume rilievo anche la qualità dei test. Un sistema sviluppato utilizzando candidature relative a un determinato settore professionale potrebbe comportarsi diversamente quando viene adottato per mansioni, territori o popolazioni differenti.
La verifica dovrebbe quindi essere ripetuta quando cambiano le caratteristiche del processo di selezione, i criteri di valutazione o le condizioni operative.
AI Act, quali obblighi sono già applicabili nel novembre 2026
La cronologia della normativa europea distingue tra entrata in vigore del regolamento e applicazione delle singole disposizioni.
L’AI Act è entrato in vigore il 1° agosto 2024. Dal 2 febbraio 2025 si applicano le disposizioni generali del primo capitolo, comprese quelle relative all’alfabetizzazione in materia di intelligenza artificiale, insieme alla maggior parte dei divieti previsti dall’articolo 5.
Dal 2 agosto 2025 sono diventate applicabili, tra le altre, le disposizioni europee relative alla governance e ai modelli di intelligenza artificiale per finalità generali, secondo il rispettivo ambito di applicazione.
Il 2 agosto 2026 è iniziata l’applicazione della parte principale del regolamento, con alcune eccezioni.
Una modifica normativa successiva ha però spostato la decorrenza dei requisiti specifici per i sistemi ad alto rischio. Il regolamento UE 2026/1744, entrato in vigore il 27 luglio 2026, ha fissato al 2 dicembre 2027 l’applicazione delle sezioni del capitolo III relative ai sistemi ad alto rischio individuati nell’allegato III, che comprende le applicazioni per il reclutamento e la selezione del personale.
Per i sistemi ad alto rischio collegati alle categorie di prodotti disciplinate dall’allegato I, il termine è invece il 2 agosto 2028.
Questo significa che, nel novembre 2026, non sarebbe corretto presentare tutti gli obblighi specifici dei sistemi di selezione ad alto rischio come già pienamente applicabili.
Sono invece già operanti i divieti pertinenti, le disposizioni sull’alfabetizzazione in materia di intelligenza artificiale e le normative preesistenti, in particolare quelle sulla protezione dei dati personali e contro le discriminazioni.
L’articolo 4 dell’AI Act richiede ai fornitori e ai soggetti che utilizzano sistemi di intelligenza artificiale di adottare misure per garantire, per quanto possibile, un adeguato livello di competenza del personale e delle altre persone che operano con tali sistemi per loro conto. La preparazione deve tenere conto delle conoscenze, dell’esperienza, della formazione e del contesto di utilizzo.
Per un ufficio HR significa comprendere almeno le principali caratteristiche dello strumento adottato, i suoi limiti e i rischi connessi alle decisioni che può influenzare.
L’analisi delle emozioni nei colloqui incontra un divieto specifico
Un capitolo distinto riguarda i sistemi che pretendono di dedurre stati emotivi attraverso caratteristiche biometriche, come determinate informazioni ricavate dal volto o dalla voce.
L’articolo 5 dell’AI Act vieta, nell’ambito lavorativo e dell’istruzione, l’immissione sul mercato, la messa in servizio per tale finalità e l’utilizzo di sistemi di intelligenza artificiale destinati a inferire le emozioni delle persone, fatta salva l’eccezione prevista per finalità mediche o di sicurezza.
Il divieto, applicabile dal 2 febbraio 2025, assume particolare rilevanza per i colloqui di lavoro automatizzati.
Le linee guida della Commissione europea sulle pratiche vietate chiariscono che il riconoscimento delle emozioni può rientrare nel divieto anche durante il processo di reclutamento.
Un sistema che pretenda di ricavare sicurezza personale, entusiasmo o stati emotivi dalle espressioni facciali di un candidato deve quindi essere esaminato alla luce di questa disciplina. Non basta presentare l’analisi come uno strumento di supporto alle risorse umane.
Occorre distinguere queste applicazioni da altri strumenti di elaborazione audio o video, la cui liceità dipende dalle funzioni effettive, dai dati trattati e dalle norme applicabili. Il divieto non si estende indistintamente a ogni tecnologia utilizzata durante un video-colloquio.
Il GDPR tutela già i candidati contro determinate decisioni automatizzate
La protezione dei dati personali costituisce uno dei principali strumenti di controllo già disponibili.
Il regolamento UE 2016/679, noto come GDPR, disciplina il trattamento dei dati dei candidati e contiene disposizioni specifiche sulle decisioni basate unicamente su trattamenti automatizzati.
L’articolo 22 riconosce, alle condizioni previste dalla norma, il diritto a non essere sottoposti a una decisione fondata esclusivamente su un trattamento automatizzato, compresa la profilazione, che produca effetti giuridici o incida in modo analogamente significativo sulla persona.
L’esclusione da una selezione lavorativa può assumere rilevanza ai fini di questa disposizione, in funzione delle circostanze concrete e dell’incidenza della decisione.
Sono previste eccezioni tassative, accompagnate, nei casi stabiliti dal regolamento, da garanzie appropriate per la persona interessata, tra cui la possibilità di ottenere un intervento umano, esprimere la propria opinione e contestare la decisione.
