In breve
Dal 23 ottobre 2026 l'articolo 41 del decreto legislativo 179/2026 vieta che le decisioni finali sul rapporto di lavoro siano adottate unicamente con un trattamento automatizzato.
La decisione definitiva spetta a una persona fisica con potere effettivo e autonomo; il consenso del lavoratore non è un'eccezione e il licenziamento in violazione è nullo.
La ricerca e selezione delle candidature è esclusa dall'articolo 41, ma restano l'articolo 22 del GDPR e, per i sistemi di selezione, l'AI Act.
Prima dell'avvio va resa l'informativa dell'articolo 1-bis del D.Lgs. 152/1997, anche alle rappresentanze; il lavoratore può chiedere una motivazione intelligibile.
Secondo la Commissione, gli obblighi AI Act per i sistemi HR ad alto rischio (Allegato III, punto 4) si applicano dal 2 dicembre 2027.
Dal 23 ottobre 2026 è in vigore il decreto legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale n. 234 dell'8 ottobre. Il decreto adegua la normativa italiana all'AI Act e, all'articolo 41, detta regole precise per il datore di lavoro che usa sistemi di intelligenza artificiale nelle decisioni sul rapporto di lavoro. L'articolo 42 porta l'IA dentro la valutazione dei rischi e la formazione dei lavoratori.
Per HR e direzione il principio è semplice da enunciare: l'ultima parola spetta a una persona con un potere effettivo e autonomo. Applicarlo bene richiede più lavoro, perché si somma a obblighi che esistono già: l'informativa sui sistemi decisionali automatizzati introdotta nel 2022, l'articolo 22 del GDPR e, secondo la Commissione europea dal 2 dicembre 2027, le regole dell'AI Act sui sistemi ad alto rischio usati nella gestione del personale. In questa guida mettiamo in fila cosa dicono i testi ufficiali e cosa puoi fare da subito: mappare gli strumenti, chiarire chi decide, informare lavoratori e rappresentanze, documentare. Dove una norma non dice una cosa, non la diamo per scontata.
Cosa prevede il decreto 179/2026 sull'IA nelle decisioni sul personale?
L'articolo 41 stabilisce che le decisioni finali sul rapporto di lavoro non siano adottate unicamente sulla base di un trattamento automatizzato. La regola vale per il datore di lavoro che si avvale di sistemi di IA, come definiti dall'articolo 3, punto 1, dell'AI Act, nei processi decisionali che riguardano il rapporto di lavoro. Il testo richiama l'articolo 11 della legge 132/2025, la legge italiana sull'IA, e fa salvo l'articolo 22 del GDPR.
Le decisioni coperte sono quelle sulla costituzione, la modificazione o la risoluzione del rapporto, compresi i provvedimenti disciplinari e le valutazioni delle prestazioni. Per tutte, la decisione definitiva è "in ogni caso" riservata a una persona fisica che eserciti un potere effettivo e autonomo. Non basta quindi una firma in fondo al processo: chi decide deve poter valutare il risultato del sistema, discostarsene e decidere diversamente.
Il decreto aggiunge altri tre elementi. L'uso dei sistemi deve rispettare dignità, riservatezza e principio di non discriminazione (comma 2). Prima dell'avvio del trattamento il datore di lavoro deve rendere l'informativa dell'articolo 1-bis del decreto legislativo 152/1997, e il lavoratore può chiedere una motivazione della decisione che lo riguarda (comma 3). Il comma 4, infine, prevede che il licenziamento intimato in violazione del comma 1 sia nullo, così come le altre decisioni assunte in violazione dello stesso comma.
Il perimetro dipende dalla nozione di sistema di IA dell'AI Act, alla quale l'articolo 41 rinvia. Non ogni automazione rientra in quella definizione: per capire se uno strumento HR ci rientra, parti dalla definizione europea e chiedi al fornitore come qualifica il proprio prodotto. Questa verifica è il primo passo concreto, perché da lì dipendono informative, ruoli e documentazione.
Quali decisioni HR rientrano nell'articolo 41, e quali no?
L'articolo 41 riguarda le decisioni finali sul rapporto di lavoro, non ogni uso dell'IA in HR. Leggere bene il perimetro evita due errori opposti: sottovalutare gli strumenti che preparano decisioni importanti, oppure trattare ogni automazione come se fosse una decisione sul rapporto.
