I processi di selezione del personale nell’era dell’intelligenza artificiale

L’efficienza e la qualità del reclutamento rappresentano una questione essenziale nel settore turistico: necessità di competenze; disponibilità; adattabilità; stagionalità; qualità del rapporto con il cliente e fidelizzazione… sono tutte specificità che gli operatori del settore devono tenere in considerazione.

Nel diritto francese, il reclutamento è una fase fortemente regolamentata: il datore di lavoro deve informare chiaramente i candidati sui metodi utilizzati, rispettarne la vita privata, raccogliere soltanto informazioni pertinenti rispetto alla posizione e vietare qualsiasi discriminazione, ecc.

L’utilizzo dell’intelligenza artificiale e di algoritmi avanzati può aiutare il datore di lavoro nelle attività di reclutamento. Tuttavia, questi strumenti possono facilmente rappresentare un rischio, in particolare a causa di un’eccessiva automazione delle procedure o di una loro gestione non adeguata.

Con la diffusione delle soluzioni «intelligenti» per il reclutamento (software per lo screening dei CV, strumenti di scoring, chatbot di preselezione, piattaforme di valutazione automatizzata), gli obblighi tradizionali del selezionatore devono coordinarsi con quelli, molto recenti, derivanti dal Regolamento europeo sull’intelligenza artificiale (AI Act¹), con quelli, più noti, in materia di protezione dei dati personali (GDPR²) e, infine, con quelli relativi alla cybersicurezza dei dati (CRA e NIS2³, sotto il controllo dell’ANSSI).

Nel 2026, considerati i rischi di discriminazione e la mancanza di trasparenza, la CNIL⁴ ha deciso, con il supporto della DGCCRF e dell’ANSSI⁵, che i propri controlli senza preavviso si concentreranno in via prioritaria sugli algoritmi e sugli strumenti di IA utilizzati nell’ambito del reclutamento! È quindi più che mai il momento di adeguarsi!

In questo articolo riepilogheremo:

• le precauzioni da adottare in caso di utilizzo dell’IA (1)
• le regole fondamentali che disciplinano qualsiasi procedura di reclutamento nel diritto francese (2)
• le ulteriori precauzioni da adottare ai sensi del GDPR (3)

Questi aspetti devono essere presi in considerazione sia in caso di reclutamento diretto sia quando ci si avvale di un fornitore esterno, verificando che anche quest’ultimo rispetti i propri obblighi nell’ambito del processo.

1. Quali sono i vostri obblighi in caso di ricorso a soluzioni di IA? Quali sono le buone pratiche?

L’impresa che ricorre all’IA nei processi di reclutamento, soprattutto se non gestisce o non padroneggia la materia, si espone a molteplici rischi: scelta inadeguata della soluzione, manipolazione dei dati di addestramento, fuga di dati, decisioni distorte, discriminazione, carenza di controllo umano, ecc. In assenza di controlli, il datore di lavoro può violare involontariamente anche i propri obblighi più elementari.

Per ridurre al minimo tali rischi e proteggere le persone dagli utilizzi impropri degli strumenti di IA, nel 2024 il legislatore europeo ha pertanto introdotto una disciplina comune e vincolante: l’AI ACT.

Questo regolamento europeo, che si coordina naturalmente con il Codice del lavoro e con il GDPR, definisce nuove responsabilità e nuovi obblighi per le imprese quando sviluppano, commercializzano o, nel caso di specie, utilizzano uno strumento di intelligenza artificiale.

L’AI Act è entrato in applicazione per fasi dall’inizio del 2025. Le imprese sono quindi già interessate dalla maggior parte delle sue disposizioni, sia da quelle già in vigore (in particolare i sistemi di IA vietati), sia da quelle che entreranno in vigore il 2 agosto 2026 (come l’obbligo di trasparenza). Le disposizioni riguardanti i sistemi di IA cosiddetti «ad alto rischio» sono invece state recentemente rinviate alla fine del 2027 e ad agosto 2028.

Uno strumento di IA utilizzato per il reclutamento non è considerato neutro, alla luce dei rischi sopra indicati e, in particolare, dei rischi di lesione dei diritti delle persone. È quindi fondamentale stabilire se rientri nella categoria dei «modelli di IA per finalità generali» – soggetti a una regolamentazione meno rigorosa – oppure in quella degli strumenti vietati o dei sistemi di IA ad alto rischio, che impongono obblighi molto gravosi alle imprese. Quest’ultima qualificazione può essere attribuita piuttosto rapidamente a numerosi strumenti di reclutamento che trattano dati sensibili e incidono in misura significativa sulle persone interessate: sistemi di analisi automatizzata della personalità, sistemi che favoriscono l’adozione di decisioni automatizzate, ecc.).

