AI Act e selezione del personale: cosa è scattato davvero il 2 agosto 2026

Il 31 luglio 2026 Tech Business apriva un articolo sul recruiting così: «Dal 2 agosto 2026 cambiano le regole per le aziende che usano l'intelligenza artificiale nella selezione del personale» (Tech Business, 31/07/2026). Quella frase era già superata da quattro giorni.

Il Regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus on AI, è stato pubblicato in Gazzetta Ufficiale dell'Unione il 24 luglio 2026 ed è in vigore dal 27 luglio 2026. Ha spostato al 2 dicembre 2027 gli obblighi sui sistemi ad alto rischio dell'Allegato III — la categoria in cui rientra la selezione del personale (EUR-Lex, Reg. (UE) 2026/1744).

Non stiamo commentando la notizia da fuori. oneBlade sviluppa e usa CandyHire, un ATS con matching AI: su questa norma siamo dalla parte di chi la deve applicare, non di chi la racconta. Quello che segue è il calendario letto sul testo del regolamento, non sulle rassegne stampa.

Questo non è un parere legale. È la lettura di un operatore che ha dovuto fare l'esercizio su sé stesso. Le decisioni di conformità vanno prese con il vostro legale o DPO.

Cosa dice davvero il calendario

Il 2 agosto 2026 è una data vera. Semplicemente, non è la data che quasi tutti hanno raccontato.

Dal 2 agosto 2026 si applicano gli obblighi di trasparenza dell'articolo 50 dell'AI Act e diventa operativa la vigilanza delle autorità nazionali (Il Sole 24 Ore, Giuseppe Vaciago, 28/07/2026). L'articolo 50 impone quattro cose, e nessuna riguarda lo screening dei CV:

• Par. 1 — chi fornisce un sistema pensato per interagire direttamente con una persona deve far sì che quella persona sappia di stare parlando con un'AI, salvo che sia ovvio.
• Par. 2 — chi fornisce sistemi che generano audio, immagini, video o testo sintetico deve marcare gli output in formato leggibile dalla macchina.
• Par. 3 — chi utilizza sistemi di riconoscimento delle emozioni o di categorizzazione biometrica deve informarne le persone esposte.
• Par. 4 — chi utilizza sistemi che producono deepfake deve dichiarare che il contenuto è generato o manipolato artificialmente.

Dal 2 dicembre 2027 si applicano le sezioni 1, 2 e 3 del Capo III — classificazione, requisiti tecnici e obblighi di fornitori e deployer — ai sistemi ad alto rischio dell'articolo 6, par. 2 e dell'Allegato III. Qui dentro c'è la selezione del personale. La data precedente era il 2 agosto 2026: il Digital Omnibus l'ha spostata di sedici mesi.

Dal 2 agosto 2028 le stesse sezioni si applicano ai sistemi ad alto rischio incorporati in prodotti già regolati dalla normativa settoriale (articolo 6, par. 1 e Allegato I): dispositivi medici, macchine, aeronautica.

C'è poi una scadenza intermedia che riguarda chi genera contenuti sintetici, non chi seleziona persone. I fornitori che avevano già immesso sul mercato sistemi di AI generativa prima del 2 agosto 2026 hanno quattro mesi per adeguarsi alla marcatura dell'articolo 50, par. 2: il termine cade il 2 dicembre 2026. Alla stessa data entrano in applicazione due nuovi divieti introdotti dal Digital Omnibus sull'articolo 5, in materia di immagini intime non consensuali e materiale pedopornografico sintetico.

E una cosa che non è mai stata rinviata: i divieti dell'articolo 5 si applicano dal 2 febbraio 2025. Tra questi c'è la lettera f), che vieta i sistemi di AI destinati a rilevare lo stato emotivo delle persone sul luogo di lavoro, fuori dai casi medici e di sicurezza. Se qualcuno vi sta vendendo un'analisi emotiva del video-colloquio, il problema non è il 2027: è oggi, ed è un divieto, non un obbligo di documentazione.

Il tuo ATS è un sistema ad alto rischio? Il test in quattro passaggi

L'Allegato III, punto 4, lettera a) qualifica come ad alto rischio i sistemi di AI destinati «all'assunzione o alla selezione di persone fisiche, in particolare per pubblicare annunci di lavoro mirati, analizzare o filtrare le candidature e valutare i candidati» (EUR-Lex, Reg. (UE) 2024/1689, Allegato III). La lettera b) copre la gestione del rapporto: assegnazione di compiti, monitoraggio e valutazione delle prestazioni, decisioni su promozioni e cessazioni.

