Skip to content
Vai al testo

Governance dell'IA e Rischio Digitale

L'onere probatorio: attualità delle politiche, attestazione e la distanza tra conformità e la sua dimostrazione

Banner di Novara Consulting Group per la categoria AI Governance & Digital Risk: il nome della categoria in un riquadro verde su una foresta di pini immersa nella nebbia.
Scarica PDF

Le organizzazioni valutano la propria posizione di conformità in materia di lavoro chiedendosi se le loro politiche siano aggiornate. È la domanda sbagliata, o quantomeno insufficiente, perché tratta la conformità come una proprietà dei documenti anziché come un'affermazione che l'organizzazione potrebbe un giorno dover dimostrare. La domanda pertinente è più ristretta e più difficile. Se un'agenzia, il legale di un ricorrente o un acquirente chiedesse all'organizzazione di dimostrare che un determinato obbligo è stato rispettato nei confronti di una determinata persona in una determinata data, l'organizzazione potrebbe produrre la documentazione?

Un'asimmetria che i programmi di governance raramente modellano

La distanza tra queste due domande è il punto in cui si accumula oggi la maggior parte del rischio in materia di lavoro. Un'organizzazione può disporre di un insieme di politiche sostanzialmente corrette in ogni particolare e tuttavia non essere in grado di stabilire che un determinato individuo abbia ricevuto l'avviso richiesto, abbia confermato di aver preso visione della divulgazione richiesta o abbia avuto l'opportunità prevista. La conformità sostanziale e la conformità dimostrabile sono capacità distinte, sostenute da infrastrutture diverse, e solo una delle due è prodotta da una revisione delle politiche.

La conformità sostanziale e la conformità dimostrabile sono capacità distinte.

L'asimmetria è diventata più rilevante perché la natura della regolamentazione del lavoro è cambiata. Una quota significativa degli obblighi introdotti di recente è di natura procedurale piuttosto che sostanziale. Non dice al datore di lavoro quale decisione prendere. Gli dice cosa deve essere comunicato, a chi, entro quale intervallo e, implicitamente, cosa deve poter essere dimostrato in seguito. Obblighi di questo tipo generano requisiti probatori come principale area di conformità. Un documento di policy può affermare che l'organizzazione rispetterà le norme. Non può dimostrare che lo abbia fatto.

Obblighi che generano documentazione anziché regole

Le normative sulla trasparenza retributiva che entrano in vigore nel corso del 2025 illustrano questo schema con insolita chiarezza, e lo fanno in un ambito che la maggior parte delle organizzazioni classifica come questione di formato degli annunci piuttosto che come questione di governance.

L'emendamento dell'Illinois all'Equal Pay Act, in vigore dal 1° gennaio 2025, si applica ai datori di lavoro con quindici o più dipendenti a livello nazionale e richiede che gli annunci di lavoro includano una fascia retributiva o salariale insieme a una descrizione generale dei benefit e di altre forme di compenso. Questo è essenzialmente un problema di policy e di modulistica, correttabile in un unico ciclo di revisione. La disposizione non correttabile in un ciclo di revisione compare accanto ad essa: entro quattordici giorni dalla pubblicazione esterna di un annuncio per una posizione, il datore di lavoro deve annunciare, pubblicare o altrimenti rendere nota ai dipendenti attuali l'opportunità di promozione. La normativa riguarda anche gli annunci per promozione e trasferimento, non solo quelli per l'assunzione esterna.

Si consideri cosa richiede effettivamente questo obbligo che un'organizzazione sia in grado di produrre. Non una policy che afferma che la notifica interna avviene, ma un registro con data certa, per ogni annuncio, che attesti che un determinato annuncio esterno è stato pubblicato in una determinata data e che il corrispondente annuncio interno è stato emesso entro i successivi quattordici giorni, per ogni annuncio soggetto all'obbligo, conservato per il periodo di prescrizione applicabile. Nessun documento di policy genera tale registro. Nessuna revisione annuale della policy ne rileva l'assenza. Un'organizzazione con una politica di mobilità interna esemplare ma priva di una traccia di verifica a livello di singolo annuncio ha soddisfatto la domanda che si è posta da sé, ma non quella che le verrebbe posta dall'esterno.