Inserire formalmente un selezionatore nel procedimento non basta necessariamente a escludere l’applicazione dell’articolo 22. L’intervento umano deve essere effettivo, affidato a una persona competente e in grado di valutare criticamente il risultato automatizzato.
La questione è stata approfondita anche dalla giurisprudenza europea.
Nella sentenza del 7 dicembre 2023 relativa al caso SCHUFA, la Corte di giustizia dell’Unione europea ha esaminato l’attribuzione automatizzata di un punteggio di affidabilità creditizia, chiarendo la rilevanza dell’articolo 22 quando il punteggio assume un ruolo determinante nella decisione di un soggetto terzo.
La controversia non riguardava direttamente le assunzioni, ma il principio è pertinente alla valutazione del peso effettivo attribuito a uno scoring automatizzato.
Se un responsabile delle assunzioni recepisce sistematicamente una graduatoria algoritmica senza un esame sostanziale, la presenza di una persona nell’ultima fase del procedimento non garantisce, da sola, una valutazione realmente autonoma.
Informative, conservazione dei dati e valutazione d’impatto
L’impiego dell’intelligenza artificiale nel recruiting comporta anche obblighi relativi alla trasparenza del trattamento dei dati personali.
Le aziende e le agenzie di selezione devono individuare una base giuridica appropriata, rispettare il principio di minimizzazione e informare i candidati secondo quanto previsto dagli articoli 13 e 14 del GDPR.
L’informativa deve spiegare, tra le altre cose, le finalità del trattamento, le categorie di dati pertinenti, i tempi di conservazione o i criteri utilizzati per determinarli e i diritti esercitabili.
Quando ricorrono i presupposti delle decisioni automatizzate disciplinate dall’articolo 22, trovano applicazione anche gli specifici obblighi informativi relativi all’esistenza del processo decisionale, alla logica utilizzata e alle conseguenze previste per l’interessato.
Un sistema di selezione potrebbe trattare informazioni contenute nei curriculum, risposte a questionari, risultati di test e altri dati pertinenti alla candidatura. L’acquisizione di ulteriori informazioni da fonti esterne richiede un’autonoma verifica di liceità, necessità e proporzionalità.
L’accessibilità pubblica di un’informazione non autorizza automaticamente qualsiasi successivo utilizzo per valutare un candidato.
Il GDPR prevede inoltre, all’articolo 35, la valutazione d’impatto sulla protezione dei dati quando un trattamento può presentare un rischio elevato per i diritti e le libertà delle persone.
Tra i casi espressamente considerati figura la valutazione sistematica e globale di aspetti personali basata su trattamenti automatizzati, compresa la profilazione, sulla quale si fondano decisioni che producono effetti giuridici o conseguenze analogamente significative.
Il Garante per la protezione dei dati personali ha affrontato le particolarità del settore anche attraverso il codice di condotta relativo alle attività delle agenzie per il lavoro, richiamato nella propria relazione annuale 2024. Il documento esamina, tra l’altro, le garanzie riguardanti il trattamento automatizzato delle candidature.
La corretta gestione dell’intelligenza artificiale nel recruiting richiede pertanto un coordinamento tra responsabili della selezione, competenze informatiche e figure incaricate della protezione dei dati.
I controlli previsti dal 2027 e le responsabilità di fornitori e aziende
Quando diventeranno applicabili gli obblighi specifici per i sistemi di selezione ad alto rischio, il quadro delle responsabilità sarà più articolato.
Il regolamento distingue il fornitore, che sviluppa un sistema o lo immette sul mercato con il proprio nome o marchio, dal soggetto che lo utilizza sotto la propria autorità, definito deployer.
Ai fornitori di sistemi ad alto rischio si applicheranno, secondo le disposizioni pertinenti, requisiti riguardanti la gestione dei rischi, la governance dei dati, la documentazione tecnica, la registrazione degli eventi, la trasparenza, la supervisione umana, l’accuratezza, la robustezza e la sicurezza informatica.
Il regolamento disciplina inoltre le procedure di valutazione della conformità e la registrazione nelle banche dati europee nei casi previsti.
Le aziende utilizzatrici dovranno rispettare gli obblighi loro attribuiti dall’articolo 26, che comprendono l’impiego conforme alle istruzioni, l’assegnazione della supervisione a persone adeguatamente preparate, il monitoraggio del funzionamento e la gestione delle registrazioni automatiche secondo le condizioni stabilite dalla norma.
Per i sistemi dell’allegato III che prendono decisioni o contribuiscono a prenderle su persone fisiche, è previsto anche l’obbligo di informare gli interessati dell’utilizzo del sistema ad alto rischio.
La disciplina contempla inoltre specifici obblighi di informazione dei lavoratori e dei loro rappresentanti prima dell’utilizzo di sistemi ad alto rischio nell’ambiente di lavoro.