Tradotto sui prodotti che si comprano davvero, l'elenco è questo: parsing e ranking automatico dei CV, matching predittivo candidato-posizione, assessment con scoring, video-interview con analisi del linguaggio, pubblicazione mirata degli annunci. Se il vostro ATS fa una qualsiasi di queste cose, siete dentro il perimetro dell'Allegato III.

Dentro il perimetro non significa automaticamente ad alto rischio. L'articolo 6, par. 3 prevede una deroga: un sistema dell'Allegato III non è ad alto rischio se non presenta un rischio significativo per salute, sicurezza o diritti fondamentali, e in particolare se non influenza materialmente l'esito del processo decisionale. Le condizioni ammesse sono quattro:

1. il sistema svolge un compito procedurale limitato;
2. il sistema migliora il risultato di un'attività umana già completata;
3. il sistema rileva schemi decisionali o scostamenti da schemi precedenti, senza sostituire o influenzare la valutazione umana già svolta, in assenza di un adeguato riesame umano;
4. il sistema svolge un compito preparatorio rispetto a una valutazione rilevante per i casi d'uso dell'Allegato III.

E poi c'è la clausola che chiude quasi tutte le porte: un sistema dell'Allegato III è sempre considerato ad alto rischio quando effettua profilazione di persone fisiche.

Ecco perché il test pratico è più corto di quanto sembri. Un parser che estrae anni di esperienza e stack da un PDF e li mette in un campo strutturato è un compito procedurale limitato. Un motore che assegna a ogni candidato un punteggio di compatibilità costruito su caratteristiche personali, e che ordina la lista che il recruiter guarda, è profilazione — quindi alto rischio, senza deroghe possibili.

La domanda giusta non è «il mio ATS ha l'AI?». È: il sistema produce un ordinamento o un punteggio che cambia chi viene guardato per primo, e chi non viene guardato affatto? Se la risposta è sì, la deroga dell'articolo 6, par. 3 non vi copre.

Attenzione a un punto che quasi nessuno sta raccontando: chi si avvale della deroga non è libero. L'articolo 6, par. 4 impone al fornitore di documentare la valutazione prima dell'immissione sul mercato, di registrare il sistema nella banca dati UE ai sensi dell'articolo 49, par. 2, e di esibire la documentazione su richiesta delle autorità. La deroga è un onere documentale, non un'esenzione.

Provider o deployer: chi risponde se sbaglia il fornitore

È la domanda che ci fanno più spesso, e la risposta sorprende chi la pone.

L'AI Act distingue il provider (chi sviluppa e immette sul mercato il sistema) dal deployer (chi lo utilizza sotto la propria autorità). Se comprate un ATS di terzi e lo usate così com'è, siete deployer: gli obblighi tecnici pesanti — gestione del rischio, qualità dei dati di addestramento, documentazione tecnica, valutazione di conformità — stanno sul fornitore.

Ma gli obblighi del deployer, all'articolo 26, non sono formalità. Dal 2 dicembre 2027 chi utilizza un sistema HR ad alto rischio deve, tra l'altro:

• usare il sistema secondo le istruzioni del fornitore;
• affidare la supervisione umana a persone che abbiano competenza, formazione e autorità necessarie, oltre al supporto adeguato (par. 2);
• monitorare il funzionamento e segnalare i rischi al fornitore e all'autorità di vigilanza senza ritardo (par. 5);
• conservare i log generati automaticamente per un periodo adeguato e comunque non inferiore a sei mesi (par. 6);
• informare i rappresentanti dei lavoratori e i lavoratori interessati prima di mettere in servizio il sistema sul luogo di lavoro (par. 7);
• informare le persone fisiche che sono sottoposte all'uso del sistema, quando questo concorre a decisioni che le riguardano (par. 11).

Il punto delicato è un altro, ed è l'articolo 25. Distributori, importatori, deployer e terzi diventano a tutti gli effetti fornitori — con tutti gli obblighi del fornitore — se: appongono il proprio nome o marchio su un sistema ad alto rischio già immesso sul mercato; apportano una modifica sostanziale al sistema; oppure modificano la finalità prevista di un sistema non classificato ad alto rischio in modo che diventi tale.

Tre esempi che vediamo davvero:

• Riaddestrate il modello di matching del vostro fornitore sui vostri storici di assunzione. Non siete più solo deployer.
• White-label dell'ATS del fornitore sul dominio e col marchio della vostra azienda, verso i candidati. Non siete più solo deployer.
• Usate per lo screening dei candidati un modulo che il fornitore vendeva come strumento di reportistica interna. Avete cambiato la finalità prevista.

