Lo scarto automatico dei curriculum dopo il decreto 179

L'8 ottobre la Gazzetta Ufficiale, serie generale n. 234, ha pubblicato il decreto legislativo 7 ottobre 2026, n. 179, il secondo decreto attuativo della legge italiana sull'intelligenza artificiale. Sono cinquantaquattro articoli fra autorità di vigilanza, sanzioni, formazione dei professionisti e lavoro. Entra in vigore il 23 ottobre.

L'articolo 41 e la frase sulle candidature

La parte che tocca ogni impresa con dipendenti è l'articolo 41. Quando il datore di lavoro usa un sistema di intelligenza artificiale nelle decisioni sul rapporto di lavoro, le decisioni finali su assunzione, modifica e cessazione non possono essere prese unicamente sulla base di un trattamento automatizzato. Nel perimetro rientrano anche i provvedimenti disciplinari e le valutazioni delle prestazioni. La decisione definitiva spetta a una persona fisica «che eserciti un potere effettivo e autonomo», il consenso del lavoratore non basta a derogare e il licenziamento intimato in violazione è nullo.

Poi arriva una frase che per chi assume pesa più di tutto il resto.

Non rientrano tra le decisioni finali relative alla costituzione del rapporto di lavoro le attività di ricerca e selezione delle candidature, anche quando comportino la mancata ammissione alle successive fasi della selezione.

Un caso ipotetico la rende concreta. Un'azienda pubblica un annuncio e riceve qualche centinaio di curriculum. Un software li legge, assegna un punteggio e chiude con una email automatica la candidatura di chi resta sotto soglia. Per il decreto quel rifiuto non è una decisione finale e la nullità non lo riguarda. La persona con potere effettivo entra in scena solo quando si sceglie fra i finalisti.

I precedenti che il decreto lascia in piedi

La frase va letta insieme all'apertura dello stesso articolo, che comincia con «fermo restando quanto previsto dall'articolo 22» del GDPR. Qui la lettura cambia e per capire perché bisogna tornare indietro di qualche anno.

L'articolo 22 del regolamento europeo sulla protezione dei dati si applica dal 25 maggio 2018. Dà a ogni persona il diritto di non essere sottoposta a una decisione basata unicamente su un trattamento automatizzato che produca effetti giuridici o che la incida in modo analogo e significativo. Le eccezioni sono tre (la necessità per un contratto, una legge che lo autorizzi, il consenso esplicito). Anche quando valgono, chi decide deve garantire almeno il diritto di ottenere l'intervento umano, di esprimere la propria opinione e di contestare la decisione.

Per anni il punto debole della norma è stato l'avverbio «unicamente». Bastava un passaggio umano formale in fondo alla catena per sostenere che la decisione non fosse automatica. Il 7 dicembre 2023 la Corte di giustizia europea ha ristretto molto quella via nella causa C-634/21, che riguardava la società tedesca di informazioni creditizie SCHUFA. La SCHUFA calcolava un punteggio di affidabilità e la banca decideva se concedere il prestito. La Corte ha stabilito che il calcolo stesso è una decisione automatizzata quando il terzo che lo riceve ne fa dipendere in modo determinante l'esito. Il ragionamento si adatta senza sforzo a un filtro di curriculum, dove un punteggio sotto soglia chiude la candidatura senza che nessuno la apra.

Nel frattempo la legislazione italiana aveva già agganciato i sistemi automatici al rapporto di lavoro. Nel 2022 il decreto trasparenza ha inserito nel decreto legislativo 152 del 1997 l'articolo 1-bis, che impone di informare il lavoratore quando si usano sistemi decisionali o di monitoraggio automatizzati. La legge 132 del 2025 all'articolo 11 ha portato quell'obbligo sull'intelligenza artificiale. Il decreto 179 richiama entrambe le norme e aggiunge il diritto a una motivazione intelligibile, data da una persona, che indichi quanto ha pesato il sistema e quali parametri ha considerato.

Sullo sfondo resta l'AI Act. L'allegato III classifica ad alto rischio i sistemi usati per la selezione del personale, in particolare quelli che analizzano e filtrano le candidature. Con il regolamento Digital Omnibus 2026/1744 gli obblighi per questi sistemi sono slittati al 2 dicembre 2027.

Cosa cambia per chi usa un filtro

Messi in fila, i pezzi danno un quadro diverso da quello che suggerisce la frase sulle candidature. Il decreto 179 sottrae lo scarto automatico alla sanzione nazionale più pesante, la nullità. Non lo rende conforme al GDPR, che resta applicabile per scelta esplicita del legislatore. Dopo SCHUFA è difficile sostenere che un punteggio capace da solo di chiudere una candidatura sia un'attività preparatoria.

Un'impresa può ancora lasciare lo scarto al software. Deve però appoggiarsi a una delle tre eccezioni dell'articolo 22 ed essere pronta a far riesaminare da una persona ogni scartato che lo chieda, spiegandogli la logica del punteggio. Il tempo risparmiato con il filtro si riduce in proporzione alle richieste che arrivano.

La mia posizione è che oggi uno strumento di selezione debba ordinare le candidature e non escluderle. Il punteggio basso sposta il curriculum in fondo alla lista senza chiuderlo e la risposta di rifiuto la manda una persona dopo aver scorso quella parte della lista. Costa tempo umano per ogni annuncio. In cambio nessun candidato è stato escluso unicamente da una macchina e il problema dell'articolo 22 non si pone.

C'è poi un dettaglio tecnico che il decreto rende urgente. Il comma 3 dell'articolo 41 promette al lavoratore una motivazione con «i principali parametri considerati». Chi ha costruito un filtro su un modello linguistico sa che il modello produce volentieri una spiegazione accanto al voto, ma quella spiegazione è testo generato insieme al punteggio e non una misura di ciò che ha pesato davvero. Due esecuzioni sullo stesso curriculum possono dare punteggi diversi, ciascuno con una motivazione convincente. Chi deve rendere conto dei parametri non può limitarsi a copiare quel testo. Deve aver fissato e scritto i criteri prima di accendere il sistema e poter dimostrare che il sistema li applica. In molti strumenti venduti come screening intelligente quel lavoro oggi manca.

La persona che firma

Il punto su cui il decreto resta più vago riguarda proprio le decisioni che disciplina con più severità. Chiede una persona fisica con un potere effettivo e autonomo. Non dice quanto tempo debba dedicare alla decisione, quali informazioni debba avere davanti, quanto spesso debba trovarsi in disaccordo con il sistema perché quel potere si possa dire effettivo.

Un responsabile del personale che in un pomeriggio approva cinquanta proposte del software senza cambiarne nessuna ha formalmente deciso. Un giudice del lavoro potrebbe concludere che non ha deciso niente. Chi sostiene la prima lettura ha dalla sua il testo, che chiede una persona e non un numero di minuti. Chi sostiene la seconda ha dalla sua SCHUFA, dove la Corte ha guardato a chi determina davvero l'esito e non a chi mette la firma.

Un responsabile che approva sempre quello che il sistema propone rischia di fare la parte della banca nel caso SCHUFA, che metteva la firma sotto un esito già determinato dal punteggio. Le prime cause dopo il 23 ottobre partiranno da qui e il testo del decreto non basta a prevedere come finiranno.