Decreti IA in esame definitivo: nullo il licenziamento automatizzato, non lo scarto dei CV
7 min di lettura
In un’azienda che chiude un rapporto di lavoro con l’aiuto di un sistema di intelligenza artificiale, la domanda cambia: non più «il software l’ha segnalato in tempo?», ma «chi ha guardato questo caso prima di firmare?». Il 4 agosto 2026 il Consiglio dei ministri ha approvato, in esame definitivo, due decreti legislativi di adeguamento al regolamento (UE) 2024/1689 — l’AI Act — «in attuazione della delega di cui all’articolo 24 della legge 23 settembre 2025, n. 132». Il primo riscrive polizia, responsabilità civile e penale. Il secondo — quello che riguarda un direttore del personale, un CISO, un direttore operativo — riscrive i poteri delle autorità e l’uso dell’IA in formazione, professioni, lavoro, sanità e pubblica amministrazione. Tre punti di questo secondo decreto toccano un’azienda già domani mattina.
Nullo, non annullabile
Il comunicato ufficiale lo scrive senza margini: «le decisioni concernenti la costituzione, la modifica o la risoluzione del rapporto di lavoro, compresi i provvedimenti disciplinari e i licenziamenti, non possono essere adottate unicamente sulla base di un trattamento automatizzato, con nullità del licenziamento intimato in violazione del divieto». Nullità, non annullabilità. È la differenza fra un atto che va impugnato entro un termine, con l’onere sul lavoratore, e un atto che il giudice dichiara mai esistito, rilevabile d’ufficio, senza scadenza per farlo valere. Nel diritto del lavoro italiano è la sanzione più pesante disponibile: più della reintegra ordinaria, perché non lascia alcuno spazio di sanatoria. Se un sistema ha segnalato, proposto, ordinato una graduatoria di rischio disciplinare — e nessuno ha rivisto quel caso specifico prima della firma — il licenziamento non è debole: è nullo dalla radice.
Ma lo scarto dei CV non è una «decisione finale»
Qui il comunicato introduce una precisazione che vale la pena leggere senza scandalizzarsi e senza minimizzarla. Fra le modifiche arrivate dopo i pareri, si legge: «È stato precisato che non rientrano tra le decisioni finali relative alla costituzione del rapporto di lavoro le attività di ricerca e selezione delle candidature, anche quando comportino la mancata ammissione alle fasi successive della selezione». Tradotto: il filtro automatico dei curriculum, quello che scarta centinaia di candidature prima che un selezionatore ne veda una riga, resta fuori dal divieto di nullità — anche quando quello scarto è, per il candidato, l’unico atto che riceve. È il punto che nei titoli di domani probabilmente non ci sarà, ed è quello che un’azienda che assume con l’aiuto di un sistema deve annotare per prima. Il comunicato non dice che quel filtro sia privo di regole: dice solo che non produce la nullità riservata alle decisioni finali. L’articolo 22 del GDPR sulle decisioni basate unicamente su trattamento automatizzato, e gli obblighi dell’AI Act per i sistemi ad alto rischio nella selezione del personale — Allegato III, punto 4 — restano applicabili per conto proprio: il comunicato non li richiama, e non è la fonte da cui dedurre come si combinano con questo carve-out. Quella verifica si fa sul testo, quando arriva.
Chi verrà a controllare
Il decreto disegna anche chi vigila. Il comunicato lo mette così: l’assetto è «imperniato sull’Agenzia per l’Italia digitale quale autorità di notifica e sull’Agenzia per la cybersicurezza nazionale quale autorità di vigilanza del mercato, con funzioni di vigilanza della Banca d’Italia, della Commissione nazionale per le società e la borsa e dell’Istituto per la vigilanza sulle assicurazioni sui sistemi ad alto rischio collegati alla fornitura di servizi finanziari e competenze del Garante per la protezione dei dati personali sui sistemi impiegati nelle attività di contrasto, di gestione delle frontiere, di giustizia e di democrazia». In pratica: AgID e ACN fanno da spina dorsale, Banca d’Italia/Consob/IVASS vigilano il finanziario ad alto rischio, il Garante presidia giustizia, ordine pubblico, migrazione e processi democratici. Sul fronte sanzionatorio il comunicato è altrettanto preciso: «Il quadro sanzionatorio è graduato e proporzionato, con limiti massimi inferiori a quelli previsti dal regolamento europeo e la possibilità di misure non pecuniarie per le violazioni di scarsa offensività» — un’attenuazione rispetto ai massimali del regolamento UE, non un azzeramento del rischio.
