Come dimostriamo che la decisione l'ha presa una persona? L'art. 22 GDPR e l'AI

GDPR e AIUltimo aggiornamento 11 ottobre 20266 min di lettura

In breve

Se una decisione produce effetti giuridici o incide in modo analogo e significativo su una persona, per esempio il rifiuto di un'assunzione, non può basarsi unicamente su un trattamento automatizzato (art. 22 GDPR). Una persona con competenza e autorità deve valutare davvero il caso e poter andare contro la raccomandazione dell'AI. Conserva chi ha deciso, quando, su quale base e perché. Dal 2 dicembre 2027 l'AI Act richiede inoltre la sorveglianza umana per l'AI ad alto rischio, come quella usata nella selezione del personale.

Quando si applica l'art. 22?

L'art. 22 GDPR riguarda le decisioni basate unicamente su un trattamento automatizzato che producono effetti giuridici o incidono in modo analogo e significativo sulla persona. Il rifiuto di un'assunzione, un licenziamento o una decisione sulla retribuzione sono esempi tipici. Il GDPR stesso cita le assunzioni elettroniche senza interventi umani.

Se lasci che l'AI scarti candidati senza che una persona esamini davvero il caso, rientri nell'art. 22. Se l'AI raccomanda e una persona decide, non ci rientri, a patto che la persona valuti davvero il caso.

Cos'è una vera valutazione umana?

Non basta che una persona firmi ciò che l'AI ha deciso. Le linee guida delle autorità europee per la protezione dei dati indicano tre condizioni:

La persona ha l'autorità per cambiare la decisione.
La persona ha la competenza per valutare il caso.
La persona considera tutte le informazioni pertinenti, non solo la conclusione dell'AI.

Per questo GoalCube Human Decision mostra i fatti del caso accanto alla raccomandazione dell'AI, un caso alla volta, e la persona può approvare, scegliere un'altra decisione o chiedere più informazioni. Provalo:

GoalCube Human DecisionDati fittizi

Caso 1 di 3Posizione: Controller nel team finanza

I fatti del caso

Valentina Greco

Ruolo attuale: Senior Controller
Esperienza: 12 anni
CV: Valentina Greco lavora da 12 anni su budget e report mensili alla Cartiera Valdarno Srl. Ha introdotto un nuovo sistema ERP e coordina un team di tre persone. Contatto: valentina.greco@example.com.

Raccomandazione dell’AI

Invitare al colloquio

Motivazione: 12 anni di esperienza in budget e reporting, ha introdotto un sistema ERP e viene da un'azienda manifatturiera.

Registro di audit

Le decisioni vengono salvate qui con ora e marca temporale.

Candidati fittizi. In GoalCube la decisione richiede anche una passkey, e il log riceve una marca temporale indipendente.

Cosa chiede l'AI Act?

L'AI per la selezione del personale e per le decisioni sui rapporti di lavoro è ad alto rischio secondo l'AI Act (allegato III, punto 4). Dopo il Digital Omnibus le regole valgono dal 2 dicembre 2027. Le aziende che usano questa AI devono, tra l'altro:

affidare la sorveglianza umana a persone con la competenza, la formazione e l'autorità necessarie (art. 26)
informare i rappresentanti dei lavoratori e i dipendenti interessati prima di usare l'AI sul luogo di lavoro (art. 26)
saper dare una spiegazione a chi è soggetto a una decisione (art. 86)

Il sistema di AI deve inoltre essere progettato in modo che le persone possano sorvegliarlo e siano consapevoli del rischio di fidarsi troppo dell'AI (art. 14).

Cosa devi poter dimostrare?

