n. 5 anno 2026

Legge 132/2025: La nuova governance dell'IA per la funzione HR

di Ugo Ettore Di Stefano e Alessandro Minucci

Con l'entrata in vigore della Legge 132 del 23 settembre 2025, l'Italia si è dotata della prima normativa nazionale in materia di Intelligenza Artificiale (“AI”). Non si tratta dell’applicazionedel Regolamento Europeo in materia di AI (AI ACT, Reg. UE 2024/1689), ma di una sua integrazione riferita allo specifico contesto italiano. La Legge Italiana è molto sintetica: solo 28 articoli a fronte di 113 articoli,180 considerando e 13 allegati dell’AI Act! Ciononostante, la Legge ha un impatto immediato e concreto anche per chi gestisce le Risorse Umane.

Dalla teoria alla compliance operativa: la "Carta" dei valori (Art. 3)
La normativa investe direttamente l'operatività quotidiana dell'HR: dai software per lo screening dei CV all'ottimizzazione dei turni, fino ai chatbot per l'assistenza. L'intero impianto normativo poggia sull'Articolo 3, che funge da vera e propria "Carta dei principi fondamentali" della legge. Esso non si limita a richiedere sicurezza tecnica, ma impone che ogni sistema IA sia sviluppato e utilizzato nel rispetto di principi precisi: "trasparenza, proporzionalità, sicurezza, protezione dei dati personali, riservatezza, accuratezza, non discriminazione, parità dei sessi e sostenibilità".
In particolare, il principio di antropocentrismo sancito da questo articolo garantisce che la tecnologia rimanga sempre al servizio dell'uomo, vietando qualsiasi applicazione che possa pregiudicare i diritti fondamentali e le libertà o l'autonomia decisionale della persona.
Questo quadro etico diventa un preciso obbligo operativo con l'Articolo 11 (Disposizioni sull'uso dell'intelligenza artificiale in materia di lavoro). Analizzando la norma per gli aspetti giuslavoristici, emerge come l'IA non sia un fine, ma un mezzo: essa deve essere impiegata "per migliorare le condizioni di lavoro, la produttività e la qualità delle prestazioni". Tuttavia, il legislatore pone un limite invalicabile: l'utilizzo deve essere sicuro, affidabile e trasparente e "non può svolgersi in contrasto con la dignità umana" né recare pregiudizio all'"integrità psicofisica del lavoratore". La norma, di fatto, impedisce qualsiasi forma di "deresponsabilizzazione" della persona, attuando concretamente i valori costituzionali di tutela del lavoro (Art. 35 Cost.) e di promozione delle condizioni per renderlo effettivo (Art. 4 Cost.).
A dare ulteriore concretezza a questo impianto è intervenuto il Decreto Ministeriale n. 180 del 17 dicembre 2025, che ha adottato le "Linee guida per l'implementazione dell'IA nel mondo del lavoro", fornendo indicazioni pratiche per una gestione compliant.
Questi obblighi si aggiungono a quelli già previsti dal Decreto Trasparenza (D.Lgs. 104/2022), introducendo un regime sanzionatorio severo: l'omessa informativa al lavoratore comporta sanzioni da 250 a 1.500 euro pro capite, mentre la mancata comunicazione alle rappresentanze sindacali (RSA/RSU) prevede multe da 400 a 1.500 euro. Nei casi più gravi di controllo occulto o violazione della privacy, si applicano le sanzioni (ben più onerose) del GDPR e dello Statuto dei Lavoratori.
Sul fronte della governance, l'Articolo 12 non si limita a istituire un organo di controllo, ma introduce una sorta di regia della strategia nazionale. L'Osservatorio sull'adozione di sistemi di intelligenza artificiale nel mondo del lavoro, istituito presso il Ministero, ha il compito di definire le linee guida strategiche, monitorare l'impatto sul mercato occupazionale e identificare i settori più esposti. Il suo ruolo è proattivo: è chiamato a "promuovere la formazione dei lavoratori e dei datori di lavoro", diventando il motore dell'adeguamento delle competenze, affiancato dalle Autorità per la vigilanza tecnica e la sicurezza (AgID e ACN).

