IA nelle risorse umane: FRIA e DPIA non sono lo stesso controllo

Prima di introdurre un sistema di IA nella gestione del personale, un datore di lavoro italiano deve rispondere a domande distinte: che cosa fa il sistema, quali dati tratta, chi lo utilizza e quali conseguenze può produrre per le persone. Da queste risposte dipendono le informazioni da fornire ai lavoratori, la valutazione d’impatto sulla protezione dei dati (DPIA) e, per determinati utilizzatori di sistemi ad alto rischio, la valutazione sui diritti fondamentali (FRIA). Più obblighi possono riguardare lo stesso impiego.

Le FAQ della Commissione europea distinguono le due valutazioni, l’informazione preventiva nel luogo di lavoro e la decorrenza delle regole sui sistemi ad alto rischio dell’allegato III, fissata al 2 dicembre 2027. Gli obblighi italiani sul lavoro e quelli sulla protezione dei dati vanno invece esaminati già prima di avviare il trattamento. Per orientarsi serve quindi una scheda dell’uso previsto, non soltanto la classificazione dichiarata dal fornitore.

La funzione del sistema apre il percorso

La classificazione europea dipende dalla finalità e dall’impiego concreto. Filtrare candidature, valutare candidati, assegnare compiti in base a caratteristiche individuali, monitorare comportamenti o valutare prestazioni sono funzioni che possono collocare un sistema tra quelli ad alto rischio per l’occupazione e la gestione dei lavoratori. Una funzione di supporto puramente preparatoria richiede un esame diverso da un punteggio individuale che orienta una decisione su assunzione, turni o carriera.

La prima evidenza da conservare è una descrizione delle funzioni effettivamente attivate: quali informazioni entrano nel sistema, quale risultato ne esce, chi lo riceve e in quale decisione viene usato. Le istruzioni del fornitore aiutano a capire l’uso previsto, ma il datore deve descrivere anche il proprio processo. Un impiego che produce profili individuali, per esempio, pone questioni diverse da uno strumento che riassume informazioni generali senza valutare persone identificabili.

Chi informare e per quale motivo

Per l’impiego sul lavoro di un sistema ad alto rischio, la disciplina europea richiede di informare preventivamente i dipendenti interessati e i loro rappresentanti. Se il sistema è destinato a prendere decisioni su persone o ad assistere chi le prende, è prevista anche l’informazione delle persone coinvolte. Si tratta di obblighi legati alla classificazione del sistema, distinti dalle comunicazioni già richieste dal diritto italiano e dall’informativa sul trattamento dei dati personali.

La soglia italiana è specifica. Il provvedimento del Garante sui sistemi automatizzati nel lavoro richiama l’articolo 1-bis del decreto legislativo 152/1997: quando sistemi decisionali o di monitoraggio integralmente automatizzati forniscono indicazioni rilevanti per la gestione del rapporto, il lavoratore deve ricevere informazioni aggiuntive. Queste riguardano, tra l’altro, aspetti del rapporto interessati, finalità, logica, categorie di dati, parametri principali, misure di controllo e processi di correzione. La stessa disposizione prevede l’aggiornamento del registro dei trattamenti e una valutazione d’impatto dei trattamenti interessati.

Occorre quindi registrare separatamente l’esito della classificazione europea e quello della verifica sull’automazione integrale. Se quest’ultima soglia non è raggiunta, resta da fornire l’informativa privacy dovuta per i dati personali trattati; l’assenza dell’obbligo informativo aggiuntivo non elimina le regole generali del GDPR. Per ciascuna comunicazione, il fascicolo dovrebbe conservare il testo, i destinatari e la prova del momento in cui è stata resa.

La DPIA segue i dati e l’effetto del trattamento

La DPIA esamina il trattamento dei dati personali prima che inizi: finalità, necessità e proporzionalità, rischi per le persone e misure previste per ridurli. Nel quadro generale del GDPR è richiesta quando il trattamento può presentare un rischio elevato. Nelle risorse umane contano, fra gli altri elementi, la profilazione, il monitoraggio sistematico, le categorie di dati utilizzate e il peso del risultato nelle decisioni sulla persona.

