AI nelle risorse umane e automazione della compliance

In breve: l'AI nelle risorse umane e l'automazione della compliance servono soprattutto a togliere lavoro ripetitivo: onboarding, raccolta dei documenti, scadenze, controlli e prove per gli audit. Le decisioni sulle persone, come selezione e valutazione, restano a una persona: l'AI Act le considera ad alto rischio e in Italia il lavoratore va informato.

Punti chiave

Conviene automatizzare prima i flussi che non decidono sulle persone: onboarding, documenti, scadenze, evidenze per gli audit.
Per l'AI Act selezione, valutazione e assegnazione dei compiti con l'AI sono ad alto rischio: obblighi dal 2 dicembre 2027.
Il riconoscimento delle emozioni sul luogo di lavoro è vietato dal 2 febbraio 2025.
In Italia la legge 132/2025 obbliga già il datore di lavoro a informare i lavoratori nei casi previsti dal d.lgs. 152/1997.
La formazione sull'AI del personale (articolo 4 dell'AI Act) è già obbligatoria; la vigilanza delle autorità nazionali parte dal 2 agosto 2026.

Nelle aziende strutturate, risorse umane e compliance vivono di moduli, scadenze e controlli: un e-commerce inserisce personale stagionale in magazzino e customer care, un'azienda B2B riceve questionari fornitori, richieste di certificazioni e audit dai grandi clienti. Secondo Eurostat, nel 2025 il 31,05% delle imprese europee che usano l'AI la impiega per i processi amministrativi o gestionali, mentre tra chi l'ha valutata senza adottarla il 52,52% cita la scarsa chiarezza sulle conseguenze legali. In Italia, secondo Istat, le imprese con almeno 10 addetti che usano l'AI sono passate dall'8,2% al 16,4% tra 2024 e 2025. Il punto è capire dove usarla e con quali obblighi.

Cosa può fare l'AI nelle risorse umane, in concreto?

Oggi l'uso più utile dell'AI nelle risorse umane è sul lavoro amministrativo. L'automazione esegue regole fisse: se arriva un contratto firmato, crea gli account. L'intelligenza artificiale interpreta contenuti non strutturati: legge un attestato e ne estrae la scadenza. Di solito lavorano insieme: un flusso in n8n o Make gestisce i passaggi, un modello di OpenAI legge i documenti dove le regole non bastano.

Onboarding: raccolta dei documenti, creazione degli account, corsi obbligatori, promemoria al responsabile.
Gestione documentale: contratti, attestati e certificazioni classificati, con le scadenze estratte e segnalate in anticipo.
Assistente sulle policy: risponde su ferie, rimborsi e regolamento citando il documento. Chi lo usa deve sapere che parla con un'AI.
Supporto alla selezione: bozze di annunci, calendario dei colloqui, sintesi dei CV. Qui però si entra nell'area ad alto rischio.

Un esempio: un e-commerce che a novembre inserisce quindici addetti di magazzino. Invece di rincorrere documenti via e-mail, ogni assunto li carica da un link, l'AI ne controlla completezza e leggibilità e a una persona arrivano solo le eccezioni.

Cos'è l'automazione della compliance e cosa controlla?

L'automazione della compliance è l'uso di flussi software per verificare in modo continuo che processi, documenti e fornitori rispettino regole interne e norme, raccogliendo in automatico le prove per gli audit. Un audit trail è il registro di chi ha fatto cosa, quando e su quali dati: è la prima cosa che chiede un revisore.

Qualifica dei fornitori (B2B): scadenze di certificazioni e documenti di regolarità controllate, avvisi in anticipo, ordini segnalati se un documento è scaduto.
Richieste privacy (e-commerce): accessi e cancellazioni dei clienti registrati con data e risposta, dati cancellati alla scadenza prevista dalla policy di conservazione.
Controlli periodici: accessi degli ex dipendenti revocati, formazione completata, questionari di sicurezza dei clienti precompilati dalle policy approvate. Sul tema accessi vedi anche AI e sicurezza informatica.

L'AI non decide se l'azienda è conforme: trova, confronta e segnala. I criteri di controllo vanno scritti prima di automatizzarli.

Il vantaggio si vede soprattutto nei settori più regolamentati e quando arriva un audit: se ogni controllo lascia una traccia, il report di conformità si estrae dal registro invece di essere ricostruito a mano da e-mail e fogli di calcolo. A leggerlo e firmarlo resta una persona.

Quali sistemi di AI per le risorse umane sono ad alto rischio secondo l'AI Act?

Sono ad alto rischio i sistemi usati per selezionare il personale e per decidere sul rapporto di lavoro. L'allegato III, punto 4, cita annunci mirati, filtro e valutazione delle candidature, decisioni su condizioni di lavoro, promozioni e cessazioni, assegnazione dei compiti in base al comportamento, monitoraggio delle prestazioni.