L'obbligo di trasparenza e l'inventario dei sistemi
Il primo step di adeguamento è la mappatura. L'obbligo di informare il lavoratore, richiamato dall'Articolo 11, deriva direttamente dal principio di "conoscibilità e spiegabilità" sancito dall'Articolo 3. Molti applicativi HR moderni integrano funzionalità AI non immediatamente riconoscibili e dichiarate: sistemi ATS con ranking automatico, tool di people analytics predittivi, piattaforme di pianificazione turni intelligente. Anche l'utilizzo di ChatGPT o altri LLM per la redazione di job description o l'analisi di candidature rientra nell'ambito applicativo della norma, qualora l'output influenzi decisioni organizzative (difficile che così non sia…).
È indispensabile quindi censire ogni strumento, verificando con i fornitori funzioni, algoritmi utilizzati e dati trattati. Un approccio pragmatico (e in linea con l’approccio normativo dell’AI Act e della Legge) prevede la creazione di una matrice che classifichi i tool per livello di rischio: alto (decisioni su assunzioni, licenziamenti, promozioni), medio (organizzazione del lavoro, valutazioni), basso (assistenza informativa).
 L'informativa deve preventivamente raggiungere ogni lavoratore e candidato coinvolto, oltre alle rappresentanze sindacali aziendali. L'Articolo 11, nel richiamare il Decreto Trasparenza, opera una cristallizzazione di quanto stabilito dall'Art. 4 dello Statuto dei Lavoratori (L. 300/1970) in materia di controlli a distanza. Questo rende il coinvolgimento sindacale non una formalità burocratica, ma un passaggio strutturale obbligato. Con i sindacati, l'obiettivo non è il mero adempimento formale, ma l'avvio di un dialogo sulle scelte tecnologiche che possa sfociare, ove opportuno, in accordi di secondo livello: una tutela preziosa per rafforzare giuridicamente l'uso degli strumenti tecnologici. Il contenuto deve specificare quale sistema viene utilizzato, per quali finalità, quali dati personali sono trattati, come funziona il processo decisionale e quale ruolo mantiene l'intervento umano. Fondamentale è anche indicare come esercitare i diritti di accesso, rettifica e opposizione previsti dal GDPR.

Human-in-the-loop: oltre la formalità
Il cuore della legge risiede nella supervisione umana, che deve essere significativa. L'Articolo 13 (Professioni intellettuali) è perentorio nello stabilire che l'utilizzo di sistemi di IA è consentito "al solo esercizio delle attività strumentali e di supporto all'attività professionale". La norma impone che, nell’utilizzo di sistemi di AI per la prestazione lavorativa, debba essere sempre garantita la "prevalenza del lavoro intellettuale" oggetto della prestazione. È fondamentale chiarire che tale prevalenza deve intendersi in senso qualitativo e non meramente quantitativo: non rileva quanto tempo l'IA impieghi a svolgere un compito, ma che il pensiero critico e il potere decisionale restino in capo al professionista.
In ambito decisionale nei compiti di un Responsabile delle Risorse Umane, quindi non è sufficiente una validazione formale del tipo "cliccare approva"; il responsabile HR deve aver compreso il funzionamento del sistema, poterlo contraddire sulla base di valutazioni autonome e assumersi la responsabilità finale dell'output. L'uso di sistemi "black box" opachi, di cui non si comprende la logica decisionale, è di fatto incompatibile con questo principio.
La differenza tra conformità formale e sostanziale emerge chiaramente nel confronto tra due scenari. Nel primo, un software di recruiting seleziona automaticamente i dieci candidati con score più alto e l'HR invia le convocazioni senza revisione. Nel secondo, il software crea una shortlist di trenta candidati, il recruiter li esamina tutti, verifica i criteri utilizzati dall'algoritmo, decide autonomamente chi convocare (potendo includere anche profili fuori dalla lista automatica) e documenta le motivazioni della scelta. Solo il secondo approccio soddisfa il requisito di supervisione significativa.
Questa impostazione esclude automaticamente l'affidamento cieco a metriche algoritmiche per decisioni ad alto impatto come promozioni, assegnazione di bonus o valutazioni delle performance. Un sistema che calcola automaticamente punteggi di performance basandosi esclusivamente su metriche quantitative (ore lavorate, email inviate, progetti completati) senza che un manager ne interpreti criticamente il significato qualitativo e contestuale, viola il principio di supervisione umana. L’intervento umano dunque è richiesto sia prima (definizione dei parametri, pesi, criteri) che dopo (verifica, decisione)l’intervento del software AI.

Il nodo dei bias algoritmici: "La giustizia dei dati"
 L'IA può ridurre alcuni bias cognitivi umani, ma può anche amplificare discriminazioni latenti nei dati storici. Qui torna centrale l'Articolo 3, che impone esplicitamente il rispetto della "non discriminazione e parità dei sessi" nello sviluppo e nell'uso dei modelli. Il principio guida è: "la giustizia dell'algoritmo dipende dalla giustizia dei dati". Se i dati di addestramento sono viziati, l'output sarà necessariamente iniquo.

