(1/3) Bruxelles ha appena riclassificato il tuo stack di assunzioni come ad alto rischio

Per gran parte degli ultimi tre anni, la conversazione sull'IA nel recruiting ha riguardato la produttività. Quanti CV puoi filtrare in un'ora. Quanto più velocemente puoi reperire candidati. Quante note di colloquio puoi riassumere automaticamente. L'Unione Europea ha imposto un ripensamento totale di quella conversazione, e la nuova chiave di lettura è rischio per i diritti fondamentali.

Il Regolamento (UE) 2024/1689 — l'EU AI Act — è entrato in vigore il 1° agosto 2024, ma la piena applicabilità del regolamento, compresa la maggior parte degli obblighi per l'IA ad alto rischio, è prevista per il 2 agosto 2026. Tuttavia, recenti accordi provvisori (il "Digital Omnibus") hanno posticipato scadenze chiave per l'alto rischio al 2 dicembre 2027 per i sistemi autonomi e al 2 agosto 2028 per l'IA integrata in prodotti regolamentati.

È la prima legge orizzontale e organica al mondo che disciplina l'intelligenza artificiale, e fa una cosa che gran parte della copertura ha sorvolato: individua il luogo di lavoro come uno degli ambienti più pesantemente regolamentati per l'IA in tutto il testo. Se la tua azienda usa software per filtrare candidature, classificare candidati, valutare colloqui o esaminare le performance dei dipendenti — e nel 2026 lo fa quasi ogni azienda — ora operi all'interno di quel regime.

Questo è il primo post di una serie in tre parti. Proverò a mappare il panorama: cosa dice davvero l'Act sull'IA nelle risorse umane, perché quasi tutto finisce nella categoria "alto rischio" e cosa è vietato del tutto. La Parte 2 tratta gli obblighi concreti che ricadono sui datori di lavoro. La Parte 3 racconta come abbiamo costruito la preselezione dei candidati di Conectia per vivere dentro queste regole anziché combatterle.

La piramide del rischio, e perché le HR stanno vicino alla cima

L'Act non regola l'"IA" come un monolite. Ordina i sistemi in quattro livelli in base al rischio che pongono, e gli obblighi crescono con il livello:

• Rischio inaccettabile — vietato del tutto (Articolo 5).
• Alto rischio — consentito, ma soggetto al regime di conformità più pesante della legge (Articoli 8–27, Annex III).
• Rischio limitato — consentito, con obblighi di trasparenza (Articolo 50). Pensa ai chatbot che devono dichiarare di non essere umani.
• Rischio minimo — sostanzialmente non regolato. Filtri antispam, motori di raccomandazione, gran parte di ciò che c'è in un prodotto normale.

La logica politica della piramide è semplice: più un sistema di IA può incidere sulla vita, sul reddito o sui diritti di una persona, più la legge se ne preoccupa. E ci sono poche decisioni che un software può prendere che incidono sul reddito di una persona più direttamente di se ottiene il lavoro o no.

Ecco perché l'UE ha inserito il lavoro nell'Annex III — l'elenco dei casi d'uso ad alto rischio — come categoria a sé. Il punto 4 di quell'annex copre i sistemi di IA usati nell'occupazione, nella gestione dei lavoratori e nell'accesso al lavoro autonomo. In parole povere, cattura due fasi del rapporto di lavoro:

1. Reclutamento e selezione — pubblicazione o targeting di annunci di lavoro, filtraggio delle candidature e valutazione dei candidati.
2. Decisioni che incidono sul rapporto — promozioni e licenziamenti, assegnazione di mansioni in base a comportamenti o tratti, monitoraggio o valutazione delle performance.

Leggi quell'elenco a fronte del tuo effettivo stack di assunzioni. Un ATS che classifica i candidati per affinità. Uno strumento di sourcing che decide chi vede il tuo annuncio. Una piattaforma di video-colloqui che assegna punteggi ai candidati. Un motore di valutazione delle competenze che produce un esito promosso/respinto. Un sistema di performance che segnala chi sta rendendo poco. Secondo l'Act, questi non sono strumenti di produttività. Sono sistemi di IA ad alto rischio, e quella classificazione porta con sé un insieme di doveri specifico ed esigente che dettaglierò nella Parte 2.

La linea che non si può oltrepassare: il riconoscimento delle emozioni al lavoro

Prima degli obblighi per l'alto rischio, c'è una linea più dura. L'Articolo 5 elenca le pratiche che l'Act considera inaccettabili — vietate dal 2 febbraio 2025, senza alcun percorso di conformità. Non puoi farle con delle scartoffie; semplicemente non puoi farle.

Due di questi divieti cadono in pieno nelle HR:

• Riconoscimento delle emozioni sul luogo di lavoro. Qualsiasi sistema di IA che deduce lo stato emotivo di una persona dal volto, dalla voce o dal comportamento è vietato sul luogo di lavoro e nell'istruzione, salvo ristrette eccezioni mediche o di sicurezza. L'ondata di strumenti di colloquio che promettevano di leggere l'"entusiasmo", la "sicurezza" o il "cultural fit" di un candidato dalle micro-espressioni facciali è, nell'UE, ora illegale.
• Social scoring e sfruttamento delle vulnerabilità. I sistemi che assegnano punteggi alle persone in base a comportamenti non correlati, o che sfruttano un gruppo vulnerabile, sono fuori.

