Caso studio: CercoLavoro.com e l'AI matching CV-annunci

Un caso reale di compliance integrata AI Act + GDPR su un sistema di intelligenza artificiale al cuore del business: il matching tra curriculum dei candidati e offerte di lavoro.

Il contesto

CercoLavoro.com è una piattaforma italiana di incontro tra domanda e offerta di lavoro. Da diversi anni il portale offre alle aziende uno strumento per pubblicare annunci e ai candidati uno spazio per caricare il proprio curriculum. Nel 2024 la piattaforma ha integrato un sistema di intelligenza artificiale per facilitare l'incrocio: il sistema analizza i CV dei candidati e gli annunci di lavoro pubblicati, e segnala — sia ai candidati sia alle aziende — le corrispondenze più rilevanti.

Si tratta di un caso d'uso che incrocia diversi profili regolatori: trattamento massivo di dati personali (i CV contengono dati anche sensibili dei candidati), uso dell'IA in ambito lavorativo (settore dell'Allegato III dell'AI Act), interazione di un sistema automatizzato con persone fisiche, possibili effetti rilevanti sull'accesso all'occupazione. È esattamente il tipo di sistema su cui le autorità — Garante in primis — concentreranno l'attenzione.

Le scelte di compliance

Iusprivacy.eu ha accompagnato CercoLavoro.com nella costruzione di un impianto di compliance integrato GDPR + AI Act, articolato su diverse linee di intervento.

Sul piano del GDPR, il primo nodo è stato quello della base giuridica. Si è scelto il legittimo interesse del titolare (art. 6, par. 1, lett. f, GDPR) per il funzionamento del sistema di matching, dopo un'analisi LIA (Legitimate Interest Assessment) completa che ha applicato il test in tre passaggi indicato dagli orientamenti del Gruppo Art. 29 e dell'EDPB: identificazione dell'interesse legittimo, verifica della necessità, bilanciamento con i diritti degli interessati. La scelta del legittimo interesse — anziché del consenso o della necessità contrattuale — è stata motivata dalla natura del servizio, dalle ragionevoli aspettative dei candidati che caricano un CV su un portale di lavoro, dalle misure di salvaguardia adottate.

La base giuridica del legittimo interesse comporta il diritto degli interessati di opporsi al trattamento ai sensi dell'art. 21 GDPR. CercoLavoro.com ha implementato un meccanismo di opposizione facilmente attivabile dal candidato, con effetto immediato sull'inclusione del CV nel matching.

Sul tema dell'articolo 22 GDPR (decisioni automatizzate) si è effettuata un'analisi approfondita, alla luce delle Linee guida WP251 rev.01, per stabilire se il sistema ricada nella nozione di decisione basata unicamente su trattamento automatizzato con effetti significativi. La conclusione, motivata, è stata che il sistema non rientra nell'art. 22 in quanto la decisione finale di assunzione resta sempre dell'azienda umana, e il sistema svolge una funzione preparatoria e informativa, non decisoria. Questa qualificazione è stata documentata con cura per resistere a un eventuale scrutinio.

È stata redatta una DPIA completa ai sensi dell'art. 35 GDPR, seguendo i criteri delle Linee guida WP248 rev.01, che analizza i rischi del trattamento per i candidati: rischio di esclusione dal mercato del lavoro, rischio di bias che svantaggi determinati gruppi, rischio di errori di matching, rischio di rivelazione di informazioni del CV. Per ciascun rischio sono state individuate le misure di mitigazione: monitoraggio continuativo della qualità del matching, audit periodici sui possibili bias, possibilità per il candidato di vedere i match proposti e di intervenire, formazione del personale che gestisce il sistema.

Sul piano dell'AI Act

L'analisi AI Act ha portato a classificare il sistema come non rientrante tra quelli ad alto rischio dell'Allegato III, nonostante operi nel settore dell'occupazione. La motivazione, documentata, si basa sulla natura del sistema: esso non valuta i candidati in modo decisorio, non li classifica con effetti sull'accesso al lavoro, non sostituisce il giudizio delle aziende ma offre uno strumento informativo che facilita l'incontro. Questa qualificazione è stata costruita sulla base della distinzione, sostenuta dalla dottrina e dalle prime indicazioni della Commissione, tra sistemi preparatori-informativi e sistemi decisori-valutativi.

Per quanto riguarda l'art. 50 AI Act (obblighi di trasparenza), il sistema rispetta gli obblighi applicabili: i candidati e le aziende sono informati che le segnalazioni di matching provengono da un sistema di IA, è chiarito il funzionamento essenziale del sistema, sono indicate le finalità e i limiti.

Il sistema utilizza al proprio interno l'API di un grande modello GPAI per l'analisi del testo. Il rapporto contrattuale con il fornitore del modello è stato configurato in modalità zero data retention, in modo che i dati dei candidati non siano conservati né utilizzati per ulteriore addestramento del modello. L'analisi della catena del valore (art. 25 AI Act) è documentata.

AI Literacy e governance

Il personale di CercoLavoro.com che gestisce il sistema ha ricevuto formazione AI Literacy specifica sui sistemi di matching e sui rischi connessi. La piattaforma ha adottato una policy interna sull'uso dell'IA che disciplina le decisioni di sviluppo, le modifiche del modello, la gestione degli incidenti. Le aziende clienti che pubblicano annunci sulla piattaforma ricevono informazioni chiare sul funzionamento del sistema e sui propri obblighi (in particolare l'informativa ai candidati e l'obbligo di non basare le decisioni di assunzione unicamente sui suggerimenti del matching).

Il valore del caso

Il caso CercoLavoro.com mostra concretamente come si possa costruire un sistema basato su IA in un settore sensibile (l'occupazione) rispettando insieme GDPR e AI Act, con un investimento di compliance importante ma sostenibile, e ottenendo un risultato documentato e difendibile in caso di controllo. È un esempio del metodo di lavoro di iusprivacy.eu: combinare analisi giuridica approfondita, scelta motivata delle soluzioni, documentazione strutturata, formazione del personale, manutenzione nel tempo.