Un sistema di AI ad alto rischio è consentito ma soggetto a obblighi stringenti: gestione dei rischi, dati di qualità contro le discriminazioni, registrazione delle attività, documentazione, supervisione umana, accuratezza e sicurezza. Con l'AI Omnibus, in vigore dal 27 luglio 2026, queste regole si applicano dal 2 dicembre 2027 invece che dal 2 agosto 2026: il rinvio dà tempo, ma un software di screening dei CV scelto oggi sarà ancora in uso quando scatteranno. Il riconoscimento delle emozioni sul luogo di lavoro è invece vietato dal 2 febbraio 2025, salvo motivi medici o di sicurezza.

Caso d'uso	Classificazione AI Act	Cosa serve
Onboarding e documenti	Fuori dall'allegato III se non valuta le persone	Informativa privacy, log, un responsabile del flusso
Assistente sulle policy	Obblighi di trasparenza: l'utente sa che parla con un'AI	Fonti approvate, risposte con riferimento al documento
Controlli di compliance su fornitori e accessi	Fuori dall'allegato III se non decide sui lavoratori	Criteri scritti, audit trail, verifica umana delle anomalie
Screening e ranking dei CV	Alto rischio (allegato III, punto 4a)	Revisione umana reale, informativa, documentazione del fornitore
Valutazione delle prestazioni e compiti assegnati in base al comportamento	Alto rischio (allegato III, punto 4b)	Come sopra, più coinvolgimento delle rappresentanze
Analisi delle emozioni da volto o voce	Vietato dal 2 febbraio 2025 (salvo motivi medici o di sicurezza)	Non usarlo

Cosa deve fare oggi un'azienda italiana che usa l'AI con i dipendenti?

Alcuni obblighi valgono già. La legge 132/2025, in vigore dal 10 ottobre 2025, chiede all'articolo 11 che l'uso dell'AI nel lavoro sia sicuro, affidabile e trasparente e obbliga il datore di lavoro a informare il lavoratore nei casi dell'articolo 1-bis del d.lgs. 152/1997.

Quell'articolo riguarda i sistemi decisionali o di monitoraggio integralmente automatizzati che forniscono indicazioni rilevanti su assunzione, gestione o cessazione del rapporto, compiti, sorveglianza e valutazione. Prima dell'inizio del lavoro il lavoratore deve sapere scopi, logica di funzionamento, dati e parametri principali, misure di controllo e correzione, accuratezza e sicurezza del sistema. Le stesse informazioni vanno alle rappresentanze sindacali, le modifiche vanno comunicate per iscritto almeno 24 ore prima e serve una valutazione d'impatto sui trattamenti di dati.

L'articolo 22 del GDPR aggiunge il diritto a non essere sottoposti a decisioni basate unicamente su un trattamento automatizzato con effetti giuridici o analoghi, salvo eccezioni e con garanzie come l'intervento umano. Dal 2 dicembre 2027, per i sistemi ad alto rischio, il deployer (l'azienda che usa il sistema sotto la propria responsabilità) dovrà anche affidare la supervisione a persone competenti, conservare i log almeno sei mesi e informare rappresentanti e lavoratori prima della messa in servizio. Non è una consulenza legale: per il tuo caso coinvolgi consulente del lavoro e DPO. Vedi anche governance e spiegabilità dell'AI.

L'AI può monitorare i dipendenti? Controllo a distanza e benessere

Alcuni software propongono di misurare produttività o benessere analizzando pause, tempi di risposta o attività al computer. In Italia, prima ancora dell'AI Act, vale l'articolo 4 dello Statuto dei lavoratori (legge 300/1970): gli strumenti da cui deriva anche la possibilità di controllo a distanza dell'attività dei lavoratori si possono usare solo per esigenze organizzative e produttive, sicurezza del lavoro e tutela del patrimonio aziendale, e si installano previo accordo con le rappresentanze sindacali (RSU o RSA) oppure, in mancanza di accordo, con l'autorizzazione dell'Ispettorato nazionale del lavoro.

La regola non si applica agli strumenti che il lavoratore usa per rendere la prestazione e a quelli che registrano accessi e presenze. Le informazioni raccolte sono utilizzabili ai fini del rapporto di lavoro solo se il lavoratore ha ricevuto un'adeguata informazione su modalità d'uso degli strumenti e controlli, nel rispetto del Codice privacy. Se un software con AI rientri tra gli "strumenti di lavoro" va valutato caso per caso con il consulente del lavoro.

A livello europeo il monitoraggio e la valutazione delle prestazioni con l'AI sono ad alto rischio (allegato III, punto 4b) e il riconoscimento delle emozioni è vietato. Per capire il clima aziendale la strada più prudente è un questionario anonimo con risultati aggregati per reparto, non il tracciamento del singolo dipendente.