Chi lavora con contractor e fornitori esterni ha una complicazione in più: se il vostro partner di recruiting fa girare l'AI di matching sul proprio ATS e vi consegna una shortlist, il deployer di quel sistema è lui, non voi. È una domanda legittima da fare in fase di selezione del fornitore, e noi rispondiamo volentieri — la trattiamo nel metodo TaaS.

Cosa è già vincolante oggi, e non è l'AI Act

Il rinvio al 2027 riguarda l'AI Act. Non riguarda tutto il resto, che è in vigore e sanzionato da anni.

GDPR, articolo 22. L'interessato «ha il diritto di non essere sottoposto a una decisione basata unicamente su un trattamento automatizzato» che produca effetti giuridici o incida significativamente sulla sua persona. Dove la decisione automatizzata è ammessa, il titolare deve garantire «almeno il diritto di ottenere l'intervento umano» (EUR-Lex, Reg. (UE) 2016/679, art. 22). Uno scarto automatico di candidature, senza revisione umana, è esattamente il caso che la norma disciplina — dal 2018.

Decreto trasparenza, D.Lgs. 104/2022. L'articolo 1-bis introduce obblighi informativi in capo al datore di lavoro sull'uso di sistemi decisionali o di monitoraggio automatizzati, comprese le informazioni rilevanti «ai fini dell'assunzione o del conferimento dell'incarico». Devono essere esplicitati finalità, logica di funzionamento, categorie di dati e parametri usati per programmare o addestrare il sistema, e le misure di controllo sulle decisioni automatizzate.

Divieti AI Act già applicabili. Come detto sopra, l'articolo 5 si applica dal 2 febbraio 2025. Il riconoscimento delle emozioni sul posto di lavoro è vietato, non rinviato.

Se state ragionando su come pubblicare gli annunci in modo conforme, dal 7 giugno 2026 c'è un secondo fronte già in vigore e indipendente dall'AI Act: la trasparenza retributiva negli annunci.

Il quadro che ne esce è meno comodo del titolo «tutto rinviato al 2027». Le tre cose che l'AI Act chiederà nel dicembre 2027 — supervisione umana effettiva, trasparenza verso il candidato, tracciabilità della decisione — sono in larga parte già dovute oggi, per altre vie.

Il conto delle sanzioni, fatto per intero

L'articolo 99 dell'AI Act gradua le sanzioni su tre livelli:

• Pratiche vietate (art. 5): fino a 35 milioni di euro o, per le imprese, fino al 7% del fatturato mondiale annuo dell'esercizio precedente.
• Violazione degli altri obblighi, compresi quelli del fornitore (art. 16), del deployer (art. 26) e di trasparenza (art. 50): fino a 15 milioni di euro o fino al 3% del fatturato mondiale annuo.
• Informazioni inesatte, incomplete o fuorvianti alle autorità: fino a 7,5 milioni di euro o fino all'1% del fatturato.

Il par. 6 aggiunge la variabile che cambia il conto per la maggior parte delle aziende italiane: per le PMI, comprese le start-up, si applica il minore tra l'importo fisso e la percentuale.

Facciamo il conto su un caso concreto. Una PMI con 20 milioni di euro di fatturato che usa un ATS ad alto rischio senza supervisione umana documentata, dal 2 dicembre 2027, ricade nella fascia dell'articolo 99, par. 4:

1. Importo fisso di riferimento: 15.000.000 €
2. Percentuale: 3% × 20.000.000 € = 600.000 €
3. Trattandosi di PMI, si applica il minore: 600.000 €

Sono seicentomila euro, non quindici milioni. Restano tre volte il costo annuo di un intero team di selezione interno. E il calcolo non tiene conto della sanzione del D.Lgs. 104/2022 sull'omessa informativa, che è amministrativa e va da 250 a 1.500 euro per ciascun lavoratore interessato: una cifra piccola per caso singolo, che su una popolazione aziendale si moltiplica in fretta.

Cosa fare adesso e cosa entro il 2 dicembre 2027

Sedici mesi sembrano tanti. Non lo sono, se dovete cambiare fornitore.

