AI Act e funzione HR: perché la compliance non è un freno, ma una nuova competenza manageriale

In  ambito HR, l’intelligenza artificiale non agisce su processi neutri, ma su accesso al lavoro, valutazioni, opportunità di crescita, organizzazione delle attività, performance, permanenza in azienda. In altri termini, interviene in aree in cui ogni scelta incide su diritti, aspettative, reputazione e fiducia.

Ed è esattamente per questa ragione che il Regolamento (UE) 2024/1689, il cosiddetto AI Act, guarda alla funzione HR come a uno dei terreni più sensibili. La conseguenza, per un Direttore del Personale, è molto concreta: non basta più chiedersi se un certo strumento “fa risparmiare tempo”; bisogna chiedersi se migliora davvero il processo decisionale, se è governabile e se l’azienda saprà spiegarne l’uso in modo credibile, internamente ed esternamente, quando sarà necessario.

HR come presidio del rischio organizzativo

Va anche chiarito un aspetto temporale che molte organizzazioni stanno sottovalutando. L’AI Act non è una norma “tutta futura”: ha una applicazione progressiva e alcune parti rilevanti sono già entrate o stanno entrando nella vita delle imprese con una logica a fasi. Questo cambia il modo in cui l’HR deve impostare il lavoro. 

Non siamo nel momento della semplice osservazione, ma in quello della costruzione della governance. In particolare, due fronti meritano attenzione immediata. Da un lato l’AI literacy (art. 4), cioè l’obbligo di adottare misure per garantire un livello adeguato di competenza in chi usa o supervisiona sistemi di AI.

Dall’altro i divieti dell’art. 5, che toccano anche il contesto lavorativo. Qui l’errore più pericoloso è pensare che la compliance inizi solo quando arriverà un controllo o quando un fornitore dichiarerà formalmente che il proprio sistema è “high-risk”. In realtà, la compliance inizia molto prima, quando l’azienda mappa dove e come l’AI entra nei processi di people management e decide se sta automatizzando attività amministrative a basso impatto o se sta, invece, influenzando decisioni che incidono in modo sostanziale sulla vita lavorativa delle persone.

Il passaggio tecnico più importante, e spesso anche il meno compreso, è proprio questo: in base all’Allegato III dell’AI Act, molti usi dell’AI in materia di occupazione e gestione dei lavoratori rientrano tra i sistemi ad alto rischio. Non si parla solo di selezione del personale in senso stretto, ma anche di strumenti che supportano o orientano decisioni su assunzione, promozione, assegnazione di compiti, monitoraggio, valutazione delle prestazioni o del comportamento. 

È una classificazione che obbliga la funzione HR a cambiare postura: da utilizzatore finale di software a presidio sostanziale del rischio organizzativo. E qui conviene evitare due semplificazioni opposte. La prima è pensare che qualunque software “intelligente” usato in HR sia automaticamente high-risk: non è così, perché il regolamento prevede anche eccezioni per usi puramente accessori, procedurali o preparatori che non influenzano materialmente l’esito della decisione. 

La seconda, simmetrica, è credere che basti chiamare il tool “assistant” o “copilot” per collocarlo fuori dal perimetro del rischio elevato. La qualifica commerciale non conta quasi nulla; conta l’effetto concreto del sistema sul processo decisionale. Un applicativo che normalizza formati di CV o elimina duplicati può rimanere in una sfera prevalentemente amministrativa. Un sistema che attribuisce punteggi di adeguatezza, ordina i candidati o suggerisce shortlist, anche se presentato come semplice supporto, entra invece in una zona che richiede una lettura molto più rigorosa.

La (vera) supervisione umana 

In questo quadro, uno dei fraintendimenti più diffusi è quello dell’ultima parola umana. Molte aziende ritengono di essere al riparo da rischi normativi perché, formalmente, la decisione finale viene presa da un recruiter o da un manager. Ma l’AI Act, soprattutto quando si guarda agli obblighi del deployer (art. 26), impone qualcosa di più serio della semplice firma finale: richiede supervisione umana effettiva, competenza, formazione, autorità, possibilità concreta di comprendere e contestare gli output del sistema.

In sostanza, non basta che un essere umano clicchi “approva”; bisogna che quell’essere umano sia nelle condizioni di esercitare un vero giudizio professionale. Questo punto, per l’HR, è decisivo perché incrocia un rischio organizzativo che precede persino la sanzione: la deresponsabilizzazione manageriale. Se il processo si trasforma in una catena in cui il tool propone, ordina, segnala e il manager convalida senza reale verifica, l’azienda non sta solo indebolendo la propria difendibilità giuridica; sta anche impoverendo la qualità della leadership. E quando questo accade in recruiting, performance management o workforce allocation, l’effetto è duplice: si abbassa la qualità delle decisioni e si erode la fiducia delle persone verso la funzione HR.