Bisogna formare i dipendenti sull'AI? L'obbligo di alfabetizzazione

Sì, in forma proporzionata all'uso. L'articolo 4 dell'AI Act chiede a fornitori e deployer di sistemi di AI di adottare misure per l'alfabetizzazione in materia di AI del personale e delle altre persone che usano i sistemi per loro conto, per esempio appaltatori o fornitori di servizi. L'obbligo si applica dal 2 febbraio 2025; vigilanza e applicazione, affidate alle autorità nazionali, partono dal 2 agosto 2026.

Secondo le domande e risposte della Commissione europea, con l'AI Omnibus l'obbligo resta ma non è fissato un livello specifico o "sufficiente"; non serve un certificato e si può tenere un registro interno dei corsi e delle altre iniziative. Limitarsi a far leggere le istruzioni d'uso del software può non bastare. Chi usa sistemi ad alto rischio deve comunque formare le persone incaricate della supervisione umana.

Per un ufficio del personale o compliance, in pratica: una sessione su cosa fa e non fa lo strumento scelto, quali dati non inserire, come riconoscere e segnalare un errore, più un registro con data, argomenti e partecipanti.

Si possono usare ChatGPT e altri modelli con i dati dei dipendenti?

Sì, se il trattamento è impostato bene. Quando un fornitore di AI tratta dati personali per conto dell'azienda è un responsabile del trattamento: l'articolo 28 del GDPR richiede un contratto che ne fissi oggetto, durata, natura e finalità del trattamento e tipo di dati. L'articolo 35 richiede una valutazione d'impatto quando si valutano in modo sistematico ed esteso aspetti personali con trattamenti automatizzati da cui derivano decisioni con effetti giuridici o analoghi; nei casi del d.lgs. 152/1997 visti sopra è già obbligatoria.

Usa piani aziendali con un accordo sul trattamento dei dati, non account personali dei dipendenti.
Inserisci solo i dati necessari: per riassumere una policy non servono nomi; tieni fuori dati sanitari e altre categorie particolari.
Lascia le decisioni fuori dal prompt: il modello prepara una bozza, la valutazione resta a una persona.

Per l'uso dell'AI generativa in azienda più in generale vedi IA generativa e strategia di business.

Quali sanzioni prevede l'AI Act?

L'articolo 99 fissa i massimi: fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le pratiche vietate, come il riconoscimento delle emozioni sul lavoro; fino a 15 milioni o al 3% per la violazione degli obblighi dei deployer (articolo 26) e degli obblighi di trasparenza (articolo 50). Per le imprese vale l'importo più alto tra i due, per PMI e start-up il più basso. Le regole concrete sulle sanzioni le stabiliscono gli Stati membri entro questi limiti. Restano a parte le sanzioni del GDPR per i trattamenti di dati personali.

Come si costruisce un flusso di onboarding automatico?

Parte da un evento certo, raccoglie e controlla i documenti, attiva accessi e formazione e registra ogni passaggio, sia in un e-commerce sia in un'azienda B2B.

Avvio: il contratto firmato nel gestionale del personale fa partire il flusso.
Raccolta: il nuovo assunto riceve un link e carica i documenti richiesti per il ruolo.
Controllo: l'AI verifica completezza e leggibilità ed estrae le scadenze; i casi dubbi vanno a una persona.
Attivazione: account con i permessi del ruolo (e-mail, gestionale, e-commerce o CRM) e corsi obbligatori assegnati.
Traccia: ogni passaggio finisce in un registro, per esempio una tabella su Supabase, con data, esito e chi ha approvato.

Lo stesso schema, al contrario, gestisce l'offboarding: un account dimenticato può restare aperto per mesi. Per il metodo generale vedi la guida all'automazione dei processi aziendali; se il flusso dovrà agire da solo si passa agli agenti AI, con controlli più stretti.

Cosa chiedere al fornitore di un software HR con AI?

Prima di firmare, queste domande aiutano a capire quali obblighi ricadranno su di te come deployer.

Domanda al fornitore	Perché conta
Per quale finalità è progettato e in quale categoria dell'AI Act rientra?	Uno strumento di screening dei CV è ad alto rischio, un assistente sulle policy no: cambiano gli obblighi.
Quale accuratezza dichiara e con quali metriche?	Per i sistemi ad alto rischio le istruzioni d'uso devono indicarla (articolo 13).
Quali misure di supervisione umana prevede?	Anche queste vanno nelle istruzioni d'uso, e il deployer deve affidare la supervisione a persone competenti (articolo 26).
Quali log genera e per quanto li posso conservare?	Per l'alto rischio vanno tenuti almeno sei mesi; in ogni caso servono per gli audit.
Chi tratta i dati e c'è un contratto da responsabile del trattamento?	Lo richiede l'articolo 28 del GDPR.
Come vengono controllati i dati contro le discriminazioni?	La qualità dei dati è un requisito dei sistemi ad alto rischio.