Inoltre, l'Articolo 3 comma 7 introduce un principio di "accessibilità by design", imponendo che l'IA non solo eviti di discriminare, ma rimuova attivamente le barriere per le persone con disabilità. In sostanza sin dalla programmazione del software di AI occorre verificarne la capacità del modello di non generare o limitare al massimo le distorsioni derivate dai bias.
Episodi simili possono verificarsi in qualsiasi contesto se ci si affida acriticamente agli output algoritmici. Un sistema che scarta sistematicamente candidati over 50 o che favorisce sempre un determinato profilo demografico rappresenta un problema grave, anche se tecnicamente efficiente. La normativa impone quindi verifiche periodiche sull'equità: la percentuale di candidati selezionati dall'IA deve essere analizzata per genere, età e altre caratteristiche protette, confrontandola con la distribuzione della popolazione candidata.
La formazione del personale HR su questi temi diventa un requisito non più procrastinabile. Tutti i professionisti che utilizzano output di sistemi AI devono comprendere cosa sono i bias algoritmici, come si manifestano e come riconoscerli. In linea con le indicazioni del DM 180/2025, la formazione deve essere normativa ma altresì orientata all'upskilling e reskilling, per governare la trasformazione digitale delle competenze. Tutti i professionisti devono comprendere cosa sono i bias algoritmici, come si manifestano e come riconoscerli, quali sono i rischi, come mitigarli, attraverso workshop ed esercitazioni su casi reali, in grado di stimolare la creazione di una cultura organizzativa che incoraggi il pensiero critico verso i risultati automatici.

Zone grigie e scelte operative
Alcune applicazioni richiedono particolare cautela. Si pensi ai sistemi di geolocalizzazione dei lavoratori o al riconoscimento facciale per la rilevazione presenze: si tratta di sistemiche possono essere classificati come sistemi ad alto rischio. La loro adozione possono dunque richiedere preventivamente l’effettuazione di una valutazione cosiddetta DPIA (Data Protection Impact Assessment) nonché un'informativa chiara, accessibile e preventiva ai lavoratori, una base giuridica solida (il semplice consenso non è sufficiente) e misure di sicurezza rafforzate per i dati biometrici. In molti contesti, alternative meno invasive come badge RFID o codici PIN possono risultare preferibili sotto il profilo rischio-beneficio.
L'utilizzo di strumenti generativi (ChatGPT, Copilot) per attività HR solleva questioni diverse a seconda del contesto d'uso. Occorre prestare estrema attenzione non solo agli output, ma anche ai dati in ingresso: caricare piani strategici, tabelle retributive o dati sensibili su strumenti "aperti" espone l'azienda a rischi di riservatezza e violazioni del segreto industriale. Imparare a impostare opzioni di riservatezza nei tools adoperati è quindi fondamentale e parte del processo formativo.
Per quanto riguarda la trasparenza dei contenuti generati artificialmente (video di onboarding, immagini per la comunicazione interna), sebbene la Legge 132 promuova la trasparenza generale, l'obbligo tecnico di marcatura (watermarking) diventerà pienamente cogente con l'applicazione dell'AI Act europeo (agosto 2026). Le aziende sono chiamate a prepararsi per tempo, adottando già oggi pratiche di identificazione dei contenuti artificiali in linea con le raccomandazioni del DM 180/2025.
Se impiegati come supporto alla redazione di documenti che vengono poi rivisti integralmente dal professionista, l'impatto in termini di compliance è limitato. Diverso è il caso in cui questi strumenti vengano utilizzati per analizzare CV, generare valutazioni o prendere decisioni automatizzate su candidati: in tali circostanze scatta l'obbligo di informativa piena.
Un'altra questione riguarda la responsabilità nell'uso di software HR forniti da terzi. Anche se il sistema non è proprietario dell’azienda ma è acquistato e sviluppato esternamente, la responsabilità dell'utilizzo conforme alla normativa rimane in capo al datore di lavoro. Prima di sottoscrivere contratti o rinnovi, è necessario dunque richiedere al fornitore documentazione precisa: il sistema utilizza IA? Per quali funzioni? Come funzionano gli algoritmi? È stato certificato conforme all'AI Act e alla Legge 132? Sono stati condotti audit di non discriminazione? È disponibile la documentazione tecnica completa? Etc.