Assunzione, modifiche, cessazione, disciplinare e valutazioni
Rientrano le decisioni con cui il rapporto nasce, cambia o finisce, oltre ai provvedimenti disciplinari e alle valutazioni delle prestazioni. Pensa a un sistema che propone il punteggio della valutazione annuale, che suggerisce un provvedimento a partire da indicatori di produttività o che indica quale candidato assumere al termine del processo. In tutti questi casi il sistema può proporre, ma la decisione definitiva resta a una persona.
Il punto delicato è il potere effettivo e autonomo. Una persona che approva in blocco le proposte del sistema, senza tempo, informazioni o autorità per cambiarle, difficilmente esercita un controllo reale. Conviene quindi stabilire per iscritto chi decide, quali informazioni riceve oltre all'output del sistema e in quali casi è tenuto ad approfondire. Questa traccia sarà utile anche per rispondere alle richieste di motivazione.
La ricerca e selezione delle candidature
Il comma 1 precisa che non rientrano tra le decisioni finali sulla costituzione del rapporto le attività di ricerca e selezione delle candidature. L'esclusione vale anche quando queste attività comportano la mancata ammissione di un candidato alle fasi successive della selezione. Lo screening dei curriculum, quindi, non ricade in questa specifica regola del decreto.
Questo non vuol dire che lo screening sia privo di vincoli. Restano l'articolo 22 del GDPR sulle decisioni basate unicamente su un trattamento automatizzato, i principi dell'articolo 11 della legge 132/2025 sull'uso dell'IA in ambito lavorativo e, per i sistemi destinati alla selezione del personale, la classificazione ad alto rischio dell'AI Act che vediamo più avanti. Se usi strumenti di screening automatico, verifica con il tuo consulente legale come si applicano questi testi al tuo caso.
Il consenso del lavoratore non basta
L'ultima frase del comma 1 chiude una possibile scorciatoia: il consenso del lavoratore non costituisce un'eccezione al divieto. È una differenza da tenere presente rispetto al GDPR, dove il consenso esplicito è una delle eccezioni previste dall'articolo 22. Per le decisioni finali sul rapporto di lavoro, far firmare un consenso non autorizza a lasciare la decisione al solo sistema.
Quali informazioni devi dare a lavoratori e rappresentanze?
L'obbligo di informare i lavoratori non è nuovo. L'articolo 1-bis del decreto legislativo 152/1997, introdotto dal decreto legislativo 104/2022, chiede al datore di lavoro di informare il lavoratore dell'uso di sistemi decisionali o di monitoraggio integralmente automatizzati. Si tratta dei sistemi che forniscono indicazioni rilevanti su assunzione, gestione o cessazione del rapporto, assegnazione di compiti, sorveglianza, valutazione e prestazioni.
La legge 132/2025, all'articolo 11, richiama lo stesso articolo per l'uso dell'IA in ambito lavorativo. Il decreto 179/2026 aggiunge un momento preciso: l'informativa va resa prima dell'avvio del trattamento. In pratica, prima di accendere uno strumento di IA che entra nelle decisioni sul personale, l'informativa deve essere pronta e consegnata.
Cosa deve contenere l'informativa
L'articolo 1-bis elenca contenuti molto concreti. L'informativa indica gli aspetti del rapporto su cui il sistema incide, i suoi scopi, la logica e il funzionamento, le categorie di dati e i parametri principali usati per programmarlo o addestrarlo, compresi i meccanismi di valutazione delle prestazioni. Indica anche le misure di controllo sulle decisioni automatizzate, gli eventuali processi di correzione e il responsabile del sistema di gestione della qualità.
Completano il quadro il livello di accuratezza, robustezza e cybersicurezza, le metriche usate per misurarli e gli impatti potenzialmente discriminatori delle metriche stesse. Le informazioni vanno comunicate in modo trasparente, in formato strutturato, di uso comune e leggibile da dispositivo automatico. Ogni modifica che incide su queste informazioni e cambia le condizioni di lavoro va comunicata per iscritto almeno 24 ore prima. Molti di questi dati li ha il fornitore dello strumento: chiedili prima dell'acquisto, non dopo.