Non tutti gli adempimenti, tuttavia, si applicheranno indistintamente a qualunque organizzazione. La valutazione d’impatto sui diritti fondamentali prevista dall’articolo 27, ad esempio, riguarda le categorie di utilizzatori e i sistemi individuati dalla disposizione, comprese determinate autorità pubbliche e alcune tipologie di servizi privati.
La classificazione ad alto rischio non determina automaticamente, per ogni datore di lavoro privato, l’obbligo di effettuare la valutazione prevista dall’articolo 27. Restano autonomamente applicabili gli eventuali obblighi di valutazione d’impatto derivanti dal GDPR.
Un’ulteriore distinzione riguarda i sistemi già presenti sul mercato prima dell’applicazione delle nuove disposizioni. L’articolo 111 contiene un regime transitorio che, in determinate circostanze, collega l’applicazione dei requisiti a modifiche significative della progettazione, con regole particolari per i sistemi destinati alle autorità pubbliche.
Le organizzazioni devono quindi considerare anche la data di introduzione dello strumento, le successive modifiche e le condizioni previste dalla normativa.
Come verificare un software prima di affidargli la valutazione dei candidati
La scelta di un sistema automatizzato richiede controlli che precedono l’integrazione nei processi aziendali.
Il primo riguarda la documentazione tecnica e funzionale. Il fornitore dovrebbe rendere disponibili informazioni sufficienti a comprendere quali attività svolga il software, quali dati richieda, quali risultati produca e quali limiti di utilizzo siano conosciuti.
Una seconda verifica riguarda i criteri impiegati per assegnare punteggi e classificare candidature. Se il sistema attribuisce maggiore importanza a determinati percorsi formativi o esperienze professionali, l’azienda deve poter valutare se tali caratteristiche siano pertinenti alle mansioni effettivamente richieste.
L’adozione di criteri oggettivi non esclude automaticamente effetti discriminatori. Anche un requisito apparentemente misurabile può produrre disparità ingiustificate quando viene applicato senza considerare il ruolo da ricoprire.
La fase di prova dovrebbe utilizzare casi rappresentativi delle candidature che il sistema sarà chiamato a esaminare, evitando di considerare sufficiente una dimostrazione commerciale o un risultato aggregato di accuratezza.
La supervisione umana deve inoltre essere organizzata in modo da consentire la revisione delle valutazioni e la correzione degli errori.
Se un software segnala come poco idoneo un candidato con competenze professionali adeguate, il selezionatore deve poter comprendere le ragioni della valutazione, esaminarne i limiti e modificarne l’esito quando necessario.
Le condizioni contrattuali con il fornitore meritano la stessa attenzione. Devono essere chiariti i ruoli nel trattamento dei dati personali, le responsabilità sulla sicurezza, l’accessibilità delle informazioni necessarie ai controlli e le modalità di gestione degli eventuali malfunzionamenti.
L’adozione dell’intelligenza artificiale nel recruiting attraverso un servizio esterno non elimina gli obblighi che rimangono in capo all’azienda utilizzatrice.
Il monitoraggio dopo l’introduzione del sistema
La verifica iniziale non esaurisce i controlli necessari.
Un algoritmo può essere aggiornato, ricevere dati differenti rispetto alla fase di prova oppure essere utilizzato per posizioni professionali diverse da quelle originariamente considerate. Anche senza modifiche al modello, il cambiamento delle condizioni di utilizzo può incidere sull’affidabilità dei risultati.
Il monitoraggio dovrebbe quindi comprendere l’analisi periodica dei criteri di esclusione, la valutazione degli errori individuati e la documentazione degli interventi correttivi.
Occorre inoltre distinguere gli errori del sistema dalle scelte organizzative dell’azienda. Un modello che suggerisce una graduatoria non determina necessariamente da solo l’esito della selezione: possono intervenire filtri impostati dall’organizzazione, soglie numeriche o decisioni successive dei responsabili HR.
Queste componenti devono essere considerate insieme quando si ricostruisce il motivo dell’esclusione di un candidato.
Il problema assume particolare rilievo quando il software viene modificato dal soggetto utilizzatore. In determinate condizioni, una modifica sostanziale o un cambiamento della finalità prevista possono far assumere all’utilizzatore le responsabilità che l’AI Act attribuisce al fornitore.
Per le aziende che stanno introducendo l’intelligenza artificiale nel recruiting, il periodo precedente al 2 dicembre 2027 consente di predisporre procedure di controllo coerenti con i requisiti europei di prossima applicazione, senza trascurare le disposizioni già vincolanti.
Tra le questioni operative più rilevanti rimane la possibilità di ricostruire una singola decisione: quali dati siano stati considerati, quale risultato abbia prodotto il sistema, chi abbia esaminato tale risultato e quali elementi abbiano motivato l’eventuale esclusione.
Una documentazione di questo tipo permette di individuare errori ricorrenti, verificare le contestazioni dei candidati e accertare se la supervisione umana abbia avuto un ruolo concreto. La sua conservazione deve comunque rispettare le regole applicabili sulla protezione dei dati, comprese quelle relative alla durata del trattamento e alla sicurezza delle informazioni.
