Algoritmi Discriminazione: il Quadro Legale Europeo per le Imprese nel 2026

Negli ultimi anni, l'adozione di sistemi di intelligenza artificiale per prendere decisioni automatizzate ha trasformato radicalmente il modo in cui le imprese operano: dalla selezione del personale alla concessione del credito, dalla fissazione dei prezzi alla profilazione dei clienti. Con questa trasformazione è emerso un problema strutturale che il diritto europeo sta cercando di affrontare con crescente rigore: il rischio che gli algoritmi decisionali producano effetti discriminatori, talvolta invisibili, talvolta sistemici.

Comprendere il quadro normativo vigente non è più una questione riservata agli esperti di tecnologia. È un obbligo legale per qualsiasi impresa che utilizzi strumenti di AI nelle proprie decisioni.

Cosa si Intende per Discriminazione Algoritmica

La discriminazione algoritmica si verifica quando un sistema automatizzato produce esiti che penalizzano determinati gruppi di persone in ragione di caratteristiche protette dalla legge: genere, origine etnica, età, disabilità, orientamento sessuale, religione. Queste distorsioni, note anche come bias algoritmici, possono derivare da dati di addestramento storicamente distorti, da scelte progettuali errate, oppure dall'uso di variabili proxy che correlano indirettamente con le caratteristiche protette.

Un esempio paradigmatico è quello di un algoritmo di selezione del personale addestrato su curricula storici che, avendo appreso pattern legati alla prevalenza maschile in certi ruoli, penalizza sistematicamente le candidate donne. Oppure, sistemi di scoring creditizio che, pur non utilizzando esplicitamente l'origine etnica, usano variabili come il codice postale o la rete di relazioni sociali che producono effetti discriminatori per determinate comunità.

La peculiarità della discriminazione algoritmica è la sua opacità: l'effetto è reale, ma la causa è spesso non immediatamente riconoscibile né dall'utente né dall'impresa stessa.

Il GDPR e l'Articolo 22: Decisioni Automatizzate e Profilazione

Il primo pilastro del quadro legale europeo in materia di AI decisioni automatizzate è rappresentato dall'articolo 22 del Regolamento (UE) 2016/679, il GDPR. Questa norma riconosce all'interessato il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona.

Il campo di applicazione dell'art. 22 GDPR è più ampio di quanto spesso si ritenga. Per "effetti giuridici" non si intende solo la produzione di atti aventi valenza formale, ma qualsiasi decisione che incida significativamente su diritti, opportunità, condizioni economiche o sociali dell'individuo. Rientrano in questa definizione: il rifiuto automatizzato di una domanda di mutuo, la mancata convocazione a un colloquio a seguito di screening automatico del curricula, la profilazione assicurativa che determina premi esorbitanti.

Le Eccezioni Previste dall'Art. 22 GDPR

Il divieto generale non è assoluto. Le decisioni automatizzate sono lecite se:

• l'interessato ha prestato il proprio consenso esplicito;
• la decisione è necessaria per la conclusione o l'esecuzione di un contratto;
• è autorizzata dal diritto dell'Unione o degli Stati membri.

In tutti e tre i casi, tuttavia, il titolare del trattamento è comunque tenuto ad adottare misure adeguate a tutelare i diritti dell'interessato, tra cui il diritto a ottenere l'intervento umano, a esprimere la propria opinione e a contestare la decisione.

Obblighi di Trasparenza

Accanto all'art. 22, gli artt. 13 e 14 del GDPR impongono al titolare del trattamento di fornire all'interessato informazioni chiare sull'esistenza di processi decisionali automatizzati, sulla logica sottostante, nonché sull'importanza e le conseguenze previste di tale trattamento. Questa obbligo di "spiegabilità" è uno dei punti di maggiore tensione tra il funzionamento reale dei sistemi di machine learning e i requisiti normativi: molti modelli complessi operano come black box, rendendo difficile fornire una spiegazione davvero comprensibile.

L'AI Act e i Sistemi ad Alto Rischio

Il secondo pilastro fondamentale è il Regolamento (UE) 2024/1689 sull'intelligenza artificiale, noto come AI Act, entrato in piena operatività nel 2026. Il regolamento introduce una classificazione dei sistemi di AI per livello di rischio, e riserva i requisiti più stringenti ai sistemi definiti ad alto rischio.

Tra i settori elencati nell'allegato III dell'AI Act come ad alto rischio figurano:

• la selezione e valutazione dei candidati nell'ambito delle assunzioni;
• la gestione e promozione dei lavoratori;
• l'accesso a istruzione, formazione professionale;
• la valutazione del merito creditizio delle persone fisiche;
• la valutazione del rischio nelle assicurazioni;
• la gestione della migrazione e del controllo delle frontiere.