Rappresentanze sindacali e diritto di accesso
Le stesse informazioni vanno comunicate alle rappresentanze sindacali aziendali o alla RSU e, se mancano, alle sedi territoriali delle associazioni sindacali comparativamente più rappresentative. Il lavoratore, direttamente o tramite le rappresentanze, può accedere ai dati e chiedere ulteriori informazioni: il datore di lavoro risponde per iscritto entro trenta giorni.
L'articolo 1-bis chiede inoltre di integrare l'informativa con istruzioni sulla sicurezza dei dati, di aggiornare il registro dei trattamenti e di effettuare un'analisi dei rischi e una valutazione d'impatto, con consultazione preventiva del Garante quando ricorrono i presupposti dell'articolo 36 del GDPR. Il Ministero del lavoro e l'Ispettorato nazionale del lavoro possono chiedere la comunicazione delle stesse informazioni.
La motivazione della decisione
Il comma 3 dell'articolo 41 dà al lavoratore il diritto di ottenere, a richiesta e con l'intervento di una persona fisica, una motivazione intelligibile della decisione che lo riguarda. La motivazione indica anche l'eventuale incidenza dei sistemi di IA sul processo decisionale e i principali parametri considerati. Restano fermi il diritto di accesso ai dati e i diritti degli articoli 13, 15 e 22 del GDPR. Per rispondere bene serve un processo: chi riceve la richiesta, chi ricostruisce la decisione, dove sono conservate le evidenze.
Cosa cambia con l'AI Act per i sistemi usati in HR?
L'AI Act considera ad alto rischio molti sistemi usati nella gestione del personale. Il punto 4 dell'Allegato III comprende due gruppi. Il primo riguarda il recruiting e la selezione: sistemi destinati a pubblicare annunci di lavoro mirati, ad analizzare e filtrare le candidature e a valutare i candidati. Il secondo riguarda i sistemi destinati a prendere decisioni sulle condizioni dei rapporti di lavoro, sulla promozione o la cessazione, ad assegnare compiti in base a comportamenti o tratti personali, oppure a monitorare e valutare prestazioni e comportamento.
L'articolo 6 prevede una deroga limitata: un sistema dell'Allegato III non è considerato ad alto rischio se non presenta un rischio significativo, ad esempio perché svolge un compito procedurale limitato o un compito preparatorio. La deroga non vale mai quando il sistema effettua profilazione di persone fisiche: in quel caso resta sempre ad alto rischio. Chi la applica deve poterla motivare.
Da quando si applicano gli obblighi
Il Digital Omnibus sull'IA, cioè il regolamento (UE) 2026/1744, ha spostato le scadenze. Secondo la Commissione europea l'Omnibus è in vigore dal 27 luglio 2026 e le regole per i sistemi ad alto rischio dell'Allegato III, compreso l'ambito dell'occupazione, si applicano dal 2 dicembre 2027. Il tempo c'è, ma gli obblighi nazionali dell'articolo 41 e l'informativa dell'articolo 1-bis valgono già oggi: conviene costruire un'unica mappa che serva per entrambi.
Gli obblighi del datore di lavoro come deployer
Chi usa un sistema ad alto rischio nella propria attività è un deployer e ha obblighi propri, fissati dall'articolo 26. Deve usare il sistema secondo le istruzioni d'uso del fornitore e affidare la sorveglianza umana a persone con competenza, formazione e autorità necessarie. Deve monitorarne il funzionamento, sospenderne l'uso se ritiene che presenti un rischio e conservare i log generati automaticamente sotto il suo controllo per almeno sei mesi, salvo diverse disposizioni.
Due paragrafi parlano direttamente all'HR. Il paragrafo 7 chiede ai datori di lavoro di informare rappresentanti dei lavoratori e lavoratori interessati prima di mettere in servizio o usare un sistema ad alto rischio sul luogo di lavoro. Il paragrafo 11 chiede di informare le persone soggette a decisioni prese o assistite da questi sistemi. Il paragrafo 9 collega le informazioni del fornitore alla valutazione d'impatto dell'articolo 35 del GDPR. L'articolo 23 del decreto 179/2026 prevede sanzioni amministrative anche per il mancato rispetto dell'articolo 26.
