01 — Il contesto normativo
Tre obblighi convergenti, un adempimento solo
I sistemi di intelligenza artificiale che le aziende italiane usano per recruiting, valutazione delle performance e organizzazione del lavoro sono soggetti contemporaneamente a tre normative europee e nazionali. Tutte e tre richiedono la stessa cosa: documentazione probatoria della conformità.
/01
Regolamento UE 2024/1689 (AI Act)
I sistemi AI per le risorse umane rientrano nei «high-risk» elencati in Annex III, punto 4. Dal 2 agosto 2026 il datore di lavoro che li utilizza deve documentare la valutazione del rischio, la qualità dei dati, la supervisione umana e la trasparenza verso i lavoratori.
art. 6 · art. 26 · Annex III §4 Reg. UE 2024/1689
/02
Legge italiana 132/2025
In vigore dal 10 ottobre 2025. L'art. 11 obbliga all'informativa preventiva verso lavoratori e rappresentanze sindacali sull'uso di sistemi automatizzati che producono effetti sul rapporto di lavoro. L'art. 13 disciplina la responsabilità professionale di chi impiega l'AI.
artt. 11 e 13 L. 132/2025
/03
Decreto Trasparenza
In vigore dal 2022. L'art. 1-bis impone al datore di lavoro di comunicare al lavoratore le modalità di funzionamento dei sistemi automatizzati che incidono sul rapporto di lavoro, sotto pena di sanzioni amministrative.
art. 1-bis D.Lgs. 104/2022
Cosa rischi
Sanzioni fino al 3% del fatturato globale annuo
Le sanzioni AI Act per i sistemi high-risk in HR (art. 99(4) Reg. UE 2024/1689) raggiungono il 3% del fatturato globale annuo. Per le PMI il regime è agevolato (art. 99(6)): si applica il minore tra 15 milioni di euro e il 3% del fatturato globale. Per una PMI con 40 milioni di euro di fatturato l'esposizione massima realistica è di circa 1,2 milioni di euro per singola violazione.
Non è uno scenario teorico. Il Garante per la Protezione dei Dati Personali ha già sanzionato gestioni algoritmiche del lavoro:
- Foodinho/Glovo — provvedimento Garante del 5 luglio 2024: 5 milioni di euro per impiego di sistemi automatizzati nella gestione dei rider.
- Foodinho — provvedimento del 10 giugno 2021: 2,6 milioni di euro per analoghe violazioni.
Il pattern storico più comparabile è il GDPR (2018). A dodici mesi dall'entrata in vigore solo il 7% delle aziende europee si dichiarava pienamente conforme. Le prime sanzioni di rilievo sono arrivate nei 18-24 mesi successivi. Chi aspetta la prima ispezione per documentare la conformità rischia di farlo sotto pressione, a costi più alti, e con esito incerto.
Cosa serve dimostrare
Il Regolamento europeo non richiede di avere «l'AI sicura». Richiede di poter dimostrare il processo: la valutazione del rischio condotta, le tutele attivate, la conformità verificata. In sede di contestazione, il documento probatorio è la differenza tra una posizione difendibile e una indifendibile.