Come applicarlo nella tua azienda: i primi passi

Misura il punto di partenza: per due settimane conta pratiche HR e controlli di compliance e le ore che richiedono.
Classifica ogni uso dell'AI con la tabella sopra e parti solo dai casi che non decidono sulle persone.
Automatizza un solo flusso, con un responsabile, un registro e un obiettivo misurabile, per esempio i giorni per rendere operativo un nuovo assunto.
Prepara informativa e valutazione d'impatto prima di andare in produzione.
Dopo sessanta giorni confronta i numeri e decidi se estendere; per gli indicatori vedi come misurare il valore dell'AI.

È il lavoro che seguo nei progetti di automazione aziendale; altri casi sono nella sezione automazioni del blog.

Errori da evitare

Lasciare all'AI assunzioni, promozioni o licenziamenti: approvare in automatico l'esito dell'algoritmo non è supervisione.
Comprare un software HR "con AI" senza chiedere documentazione, dati di addestramento e misure contro le discriminazioni.
Automatizzare senza log: in un audit non potrai dimostrare cosa è successo.
Tracciare pause o produttività individuale senza accordo sindacale o autorizzazione e senza informativa: è il terreno dell'articolo 4 dello Statuto dei lavoratori.
Incollare dati dei dipendenti in account AI personali, senza contratto con il fornitore né regole su cosa inserire.

Domande frequenti (FAQ)

L'AI può selezionare i candidati al posto dell'ufficio del personale?

Può scrivere bozze di annunci, organizzare i colloqui e riassumere i CV, ma non dovrebbe decidere da sola chi scartare. L'AI Act classifica ad alto rischio i sistemi che filtrano e valutano candidature, e il GDPR limita le decisioni basate unicamente su trattamenti automatizzati.

Cosa cambia con il rinvio dell'AI Act al 2 dicembre 2027?

Con l'AI Omnibus, in vigore dal 27 luglio 2026, gli obblighi per i sistemi ad alto rischio dell'allegato III, compresi quelli per selezione e gestione del personale, partono dal 2 dicembre 2027 invece che dal 2 agosto 2026. La classificazione resta la stessa e il divieto di riconoscere le emozioni sul luogo di lavoro vale dal 2 febbraio 2025.

Devo informare i dipendenti se uso l'AI in azienda?

In Italia la legge 132/2025 obbliga il datore di lavoro a informare il lavoratore nei casi dell'articolo 1-bis del d.lgs. 152/1997, cioè quando sistemi integralmente automatizzati forniscono indicazioni rilevanti su assunzione, gestione, compiti, sorveglianza o valutazione. L'informativa va data anche alle rappresentanze sindacali; nei casi dubbi conviene sentire consulente del lavoro e DPO.

Quali processi HR conviene automatizzare per primi?

Quelli ripetitivi che non decidono sulle persone: onboarding e offboarding, documenti e scadenze, ferie e note spese, domande frequenti sulle policy interne. Sono frequenti, misurabili e fuori dall'area ad alto rischio dell'AI Act.

Serve un nuovo software HR per automatizzare?

Di solito no: basta collegare gli strumenti che l'azienda usa già, come gestionale del personale, e-mail, archivio documenti ed e-commerce, con piattaforme come n8n o Make. Il lavoro principale è disegnare il processo e decidere chi gestisce le eccezioni.

Posso usare l'AI per monitorare la produttività dei dipendenti?

Solo entro limiti precisi. In Italia gli strumenti che consentono anche un controllo a distanza servono per esigenze organizzative, produttive, di sicurezza o di tutela del patrimonio, richiedono un accordo sindacale o l'autorizzazione dell'Ispettorato nazionale del lavoro e un'informativa adeguata. Per l'AI Act il monitoraggio delle prestazioni è ad alto rischio e il riconoscimento delle emozioni sul lavoro è vietato.

La formazione sull'AI per i dipendenti è obbligatoria?

Sì: dal 2 febbraio 2025 l'articolo 4 dell'AI Act chiede a chi usa sistemi di AI di curare l'alfabetizzazione di personale e collaboratori, con vigilanza delle autorità nazionali dal 2 agosto 2026. Non serve un certificato e non è fissato un livello minimo: basta un percorso proporzionato all'uso e un registro interno delle iniziative.

Fonti

Se vuoi capire quali flussi HR e di compliance automatizzare per primi senza entrare nelle aree ad alto rischio, richiedi una diagnosi gratuita.