AI Act in azienda: responsabilità di provider, deployer e funzioni HR

In questo articolo vedremo come cambiano gli obblighi in base al ruolo ricoperto dall’organizzazione, quali verifiche effettuare sui fornitori e come gestire concretamente l’uso dell’AI nei processi HR, dal recruitment alla valutazione delle performance, fino al monitoraggio del lavoro e alla formazione del personale.

Dopo aver mappato e classificato i sistemi AI, l’organizzazione deve chiarire chi risponde della loro conformità, come valutare i fornitori e quali presìdi adottare nei processi che coinvolgono le persone.

Il rischio della substantial modification

Un ultimo elemento che il deployer non può ignorare: se modifica l’intended purpose di un sistema, anche in modo apparentemente marginale, o apporta modifiche sostanziali a un sistema già classificato ad alto rischio, assume automaticamente le responsabilità del provider. Una decisione operativa apparentemente minore può cambiare completamente il quadro degli obblighi applicabili.

Provider e deployer: chi fa cosa

L'AI Act introduce una distinzione fondamentale che ogni azienda deve comprendere prima di qualsiasi altra cosa: il ruolo che ricopre nel ciclo di vita di un sistema AI determina gli obblighi applicabili. Non esiste una risposta uguale per tutte le organizzazioni.

Quattro ruoli, quattro regimi di obblighi

L'AI Act identifica quattro figure operative lungo la catena di fornitura e utilizzo dei sistemi AI.

• Il provider è chi sviluppa un sistema AI e lo immette sul mercato. Su di lui ricadono gli obblighi più stringenti: progettare il sistema in conformità all'AI Act, condurre il conformity assessment, redigere la documentazione tecnica, rilasciare la dichiarazione di conformità CE e registrare il sistema nel database europeo;
• Il deployer è il ruolo che la maggior parte delle aziende e organizzazioni ricopre o ricoprirà nella pratica. Chi non sviluppa sistemi AI internamente, ma li adotta all'interno della propria organizzazione per supportare aree, funzioni e processi aziendali, è un deployer. Rientrano in questa categoria le aziende che usano strumenti HR con funzionalità AI, CRM predittivi, sistemi di analisi delle performance, chatbot per il supporto clienti, soluzioni di sicurezza informatica con componenti AI. Non importa che il sistema provenga da un fornitore esterno: gli obblighi esistono indipendentemente dall'origine del sistema e si applicano al contesto d'uso specifico dell'organizzazione;
• L'importatore è chi immette sul mercato dell'UE un sistema AI sviluppato da un provider stabilito fuori dall'Unione. Prima di commercializzare il sistema, deve verificare che il provider abbia adempiuto ai propri obblighi, documentazione tecnica, dichiarazione di conformità, marcatura CE, e che il sistema non presenti rischi inaccettabili. Risponde in solido con il provider per i sistemi non conformi;
• Il distributore è chi mette a disposizione sul mercato un sistema AI già immesso dal provider o dall'importatore, senza modificarne le caratteristiche. I suoi obblighi sono più limitati, ma include la verifica che il sistema rechi la marcatura CE e sia accompagnato dalla documentazione richiesta. Se modifica il sistema o lo immette sul mercato con il proprio nome, assume le responsabilità del provider.

Vendor assessment

La maggior parte delle aziende non sviluppa sistemi AI, li acquista. Questo significa che il profilo di rischio di un'organizzazione non dipende solo da come usa i sistemi AI, ma anche da chi li fornisce e in quale stato di conformità. Il vendor assessment non è quindi un adempimento contrattuale: è una fase del risk assessment.

Il fornitore non è una variabile esterna

Adottare un sistema AI senza valutare il provider equivale a firmare un contratto senza leggerne le clausole. Il deployer che acquista un sistema AI ad alto rischio da un provider che non ha condotto il conformity assessment, o che non è in grado di fornire la documentazione tecnica richiesta, si espone a responsabilità dirette. L'assenza di documentazione non è un problema del fornitore: diventa un problema dell'organizzazione che ha scelto quel fornitore.

Cosa verificare

Per i sistemi ad alto rischio, prima dell'adozione il deployer deve verificare che il provider abbia adempiuto ai propri obblighi:

• la documentazione tecnica è disponibile e aggiornata?
• è stata rilasciata la dichiarazione di conformità CE?
• il sistema è registrato nel database europeo?
• le istruzioni d'uso sono adeguate a garantire la supervisione umana?
• il provider ha predisposto un piano di monitoraggio post-market?

Se una di queste informazioni manca, il sistema non è pronto per il deployment.

Quando il sistema AI tratta dati personali, si aggiunge il livello di verifica previsto dall'Art. 28 GDPR. La responsabilità c.d. in eligendo e in vigilando del titolare del trattamento inizia qui, non dopo la firma del contratto:

• il provider offre garanzie sufficienti sul piano tecnico e organizzativo?
• il contratto include tutte le clausole richieste dall'Art. 28?
• è previsto e contrattualizzato il diritto di audit?
• la catena dei sub-responsabili è mappata e gestita?

Un rischio che spesso si sottovaluta

C'è un elemento che le organizzazioni tendono a trascurare: il rischio di supply chain non riguarda solo il provider diretto, ma l'intera catena. Un sistema AI che incorpora componenti di terze parti, dati di addestramento acquisiti da fonti esterne o API di modelli foundation introduce rischi che il deployer non può vedere, ma di cui risponde. Mappare la catena di fornitura AI è parte integrante del vendor assessment, non un approfondimento facoltativo.