Questo conta strategicamente perché una fetta del mercato HR-tech è stata costruita esattamente sulla capacità che l'Act vieta. Se l'elemento distintivo del tuo fornitore era l'analisi del sentiment sui video-colloqui, quell'elemento distintivo è ora una passività nel tuo più grande mercato potenziale. La prima domanda che un acquirente europeo dovrebbe porre a un fornitore di IA per le assunzioni nel 2026 non è "quanto è accurato" — è "qualche parte di questo deduce emozioni?".

La timeline che nessuno ha interiorizzato

L'Act non si accende tutto in una volta. Si applica per fasi, e la scansione temporale è la parte che la maggior parte delle aziende ha valutato male — di solito assumendo di avere più tempo di quanto ne abbia.

• 2 febbraio 2025 — Sono entrati in vigore i divieti dell'Articolo 5. Il riconoscimento delle emozioni al lavoro è illegale già da oltre un anno. Lo è anche l'obbligo di alfabetizzazione all'IA dell'Articolo 4: chiunque impieghi IA deve garantire che il proprio personale ne abbia una comprensione sufficiente. Questo è discreto ma già attivo ora, e si applica alle persone che gestiscono i tuoi strumenti di assunzione.
• 2 agosto 2025 — Sono entrate in vigore le regole per i modelli di IA generici e le strutture di governance dell'UE.
• 2 agosto 2026 — Il regime completo per l'alto rischio — quello che governa l'IA delle tue assunzioni e delle HR — diventa applicabile. È la data che conta di più per i datori di lavoro.
• 2 agosto 2027 — Si applicano le restanti regole di classificazione per l'alto rischio (per l'IA integrata in prodotti regolamentati).

Quindi i divieti sono già azionabili, e gli obblighi per l'alto rischio nelle HR sono questione di mesi, non di anni.

L'oscillazione: il Digital Omnibus

Ecco la complicazione, e ne sentirai parlare da ogni fornitore che spera di rallentare la conformità. A fine 2025 la Commissione Europea ha proposto un pacchetto Digital Omnibus che, tra le altre cose, renderebbe alcuni obblighi per l'alto rischio condizionati alla disponibilità di standard tecnici armonizzati e strumenti di supporto — potenzialmente spostando parti della scadenza per l'alto rischio oltre l'agosto 2026, con date ipotizzate fino a dicembre 2027 o agosto 2028.

Trattalo esattamente per ciò che è: una proposta, non la legge. Può cambiare in fase di negoziazione, può essere ristretta e, anche se andasse in porto, non tocca i divieti dell'Articolo 5 che sono già in vigore. Costruire la tua strategia di assunzioni sull'assunto che Bruxelles batterà ciglio è una scommessa contro l'intera direzione degli ultimi cinque anni di politica digitale dell'UE. La posizione difendibile è pianificare per l'agosto 2026 e trattare qualsiasi slittamento come un bonus, non come una base.

Perché questa è una storia strategica, non una nota a piè di pagina legale

Sarebbe facile archiviarla sotto "conformità" e passarla al legale. Sarebbe un errore, ed è l'errore che voglio prevenire con questa serie.

L'AI Act sta facendo all'IA per le assunzioni ciò che il GDPR ha fatto ai dati: sta trasformando una funzionalità in una proprietà strutturale del mercato. Proprio come "trattiamo dati di utenti UE" ha smesso di essere una casella da spuntare per diventare un impegno architetturale, "usiamo l'IA per valutare le persone in Europa" sta diventando un impegno a supervisione umana, documentazione e responsabilità che va progettato dall'inizio, non aggiunto a posteriori.

Per le aziende che assumono in Europa — e per chiunque costruisca gli strumenti con cui assumono — questo rimodella tre cose in una volta:

• Make-vs-buy. Che tu sia il provider di uno strumento di IA per le assunzioni o semplicemente il suo deployer cambia quali obblighi ti ricadono addosso. La maggior parte delle aziende sono deployer e non si rende conto che la legge le ritiene comunque direttamente responsabili. (Parte 2.)
• Selezione dei fornitori. Le capacità che vendevano l'HR tech nel 2023 — lettura delle emozioni, scoring opaco, automazione totale — sono ora le capacità che creano esposizione.
• Progettazione dei processi. Una pipeline di assunzione che mantiene un essere umano competente genuinamente in controllo delle decisioni non è più solo buona pratica. È la differenza tra un processo conforme e uno illegale.

Quest'ultimo punto è dove emerge il mio bias, e me lo prendo in carico fin da subito: ho passato tutto questo blog a sostenere che l'IA potenzia il giudizio umano, non lo sostituisce. È silenziosamente appagante guardare il più grande blocco regolatore della Terra scrivere quella tesi in legge vincolante per l'unico ambito in cui la posta in gioco è più personale — chi viene assunto e chi no.

Nella Parte 2 diventiamo concreti: gli obblighi specifici che l'Act pone sui datori di lavoro che impiegano questi sistemi, perché la maggior parte di essi ricade su di te e non sul tuo fornitore, e come deve effettivamente apparire una "supervisione umana significativa" per valere.