Da fare adesso, entro settembre 2026 — costo basso, valore alto anche se la data slittasse di nuovo:

1. Inventario. Elencate ogni sistema che tocca una candidatura: ATS, plugin di parsing, tool di sourcing, moduli di assessment, estensioni di ranking. La maggior parte delle aziende ne trova più di quanti ne ricordava.
2. Per ciascuno, la domanda del test: produce un punteggio o un ordinamento che cambia chi viene guardato? Se sì, mettetelo nella lista alto rischio e trattatelo come tale.
3. Chiedete al fornitore, per iscritto, tre cose: qual è la finalità prevista dichiarata del sistema; se ha svolto e documentato la valutazione ex art. 6, par. 3; a che punto è il suo piano di conformità per il 2 dicembre 2027. Chi non sa rispondere oggi non saprà rispondere fra un anno.
4. Verificate la conformità già dovuta: informativa privacy ai candidati, intervento umano garantito ex art. 22 GDPR, informativa ex art. 1-bis D.Lgs. 104/2022.
5. Attivate i log. Sei mesi di conservazione saranno obbligatori: costa poco iniziare adesso e molto ricostruire dopo.

Da completare entro il 2 dicembre 2027:

1. Supervisione umana assegnata a persone nominate, con competenza e autorità di ribaltare l'output — non una casella nel workflow.
2. Informativa ai rappresentanti dei lavoratori e ai lavoratori interessati prima della messa in servizio (art. 26, par. 7).
3. Informativa ai candidati sottoposti al sistema (art. 26, par. 11).
4. Log conservati per almeno sei mesi, con procedura di conservazione scritta.
5. Uso conforme alle istruzioni del fornitore, e presidio sulla qualità dei dati di input.
6. Verifica che non siate diventati fornitori ai sensi dell'articolo 25 — soprattutto se avete riaddestrato qualcosa.

Cosa abbiamo cambiato noi su CandyHire

Qui parliamo di noi, e vale la pena dirlo con precisione: nessuna di queste cose è stata fatta per l'AI Act. Sono state fatte perché il matching automatico, da solo, produceva shortlist che un recruiter tecnico non avrebbe mai firmato. La conformità è arrivata dopo, come effetto collaterale.

Tre pratiche, in vigore sul nostro processo:

• Nessuno scarto interamente automatico. Il ranking del sistema propone; l'esclusione di una candidatura la decide una persona. È il punto su cui l'articolo 22 GDPR è già netto oggi e su cui l'articolo 26 lo sarà nel 2027.
• La supervisione umana è un ruolo, non una spunta. Lo screening tecnico lo fa un recruiter che ha scritto codice: ha la competenza per non essere d'accordo con il punteggio, e l'autorità per ribaltarlo. È lo stesso principio su cui abbiamo costruito il servizio TaaS — chi valuta deve capire lo stack.
• Scorecard tracciata. Ogni valutazione lascia un criterio scritto e un esito. Serve al cliente per capire perché quel profilo è in shortlist, e servirà a noi per dimostrare la tracciabilità della decisione.

Le stesse tre pratiche, tradotte in termini di norma, sono: intervento umano effettivo, supervisione affidata a persona competente e con autorità, tracciabilità. Non è un caso: un processo di selezione che funziona e un processo di selezione conforme si somigliano molto più di quanto la parola «adempimento» lasci pensare.

CandyHire e gli altri prodotti che sviluppiamo sono descritti su prodotti.

Quello che questo articolo non può dirti

La parte onesta, e la più utile.

Non è consulenza legale. È la lettura del testo fatta da chi sviluppa e usa un ATS. La qualificazione di un sistema specifico dipende da come è configurato e da come lo usate: va fatta con il vostro legale o DPO.

Il calendario può cambiare ancora. Il Digital Omnibus è la seconda revisione sostanziale del calendario in due anni. Chi ha costruito la propria pianificazione sul 2 agosto 2026 lo ha imparato a proprie spese. Questo articolo è aggiornato al 5 agosto 2026 e va riletto a dicembre 2026.

Restano zone grigie sul testo. Il rinvio riguarda le sezioni 1, 2 e 3 del Capo III. Gli obblighi di registrazione nella banca dati UE stanno all'articolo 49, in una sezione diversa, e il Digital Omnibus ne ha semplificato i contenuti richiesti nell'Allegato VIII: quale sia la data esatta di decorrenza per un fornitore che si avvale della deroga dell'articolo 6, par. 3 non è una domanda a cui rispondiamo con sicurezza. Se è il vostro caso, verificatelo.

Mancano le linee guida applicative. La Commissione ha in lavorazione le linee guida sulla classificazione dell'alto rischio. Finché non escono, il confine tra «compito preparatorio» e «influenza materiale sull'esito» resta interpretativo — ed è esattamente il confine su cui si decide se il vostro ATS è ad alto rischio o no.

