--- title: "Decreti IA in esame definitivo: nullo il licenziamento automatizzato, non lo scarto dei CV" description: "Cdm, esame definitivo: licenziamento nullo se solo automatizzato, selezione dei CV esclusa dal divieto. Chi vigila, sanzioni, testo non ancora in Gazzetta." url: https://csidia.com/note-operative/decreti-ia-esame-definitivo-lavoro-governance/ lang: it date: 2026-08-06 label: "Normativa" publisher: CSIDIA S.r.l. (https://csidia.com/) english: https://csidia.com/en/notes/decreti-ia-esame-definitivo-lavoro-governance/ --- # Decreti IA in esame definitivo: nullo il licenziamento automatizzato, non lo scarto dei CV In un’azienda che chiude un rapporto di lavoro con l’aiuto di un sistema di intelligenza artificiale, la domanda cambia: non più «il software l’ha segnalato in tempo?», ma «chi ha guardato questo caso prima di firmare?». Il 4 agosto 2026 il Consiglio dei ministri ha approvato, **in esame definitivo**, due decreti legislativi di adeguamento al regolamento (UE) 2024/1689 — l’AI Act — «in attuazione della delega di cui all’articolo 24 della legge 23 settembre 2025, n. 132». Il primo riscrive polizia, responsabilità civile e penale. Il secondo — quello che riguarda un direttore del personale, un CISO, un direttore operativo — riscrive i poteri delle autorità e l’uso dell’IA in formazione, professioni, lavoro, sanità e pubblica amministrazione. Tre punti di questo secondo decreto toccano un’azienda già domani mattina. ## Nullo, non annullabile Il comunicato ufficiale lo scrive senza margini: «le decisioni concernenti la costituzione, la modifica o la risoluzione del rapporto di lavoro, compresi i provvedimenti disciplinari e i licenziamenti, non possono essere adottate unicamente sulla base di un trattamento automatizzato, con nullità del licenziamento intimato in violazione del divieto». Nullità, non annullabilità. È la differenza fra un atto che va impugnato entro un termine, con l’onere sul lavoratore, e un atto che il giudice dichiara mai esistito, rilevabile d’ufficio, senza scadenza per farlo valere. Nel diritto del lavoro italiano è la sanzione più pesante disponibile: più della reintegra ordinaria, perché non lascia alcuno spazio di sanatoria. Se un sistema ha segnalato, proposto, ordinato una graduatoria di rischio disciplinare — e nessuno ha rivisto quel caso specifico prima della firma — il licenziamento non è debole: è nullo dalla radice. ## Ma lo scarto dei CV non è una «decisione finale» Qui il comunicato introduce una precisazione che vale la pena leggere senza scandalizzarsi e senza minimizzarla. Fra le modifiche arrivate dopo i pareri, si legge: «È stato precisato che non rientrano tra le decisioni finali relative alla costituzione del rapporto di lavoro le attività di ricerca e selezione delle candidature, anche quando comportino la mancata ammissione alle fasi successive della selezione». Tradotto: il filtro automatico dei curriculum, quello che scarta centinaia di candidature prima che un selezionatore ne veda una riga, resta fuori dal divieto di nullità — anche quando quello scarto è, per il candidato, l’unico atto che riceve. È il punto che nei titoli di domani probabilmente non ci sarà, ed è quello che un’azienda che assume con l’aiuto di un sistema deve annotare per prima. Il comunicato non dice che quel filtro sia privo di regole: dice solo che non produce la nullità riservata alle decisioni finali. L’articolo 22 del GDPR sulle decisioni basate unicamente su trattamento automatizzato, e gli obblighi dell’AI Act per i sistemi ad alto rischio nella selezione del personale — Allegato III, punto 4 — restano applicabili per conto proprio: il comunicato non li richiama, e non è la fonte da cui dedurre come si combinano con questo carve-out. Quella verifica si fa sul testo, quando arriva. ## Chi verrà a controllare Il decreto disegna anche chi vigila. Il comunicato lo mette così: l’assetto è «imperniato sull’Agenzia per l’Italia digitale quale autorità di notifica e sull’Agenzia per la cybersicurezza nazionale quale autorità di vigilanza del mercato, con funzioni di vigilanza della Banca d’Italia, della Commissione nazionale per le società e la borsa e dell’Istituto per la vigilanza sulle assicurazioni sui sistemi ad alto rischio collegati alla fornitura di servizi finanziari e