IT EN
Avvia una prova

Note operative Governance

Se l’AI prepara la pratica e una persona la approva, chi ha deciso davvero?

5 min di lettura

Se state pensando di far preparare all’intelligenza artificiale il lavoro di un ufficio (la prima scrematura dei curriculum, le risposte ai reclami, le pratiche da istruire) e di lasciare a una persona solo l’ultimo clic, prima c’è una domanda da farsi. Quel clic è una decisione, o la firma su una decisione già presa dalla macchina? Per le regole europee la differenza conta, e non dipende da chi preme il pulsante.

Che cosa dice il GDPR

L’articolo 22 del GDPR dà a ogni persona il diritto di non essere sottoposta a «una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona». Il considerando 71 fa due esempi: il rifiuto automatico di una domanda di credito online e le «pratiche di assunzione elettronica senza interventi umani». Le eccezioni ci sono (un contratto, una legge, il consenso esplicito), ma con il contratto e con il consenso chi tratta i dati deve comunque garantire almeno «il diritto di ottenere l’intervento umano», di dire la propria e di contestare la decisione (paragrafo 3).

Vale per le decisioni sulle persone: candidati, dipendenti, clienti, cittadini. Per un preventivo a un’altra azienda o una risposta a un fornitore l’articolo 22 di norma non c’entra, ma la domanda di fondo resta: chi ne risponde?

Un clic non basta

Le linee guida dei garanti europei sulle decisioni automatizzate, fatte proprie nel 2018 dal Comitato europeo per la protezione dei dati, lo dicono chiaro: «The controller cannot avoid the Article 22 provisions by fabricating human involvement», non si aggira l’articolo 22 fabbricando un intervento umano. Chi applica alle persone, per abitudine, i profili prodotti dalla macchina «without any actual influence on the result», senza alcuna influenza reale sul risultato, lascia la decisione automatizzata. Perché l’intervento conti deve essere «meaningful, rather than just a token gesture», sostanziale, non un gesto simbolico, e lo deve fare qualcuno che ha «the authority and competence to change the decision», l’autorità e la competenza per cambiarla.

Anche quello che l’AI prepara può essere la decisione

Nel dicembre 2023 la Corte di giustizia dell’Unione europea ha deciso il caso di una società tedesca che calcola punteggi di affidabilità delle persone e li comunica a terzi, per esempio alle banche (causa C-634/21). La società preparava il numero, la banca decideva; ma, secondo il giudice tedesco che aveva posto la domanda, con un punteggio insufficiente il prestito veniva rifiutato «in quasi tutti i casi». Per la Corte il punteggio è già una decisione automatizzata «qualora da tale tasso di probabilità dipenda in modo decisivo la stipula, l’esecuzione o la cessazione di un rapporto contrattuale». E ha scartato l’idea che il calcolo fosse «soltanto un atto preparatorio»: così l’articolo 22 si potrebbe aggirare (punto 61).

Per un’azienda la lezione è diretta. Se l’AI prepara la graduatoria dei candidati e chi approva la segue quasi sempre senza guardare altro, nei fatti la decisione rischia di essere quella della graduatoria.

L’AI Act dà un nome al rischio

L’AI Act considera ad alto rischio, fra gli altri, i sistemi che filtrano le candidature o valutano le prestazioni dei dipendenti (allegato III). Un sistema così può restarne fuori se fa solo un «compito preparatorio» e non presenta un rischio significativo per le persone, anche nel senso di non influenzare in modo materiale la decisione; mai, però, se fa profilazione delle persone (art. 6, paragrafo 3). Dal 2 dicembre 2027 i sistemi ad alto rischio devono essere forniti in modo che chi li sorveglia possa «restare consapevole della possibile tendenza a fare automaticamente affidamento o a fare eccessivo affidamento sull’output», la cosiddetta distorsione dell’automazione, e possa «ignorare, annullare o ribaltare l’output» (art. 14). Il quadro completo degli obblighi per chi usa l’AI è in che cosa deve fare un’azienda che usa l’AI.

In Italia la legge 132/2025 lo ha già scritto per due casi, in vigore dal 10 ottobre 2025. Negli uffici pubblici l’AI si usa «in funzione strumentale e di supporto all’attività provvedimentale» e la persona «resta l’unica responsabile dei provvedimenti» (art. 14). Nelle professioni intellettuali serve «al solo esercizio delle attività strumentali e di supporto», con «prevalenza del lavoro intellettuale» (art. 13). Ne abbiamo scritto in La legge italiana sull’AI (132/2025).

Come si mette il confine

  1. Che cosa l’AI fa da sola. Leggere, cercare, riassumere, confrontare, scrivere bozze. Niente che esca dall’azienda o che decida su una persona senza un passaggio umano.
  2. Chi approva vede le fonti, non solo la proposta. Il documento, il dato, la pagina da cui l’AI ha tratto la conclusione: senza, non la può cambiare.
  3. Chi approva può dire no, e ha il tempo per farlo. Un sì dato in pochi secondi, sempre uguale, rischia di essere il gesto simbolico di cui parlano i garanti.
  4. Contate le correzioni. Se la persona non cambia mai la proposta, o la proposta è sempre giusta o nessuno la sta guardando. Le linee guida chiedono di annotare, nella valutazione d’impatto, «the degree of any human involvement», quanto interviene la persona, e in quale momento.
  5. Un registro. Chi ha approvato, che cosa ha cambiato, quando. Per gli agenti che agiscono sui vostri sistemi servono anche permessi stretti e un elenco di azioni ammesse.

Come lo facciamo noi

Queste note sono un caso piccolo ma vero. Dal 21 ottobre 2026 le scriviamo con l’aiuto dell’AI, un modello in cloud che lavora su fonti pubbliche; un secondo agente AI le ricontrolla; e prima di uscire le legge una persona di CSIDIA. L’AI fa la parte lunga, scrivere la bozza, cercare le fonti e confrontare le citazioni; la decisione di pubblicare resta a una persona. È anche il senso della riga in fondo.

Se state per affidare all’AI una parte del lavoro di un ufficio e volete capire dove mettere il confine, il passo è uno: scriveteci quale lavoro e chi oggi lo approva.

Scritto con l’aiuto dell’AI e verificato da CSIDIA.

Fonti