Dal 2 agosto 2026 il Regolamento europeo sull’intelligenza artificiale (AI Act, Regolamento UE 2024/1689) è applicabile nella sua parte generale: le autorità di vigilanza sono operative e le sanzioni pure. Per chi si occupa di risorse umane c’è però una distinzione che in questi giorni si legge raramente, ed è quella che cambia i tempi del lavoro da fare.
Non è una norma “per informatici”. L’Allegato III del regolamento, al punto 4, elenca tra i sistemi ad alto rischio proprio quelli per occupazione e gestione dei lavoratori: screening e ranking dei CV, pubblicazione mirata di annunci, decisioni su promozioni e cessazioni, assegnazione dei compiti, monitoraggio e valutazione delle prestazioni.
Il calendario aggiornato: cosa vale da subito e cosa dal 2027
Il pacchetto di semplificazione europeo noto come Digital Omnibus ha ridisegnato le scadenze. Gli obblighi sui sistemi ad alto rischio dell’Allegato III, cioè quelli che riguardano l’HR, sono stati spostati al 2 dicembre 2027. Per l’intelligenza artificiale incorporata nei prodotti dell’Allegato I, come dispositivi medici e macchinari, si va al 2 agosto 2028.
Dal 2 agosto 2026 sono invece pienamente operativi:
- la vigilanza: in Italia il controllo e il potere sanzionatorio sono dell’Agenzia per la Cybersicurezza Nazionale, con AgID come autorità di notifica;
- gli obblighi di trasparenza dell’articolo 50: se un chatbot dialoga con candidati o dipendenti va dichiarato che non c’è una persona dall’altra parte, e i contenuti generati o manipolati con l’AI devono essere riconoscibili;
- il regime sanzionatorio.
Attenzione a leggere il rinvio come una pausa. I tempi tecnici per portare a conformità un sistema ad alto rischio sono stimati in media fra otto e quattordici mesi. Contando all’indietro dal 2 dicembre 2027, il momento in cui conviene cominciare è la fine del 2026.
Chi è responsabile in azienda? Il "deployer"
Se la tua azienda usa un sistema di AI ad alto rischio, è un "deployer": l'utilizzatore professionale. E ha obblighi propri, distinti da quelli del fornitore del software (art. 26 del regolamento):
- usare il sistema secondo le istruzioni del fornitore;
- garantire una sorveglianza umana competente: una persona formata che può intervenire e disattendere l'output;
- assicurare che i dati in ingresso siano pertinenti e rappresentativi;
- informare i lavoratori e le loro rappresentanze prima di mettere in servizio un sistema ad alto rischio che li riguarda;
- conservare i log e monitorare il funzionamento, segnalando gli incidenti.
L'obbligo che è già in vigore: l'alfabetizzazione AI
Dal 2 febbraio 2025 l'articolo 4 dell'AI Act impone a fornitori e deployer di garantire un livello sufficiente di alfabetizzazione AI al personale che usa questi sistemi. Formazione, non burocrazia: le persone devono capire cosa fa lo strumento, quali limiti ha e quando non fidarsi dell'output. È l'obbligo più trascurato ed è anche quello più facile da trasformare in un vantaggio: un team che sa usare l'AI lavora meglio, non solo "a norma".
Cosa rischia chi non si adegua
Le sanzioni dell'AI Act arrivano fino a 35 milioni di euro o al 7% del fatturato mondiale per le violazioni più gravi, e fino a 15 milioni o al 3% per la violazione degli altri obblighi. Ma prima ancora delle sanzioni, il rischio concreto per l'HR è operativo e reputazionale: una selezione contestata perché guidata da un algoritmo non sorvegliato è un problema legale, sindacale e di employer branding insieme.
Da dove cominciare: le 6 verifiche dell'HR
Il primo passo non è comprare consulenza: è fare l'inventario. Abbiamo condensato il punto di partenza in una checklist operativa di una pagina:
- Censimento: quali strumenti con AI tocchi in ricerca, selezione, valutazione, gestione (ATS, people analytics, AI generativa)? Scadenza 2 dicembre 2027, da avviare entro fine 2026.
- Classificazione: quali rientrano nei casi d’uso ad alto rischio dell’Allegato III? Scadenza 2 dicembre 2027.
- Fornitori: hai istruzioni d’uso e dichiarazioni di conformità dei vendor? Scadenza 2 dicembre 2027.
- Sorveglianza umana: chi è la persona formata che valida gli output e può fermarli? Scadenza 2 dicembre 2027.
- Informativa: lavoratori e rappresentanze sono stati informati? Scadenza 2 dicembre 2027.
- Formazione: il personale che usa questi sistemi ha ricevuto un’alfabetizzazione AI documentata (art. 4)? Già obbligatoria dal 2 febbraio 2025.
A queste sei si aggiunge la verifica che il rinvio non tocca: la trasparenza dell’articolo 50. Se in azienda un chatbot risponde a candidati o dipendenti, deve essere dichiarato che non è una persona. Vale da adesso.
La formazione del punto 6 è finanziabile: i fondi interprofessionali coprono i percorsi di alfabetizzazione AI. È esattamente il lavoro che facciamo in Ubloom Società Benefit: parliamone.
Domande frequenti
L'AI Act si applica anche alle PMI?
Sì. Gli obblighi del deployer valgono per ogni azienda che usa sistemi di AI ad alto rischio, indipendentemente dalla dimensione. Per le PMI sono previste semplificazioni documentali, non esenzioni.
Usare ChatGPT in ufficio rende l'azienda un deployer ad alto rischio?
L'uso generico di AI generativa non è di per sé ad alto rischio. Lo diventa quando l'AI incide su decisioni relative alle persone: selezione, valutazione, promozione, monitoraggio. Resta comunque l'obbligo di alfabetizzazione AI (art. 4).
Gli obblighi HR sono scattati il 2 agosto 2026?
No. Il Digital Omnibus ha spostato gli obblighi sui sistemi ad alto rischio dell’Allegato III, quelli usati in selezione e gestione del personale, al 2 dicembre 2027. Dal 2 agosto 2026 sono invece operative la vigilanza, le sanzioni e gli obblighi di trasparenza dell’articolo 50.
Cosa devo fare adesso in azienda?
Due cose sono già esigibili: l’alfabetizzazione AI del personale, obbligatoria dal 2 febbraio 2025 (art. 4), e la trasparenza su chatbot e contenuti generati (art. 50). Le altre quattro verifiche hanno scadenza 2 dicembre 2027, ma dato che l’adeguamento richiede in media fra otto e quattordici mesi, il censimento conviene farlo entro fine anno. La checklist gratuita qui sopra copre i sei passaggi.
Fonti: Regolamento (UE) 2024/1689 (EUR-Lex); Commissione europea, AI Act, application timeline; Regolamento di semplificazione (Digital Omnibus) adottato dal Consiglio, che rinvia gli obblighi dell’Allegato III al 2 dicembre 2027 e dell’Allegato I al 2 agosto 2028. Articolo a scopo informativo, non sostituisce una consulenza legale. Aggiornato al 4 agosto 2026.