Per tutti questi sistemi, le imprese che sviluppano o utilizzano soluzioni AI sono soggette a obblighi sostanziali.

Requisiti per i Sistemi AI ad Alto Rischio

I fornitori e gli utenti di sistemi AI ad alto rischio devono:

• implementare un sistema di gestione del rischio, documentato e aggiornato periodicamente;
• garantire la qualità e la rappresentatività dei dati di addestramento, con misure specifiche per identificare ed eliminare i bias;
• mantenere documentazione tecnica aggiornata;
• assicurare la trasparenza e la possibilità di supervisione umana;
• garantire l'accuratezza, la robustezza e la cybersicurezza del sistema;
• registrare il sistema nel database europeo degli AI ad alto rischio prima della sua immissione sul mercato.

Il sistema di gestione del rischio ha un valore strategico particolare in relazione alla discriminazione algoritmica: il regolamento richiede esplicitamente che i rischi di bias vengano identificati, valutati e mitigati. Non è sufficiente affermare che il sistema non utilizza attributi protetti: occorre dimostrare, attraverso test e audit, che il sistema non produce esiti disparati per gruppi definiti da caratteristiche tutelate.

Il Principio di Non Discriminazione nel Diritto dell'Unione

Il quadro normativo non si esaurisce nel GDPR e nell'AI Act. Il principio di non discriminazione è un cardine del diritto europeo, sancito dall'art. 21 della Carta dei Diritti Fondamentali dell'UE e declinato in numerose direttive settoriali.

La Direttiva 2000/43/CE (parità di trattamento indipendentemente dalla razza o dall'origine etnica) e la Direttiva 2000/78/CE (parità di trattamento in materia di occupazione) si applicano anche quando la discriminazione è prodotta da uno strumento algoritmico. Il fatto che la decisione sia presa da un sistema automatizzato non esclude la responsabilità del soggetto che ha scelto di adottarlo.

La Corte di Giustizia dell'Unione Europea ha chiarito che una discriminazione indiretta può sussistere anche in assenza di intento discriminatorio: è sufficiente che una disposizione, un criterio o una prassi apparentemente neutri pongano persone di un determinato gruppo in una posizione di particolare svantaggio rispetto ad altre.

Questo principio, applicato agli algoritmi, significa che un'impresa non può difendersi semplicemente sostenendo che il proprio sistema AI non usa esplicitamente caratteristiche protette. Se il sistema produce statisticamente esiti peggiori per determinati gruppi, si configura una discriminazione indiretta che richiede giustificazione oggettiva.

Responsabilità dell'Impresa e Sanzioni

Profili di Responsabilità

Le imprese che adottano sistemi di AI decisionali possono essere esposte a molteplici profili di responsabilità:

• responsabilità amministrativa, ai sensi del GDPR e dell'AI Act, con sanzioni pecuniarie;
• responsabilità civile nei confronti delle persone che abbiano subito discriminazione;
• responsabilità giuslavoristica, in caso di discriminazione nel rapporto di lavoro.

Per quanto riguarda le sanzioni, il GDPR prevede fino a 20 milioni di euro o il 4% del fatturato mondiale annuo per le violazioni più gravi. L'AI Act introduce sanzioni autonome, fino a 30 milioni di euro o il 6% del fatturato mondiale per determinate violazioni, incluso l'utilizzo di sistemi AI vietati.

Ripartizione della Responsabilità tra Fornitore e Utilizzatore

Un punto spesso sottovalutato riguarda la ripartizione della responsabilità tra il fornitore del sistema AI e il soggetto che lo utilizza nella propria attività. L'AI Act distingue nettamente tra provider (chi sviluppa e immette sul mercato il sistema) e deployer (chi lo utilizza in un contesto professionale). Entrambi hanno obblighi autonomi, e il deployer non può liberarsi di responsabilità adducendo che il sistema è stato acquistato da terzi.

Nella pratica, questo impone alle imprese una valutazione critica dei sistemi AI che intendono adottare, inclusa un'attività di due diligence sul fornitore e sulla documentazione tecnica del sistema.

Obblighi Concreti per le Imprese nel 2026

Alla luce del quadro normativo vigente, le imprese italiane ed europee devono adottare misure concrete lungo quattro assi principali.

1. Mappatura e Valutazione d'Impatto

Prima di adottare qualsiasi sistema AI che incida su diritti o opportunità delle persone, l'impresa deve condurre una valutazione d'impatto sulla protezione dei dati (DPIA) ai sensi dell'art. 35 GDPR, unitamente a una valutazione specifica del rischio di discriminazione. Questa valutazione non è un adempimento formale: deve tradursi in un'analisi concreta delle modalità con cui il sistema produce decisioni e degli effetti potenziali su gruppi vulnerabili.