Spetta quindi fin da ora ai datori di lavoro, soprattutto se non padroneggiano gli utilizzi dell’IA nella propria impresa, adeguarsi all’AI Act, in particolare:

• mappare gli strumenti di IA utilizzati nel reclutamento;
• determinare il proprio status ai sensi dell’AI Act (fornitore, deployer, ecc.);
• determinare la qualificazione giuridica dei propri strumenti di IA, che stabilirà le norme applicabili ed eviterà l’acquisto di uno strumento vietato o rischioso;
• verificare che i contratti stipulati con i fornitori di soluzioni di IA siano conformi al regolamento.

E soprattutto, come sempre in materia di «compliance», adottare tutte le misure organizzative (ad es. formazione del personale, coinvolgimento del CSE), tecniche (ad es. aggiornamento del sistema informativo) e giuridiche (ad es. informativa, revisione dei contratti, policy interna sull’IA, ecc.) necessarie per assicurare un’effettiva conformità all’AI Act, in funzione delle diverse fasi della sua entrata in applicazione.

Tenuto conto dell’applicazione progressiva dell’AI Act e dei recenti rinvii di alcune scadenze, dei rischi che un semplice strumento di IA venga riqualificato come sistema «ad alto rischio» e delle differenze di trattamento tra i contratti anteriori e successivi all’AI Act, i datori di lavoro devono verificare con la massima attenzione quali contratti siano interessati e quali obblighi gravino su di loro in funzione del calendario, del proprio status e della qualificazione dello strumento di IA.

Una volta effettuate tali verifiche, il datore di lavoro dovrà poi assicurarsi di rispettare due principi fondamentali dell’AI Act:

• informare chiaramente i candidati dell’utilizzo di strumenti di IA nel processo di reclutamento e delle relative finalità;
• assicurarsi che lo strumento di IA utilizzato, in particolare qualora sia qualificato come «sistema di IA ad alto rischio» ai sensi del regolamento, non conduca, nella pratica, a decisioni distorte o discriminatorie, mantenendo un effettivo controllo umano sulle scelte effettuate, disponendo di un’adeguata documentazione tecnica e garantendo la tracciabilità del processo decisionale, essenziale in caso di controllo o contenzioso.

Parallelamente, sono naturalmente garantiti diritti anche alle persone interessate da tali utilizzi dell’IA (in questo caso i candidati), affinché possano verificare il rispetto della propria vita privata e la conformità delle decisioni che li riguardano.

Ricordiamo infine che la conformità all’AI ACT è sottoposta al controllo di diverse autorità, tra cui la DGCCRF e la CNIL. La sua violazione può quindi comportare sanzioni amministrative e ammende rilevanti (fino al 7% del fatturato), oltre ai rischi giudiziari e reputazionali.

Di fronte a tali rischi, le imprese che assumono sono le sole responsabili del proprio adeguamento. Devono pertanto ottenere dai propri fornitori e partner le medesime garanzie e prove di conformità.

Questo aspetto deve essere esaminato con i vostri consulenti in diritto del lavoro, diritto contrattuale, protezione dei dati e diritto digitale.

2. Nel diritto del lavoro, quali sono i principali obblighi giuridici applicabili a ogni procedura di reclutamento?

Il Codice del lavoro impone inoltre un principio di trasparenza fin dall’inizio del processo di reclutamento. Il datore di lavoro deve informare espressamente e preventivamente ciascun candidato sui metodi e sulle tecniche di supporto al reclutamento utilizzati nei suoi confronti (test, questionari, strumenti digitali, ecc.). Si raccomanda di fornire tale informativa per iscritto. In questo ambito, inoltre, il contratto collettivo Hôtels Cafés Restaurants (HCR), nella sua ultima versione del 21 maggio 2025, si applica a tutti gli operatori.

Nessuna informazione personale può essere raccolta mediante uno strumento che non sia stato portato a conoscenza del candidato. Tale obbligo riguarda anche gli strumenti digitali e i test di personalità: non possono essere imposti «a sorpresa» né svolti all’insaputa dei candidati.

Quando l’impresa dispone di un CSE, anche quest’ultimo deve essere preventivamente informato dell’utilizzo dei metodi o delle tecniche di supporto al reclutamento e delle relative modifiche.

La raccolta delle informazioni deve rispondere a un duplice requisito di finalità e pertinenza: le informazioni richieste al candidato possono essere finalizzate esclusivamente a valutarne la capacità di ricoprire il posto proposto o le attitudini professionali e devono avere un nesso diretto e necessario con il posto o con la valutazione delle competenze.

Questo requisito si applica a tutti gli strumenti, compresi gli algoritmi e le IA utilizzati nel reclutamento: un trattamento che sfruttasse, ad esempio, elementi relativi alla vita privata, alle opinioni o agli interessi personali, privi di legame con il posto, sarebbe illecito.