Il rapporto con l'articolo 22 del GDPR
L'articolo 22 del GDPR riconosce il diritto di non essere sottoposti a una decisione basata unicamente su un trattamento automatizzato che produca effetti giuridici o incida in modo analogo in modo significativo. Le eccezioni sono il contratto, l'autorizzazione di legge e il consenso esplicito; nei casi di contratto e consenso il titolare garantisce almeno l'intervento umano, la possibilità di esprimere la propria opinione e di contestare la decisione. Il decreto 179/2026 si muove nella stessa direzione e, per le decisioni finali sul rapporto di lavoro, esclude che il consenso basti. Per un ripasso dei principi puoi leggere la nostra guida su cos'è il GDPR.
IA, DVR e formazione: cosa chiede l'articolo 42?
L'articolo 42 porta l'IA dentro la valutazione dei rischi. L'uso di sistemi che incidono sull'organizzazione del lavoro, sui ritmi produttivi, sulle modalità di esecuzione della prestazione o sulle decisioni rilevanti per la sicurezza va valutato nel DVR, cioè nella valutazione dei rischi dell'articolo 28 del decreto legislativo 81/2008. Un sistema che assegna turni, fissa ritmi o distribuisce compiti può incidere proprio su questi aspetti: valuta con l'RSPP come considerarlo nel DVR.
Il comma 3 chiede ai datori di lavoro di assicurare un'adeguata informazione e formazione dei lavoratori sui rischi specifici dei sistemi di IA e sulle misure di prevenzione e protezione adottate. Questo percorso si somma alla formazione sull'IA richiesta dall'articolo 4 dell'AI Act, che abbiamo approfondito nella guida sulla formazione sull'IA in azienda. Coinvolgi l'RSPP fin dalla mappatura: le stesse informazioni servono a HR, sicurezza e privacy.
Cosa fare subito: la checklist per HR e direzione
Il primo passo è sapere quali strumenti usi davvero. Spesso le funzioni di IA sono incluse in software già in uso per recruiting, presenze, valutazioni o pianificazione dei turni, e nessuno le ha mai censite. Ecco un ordine di lavoro pratico, pensato per le prossime settimane.
Mappa gli strumenti: elenca software e servizi usati in recruiting, valutazione, turni, monitoraggio e disciplinare, e chiedi ai fornitori quali funzioni usano l'IA.
Classifica gli usi: per ogni strumento indica se rientra nell'Allegato III dell'AI Act, se effettua profilazione e se prepara decisioni finali coperte dall'articolo 41.
Nomina chi decide: per ogni decisione finale indica la persona responsabile, le informazioni che riceve e il potere di discostarsi dall'output.
Aggiorna le informative: verifica che l'informativa dell'articolo 1-bis contenga tutti gli elementi richiesti e sia consegnata prima dell'avvio del trattamento.
Coinvolgi le rappresentanze: prepara la comunicazione a RSA o RSU e un canale per le richieste di accesso, con risposta scritta entro trenta giorni.
Allinea privacy e sicurezza: aggiorna registro dei trattamenti e valutazione d'impatto, e porta nel DVR i sistemi che incidono su organizzazione e ritmi di lavoro.
Prepara la motivazione: definisci chi risponde alle richieste dei lavoratori e quali evidenze conservare per ricostruire ogni decisione.
Non serve partire da zero. Se hai già un registro dei trattamenti GDPR o un inventario degli asset informatici, usali come base e aggiungi una colonna per l'IA. Quello che conta è che la mappa sia una sola e aggiornata, condivisa da HR, IT, privacy e sicurezza.
Cosa fare nei prossimi mesi: governance dell'IA e ISO/IEC 42001
La checklist sistema l'urgente; la governance dell'IA evita di ricominciare da capo a ogni nuovo strumento. Una policy interna sull'IA indica chi può introdurre nuovi sistemi, chi li valuta prima dell'acquisto, quali usi sono ammessi nelle decisioni sul personale e come si gestiscono i cambiamenti. I contratti con i fornitori diventano parte del controllo: istruzioni d'uso, informazioni per l'informativa, log, aggiornamenti e incidenti vanno previsti per iscritto.
