AI Act e selezione del personale: la guida per le PMI

Usi l’intelligenza artificiale per leggere CV, filtrare candidature o dare un punteggio ai candidati? Allora l’AI Act ti riguarda: la selezione del personale è tra gli usi che l’Europa classifica “ad alto rischio”. La buona notizia è che gli obblighi veri partono dal 2 dicembre 2027, non da agosto 2026 come si legge in giro. Quella meno buona è che alcune regole valgono già adesso, e violarle costa caro.

Questa guida mette in fila tutto quello che serve a un’azienda che assume: le date corrette (verificate sui testi ufficiali, non sui titoli), cosa è già vietato, cosa è già obbligatorio in Italia e cosa conviene preparare per il 2027 senza farsi prendere dal panico.

Perché la selezione è “alto rischio”

L’AI Act (regolamento UE 2024/1689) non vieta l’AI nel recruiting. La mette però nella categoria più sorvegliata: l’Allegato III, punto 4, considera ad alto rischio i sistemi AI destinati a reclutare o selezionare persone, e cita espressamente gli annunci mirati, l’analisi e il filtro delle candidature e la valutazione dei candidati. Stessa sorte per i sistemi che decidono promozioni, licenziamenti, assegnazione dei compiti o valutano le prestazioni di chi già lavora con te.

La logica è semplice: un algoritmo che sbaglia una playlist ti fa perdere tre minuti, uno che scarta sistematicamente le persone sbagliate (o le persone giuste) incide sulla vita di qualcuno. Per questo, per usarlo, la legge chiederà trasparenza, controllo umano e tracciabilità.

Attenzione a un dettaglio che molti fornitori di software minimizzano: se il sistema fa profilazione delle persone, e dare un punteggio a un candidato lo è, resta alto rischio comunque, senza scappatoie.

Le date vere dell’AI Act (aggiornate ad agosto 2026)

Qui la confusione regna, perché a luglio 2026 l’Europa ha cambiato il calendario in corsa con il regolamento 2026/1744 (il “Digital Omnibus”, in vigore dal 27 luglio). Ne abbiamo scritto un articolo dedicato, se vuoi la storia completa del rinvio. Il quadro aggiornato:

Regola	In vigore da
Pratiche vietate (tra cui l’analisi delle emozioni sul lavoro)	Febbraio 2025, già in vigore
Alfabetizzazione AI del personale che usa i sistemi	Febbraio 2025, già in vigore
Trasparenza: chi interagisce con un’AI deve saperlo	2 agosto 2026, già in vigore
Obblighi “alto rischio” per i sistemi di selezione	2 dicembre 2027
Stessi obblighi per l’AI dentro prodotti regolamentati	2 agosto 2028

E vale una regola territoriale che sorprende molti: l’AI Act si applica anche a fornitori e utilizzatori fuori dall’Unione, se l’output del sistema viene usato in Europa. Avere la software house (o la sede) all’estero non esenta nessuno.

Cosa è già vietato oggi

Tre pratiche sono fuori legge dal febbraio 2025, con le sanzioni più alte dell’intero regolamento (fino a 35 milioni di euro o il 7% del fatturato mondiale):

• Dedurre le emozioni delle persone in ambito lavorativo, selezione inclusa. Il software che dal video-colloquio “capisce” se il candidato è ansioso, sicuro di sé o motivato è una pratica vietata, non una funzione premium.
• Social scoring: giudicare le persone dal comportamento sociale o da caratteristiche personali fuori contesto, con effetti sfavorevoli. Scartare candidati in base a quello che l’AI ricava dai loro profili social rientra dritto qui.
• Categorizzazione biometrica per dedurre caratteristiche protette come opinioni politiche, sindacali, orientamento sessuale.

Cosa è già obbligatorio oggi (e in Italia c’è di più)

Mentre gli obblighi europei “pesanti” aspettano il 2027, un pezzo di disciplina è già operativo. A livello UE:

• Il bot si deve dichiarare (art. 50, dal 2 agosto 2026): se nel funnel di candidatura c’è un assistente AI che interagisce con le persone, le persone devono saperlo.
• Formazione di chi usa i sistemi (art. 4): chi opera con strumenti AI in azienda deve avere un’alfabetizzazione adeguata. L’obbligo è stato ammorbidito nella formulazione, ma esiste.

E poi c’è il livello italiano, che non ha aspettato Bruxelles:

• Legge 132/2025 (in vigore dal 10 ottobre 2025): il datore che usa sistemi AI in assunzione, gestione o valutazione deve informare per iscritto i lavoratori interessati e le rappresentanze sindacali, con principi di trasparenza e non discriminazione.
• Decreto Trasparenza (D.lgs. 104/2022): informativa sui sistemi decisionali automatizzati usati nel rapporto di lavoro.
• GDPR, articolo 22: nessuna decisione interamente automatizzata con effetti significativi sulla persona. Lo scarto automatico di una candidatura senza che un umano l’abbia mai vista è un problema dal 2018, altro che 2027.

Insieme alla trasparenza retributiva in vigore da giugno, il messaggio del legislatore è coerente: nella selezione si può automatizzare il lavoro, non la responsabilità.