Il vendor assessment come presidio continuativo

Il vendor assessment non si esaurisce al momento dell'adozione. Aggiornamenti del sistema, nuove versioni, modifiche all'intended purpose dichiarato dal provider: ogni cambiamento rilevante richiede una nuova valutazione. Un sistema che era conforme al momento dell'acquisto potrebbe non esserlo più dopo un aggiornamento significativo e il deployer che non lo verifica si espone alle stesse responsabilità di chi non ha mai condotto il vendor assessment.

Focus HR: l’impatto concreto sulle risorse umane

Nel rapporto di lavoro l’AI Act ha un impatto diretto e profondo che le HR devono gestire ogni giorno.

Recruitment

Gli Applicant Tracking System (ATS) con scoring automatico devono essere classificati come high-risk. Un bias non corretto nel dataset di addestramento può penalizzare automaticamente donne in età fertile, candidati over 50 o persone con backgroundmigratorio.

Il risultato sono cause per discriminazione indiretta, ispezioni dell’Ispettorato Nazionale del Lavoro e danni reputazionali enormi. Le risorse umane devono pretendere bias audit periodici, human oversight in ogni decisione finale di assunzione e trasparenza verso i candidati (art. 13 e art. 26 AI Act). Ignorare questo significa esporsi a sanzioni cumulative GDPR e AI Act.

Valutazione delle performance e promozioni

I sistemi di people analytics e sentiment analysis rientrano spesso nel livello alto rischio. Un algoritmo che assegna punteggi di “engagement” o “potenziale” senza human oversight può creare valutazioni ingiuste, demansionamenti occulti e discriminazioni sistemiche. Il manager non può più delegare tutto all’algoritmo. Serve human oversight documentata, informativa ai lavoratori e la possibilità per il dipendente di contestare la decisione (diritto di spiegazione ex art. 22 GDPR rafforzato dall’AI Act). Le funzioni HR devono inserire queste garanzie nei sistemi di performance management entro agosto 2026.

Monitoraggio dello smart working

I tool di productivity tracking, keystroke logging e sentiment analysis sono tra i più rischiosi. Devono rispettare sia l’AI Act sia l’art. 4 dello Statuto dei Lavoratori. Non sono ammessi controlli a distanza occulti. Le funzioni HR devono verificare che ogni tool sia classificato correttamente, che sia attiva l’informativa preventiva e che sia garantita la human oversight. In caso contrario, il Garante può ordinare il blocco immediato del tool e irrogare sanzioni pesanti.

Welfare e piani sanitari

I sistemi predittivi che elaborano dati sanitari per proporre benefit o piani di salute devono rispettare sia l’art. 9 GDPR (dati particolari) sia gli obblighi di human oversight dell’AI Act. Un errore di classificazione può generare discriminazioni su base sanitaria e violazioni gravissime della privacy.

Formazione e cultura

L’obbligo diAI literacynon è solo per chi usa il tool: riguarda anche chi decide le policy HR. Gli HR devono organizzare formazione obbligatoria per recruiter, manager e dirigenti entro i prossimi mesi. Chi non sa spiegare come funziona un sistema di scoring non può più prendere decisioni che riguardano le persone.

Rischi concreti per le aziende

Le sanzioni non sono l’unico problema. Un’azienda che usa AI discriminatoria in HR perde talenti, subisce boicottaggi, vede crollare l’employer branding e rischia cause collettive costosissime. Al contrario, chi governa bene l’AI in HR guadagna vantaggio competitivo: processi più equi, decisioni più trasparenti, maggiore attrattività per i migliori candidati.

Conclusione e checklist operativa per le HR

Governare l’AI non è più una scelta. È un obbligo di accountability che, se gestito correttamente, diventa un vantaggio competitivo: maggiore efficienza, minore rischio sanzionatorio e maggiore capacità di attrarre e trattenere talenti.

• Mappa tutti i sistemi AI utilizzati nei processi di reclutamento, performance, smart working e welfare.
• Classificali secondo i quattro livelli di rischio.
• Aggiorna la due diligence sui vendor HR.
• Rivedi i DPA con clausole specifiche AI Act.
• Implementa human oversight documentata su tutti i processi decisionali che riguardano le persone.
• Avvia o integra il piano di formazione AI literacy per recruiter e manager.
• Predisponi informativa rafforzata ai lavoratori e ai candidati.
• Verifica la conformità di tutti i tool di monitoraggio smart working con l’art. 4 Statuto dei Lavoratori.
• Prepara un piano di bias audit periodico per i dataset HR.
• Definisci le procedure di contestazione e human oversight per le decisioni AI-driven.

L'AI Act non chiede alle aziende di essere perfette. Chiede di essere consapevoli, documentate e proporzionate al rischio.

Chi imposta oggi una governance seria, anche parziale, anche in progress, si trova in una posizione molto più solida di chi aspetta che tutto sia definitivo per muovere il primo passo. La finestra è aperta. La questione è decidere se usarla.

Hai trovato utile questo articolo?

Expert

Vincenzo Cutugno

Data Protection Officer, consulente AI e avvocato d'impresa, Vincenzo affianca aziende medio-grandi e gruppi internazionali nella gestione della protezione dei dati e della governance dell'intelligenza artificiale.Unisce competenze legali e tecniche per creare soluzioni su misura, dal supporto DPO quotidiano alle questioni cross-border, con focus sul rapporto tra GDPR e AI Act. Si occupa anche di risk assessment sui sistemi AI e di policy di governance.È anche un formatore: che tiene seminari e corsi su privacy, AI e compliance per professionisti e aziende.

Scopri di più