Non sappiamo quanto costerà adeguarsi. Non abbiamo un dato di mercato sul costo medio di conformità per un ATS HR, e non lo inventiamo. Chi vi dà quel numero oggi, lo sta stimando.

Domande frequenti

Devo dire ai candidati che uso l'AI per fare screening dei CV?

Per l'AI Act, l'obbligo specifico di informare la persona sottoposta al sistema (art. 26, par. 11) scatta il 2 dicembre 2027. Ma se il sistema partecipa a una decisione automatizzata sulla candidatura, l'informativa e il diritto all'intervento umano derivano già oggi dall'articolo 22 GDPR, e l'informativa sui sistemi decisionali automatizzati è dovuta dal D.Lgs. 104/2022 nei rapporti di lavoro. La risposta pratica è: sì, ditelo, e ditelo adesso.

Il mio ATS fa solo parsing dei CV. È ad alto rischio?

Un parser che estrae dati strutturati da un documento, senza assegnare punteggi né ordinare i candidati, ricade tra i «compiti procedurali limitati» dell'articolo 6, par. 3. Ma se lo stesso prodotto poi ordina la lista in base a un punteggio costruito su caratteristiche personali, sta profilando — e la profilazione rende il sistema sempre ad alto rischio, senza deroghe.

Se il fornitore dell'ATS non è conforme, chi paga?

Dipende dal ruolo. Gli obblighi tecnici sul sistema stanno sul fornitore; gli obblighi d'uso — supervisione umana, log, informative — stanno su di voi come deployer, e l'articolo 99 sanziona entrambi. E se avete apposto il vostro marchio sul sistema, l'avete modificato in modo sostanziale o ne avete cambiato la finalità prevista, l'articolo 25 vi rende fornitori a tutti gli effetti.

Ho tempo fino al dicembre 2027, posso rimandare tutto?

Potete rimandare gli adempimenti specifici dell'AI Act. Non potete rimandare l'articolo 22 GDPR, l'informativa del D.Lgs. 104/2022 e i divieti dell'articolo 5, tutti già in vigore. E se l'esito dell'inventario è che dovete cambiare fornitore, sedici mesi sono il tempo di una migrazione ATS, non un margine.

Le video-interview con analisi del comportamento sono ancora ammesse?

Attenzione a distinguere. L'analisi delle risposte è materia da Allegato III, rinviata al 2027. Il rilevamento dello stato emotivo del candidato sul luogo di lavoro rientra nel divieto dell'articolo 5, par. 1, lett. f), applicabile dal 2 febbraio 2025: quello non è un obbligo rinviato, è una pratica vietata.

Siamo una PMI. Il Digital Omnibus ci ha semplificato qualcosa?

Sì, ma meno di quanto il nome suggerisca. Il regolamento riduce gli oneri documentali per PMI e small mid-cap, rafforza gli spazi di sperimentazione normativa e semplifica i contenuti della registrazione in banca dati. Riscrive inoltre l'articolo 4 sull'alfabetizzazione in materia di AI: l'obbligo è ora di «adottare misure per sostenere lo sviluppo» delle competenze del personale, non di garantire un livello specifico. Il perimetro dell'alto rischio per la selezione del personale, invece, non è cambiato.

Fonti

• Regolamento (UE) 2026/1744 del Parlamento europeo e del Consiglio dell'8 luglio 2026 (Digital Omnibus on AI), pubblicato in GUUE il 24 luglio 2026, in vigore dal 27 luglio 2026 — eur-lex.europa.eu
• Regolamento (UE) 2024/1689 (AI Act) — artt. 5, 6, 25, 26, 50, 99 e Allegato III, punto 4 — eur-lex.europa.eu
• Regolamento (UE) 2016/679 (GDPR), art. 22 — processo decisionale automatizzato — eur-lex.europa.eu
• D.Lgs. 27 giugno 2022, n. 104 (decreto trasparenza), art. 1-bis — obblighi informativi sui sistemi decisionali e di monitoraggio automatizzati — normattiva.it
• Il Sole 24 Ore, Giuseppe Vaciago, «AI Act, dal 2 agosto debuttano la vigilanza e i doveri di trasparenza», 28 luglio 2026 — ilsole24ore.com
• Tech Business, Marco Brunasso, 31 luglio 2026 — citato come esempio della confusione sulle date, non come fonte normativa — techbusiness.it

Articolo aggiornato al 5 agosto 2026. Da rivedere a dicembre 2026.

Se state facendo l'inventario dei sistemi che toccano le vostre candidature e volete confrontarlo con chi lo ha già fatto su un ATS proprietario, scriveteci: un'ora di conversazione, senza pitch.