AI Act: quali sono le conseguenze per la Direzione HR

A partire dal 1° agosto 2024, l’AI Act (Artificial Intelligence Act) è entrato ufficialmente in vigore nel territorio dell’Unione Europea. Il nuovo regolamento europeo disciplina l’ambito di applicazione delle tecnologie di Intelligenza Artificiale (AI) nell’UE e inizierà a produrre i primi effetti a partire dal febbraio 2025, termine entro cui dovranno essere rimossi dal mercato i “sistemi di AI” vietati. La maggior parte delle norme contenute nel regolamento sarà applicabile a partire dal 1° agosto 2026, in particolare sulle soluzioni categorizzate come “ad alto rischio”.

L’AI Act si basa infatti sul principio che l’Intelligenza Artificiale deve essere sviluppata e utilizzata in modo sicuro, etico e rispettoso dei diritti fondamentali e dei valori europei. Per questo motivo, la norma prevede una classificazione dei sistemi di AI in base al loro livello di rischio per la sicurezza e i diritti delle persone, e stabilisce una serie di requisiti e obblighi per i fornitori e gli utenti di tali sistemi. Il quadro distingue tra quattro categorie di rischio:

• I sistemi di AI che presentano un rischio inaccettabile sono quelli che contraddicono i valori e i principi fondamentali dell’UE, come il rispetto della dignità umana, della democrazia e dello stato di diritto. Questi sistemi sono vietati o soggetti a severe restrizioni.
• I sistemi di AI che presentano unrischio elevato sono quelli che possono avere un impatto “sistemico”, ossia significativo sui diritti fondamentali o sulla sicurezza delle persone. Questi sistemi sono soggetti a obblighi e requisiti rigorosi prima di poter essere immessi sul mercato o utilizzati.
• I sistemi di AI che presentano un rischiolimitato sono quelli che possono influenzare i diritti o le volontà degli utenti, ma in misura minore rispetto ai sistemi ad alto rischio. Questi sistemi sono soggetti a requisiti di trasparenza, per rendere gli utenti consapevoli del fatto che interagiscono con un sistema di AI e di comprenderne le caratteristiche e le limitazioni.
• I sistemi di AI che presentano un rischio minimo o nullosono quelli che non hanno alcun impatto diretto sui diritti fondamentali o sulla sicurezza delle persone e che offrono ampi margini di scelta e controllo agli utenti. Questi sistemi sono liberi da qualsiasi obbligo normativo, al fine di incoraggiare l’innovazione e l’esperimentazione.

Tra i sistemi a rischio inaccettabile e ad alto rischio rientrano alcune soluzioni potenzialmente applicabili alla gestione delle risorse umane. Risulta quindi di vitale importanza per la Direzione HR avere consapevolezza delle tecnologie utilizzate, di come queste influiscono sui processi decisionali e sull’equità del trattamento del personale, nonché garantire la conformità alle normative vigenti. In particolare, è fondamentale comprendere i potenziali rischi associati all’adozione di sistemi di Intelligenza Artificiale, come bias algoritmici, trasparenza delle decisioni automatizzate e protezione dei dati personali, per prevenire violazioni etiche e legali che potrebbero compromettere la fiducia e la reputazione dell’organizzazione.

Soluzioni a rischio inaccettabile

Secondo il regolamento, infatti, i seguenti sistemi di riconoscimento delle emozioni sono proibiti sul posto di lavoro, poiché i loro rischi sono stati classificati come inaccettabilmente alti:

• Sistemi per monitorare la performance dei dipendenti e il loro stato emotivo mentre, per esempio, partecipano a riunioni o svolgono determinati compiti. Tali sistemi sono equipaggiati per analizzare espressioni facciali, tono di voce e altri dati biometrici per rilevare stati emotivi come stress, soddisfazione o frustrazione.
• Strumenti utilizzati nel processo di assunzione per valutare lo stato emotivo o la sincerità dei candidati analizzando le loro espressioni facciali, la modulazione della voce o il linguaggio del corpo durante un’intervista.
• Strumenti che derivano gli stati emotivi dei lavoratori per prevedere stress o potenziali rischi per la sicurezza, a meno che gli strumenti non siano progettati specificamente per ragioni mediche o di sicurezza.
• Soluzioni che vanno a monitorare le emozioni percepite da una persona nell’ambito della formazione per verificare l’efficacia della sessione formativa.

Rispetto al mercato europeo quindi l’utilizzo di queste soluzioni sarà limitato e i vendor tecnologici dovranno adeguare le loro offerte in modo da essere compliance alla normativa.