Il selezionatore non può pertanto condurre indagini su elementi protetti dalle norme in materia di non discriminazione, tra cui: lo stato di salute o la disabilità; le convinzioni politiche, religiose o sindacali; le origini; l’appartenenza a un gruppo etnico o a una religione; lo stato di gravidanza.

Non può neppure utilizzare dati relativi alla vita privata, come ad esempio informazioni sui familiari del candidato, il luogo di nascita o l’importo dettagliato delle retribuzioni precedenti (salvo che il candidato scelga di indicarlo per giustificare le proprie aspettative retributive).

Infine e soprattutto, il divieto di qualsiasi discriminazione in fase di assunzione impedisce di fondare la decisione di assumere (o non assumere) una persona sulla sua origine, sul sesso, sui costumi, sull’orientamento sessuale, sull’identità di genere, sull’età, sulla situazione familiare o sulla gravidanza, sulle caratteristiche genetiche, sulla particolare vulnerabilità derivante dalla situazione economica, sull’appartenenza o non appartenenza a un gruppo etnico, a una nazione o a una presunta razza, sulle opinioni politiche, sulle attività sindacali o mutualistiche, sull’esercizio di un mandato elettivo, sulle convinzioni religiose, sull’aspetto fisico, sul cognome, sul luogo di residenza, sullo status di whistleblower, ecc.

In caso di discriminazione accertata, la società si espone:

• in sede civile: al risarcimento dei danni e al rischio di nullità della decisione di assunzione o di rifiuto dell’assunzione;
• in sede penale: al rischio di condanna (per le persone fisiche: fino a 45.000 euro di ammenda e 3 anni di reclusione; per le persone giuridiche: fino a 225.000 euro di ammenda e l’eventuale divieto di esercitare l’attività interessata).

3. Non dimenticate gli obblighi specifici derivanti dal GDPR (dati personali), essenziali nell’utilizzo di strumenti di IA!

Il processo di reclutamento comporta necessariamente il trattamento di numerosi dati personali e rientra quindi nell’ambito del GDPR: raccolta dei CV, valutazione, conservazione, classificazione, comunicazione, cancellazione ed eventualmente trasmissione ad altre entità.

In questa materia, il GDPR converge con gli obblighi del Codice del lavoro e con le nuove disposizioni dell’AI Act e, in caso di dubbio, prevale.

Il datore di lavoro è il principale titolare del trattamento dei dati personali dei candidati e dei dipendenti e deve rispettare i principi fondamentali di trasparenza (informazione preventiva), liceità, minimizzazione dei dati, limitazione del periodo di conservazione, sicurezza dei dati, ecc. Deve pertanto anche assicurarsi che i responsabili del trattamento e i fornitori di servizi che abbiano accesso a tali dati offrano le stesse garanzie di conformità, in funzione del loro grado di autonomia (titolari autonomi, contitolari o responsabili del trattamento). Tale conformità complessiva deve essere riflessa nel contratto stipulato con essi.

Nel 2023 la CNIL ha pubblicato una guida sul reclutamento e sui relativi strumenti (sintesi per microimprese/PMI, questionario di autovalutazione) per aiutare i selezionatori a rispettare il GDPR. Tale guida si basa, in particolare, su un Referenziale obbligatorio della CNIL relativo alla gestione delle risorse umane.

Ricordiamo inoltre che, ben prima dell’AI Act, il GDPR vietava già l’adozione di decisioni automatizzate quando queste producono effetti giuridici sulle persone (ad es. i candidati) i cui dati siano stati trattati in tale modo.

Infine, i candidati dispongono, tra gli altri, del diritto all’informazione, del diritto di accesso e, in alcuni casi, di cancellazione dei propri dati, nonché del diritto di proporre reclamo alla CNIL: un diritto che molti dipendenti hanno già ampiamente esercitato nei confronti di numerosi datori di lavoro, talvolta disorientati da una procedura non adeguatamente padroneggiata.

Questo aspetto deve essere esaminato con i vostri consulenti in materia di protezione dei dati personali.

In conclusione, l’utilizzo di strumenti di IA nell’ambito delle operazioni di reclutamento comporta l’applicazione di numerose norme vincolanti, all’interno di un quadro giuridico peraltro in continua evoluzione. Le regole richiamate nel presente articolo non intendono fornire un quadro esaustivo e personalizzato. Per evitare responsabilità, procedure inutili e conseguenze negative, in particolare in un settore nel quale la reputazione e la relazione con il cliente sono essenziali, è quindi opportuno anticipare i rischi, far esaminare dai propri consulenti le situazioni concrete e mantenersi costantemente aggiornati sull’evoluzione delle norme e delle buone pratiche.