Lo schema si ripete nel gruppo di normative del 2025. L'obbligo del Minnesota è entrato in vigore lo stesso giorno di quello dell'Illinois, si applica a partire da una soglia di trenta dipendenti e vieta espressamente le fasce aperte, il che trasforma un'abitudine redazionale in una violazione. Quello del New Jersey è entrato in vigore il 1° giugno 2025, con una soglia di dieci dipendenti. Quello del Vermont segue il 1° luglio 2025, con una soglia di cinque dipendenti, la più bassa tra gli stati che richiedono la divulgazione negli annunci. Il Massachusetts introduce la propria normativa in modo graduale più avanti nell'anno. Ciascuna di queste normative si aggiunge a quelle precedenti di California, Colorado, New York, Washington, Maryland e altri stati, e le normative precedenti non sono rimaste immutate.

Perché l'aggiornamento decade più in fretta di quanto i cicli di revisione riescano a rilevare

Tre caratteristiche di questo contesto normativo rendono inefficace la revisione periodica annuale o biennale delle politiche come strumento di controllo.

La prima è l'eterogeneità delle soglie. Solo le normative del 2025 fissano la copertura a cinque, dieci, quindici e trenta dipendenti, e il conteggio avviene in modo diverso: in alcuni casi si contano i dipendenti nello stato, in altri i dipendenti a livello nazionale. Lo stato di copertura di un'organizzazione è quindi funzione della composizione dell'organico piuttosto che dell'ubicazione della sede centrale, e cambia senza alcun atto deliberato. Una crescita oltre un confine statale, o una singola assunzione da remoto, può far rientrare un datore di lavoro in un regime che non aveva valutato nell'ultima revisione. Nulla, all'interno dell'organizzazione, segnala che ciò sia avvenuto.

La seconda è la portata giurisdizionale derivante dal lavoro da remoto. Diverse di queste normative si applicano alle posizioni che possono essere svolte all'interno dello stato, indipendentemente da dove si trovi il datore di lavoro. Un annuncio per una posizione da remoto è di conseguenza un annuncio in ogni giurisdizione da cui il ruolo potrebbe essere svolto, il che significa che l'ambito di conformità di una singola richiesta di assunzione è determinato dall'estensione geografica pubblicizzata dall'organizzazione piuttosto che da dove intendeva effettivamente assumere. Le organizzazioni raramente documentano questa decisione sull'estensione geografica, e quindi non sono in grado di ricostruirla in seguito.

La terza è che gli obblighi sono legati a eventi piuttosto che a periodi. Una policy è un documento permanente e può essere riesaminata secondo un calendario. Un obbligo di notifica interna entro quattordici giorni si applica a ciascun annuncio singolarmente. La conformità non è quindi uno stato che l'organizzazione occupa tra una revisione e l'altra. È una serie di adempimenti distinti, ciascuno dei quali ha prodotto o non ha prodotto una registrazione, e il risultato complessivo non può essere ricostruito retroattivamente.

La conseguenza è che un'organizzazione che riesamina il proprio insieme di politiche con un ciclo di diciotto mesi non è semplicemente in ritardo sui contenuti. Sta misurando l'oggetto sbagliato. La policy potrebbe essere stata corretta per tutto l'intervallo, mentre la documentazione probatoria accumulava lacune che la revisione non è progettata per individuare e che nessuna correzione successiva può riparare.

L'attestazione e il controllo delle versioni come strumenti probatori

L'accettazione da parte del dipendente e il controllo delle versioni dei documenti sono di norma considerati adempimenti amministrativi di routine. In realtà, sono più correttamente intesi come gli strumenti attraverso cui la conformità sostanziale di un'organizzazione diventa dimostrabile, e dovrebbero essere definiti tenendo presente questa funzione.

Un'attestazione stabilisce qualcosa di specifico: che a un individuo identificato è stata presentata una versione identificata di un documento in una data registrata. Ciascuno di questi tre elementi è essenziale, e i sistemi di attestazione spesso ne registrano solo il primo e il terzo. Quando l'organizzazione non è in grado di stabilire quale versione di una policy il dipendente abbia accettato, l'attestazione dimostra soltanto che il dipendente ha accettato qualcosa, il che è notevolmente più debole della documentazione prevista dall'obbligo e può essere più debole dell'assenza totale di documentazione, laddove le versioni differiscano nella disposizione rilevante. Il controllo delle versioni non è quindi una semplice comodità di gestione documentale. È l'elemento che rende l'attestazione probatoria anziché meramente amministrativa.