Il primo decreto: penale nuovo, civile ribaltato
Più in breve, perché lo abbiamo già trattato dal lato videosorveglianza nel pezzo di lunedì, il primo decreto introduce nel Codice penale l’articolo 437-bis, che «punisce l’omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale ad alto rischio e la loro alterazione illecita». E sul civile «rafforza la tutela civile del danneggiato attraverso l’accesso alla documentazione tecnica del sistema, la presunzione del nesso di causalità, un foro alternativo prossimo alla residenza del danneggiato e l’azione diretta nei confronti dell’assicurazione». La presunzione del nesso di causalità merita una riga a parte: non è un dettaglio processuale, è un ribaltamento dell’onere della prova. Chi ha costruito o impiegato il sistema ad alto rischio parte, in un contenzioso, da una posizione più debole di oggi — deve smontare la presunzione, non aspettare che il danneggiato la costruisca. È lo stesso principio, applicato all’IA, che la direttiva sulla responsabilità da prodotti difettosi porta al software dal 9 dicembre 2026.
Un dettaglio da non perdere: il decreto «è stato inoltre aggiornato alle modifiche apportate al regolamento sull’intelligenza artificiale dal regolamento (UE) 2026/1744, con un rinvio che condiziona l’entrata in vigore delle sanzioni all’effettiva entrata in vigore dei corrispondenti obblighi e divieti». Le sanzioni, cioè, non corrono prima degli obblighi che dovrebbero punire.
Il testo non è ancora pubblicato: verificato oggi
Questo è un comunicato, non l’articolato. I due decreti non risultano, alla data di oggi, pubblicati in Gazzetta Ufficiale. Prima di scriverlo abbiamo fatto un test di controllo: una ricerca su «legge 23 settembre 2025, n. 132» — un atto che deve necessariamente comparire, essendo già in vigore dal 10 ottobre 2025 — restituisce correttamente il riferimento alla Gazzetta Ufficiale n. 223 del 25 settembre 2025, confermando che gli strumenti di ricerca funzionano. Le ricerche mirate sui due decreti del 4 agosto, invece, restituiscono solo comunicati e commenti di studi legali su uno «schema» approvato: nessun numero di Gazzetta Ufficiale, nessuna data di pubblicazione definitiva. È la differenza che ci teniamo a rispettare: non «il testo non esiste», ma «il testo non è ancora verificabile da fonte primaria». Quando arriverà, andranno controllati almeno quattro punti: dove passa il confine fra «assistenza» e «unicamente sulla base di un trattamento automatizzato»; il perimetro reale del carve-out sulla selezione, e come si articola con l’articolo 22 GDPR; i massimali sanzionatori effettivi, numero per numero; la data da cui decorre l’entrata in vigore delle sanzioni, alla luce del rinvio al regolamento (UE) 2026/1744.
Come lo risolviamo noi
Il divieto, per un’azienda, non si rispetta con una policy interna: si rispetta con una traccia. Ogni decisione che tocca un rapporto di lavoro — una segnalazione disciplinare, un demansionamento, un licenziamento — deve lasciare scritto se c’è stato un intervento umano, chi l’ha fatto, quando, su quali elementi: con la presunzione del nesso di causalità e l’accesso alla documentazione tecnica introdotti dal primo decreto, quella traccia è la differenza fra difendersi e subire in giudizio. È un controllo che costruiamo per girare sui sistemi HR del cliente, non un parere che si esaurisce alla lettura del comunicato. Lo stesso impianto, esteso oltre la singola verifica, tiene insieme i dati sparsi dell’organizzazione — gestionali HR, log di sistema, documenti, sensori — in un modello operativo unico su cui agenti AI eseguono decisioni con un operatore al comando: per grandi imprese, difesa, pubblica amministrazione e sanità, sempre in due modalità disponibili insieme — on-premise, su macchine autonome senza integrazione profonda nella rete del cliente, oppure cloud dedicato CSIDIA, con data center in Italia — e sempre con gestione condivisa: chi non ha già in casa chi amministra sistemi AI non deve procurarselo.
Sapreste dimostrare, per l’ultima decisione che ha toccato un rapporto di lavoro nella vostra azienda, chi l’ha rivista prima della firma? Mezz’ora con un nostro esperto per la prima verifica sui vostri processi HR.