Dopo 2 decreti attuativi dell’AI Act, l’Italia vieta i licenziamenti decisi da un software ma non lo scarto automatico dei curriculum

Cos’è successo

Il governo ha pubblicato in Gazzetta Ufficiale il secondo decreto con cui adegua l'ordinamento italiano all'AI Act europeo, dopo quello di settembre su polizia e responsabilità civile e penale. Il decreto legislativo 179 — firmato il 7 ottobre, tre giorni prima che scadesse la delega del Parlamento, e in vigore dal 23 — affida la vigilanza sul mercato dei sistemi di AI all'Agenzia per la cybersicurezza nazionale (ACN), mentre l'Agenzia per l'Italia digitale (AgID) designerà e controllerà gli organismi che ne certificano la conformità e le autorità di banche, finanza e assicurazioni seguiranno i sistemi ad alto rischio dei rispettivi settori. Al Garante privacy restano i sistemi usati da polizia, frontiere, giustizia e processi democratici, oltre ai poteri che già gli dà il GDPR.

Sul lavoro, l'art. 41 obbliga il datore che usa l'AI a fare in modo che le decisioni finali su assunzione, modifica e fine del rapporto — compresi provvedimenti disciplinari e valutazioni delle prestazioni — non siano prese soltanto sulla base di un trattamento automatizzato. L'ultima parola spetta a una persona con un potere "effettivo e autonomo", il consenso del lavoratore non basta a superare il divieto e le decisioni prese in violazione sono nulle, licenziamento compreso. Dalle decisioni finali lo stesso articolo esclude però "le attività di ricerca e selezione delle candidature, anche quando comportino la mancata ammissione alle successive fasi della selezione" (la frase non compariva nella bozza approvata a giugno e trasmessa al Parlamento, ed è entrata nel testo definitivo del 4 agosto). Ricalca quasi alla lettera l'emendamento che lo studio legale internazionale Hogan Lovells Cadwalader — che assiste aziende che usano l'AI nella gestione del personale — aveva proposto il 24 luglio alle commissioni di Camera e Senato, in un contributo scritto pubblico.

Perché conta

Fra la bozza di giugno e il testo definitivo, il governo ha alzato le tutele per i dipendenti e ha escluso espressamente dal divieto lo screening, cioè il primo filtro delle candidature, che spesso si fa in massa e di cui chi viene scartato raramente sa qualcosa.

• Fra le altre eccezioni, il GDPR ammette decisioni interamente automatizzate se necessarie per un contratto o se l'interessato dà il suo consenso esplicito. Per i dipendenti il decreto le esclude di fatto entrambe (lo riconosce, per criticarlo, lo stesso studio legale), e sul consenso lo scrive nero su bianco. Rispetto alla bozza ha poi aggiunto le valutazioni delle prestazioni, in linea con una richiesta più ampia del Garante privacy, ed esteso la nullità dal solo licenziamento a ogni decisione presa in violazione. Lo studio — che aveva segnalato proprio l'incertezza sulle altre violazioni — aveva lasciato la nullità dov'era; il governo è andato nella direzione opposta;
• Proprio nello screening — scrive lo stesso studio legale — l'automazione svolge la funzione più rilevante. I suoi limiti sono noti da anni: in una ricerca del 2021 della Harvard Business School e di Accenture su oltre 2.250 dirigenti americani, britannici e tedeschi, l'88% ha ammesso che i software di filtro escludono candidati qualificati per ruoli specializzati, perché il loro curriculum non corrisponde alla lettera ai criteri dell'annuncio. Le ragioni dello studio hanno comunque una loro solidità, perché una persona chiamata a rivedere migliaia di esclusioni finirebbe inevitabilmente per limitarsi a convalidarle, e le linee guida dei Garanti privacy europei ammettono che un filtro automatico possa essere necessario davanti a un numero eccezionale di candidature (cosa tutto fuorché rara). La deroga, però, non fissa soglie né condizioni proprie e rimanda il candidato al GDPR, che cita sì la selezione online senza intervento umano come esempio di decisione da cui tutelarsi, ma la ammette se è "necessaria" per arrivare a un contratto o se il candidato dà il consenso esplicito — ovvero precisamente l'eccezione che per i dipendenti il decreto esclude. Circoscritta alle selezioni di massa, avrebbe risposto a quelle ragioni senza sottrarre al divieto tutto lo screening;
• Dal 2022, peraltro, con il cosiddetto decreto Trasparenza (a cui l'art. 41 rinvia), il datore deve spiegare ai lavoratori i sistemi automatizzati che usa, dalla logica alle categorie di dati con cui sono stati addestrati, ma dal 2023 non è tenuto a farlo per quelli protetti da segreto industriale e commerciale. L'art. 52 scrive ora nel Codice della proprietà industriale che fra quei segreti, alle condizioni previste per tutti gli altri, rientrano anche dati, algoritmi, architetture dei modelli e procedure di addestramento. Nella sostanza lo erano già, ma messo per iscritto il principio potrebbe diventare un argomento più comodo da opporre al dipendente che chiede come funziona il software. Gli resta il diritto a una motivazione comprensibile della singola decisione, che però non obbliga a spiegare come il sistema è costruito né su quali dati è stato addestrato.

Adesso

• L'AI Omnibus — il pacchetto con cui l'UE ha semplificato e rinviato parte dell'AI Act — ha spostato al 2 dicembre 2027 gli obblighi sui sistemi ad alto rischio dell'allegato III, compresi quelli che filtrano e valutano le candidature (uno dei presidi che lo studio legale aveva invocato a sostegno della deroga, già rinviato al momento del suo contributo). Da quella data, fra l'altro, chi li usa dovrà informare i candidati che vi sono sottoposti. Fino ad allora, a chi viene scartato da un software resteranno le tutele del GDPR (sempre che, nell'informativa, abbia notato la riga sulle decisioni automatizzate);
• Su quegli obblighi vigilerà l'ACN, un'agenzia nata per la cybersicurezza e dipendente da Palazzo Chigi; questo nonostante nel 2024, esaminando il disegno di legge italiano sull'AI, la Commissione europea avesse sollevato dubbi sull'indipendenza di agenzie governative come la stessa ACN e l’AGID. Come l'ACN eserciterà i poteri ispettivi lo stabilirà un decreto del Presidente del Consiglio — su proposta di ACN — ancora da adottare. Il Garante, che sugli algoritmi dei rider ha già multato Foodinho e Deliveroo, continuerà dal canto suo ad applicare il GDPR ai sistemi che gestiscono il lavoro, selezione compresa, e il coordinamento con le autorità indipendenti passerà da un comitato che siede anch'esso a Palazzo Chigi;
• Il testo non dice se un colloquio condotto e valutato da un sistema di AI sia ancora selezione, né cosa accadrebbe se il software lasciasse al recruiter una rosa di un solo nome; la decisione umana esisterebbe sulla carta, e l'esclusione degli altri sarebbe già avvenuta a monte. Il confine fra screening e decisioni finali lo tracceranno — con ogni probabilità — i giudici del lavoro, nelle prime cause sull'art. 41.