La disciplina di conservazione opera secondo la stessa logica. Le normative federali sulla tenuta dei registri ai sensi del Title VII e dell'Americans with Disabilities Act (ADA) richiedono la conservazione dei registri relativi al personale e all'impiego per un periodo definito a partire dalla creazione del registro o dall'azione relativa al personale, con l'obbligo esteso qualora sia stato presentato un reclamo. Gli obblighi statali si aggiungono con i propri intervalli. L'effetto pratico è che la capacità probatoria di un'organizzazione ha un'emivita definita, e i registri non conservati sistematicamente al momento della creazione non sono generalmente recuperabili al momento del bisogno.

Implicazioni di governance

La raccomandazione operativa è che la conformità in materia di lavoro venga valutata in base alla capacità probatoria piuttosto che all'aggiornamento delle politiche, e che la valutazione sia strutturata come un test di produzione documentale piuttosto che come una revisione documentale.

Il test è semplice da definire e scomodo da eseguire. Selezionare un piccolo numero di eventi soggetti all'obbligo verificatisi nei dodici mesi precedenti, un annuncio di promozione in una giurisdizione con obbligo di notifica interna, una revisione di policy che richiede un'attestazione, una divulgazione con un intervallo previsto dalla normativa. Per ciascuno, tentare di produrre la documentazione completa: la versione in vigore, gli individui a cui si applicava, la data di trasmissione, la data e la forma dell'attestazione, e la sede di conservazione. Quando la documentazione non può essere ricostruita, la conclusione non è che la policy è carente. La conclusione è che l'organizzazione non è in grado di dimostrare una conformità che potrebbe benissimo aver raggiunto, ed è proprio questa l'esposizione che conta.

La determinazione della copertura dovrebbe essere mantenuta come condizione monitorata piuttosto che come accertamento periodico. Poiché le soglie dipendono dall'organico e dalla geografia, e entrambi cambiano senza un'azione deliberata, l'elemento scatenante organizzativo per la rivalutazione dovrebbe essere l'assunzione o l'annuncio stesso, piuttosto che il calendario. I flussi di lavoro relativi alle richieste di assunzione sono il punto di controllo naturale, poiché è lì che viene determinato l'ambito giurisdizionale di un annuncio e può essere registrato a costo trascurabile.

L'infrastruttura di attestazione dovrebbe collegare l'individuo, la versione del documento e la data in un unico registro, e il controllo delle versioni dovrebbe essere trattato come un sistema di conformità piuttosto che come una funzionalità del repository documentale.

Il punto più ampio è in continuità con l'analisi dei sistemi automatizzati di decisione in materia di lavoro pubblicata in questa serie a maggio. In entrambi i casi gli strumenti normativi impongono obblighi che sono procedurali nella forma e probatori nella sostanza, e in entrambi i casi le organizzazioni hanno costruito l'apparenza della conformità trascurando di sviluppare la capacità di dimostrarla. La distinzione tra garanzia procedurale e garanzia probatoria non è accademica. È la distinzione tra una posizione difendibile e una posizione che sembra soltanto difendibile finché non viene esaminata.

Riferimenti

  • Illinois Equal Pay Act del 2003, come modificato dal Public Act 103-0539, in vigore dal 1° gennaio 2025, e relative linee guida dell'Illinois Department of Labor.
  • Minnesota Statutes § 181.173, in vigore dal 1° gennaio 2025.
  • New Jersey P.L. 2024, c. 91, in vigore dal 1° giugno 2025.
  • Vermont Act 155 (2024), in vigore dal 1° luglio 2025.
  • Massachusetts An Act Relative to Salary Range Transparency, St. 2024, c. 141.
  • 29 C.F.R. Part 1602 (tenuta dei registri ai sensi del Title VII); 29 C.F.R. Part 1602.14 (conservazione dei registri del personale).
  • Novara Consulting Group, "The Development Exception: Internal Mobility Platforms and the Perimeter of Employment AI Governance," maggio 2025.
Cita questo
Grizzle, H. M. (2025, June 1). The Evidentiary Burden: Policy Currency, Attestation, and the Distance Between Compliance and Its Demonstration. Novara Consulting Group. https://www.novaracg.com/2025/06/01/the-evidentiary-burden-policy-currency-attestation-and-the-distance-between-compliance-and-its-demonstration/

Iscriviti a Novara Consulting Group

Nuovi articoli, direttamente nella tua casella di posta.

Consult