Cosa arriva il 2 dicembre 2027

Per chi usa un sistema di selezione basato su AI (nel gergo del regolamento, il “deployer”), gli obblighi principali saranno questi:

1. Usare il sistema secondo le istruzioni del fornitore, che dovrà fornirle per legge.
2. Sorveglianza umana designata: persone con la competenza, la formazione e soprattutto l’autorità per intervenire, sospendere l’uso, ribaltare un esito. Non basta “qualcuno che guarda”.
3. Dati di input pertinenti: se dai in pasto al sistema dati sbagliati o non rappresentativi, la responsabilità è tua.
4. Log conservati almeno sei mesi: chi ha analizzato cosa, quando, con che esito.
5. Informare prima di usare: lavoratori e loro rappresentanti (in Italia, come visto, questo obbligo esiste già), e le persone soggette alle decisioni.
6. Diritto alla spiegazione: il candidato potrà chiedere che ruolo ha avuto l’AI nella decisione e quali sono stati gli elementi principali. “Ce lo ha detto l’algoritmo” non sarà una risposta valida.

Chi i sistemi li fornisce (o li fa costruire su misura e li rivende con il proprio nome) avrà obblighi ancora più corposi: gestione del rischio, documentazione tecnica, marcatura CE, registrazione europea. Se compri un software di selezione, dal 2027 la prima domanda al fornitore sarà: “sei a posto tu, così sono a posto io?”.

Il vero rischio non è la multa: è non poterti difendere

C’è un aspetto pratico che vale più di tutta la teoria. Se un candidato scartato sostiene di essere stato discriminato da un processo con dentro l’AI, nessun giudice “aprirà l’algoritmo” col cacciavite per capire chi ha ragione (il cacciavite ce l’ho messo io: rende l’idea meglio di qualsiasi tecnicismo). Guarderà le cose di sempre: documenti, log, chi ha deciso e su quali criteri. Alcune norme recenti, come quella sulla trasparenza retributiva, spostano già l’onere della prova sull’azienda.

Tradotto: l’azienda che tiene traccia del processo (criteri scritti, punteggi motivati, decisione umana documentata) è difendibile anche se usa l’AI ovunque. Quella che non tiene traccia è indifendibile anche se è innocente. La conformità al 2027, vista così, non è burocrazia: è la tua linea di difesa.

Da dove cominciare, senza panico

Quattro mosse, in ordine:

1. Censisci dove l’AI tocca già la tua selezione: ATS, screening CV, chatbot, analisi dei colloqui. Spesso è più di quel che pensi.
2. Sistemare il presente: bot che si dichiara, informativa scritta ai candidati, niente funzioni di analisi emotiva, decisione finale sempre umana e documentata.
3. Chiedi al fornitore del tuo software cosa sta facendo per il 2027. Se risponde “tranquillo, c’è tempo”, preoccupati.
4. Costruisci i processi nuovi già a norma: log, criteri oggettivi scritti, un responsabile umano con nome e cognome. Farlo da subito costa quasi zero; rifarlo a fine 2027 costerà un progetto intero.

Noi i funnel di selezione li progettiamo già così: l’AI accelera lo screening, ma i criteri sono scritti e approvati, ogni esito passa da una persona e ogni passaggio resta tracciato. Se vuoi capire come applicarlo alla tua prossima ricerca, guarda come funziona il servizio o prenota una chiamata.

Domande frequenti

L’AI Act vieta di usare l’intelligenza artificiale nella selezione?

No. La classifica come uso “ad alto rischio” e, dal 2 dicembre 2027, la sottopone a obblighi di trasparenza, controllo umano e tracciabilità. Vietate sono solo pratiche specifiche, come dedurre le emozioni dei candidati.

Gli obblighi partono dal 2 agosto 2026?

No, quella data è superata: il regolamento UE 2026/1744 ha spostato gli obblighi per i sistemi di selezione al 2 dicembre 2027. Dal 2 agosto 2026 è in vigore solo l’obbligo di trasparenza (chi interagisce con un’AI deve saperlo).

Sono una PMI: rischio le stesse sanzioni delle multinazionali?

Le regole valgono per tutti, ma per le PMI l’AI Act prevede il valore più basso tra percentuale del fatturato e importo fisso, oltre alla possibilità di richiami e misure non pecuniarie.

Se il mio fornitore di software non è in regola, il problema è suo o mio?

Di entrambi. Il fornitore risponde del sistema, tu dell’uso che ne fai (dati di input, sorveglianza umana, informative). Per questo conviene scegliere fornitori che sappiano rispondere su log, criteri e documentazione.

---

Fonti: Reg. (UE) 2024/1689 (AI Act), artt. 2, 4, 5, 6, 26, 50, 86, 99 e Allegato III punto 4; Reg. (UE) 2026/1744 (“Digital Omnibus”), in GU UE del 24 luglio 2026; L. 23 settembre 2025 n. 132; D.lgs. 104/2022; Reg. (UE) 2016/679 (GDPR), art. 22. Articolo informativo: non sostituisce una consulenza legale sul tuo caso specifico.