Roadmap per la conformità
La costruzione di un sistema di compliance all’utilizzo dell’AI a seguito della Legge 132/2025 richiede quindi un approccio strutturato in fasi progressive:

      I.        Fase I (assessment): La prima, da completare con urgenza, consiste nell'inventario completo di tutti gli                          strumenti digitali utilizzati in ambito HR, dalla selezione alla formazione, dal payroll all'analytics. Per ciascuno                  occorre verificare con i fornitori l'eventuale presenza di componenti AI, le funzionalità coinvolte e i dati                            trattati.
    II.        Fase II (valutazione): La seconda fase prevede la valutazione della conformità attuale: per ogni sistema IA                      identificato, verificare se i dipendenti e i candidati sono stati informati, se le RSA/RSU hanno ricevuto                              comunicazione formale, se esiste documentazione probatoria e se la supervisione umana è effettiva e non                      meramente formale.
                I gap rilevati vanno classificati per urgenza: i sistemi ad alto rischio privi di informativa richiedono intervento                    immediato (settimane), quelli con informativa incompleta hanno priorità media (uno-due mesi), mentre i                          sistemi a basso rischio o già sostanzialmente conformi possono essere perfezionati nel medio termine (tre-                      sei mesi).
   III.        Fase III (governance): La terza fase, riguarda molteplici aspetti:

• a)    la formalizzazione di una policy aziendale sull'uso dell'IA in ambito HR e l'aggiornamento coerente del Codice Etico, del Codice Disciplinare e, ove presente, del Modello 231 e delle ulteriori procedure impattate (es. procedura gestione strumenti informatici, etc..). Il documento, che deve essere operativo, deve definire principi guida, ruoli e responsabilità, procedure concrete di utilizzo, requisiti formativi e meccanismi di audit periodico. Senza una policy chiara e una formazione tracciata, infatti, l'azienda difficilmente potrebbe legittimamente sanzionare disciplinarmente un dipendente per l'uso scorretto o imprudente dell'IA, mancando il presupposto della consapevolezza e delle regole interne e in caso di danni verso terzi sarebbe l’azienda a risponderne.
• b)    Parallelamente, occorre organizzare formazione strutturata per i dipendenti e, in ambito HR, per il relativo team (workshop di tre-quattro ore su fondamenti dell'IA, rischi, opportunità e normativa) nonchè per i manager con responsabilità decisionali e direttive (sessioni mirate di una-due ore su supervisione umana, riconoscimento dei bias e responsabilità finale).
• c)    Infine, risulta cruciale la costruzione di un sistema documentale organizzato: informative inviate ai dipendenti con evidenza delle conferme di lettura, verbali di consultazione delle rappresentanze sindacali, contratti con fornitori inclusivi di clausole e garanzie specifiche sull'IA, DPIA per i sistemi ad alto rischio, log delle decisioni rilevanti (assunzioni, promozioni, licenziamenti) con esplicitazione delle motivazioni umane. Tutta questa documentazione va conservata per almeno cinque anni, costituendo l'evidenza probatoria in caso di ispezioni o contenziosi.

   IV.        Fase IV (audit) Infine, occorre programmare le verifiche interne del corretto utilizzo e gestire                                           l’implementazione e il miglioramento continuo della policy e della formazione.

Prospettive e opportunità
Sebbene l'Osservatorio Nazionale e AgID forniranno ulteriori linee guida operative nei prossimi mesi, i principi della legge sono già pienamente esecutivi. Attendere chiarimenti futuri per avviare il percorso di adeguamento rappresenterebbe un errore strategico e un concreto rischio. L’impianto normativo è chiaro e nonostante la rapida e continua evoluzione tecnologica degli strumenti di AI i principi sono definiti.
Le aziende che si muovono per prime costruiscono un vantaggio competitivo: attraggono talenti che apprezzano trasparenza e correttezza, evitano sanzioni e contenziosi, si posizionano come datori di lavoro responsabili, utilizzano al meglio gli strumenti con efficienza e in maniera compliant.
L'intelligenza artificiale è una trasformazione strutturale, già attuale e destinata a intensificarsi e ad influenzare la vita professionale (e non) di tutte le aziende e i lavoratori. La scelta, quindi, non è tra adottarla o resisterle, ma tra adottarla in modo consapevole e strategico oppure subirla passivamente. Per la funzione HR, questo passaggio normativo rappresenta l'occasione per evolvere il proprio ruolo trasformando il vincolo di compliance in leva di innovazione organizzativa.
La Legge 132/2025 non impone solo obblighi, ma disegna la prospettiva nazionale dell’utilizzo dell’AI: l'intelligenza artificiale come strumento che amplifica le capacità umane senza sostituire giudizio critico, empatia e capacità di cogliere il contesto. In questa prospettiva, il ruolo dell'HR diventa cruciale: governare l'intelligenza artificiale significa affermare che le persone, i loro diritti e la loro dignità rimangono al centro, anche nell'era degli algoritmi.

 

avv. Ugo Ettore Di Stefano e avv. Alessandro Minucci, Studio Legale Lexellent (www.lexellent.it – lexellent@lexellent.it– 028725171)