Il divieto di inferenza delle emozioni

Un altro snodo che merita attenzione particolare, perché spesso viene sottovalutato o mascherato da linguaggi commerciali rassicuranti, riguarda il divieto di utilizzare sistemi di AI per inferire emozioni nei luoghi di lavoro (art. 5), salvo eccezioni circoscritte. 

In un mercato in cui si moltiplicano strumenti che promettono di “misurare engagement”, “rilevare stress”, “leggere il clima” da segnali vocali, facciali o comportamentali, la funzione HR deve sviluppare una capacità critica molto solida. Il problema non è soltanto tecnico o etico; è giuridico e manageriale insieme. 

Una certa narrativa tecnologica tende a presentare queste soluzioni come supporti alla cura delle persone o al wellbeing, ma la questione vera è chiedersi se si stiano inferendo stati emotivi in un contesto lavorativo e con quale affidabilità scientifica, trasparenza metodologica e finalità organizzativa. Per un Direttore del Personale, il criterio di prudenza qui non è conservatorismo, è professionalità: diffidare delle scorciatoie pseudo-scientifiche significa proteggere l’azienda da scelte fragili e proteggere la credibilità della funzione da pratiche che possono generare contenzioso, tensione sindacale e danni reputazionali.

Le responsabilità del deployer 

A rendere il tema ancora più interessante è il fatto che gli obblighi del deployer previsti dall’AI Act non si esauriscono in adempimenti documentali. L’art. 26, letto con attenzione, disegna una responsabilità operativa che tocca direttamente la progettazione dei processi HR: uso conforme alle istruzioni del fornitore, supervisione umana adeguata, attenzione alla qualità dei dati di input se nella disponibilità del deployer, monitoraggio del funzionamento, gestione dei log, reazione a malfunzionamenti e rischi, informazione ai lavoratori e ai loro rappresentanti in determinati casi prima dell’introduzione di sistemi high-risk sul luogo di lavoro. Questo sposta il baricentro della compliance dall’ufficio legale all’architettura organizzativa. In altre parole, la domanda non è solo “abbiamo l’informativa?” ma “abbiamo disegnato un processo che regga quando il sistema sbaglia, quando viene contestato o quando produce risultati inattesi?”. È qui che la funzione HR diventa davvero centrale, perché è la funzione che sa tradurre un requisito normativo in una pratica organizzativa: chi decide, con quali evidenze, con quali margini di discrezionalità, con quali meccanismi di escalation, con quali tempi e modalità di revisione.

Valutare l’impatto

Su questo sfondo, è utile evitare un’ulteriore confusione molto comune tra strumenti di valutazione dell’impatto. Si parla spesso in modo indistinto di DPIA, FRIA, assessment etico, audit algoritmico, come se fossero sinonimi. Non lo sono. Il FRIA previsto dall’art. 27 dell’AI Act ha una funzione e un perimetro specifici e non coincide automaticamente con un obbligo generalizzato per tutte le imprese private che usano AI in HR. Ciò non significa affatto che una società privata possa limitarsi a una valutazione superficiale, soprattutto in presenza di sistemi ad alto impatto sulle persone. 

Significa, piuttosto, che la funzione HR deve costruire un modello di valutazione integrata che tenga insieme il piano privacy (incluse le eventuali DPIA ai sensi del GDPR quando dovute), il piano giuslavoristico, il piano antidiscriminatorio, il piano organizzativo e quello reputazionale. La vera maturità, qui, consiste nel non farsi guidare da etichette procedurali, ma dalla qualità del presidio: capire il sistema, valutarne i rischi in relazione al contesto d’uso, documentare le scelte, definire controlli e responsabilità, rendere il tutto intelligibile a chi è impattato dalle decisioni.

Trasparenza e diritto alla spiegazione

Ed è proprio la trasparenza, più che la mera conformità formale, il terreno su cui si giocherà gran parte della credibilità delle HR nei prossimi anni. L’AI Act introduce obblighi informativi e, con l’art. 86, un diritto alla spiegazione per persone interessate da decisioni basate sull’output di sistemi high-risk che producano effetti giuridici o incidano significativamente su diritti fondamentali. In ambito HR, questo ha un significato molto concreto. Un candidato escluso, un dipendente non promosso, una persona assegnata sistematicamente a certi turni o valutata con metriche derivate da sistemi di scoring difficilmente accetterà come risposta “è il risultato dell’algoritmo”. Anche quando la decisione è formalmente umana, se il sistema ha avuto un peso sostanziale, la domanda di spiegazione emergerà comunque: prima come questione di employee experience, poi come tema di relazioni sindacali o di contenzioso, e infine come questione reputazionale.