2. Audit Algoritmico

Le imprese devono istituire processi di audit periodico dei propri sistemi AI. L'audit algoritmico verifica che il sistema mantenga nel tempo le caratteristiche dichiarate, che non produca effetti disparati su gruppi protetti, e che le misure di mitigazione del bias siano efficaci. È consigliabile che l'audit sia condotto anche da soggetti terzi indipendenti.

3. Supervisione Umana Effettiva

Uno degli errori più frequenti consiste nel configurare la supervisione umana in modo meramente formale, senza che il soggetto incaricato abbia effettiva possibilità di comprendere e contestare la decisione del sistema. La supervisione umana deve essere sostanziale: chi la esercita deve avere accesso alle informazioni rilevanti, comprendere i limiti del sistema e avere l'autorità concreta di modificare la decisione.

4. Procedure di Ricorso

Le imprese devono predisporre procedure chiare e accessibili attraverso cui le persone possano chiedere la revisione di una decisione automatizzata, esprimere la propria opinione e ottenere l'intervento di un operatore umano. Queste procedure devono essere comunicate in modo trasparente, non solo nelle privacy policy ma anche nel momento in cui la decisione automatizzata viene comunicata all'interessato.

Buone Pratiche nella Gestione del Rischio di Bias

Al di là degli adempimenti normativi minimi, le imprese che adottano approcci proattivi nella gestione del rischio di bias ottengono un vantaggio competitivo e reputazionale significativo. Tra le buone pratiche consolidate si segnalano:

• la diversificazione dei team che progettano e validano i sistemi AI, per ridurre il rischio di bias cognitivi in fase di sviluppo;
• l'utilizzo di metriche di equità (fairness metrics) per valutare le prestazioni del sistema su sottogruppi della popolazione;
• la documentazione sistematica delle scelte progettuali e delle motivazioni che hanno guidato la selezione dei dati di addestramento;
• la formazione continua del personale che interagisce con i sistemi AI sui rischi di discriminazione algoritmica.

Domande Frequenti (FAQ)

Un'impresa è responsabile della discriminazione prodotta da un sistema AI acquistato da un fornitore esterno?

Sì. L'AI Act distingue tra fornitore e deployer, ma entrambi hanno obblighi autonomi. Il deployer è responsabile dell'utilizzo del sistema nel proprio contesto operativo e non può trasferire integralmente la responsabilità al fornitore.

Il GDPR art. 22 si applica anche alle decisioni che incidono sui dipendenti?

Sì, l'art. 22 GDPR si applica a qualsiasi decisione automatizzata che incida significativamente su una persona, inclusi i dipendenti. L'utilizzo di sistemi AI per valutare le prestazioni, decidere promozioni o gestire procedimenti disciplinari rientra nel suo campo di applicazione.

Cosa succede se un sistema AI produce discriminazione indiretta pur non utilizzando esplicitamente attributi protetti?

La discriminazione indiretta è ugualmente vietata dal diritto europeo. L'impresa dovrà dimostrare che la disparità di trattamento è giustificata da un obiettivo legittimo e che i mezzi utilizzati sono appropriati e necessari. In mancanza di tale giustificazione, risponde per discriminazione indiretta.

L'audit algoritmico è obbligatorio per legge?

Per i sistemi AI ad alto rischio ai sensi dell'AI Act, la valutazione periodica è un requisito obbligatorio. Anche per i sistemi non classificati ad alto rischio, l'audit è fortemente raccomandato come misura di accountability ai sensi del GDPR.

Quali settori sono maggiormente esposti al rischio di discriminazione algoritmica?

I settori con maggiore esposizione sono: risorse umane (selezione, valutazione, promozione), credito e assicurazioni, sanità, giustizia e forze dell'ordine, accesso a servizi pubblici e privati. Si tratta, non a caso, degli stessi settori che l'AI Act classifica come ad alto rischio.

Come IUS AI Supporta le Imprese nella Compliance

La complessità del quadro normativo descritto richiede non solo competenze legali specializzate, ma anche strumenti capaci di tradurre rapidamente le norme in procedure operative. IUS AI offre agli studi legali e alle imprese italiane un ecosistema completo per affrontare le sfide della compliance AI: dalla generazione di contratti e policy conformi al GDPR e all'AI Act, alla ricerca giurisprudenziale su oltre 100.000 sentenze, fino all'assistenza legale via chat per rispondere alle domande operative del quotidiano.

Se la tua impresa utilizza sistemi AI decisionali, valutare la conformità normativa non è più rinviabile.

Accedi a IUS AI e inizia la tua prova gratuita per generare contratti, policy e documenti di compliance in pochi minuti, con l'assistenza dell'intelligenza artificiale al servizio del diritto.