competenze del Garante per la protezione dei dati personali sui sistemi impiegati nelle attività di contrasto, di gestione delle frontiere, di giustizia e di democrazia». In pratica: AgID e ACN fanno da spina dorsale, Banca d’Italia/Consob/IVASS vigilano il finanziario ad alto rischio, il Garante presidia giustizia, ordine pubblico, migrazione e processi democratici. Sul fronte sanzionatorio il comunicato è altrettanto preciso: «Il quadro sanzionatorio è graduato e proporzionato, con limiti massimi inferiori a quelli previsti dal regolamento europeo e la possibilità di misure non pecuniarie per le violazioni di scarsa offensività» — un’attenuazione rispetto ai massimali del regolamento UE, non un azzeramento del rischio. ## Il primo decreto: penale nuovo, civile ribaltato Più in breve, perché lo abbiamo già trattato dal lato videosorveglianza [nel pezzo di lunedì](https://csidia.com/note-operative/riconoscimento-facciale-decreto-griglia-lettura), il primo decreto introduce nel Codice penale l’**articolo 437-bis**, che «punisce l’omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale ad alto rischio e la loro alterazione illecita». E sul civile «rafforza la tutela civile del danneggiato attraverso l’accesso alla documentazione tecnica del sistema, la presunzione del nesso di causalità, un foro alternativo prossimo alla residenza del danneggiato e l’azione diretta nei confronti dell’assicurazione». La presunzione del nesso di causalità merita una riga a parte: non è un dettaglio processuale, è un ribaltamento dell’onere della prova. Chi ha costruito o impiegato il sistema ad alto rischio parte, in un contenzioso, da una posizione più debole di oggi — deve smontare la presunzione, non aspettare che il danneggiato la costruisca. È lo stesso principio, applicato all’IA, che [la direttiva sulla responsabilità da prodotti difettosi](https://csidia.com/note-operative/responsabilita-prodotto-ai-9-dicembre-2026) porta al software dal 9 dicembre 2026. Un dettaglio da non perdere: il decreto «è stato inoltre aggiornato alle modifiche apportate al regolamento sull’intelligenza artificiale dal regolamento (UE) 2026/1744, con un rinvio che condiziona l’entrata in vigore delle sanzioni all’effettiva entrata in vigore dei corrispondenti obblighi e divieti». Le sanzioni, cioè, non corrono prima degli obblighi che dovrebbero punire. ## Il testo non è ancora pubblicato: verificato oggi Questo è un comunicato, non l’articolato. I due decreti non risultano, alla data di oggi, pubblicati in Gazzetta Ufficiale. Prima di scriverlo abbiamo fatto un test di controllo: una ricerca su «legge 23 settembre 2025, n. 132» — un atto che deve necessariamente comparire, essendo già in vigore dal 10 ottobre 2025 — restituisce correttamente il riferimento alla Gazzetta Ufficiale n. 223 del 25 settembre 2025, confermando che gli strumenti di ricerca funzionano. Le ricerche mirate sui due decreti del 4 agosto, invece, restituiscono solo comunicati e commenti di studi legali su uno «schema» approvato: nessun numero di Gazzetta Ufficiale, nessuna data di pubblicazione definitiva. È la differenza che ci teniamo a rispettare: non «il testo non esiste», ma «il testo non è ancora verificabile da fonte primaria». Quando arriverà, andranno controllati almeno quattro punti: dove passa il confine fra «assistenza» e «unicamente sulla base di un trattamento automatizzato»; il perimetro reale del carve-out sulla selezione, e come si articola con l’articolo 22 GDPR; i massimali sanzionatori effettivi, numero per numero; la data da cui decorre l’entrata in vigore delle sanzioni, alla luce del rinvio al regolamento (UE) 2026/1744. ## Fonti - [Governo.it — Comunicato stampa del Consiglio dei Ministri n. 185, 4 agosto 2026](https://www.governo.it/it/articolo/comunicato-stampa-del-consiglio-dei-ministri-n-185/32468) - [Normattiva — legge 23 settembre 2025, n. 132, art. 24 (delega)](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2025-09-23;132~art24) - [EUR-Lex — regolamento (UE) 2024/1689 (AI Act)](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32024R1689) Nota di CSIDIA S.r.l. (Vignola, MO): https://csidia.com/note-operative/decreti-ia-esame-definitivo-lavoro-governance/ · Chi siamo e che cosa facciamo: https://csidia.com/in-breve/ · engagement@csidia.com