Per questo la trasparenza utile non coincide con una lunga informativa incomprensibile: è la capacità dell’azienda di spiegare in modo chiaro che cosa fa il sistema, a quali fini viene usato, che peso ha nella decisione, chi lo supervisiona, con quali garanzie e con quali possibilità di revisione o contestazione. È un cambio di paradigma che, se letto bene, non indebolisce l’HR ma lo rafforza, perché restituisce centralità al giudizio professionale e alla qualità della relazione organizzativa.

AI literacy come modello formativo

C’è poi un aspetto spesso percepito come “soft” ma in realtà decisivo: l’AI literacy. L’art. 4 dell’AI Act, già applicabile, chiede a provider e deployer di adottare misure adeguate per assicurare un livello sufficiente di alfabetizzazione all’AI in chi usa o supervisiona questi sistemi. Per una Direzione HR questa non è una nota marginale, ma probabilmente la leva più potente per trasformare la compliance in vantaggio competitivo. Il rischio, infatti, è trattare l’AI literacy come un modulo formativo standardizzato, magari un corso e-learning una tantum. Sarebbe un errore. L’alfabetizzazione realmente utile in HR è una capability organizzativa che include comprensione funzionale degli strumenti, capacità di leggere limiti e bias, competenza decisionale per non trasformare il supporto algoritmico in automatismo, consapevolezza giuridica e relazionale su trasparenza, non discriminazione e contestabilità delle decisioni. In un’azienda di formazione, questo punto è ancora più strategico, perché la competenza sviluppata internamente può diventare asset di mercato: non solo “usiamo l’AI”, ma “sappiamo progettarne l’uso in modo affidabile”. In un mercato saturo di promesse tecnologiche, la differenza la farà sempre di più chi saprà combinare innovazione e disciplina.

Il vero rischio: cattiva progettazione, non solo sanzioni

È anche per questo che, se guardiamo il tema con una lente business e non solo giuridica, il rischio principale non è la sanzione, pur rilevante: il  rischio più immediato è la cattiva progettazione dei processi. 

Un sistema che velocizza lo screening, ma seleziona in base a proxy poveri, può peggiorare la qualità delle assunzioni. Un algoritmo che promette oggettività nella valutazione, ma produce risultati opachi, può irrigidire le relazioni interne invece di migliorarle. Una dashboard che semplifica il monitoraggio delle performance può diventare un moltiplicatore di conflitti, se non è spiegabile, contestualizzata e supervisionata. 

In tutti questi casi, la non-compliance non è solo un problema di norme; è un problema di qualità manageriale e di posizionamento dell’HR. La funzione persone rischia di passare da garante dell’equilibrio organizzativo a terminale amministrativo di decisioni prese altrove, magari da software acquistati in fretta e compresi poco. Al contrario, se l’HR prende in mano il tema con metodo, l’AI Act può diventare un’occasione per riaffermare il proprio ruolo strategico: presidiare le condizioni perché la tecnologia aumenti la qualità del giudizio umano, invece di sostituirlo male.

Per una azienda italiana di formazione, questo scenario è particolarmente fertile. Da un lato, come tutte le organizzazioni, si affrontano le implicazioni dell’AI nei processi HR interni; dall’altro, si opera in un settore in cui l’AI entra anche nei processi di apprendimento, valutazione, personalizzazione, analytics. Ciò significa vivere in anticipo il problema e, proprio per questo, poter sviluppare una postura distintiva. In concreto, la vera opportunità non è presentarsi al mercato come soggetto “tecnologicamente aggiornato”, ma come organizzazione capace di coniugare innovazione, governance, trasparenza e qualità metodologica. È una differenza sottile solo in apparenza: nel medio periodo sarà probabilmente una differenza competitiva decisiva, perché clienti, partner e lavoratori tenderanno a fidarsi di più di chi sa spiegare come usa l’AI, non solo di chi la usa.

Se si volesse sintetizzare il messaggio in una formula semplice, si potrebbe dire così: l’AI Act chiede alle HR di fare meglio ciò che dovrebbero già fare per vocazione professionale, cioè governare processi delicati con rigore, equità, tracciabilità e senso del contesto. La novità è che, da oggi, una parte crescente di quel lavoro passa attraverso sistemi algoritmici. E quindi la posta in gioco non è scegliere tra innovazione e tutela, ma sviluppare una funzione HR capace di rendere compatibili velocità, produttività, diritti e fiducia. Chi riuscirà in questo equilibrio non avrà soltanto ridotto il rischio normativo: avrà elevato il livello della propria organizzazione. In fondo, è qui che si misura la maturità di una direzione del personale nel tempo dell’intelligenza artificiale.