Soluzioni “ad alto rischio”

Nella classificazione dei sistemi ad alto rischio, una delle categorie è dedicata proprio a possibili applicazioni di sistemi di AI nel contesto lavorativo (art. 6, paragrafo 2, allegato III). In particolare, sono considerati sistemi di AI “ad alto rischio”:

• Sistemi di AI destinati a essere utilizzati per l’assunzione o la selezione di persone fisiche, in particolare per pubblicare annunci di lavoro mirati, analizzare o filtrare le candidature e valutare i candidati;
• Sistemi di AI destinati a essere utilizzati per adottare decisioni riguardanti le condizioni dei rapporti di lavoro, come la promozione o la cessazione dei rapporti contrattuali di lavoro, per assegnare compiti sulla base del comportamento individuale o dei tratti e delle caratteristiche personali o per monitorare e valutare le prestazioni e il comportamento delle persone nell’ambito di tali rapporti di lavoro.

In seguito all’approvazione di questa norma, potrebbero quindi ricadere sotto il cappello di “sistemi di AI ad alto rischio” le soluzioni che si occupano della gestione automatizzata dei CV e della loro classificazione, nonché eventuali chatbot utilizzati in una prima fase di colloquio. Ugualmente, anche i software che gestiscono i percorsi di crescita delle persone con il supporto dell’AI, ad esempio sulla base delle competenze dei collaboratori, potrebbero essere soggetti a tale ordinamento.

I sistemi di Intelligenza Artificiale considerati ad alto rischio devono rispettare una serie di requisiti e obblighi prima di poter essere commercializzati o utilizzati. Tra questi rientrano la qualità dei dati impiegati, la redazione di una documentazione tecnica adeguata, la trasparenza verso gli utenti, la presenza di una supervisione umana, nonché la robustezza, la sicurezza e l’accuratezza del sistema. Inoltre, chi sviluppa o utilizza tali tecnologie è obbligato a eseguire una valutazione dei rischi e a implementare un sistema di gestione della qualità. La conformità ai requisiti sarà monitorata da enti indipendenti, con l’autorità di rilasciare o revocare certificazioni. Sviluppatori e utilizzatori di sistemi di AI ad alto rischio dovranno anche rispettare obblighi di registrazione, garantire la tracciabilità delle operazioni e segnalare eventuali problematiche.

Di seguito le norme che la Direzione HR deve rispettare per utilizzare sistemi di AI “ad alti rischio”:

• Garantire che la supervisione umana sia affidata a persone competenti, adeguatamente formate e con l’autorità necessaria per svolgere il loro compito.
• Assicurarsi che i dati siano rilevanti e rappresentativi per l’uso previsto del sistema ad alto rischio.
• Conservare i registri (log) generati automaticamente dal sistema di AI ad alto rischio, per un periodo adeguato all’uso previsto, di almeno sei mesi, a meno che le normative dell’Unione o nazionali prevedano diversamente, soprattutto per quanto riguarda la protezione dei dati personali.
• Monitorare come funziona il sistema di AI ad alto rischio, seguendo le istruzioni fornite e, se necessario, informando i fornitori su eventuali problemi o osservazioni.
• Informare i rappresentanti dei lavoratori e gli stessi dipendenti che saranno soggetti a sistemi di AI ad alto rischio prima di introdurli o utilizzarli. Se il sistema di AI ad alto rischio prende decisioni o aiuta a prendere decisioni che riguardano i dipendenti, la Direzione HR deve informare le persone interessate che il sistema sarà utilizzato in questo modo.
• Collaborare con le autorità competenti su qualsiasi azione o controllo riguardante l’uso del sistema di AI ad alto rischio, per garantire il rispetto delle normative.
• Seguire le linee guida fornite dai produttori del sistema.
• Se un sistema di AI gestisce o modifica immagini, audio o video creando “deep fake”, la Direzione HR deve informare che il contenuto è stato generato o modificato artificialmente, a meno che non vi sia una revisione umana o editoriale che renda superflua tale comunicazione, oppure se l’uso è permesso dalla legge per indagini su reati.

In conclusione, l’AI Act rappresenta un cambiamento significativo nel panorama dell’HR Tech, imponendo nuovi obblighi sia per i vendor tecnologici (provider) sia per le organizzazioni e le direzioni HR (deployer) che utilizzano queste soluzioni. Per i provider, diventa quindi fondamentale rispettare innanzitutto i requisiti per operare sul mercato, tra questi: garantire la conformità attraverso un rigoroso sistema di gestione del rischio, condurre azioni di data governance per mettere a disposizioni dati rappresentativi, fornire la necessaria documentazione tecnica e permettere la supervisione umana dei sistemi AI ad alto rischio. Dall’altra parte, le organizzazioni devono assicurarsi che l’uso di queste tecnologie sia trasparente, sorvegliato da personale qualificato e in linea con le indicazioni fornite dai provider. Entrambi gli attori devono collaborare strettamente per garantire che le tecnologie AI utilizzate siano sicure, accurate e rispettose dei diritti fondamentali dei cittadini.

Questo quadro normativo non solo ambisce a proteggere i lavoratori, ma anche a stabilire un uso etico e responsabile dell’Intelligenza Artificiale nel mondo del lavoro.