Per i trattamenti collegati ai sistemi integralmente automatizzati che rientrano nella disposizione italiana appena descritta, il datore deve inoltre effettuare l’analisi dei rischi e la valutazione d’impatto prevista da quella norma. La verifica non può fermarsi alla domanda se il prodotto sia venduto come «IA»: deve identificare dati, persone interessate, durata della conservazione, accessi e decisioni sostenute dal sistema. Se dopo le misure previste permane un rischio elevato, va esaminata la necessità di consultare preventivamente il Garante.

Un caso ipotetico chiarisce il confine: un punteggio usato per distribuire opportunità di lavoro richiede di valutare quali dati alimentano il calcolo e quanto il punteggio incide sull’assegnazione. La DPIA deve poter mostrare anche chi può correggere dati inesatti o contestare un risultato. Una firma umana apposta dopo aver accettato automaticamente ogni proposta non descrive una supervisione effettiva.

Monitoraggio e FRIA aprono rami diversi

Se lo strumento consente un controllo a distanza dell’attività, entra in gioco la disciplina dello Statuto dei lavoratori. Le linee guida del Ministero del Lavoro richiamano l’articolo 4 per i sistemi che monitorano comportamenti, produttività o spostamenti: occorre verificare finalità, eventuale accordo sindacale o autorizzazione e disciplina degli strumenti necessari alla prestazione. L’esito di questa verifica va documentato a parte. Informare il lavoratore non sostituisce l’accordo o l’autorizzazione quando sono necessari.

La FRIA segue invece il tipo di sistema e il soggetto che lo impiega. Per gli usi ad alto rischio pertinenti alla gestione del personale, la valutazione sui diritti fondamentali è richiesta agli organismi di diritto pubblico e ai privati che forniscono servizi pubblici. Un’impresa privata ordinaria non vi è soggetta per il solo fatto di usare IA nelle assunzioni o nella valutazione dei dipendenti; può comunque dover svolgere una DPIA e adempiere agli obblighi informativi.

Quando la FRIA è dovuta, deve descrivere il processo interessato, durata e frequenza dell’uso, gruppi coinvolti, rischi specifici, supervisione umana e misure previste se tali rischi si concretizzano. I risultati sono notificati all’autorità di vigilanza del mercato secondo la disciplina europea. Una DPIA può fornire parti utili alla FRIA, ma l’esame deve coprire anche conseguenze sul lavoro quali disparità nell’accesso alle opportunità o nella progressione professionale.

Un esito motivato per ogni ramo

Il fascicolo dell’introduzione può seguire questa sequenza, conservando per ogni risposta la ragione della scelta e l’evidenza utilizzata:

1. Funzione e conseguenza: descrivere l’uso effettivo, la decisione sostenuta, i lavoratori o candidati coinvolti e la classificazione del sistema; allegare le istruzioni del fornitore.
2. Comunicazioni: verificare separatamente l’alto rischio europeo, l’automazione integrale prevista dalla norma italiana e il trattamento di dati personali; conservare testi e prove di consegna delle informative dovute.
3. Dati e monitoraggio: registrare finalità, categorie di dati e rischi; svolgere la DPIA quando richiesta e documentare a parte l’eventuale percorso relativo al controllo a distanza.
4. Soggetto utilizzatore: se il sistema è ad alto rischio, accertare se il datore è un organismo di diritto pubblico o un privato che fornisce servizi pubblici; in caso affermativo, predisporre anche la FRIA.

Per un medesimo sistema l’esito può comprendere più comunicazioni e entrambe le valutazioni. I documenti possono condividere dati e descrizioni del processo, purché ciascuno renda riconoscibili il proprio oggetto, le persone interessate, i rischi esaminati e le decisioni assunte.

Leggi anche:

• Marchio italiano o UE: 101 contro 850 euro non raccontano tutto
• ElevenLabs o Azure Speech: nell’italiano naturale il prezzo non è tutto
• CapCut o Descript: il prezzo visibile non misura lo stesso lavoro