Se te lo chiede un candidato, un dipendente o un'autorità, devi poter rispondere a queste domande:

Domanda	Cosa devi aver conservato
Chi ha deciso il caso?	Nome o ruolo e un accesso sicuro, per esempio con passkey
Quando?	Data e ora, meglio con una marca temporale indipendente
Su quale base?	I fatti del caso e la raccomandazione motivata dell'AI
Perché?	La decisione della persona e la motivazione
Può essere stata modificata dopo?	Un log che non si può modificare senza che si veda

Come fare

Individua dove l'AI aiuta a decidere sulle persone.Di solito selezione, promozioni, licenziamenti, retribuzioni, assegnazione del lavoro e pratiche di clienti con esito negativo.
Lascia che l'AI raccomandi, non che decida.L'AI può preparare il caso e dare una raccomandazione motivata. La decisione spetta a una persona.
Stabilisci chi decide.La persona deve conoscere la materia e poter andare contro la raccomandazione dell'AI. Un clic automatico su 'approva' non basta.
Mostra i fatti accanto alla raccomandazione, un caso alla volta.Chi decide deve vedere la base della decisione, non solo la conclusione dell'AI, e avere il tempo di valutare ogni caso.
Salva la decisione in modo che non si possa modificare dopo.Chi, quando, cosa ha raccomandato l'AI, cosa ha deciso la persona e perché. Una marca temporale indipendente la rende più solida.
Informa le persone coinvolte.La persona ha diritto di sapere che c'è di mezzo l'AI, di ottenere che un essere umano esamini il caso e di contestare la decisione.

Cosa dice la legge

Art. 22 GDPR – processo decisionale automatizzato relativo alle persone fisiche, compresa la profilazione: Il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, se produce effetti giuridici o incide in modo analogo e significativo. Le eccezioni richiedono, tra l'altro, il diritto all'intervento umano e di contestare la decisione.
Considerando 71 GDPR: Cita proprio come esempio le pratiche di assunzione elettronica senza interventi umani.
Artt. 13, 14 e 15 GDPR: La persona deve essere informata delle decisioni automatizzate e ricevere informazioni significative sulla logica utilizzata.
Allegato III, punto 4, dell'AI Act – occupazione: L'AI per l'assunzione e la selezione e per le decisioni sui rapporti di lavoro è ad alto rischio. Dopo il Digital Omnibus le regole valgono dal 2 dicembre 2027.
Artt. 14 e 26 dell'AI Act – sorveglianza umana: L'AI ad alto rischio deve poter essere sorvegliata da persone, e l'azienda deve affidare la sorveglianza a persone con la competenza, la formazione e l'autorità necessarie. I dipendenti vanno informati prima di usare l'AI sul luogo di lavoro.
Art. 86 dell'AI Act – diritto alla spiegazione: Chi è soggetto a una decisione basata su AI ad alto rischio può ottenere una spiegazione chiara del ruolo dell'AI e degli elementi principali della decisione.

Domande e risposte

Basta che un responsabile clicchi 'approva'?

No, non se l'approvazione è in pratica una formalità. Secondo le linee guida delle autorità europee per la protezione dei dati, la valutazione umana deve essere reale: la persona deve avere l'autorità e la competenza per cambiare la decisione e considerare tutte le informazioni pertinenti.

Vale anche per le piccole imprese?

Sì. L'art. 22 GDPR vale a prescindere dalle dimensioni dell'azienda, e vale già oggi. Le regole dell'AI Act sull'AI ad alto rischio valgono dal 2 dicembre 2027.

Un punteggio dell'AI è una decisione, anche se firma una persona?

Può esserlo. Nella causa SCHUFA (C-634/21) del 2023 la Corte di giustizia dell'UE ha stabilito che un punteggio calcolato in automatico può essere di per sé una decisione, se ha un ruolo determinante nel risultato finale.

Dobbiamo conservare la raccomandazione dell'AI?

È una buona idea. Così puoi dimostrare che la persona ha valutato il caso, anche quando era d'accordo con l'AI, e spiegare la decisione se l'interessato lo chiede.

E se la persona non è d'accordo con l'AI?

Allora decide diversamente e scrive perché. È proprio questo a dimostrare che la valutazione è reale. L'AI non deve mai modificare dopo la decisione della persona.

Fonti

A cura di Redazione GoalCube. Ultimo aggiornamento 11 ottobre 2026. GoalCube ti aiuta a rispettare l’AI Act e il GDPR. Non è consulenza legale.

Sii tra i primi.

Prevediamo di partire a novembre 2026. Iscriviti e ti scriveremo quando potrai iniziare.