La norma ISO/IEC 42001 offre un metodo per mettere ordine: è lo standard internazionale per i sistemi di gestione dell'IA. È volontaria e non sostituisce gli obblighi di legge, ma aiuta a definire ruoli, valutare rischi e impatti, documentare decisioni e verificare nel tempo che i controlli funzionino. Per un'azienda che usa l'IA nella gestione del personale, è un modo per tenere insieme AI Act, decreto 179/2026 e GDPR in un unico sistema.
Ricorda infine che l'IA in HR non riguarda solo le decisioni. Se un assistente virtuale risponde ai candidati o se usi contenuti generati dall'IA negli annunci, valuta anche gli obblighi di trasparenza dell'articolo 50. Tenere tutto nella stessa mappa ti permette di rispondere con ordine a lavoratori, rappresentanze e autorità.
Come Complaion ti aiuta con AI Act e ISO/IEC 42001
Complaion affianca le aziende nei percorsi di conformità su AI Act, ISO/IEC 42001, GDPR e sulle altre principali norme e certificazioni. Un Lead Auditor dedicato segue la tua azienda nel tempo e propone il percorso più adatto alle tue esigenze.
La piattaforma Complaion raccoglie le evidenze, gestisce i documenti, tiene lo scadenziario delle attività e prepara l'audit. L'audit interno è condotto dal Lead Auditor, per arrivare alle verifiche esterne con un sistema già controllato. Oltre 1.000 clienti hanno scelto Complaion per i loro percorsi di conformità: se vuoi capire da dove partire, contattaci.
Domande frequenti sull'IA nelle decisioni sul personale
Posso usare l'IA per valutare le prestazioni dei dipendenti?
Il decreto 179/2026 non vieta l'uso dell'IA nelle valutazioni. L'articolo 41 chiede che la valutazione finale non sia adottata unicamente sulla base di un trattamento automatizzato e che la decisione definitiva spetti a una persona con un potere effettivo e autonomo. Prima dell'avvio va resa l'informativa dell'articolo 1-bis del D.Lgs. 152/1997.
Lo screening automatico dei CV è vietato?
No. L'articolo 41 esclude dalle decisioni finali sulla costituzione del rapporto le attività di ricerca e selezione delle candidature, anche quando portano alla mancata ammissione alle fasi successive. Restano però l'articolo 22 del GDPR e, per i sistemi destinati alla selezione, la classificazione ad alto rischio dell'AI Act.
Cosa succede se un licenziamento viene deciso solo da un sistema di IA?
Il comma 4 dell'articolo 41 prevede che il licenziamento intimato in violazione del comma 1 sia nullo. Sono nulle anche le altre decisioni assunte in violazione dello stesso comma. Per questo conviene documentare chi ha preso la decisione e su quali elementi.
Il consenso del lavoratore permette una decisione automatizzata?
No, per le decisioni finali sul rapporto di lavoro. L'articolo 41 stabilisce che il consenso del lavoratore non costituisce un'eccezione al divieto. È una differenza rispetto all'articolo 22 del GDPR, che prevede il consenso esplicito tra le eccezioni.
Da quando valgono gli obblighi dell'AI Act per i sistemi HR?
Secondo la Commissione europea, dopo il Digital Omnibus le regole per i sistemi ad alto rischio dell'Allegato III, compresa l'occupazione, si applicano dal 2 dicembre 2027. Gli obblighi nazionali dell'articolo 41 del decreto 179/2026 sono invece in vigore dal 23 ottobre 2026.
Devo informare i sindacati se introduco un sistema di IA in HR?
Sì, nei casi previsti. L'articolo 1-bis del D.Lgs. 152/1997 chiede di comunicare le informazioni anche alle rappresentanze sindacali aziendali o alla RSU e, in loro assenza, alle sedi territoriali delle associazioni più rappresentative. Per i sistemi ad alto rischio, dal 2 dicembre 2027 l'articolo 26 dell'AI Act chiede di informare rappresentanti e lavoratori prima dell'uso.
La ISO/IEC 42001 è obbligatoria per usare l'IA in HR?
No, la ISO/IEC 42001 è una norma volontaria. Offre però un metodo strutturato per gestire ruoli, rischi, documentazione e controlli sui sistemi di IA, utile per tenere insieme gli obblighi di AI Act, decreto 179/2026 e GDPR.
