Il punto giuridico: nel lavoro l’AI incide sul potere datoriale

La Prof.ssa Alessandra Ingrao, Università Statale di Milano, ha posto un tema centrale: nel rapporto di lavoro l’AI non è solo uno strumento tecnologico, ma può diventare modalità di esercizio del potere direttivo e di controllo del datore di lavoro. Non siamo più soltanto davanti alla telecamera che “controlla” la prestazione. Oggi i dati servono a orientare decisioni su selezione, assegnazione di compiti, performance, turni, premi, trasferimenti e progressioni. Questo significa che il presidio privacy deve dialogare con il diritto del lavoro. In Italia resta centrale l’art. 4 dello Statuto dei lavoratori, richiamato dall’art. 114 D.lgs. 196/2003, che disciplina gli strumenti dai quali derivi anche potenzialmente la possibilità di controllo a distanza dell’attività lavorativa. Ma la sfida dell’AI è più complessa. Un eventuale accordo sindacale non riguarda più solo “dove punta una telecamera”, bensì:

• flussi di dati;
• logiche algoritmiche;
• metriche;
• modelli predittivi;
• sistemi decisionali.

AI Act: l’HR è espressamente area ad alto rischio

L’AI Act conferma questa impostazione. L’Allegato III include tra i sistemi potenzialmente ad alto rischio quelli destinati a essere utilizzati in ambito occupazione, gestione dei lavoratori e accesso al lavoro autonomo. In particolare, sono rilevanti i sistemi usati per:

• selezione;
• analisi e filtraggio delle candidature;
• valutazione dei candidati;
• allocazione dei compiti;
• decisioni che incidono sul rapporto di lavoro.

Ne discende una conseguenza pratica: ogni progetto AI in ambito HR deve essere sottoposto a una classificazione preliminare e a una valutazione del rischio attraverso una DPIA e una FRIA. La DPIA, Data Protection Impact Assessment ovvero Valutazione d’impatto sulla protezione dei dati, è prevista dall’art. 35 GDPR. Va effettuata, fra l’altro, quando un trattamento, specie se basato su nuove tecnologie, può generare un rischio elevato per i diritti e le libertà delle persone: incide su soggetti vulnerabili quali sono i lavoratori, prevede un monitoraggio regolare e sistematico. Analizza dati trattati, finalità, base giuridica, necessità, proporzionalità, rischi privacy e misure di mitigazione. La FRIA, Fundamental Rights Impact Assessment, è la Valutazione d’impatto sui diritti fondamentali. È prevista dall’art. 27 AI Act per determinati utilizzatori/deployer di sistemi AI ad alto rischio e serve a valutare l’impatto del sistema su diritti fondamentali delle persone:

• non discriminazione;
• dignità;
• lavoro;
• tutela dei dati;
• accesso a servizi;
• libertà;
• garanzie procedurali.

Non basta chiedersi se il tool “usa AI”. Occorre chiedersi per quale finalità è usato, quali dati tratta, se incide su persone fisiche, se supporta decisioni rilevanti e se rientra in uno scenario ad alto rischio.

Governance e tecnologia devono stare insieme

L’intervento di Marco Borzacchelli, dalla prospettiva di un grande gruppo HR internazionale, ha evidenziato due pilastri minimi: governance e tecnologia. Prima ancora di scegliere il tool, l’azienda deve capire quale parte del processo HR vuole migliorare:

• screening;
• hiring;
• formazione;
• care management;
• counseling;
• valutazione;
• altro.

Solo dopo può valutare quale sistema usare e con quali garanzie. Molto rilevante anche il passaggio sull’AI literacy: per governare l’AI bisogna sapere che cosa si governa. La formazione non deve riguardare solo gli utilizzatori finali, ma anche:

• manager;
• product owner;
• asset owner;
• IT;
• legal;
• HR;
• security;
• compliance;
• DPO.

In particolare, è stato correttamente ricordato che non basta dire “non uso dati sensibili”. Discriminazioni indirette e variabili proxy possono generare effetti discriminatori anche partendo da dati apparentemente neutri.

CPDP: il ruolo e le differenze fra AMS e ADMS

Il confronto alla Conferenza internazionale CPDP, Computers, Privacy and Data Protection, arrivata alla 19ª edizione, ha confermato che il tema non riguarda solo il lavoro subordinato tradizionale, ma anche i parasubordinati (es.rider-consulenti-agenti ecc). Nelle piattaforme digitali, i sistemi di AMS, Automated Monitoring Systems, e di ADMS, Automated Decision-Making Systems, possono incidere su:

• assegnazione degli incarichi;
• punteggi;
• remunerazione;
• tempi di lavoro;
• classificazione;
• promozioni;
• demansionamenti;
• misure disciplinari.

Ma quali sono le differenze fra i due sistemi? Gli AMS sono sistemi che utilizzano un monitoraggio e profilazione automatizzati: sistemi che raccolgono, tracciano o analizzano dati sul lavoratore o sul platform worker. Esempi:

• geolocalizzazione del rider;
• tempi di connessione/disconnessione;
• numero di consegne;
• velocità;
• pause;
• accettazione/rifiuto degli incarichi;
• produttività;
• rating ricevuti.

Il punto critico è che il sistema non decide necessariamente, ma osserva, misura e profila il comportamento lavorativo. Gli ADMS, invece, attivano un processo decisionale automatizzato: il sistema non si limita a monitorare, ma produce o supporta una decisione. Esempi:

• assegnare o non assegnare una consegna;
• modificare il ranking;
• ridurre gli slot disponibili;
• sospendere un account;
• proporre un licenziamento;
• selezionare o escludere un candidato.

Qui il rischio è più alto perché l’algoritmo incide direttamente sulla posizione del candidato o del lavoratore. In sintesi: Automated monitoring = il sistema osserva. Automated decision-making = il sistema decide o influenza la decisione. Nel mondo HR spesso i due sistemi sono collegati: prima il software monitora, poi quei dati alimentano una decisione automatizzata o semi-automatizzata.

Direttiva UE 2024/2831 sul lavoro tramite piattaforme

La Direttiva UE 2024/2831 sul lavoro tramite piattaforme, da recepire da parte degli Stati membri entro il 2 dicembre 2026, ha introdotto regole specifiche sulla gestione algoritmica e sulla protezione dei dati personali dei platform workers. L’art. 7 pone limiti forti al trattamento di dati particolarmente invasivi:

• stato emotivo o psicologico;
• conversazioni private;
• dati fuori orario;
• attività sindacale;
• dati particolari;
• biometria.

La Direttiva impone trasparenza sugli ADMS. Il lavoratore deve conoscere esistenza, funzionamento, categorie di dati e principali parametri che incidono su incarichi, rating, remunerazione, turni o sospensioni. Le decisioni algoritmiche rilevanti devono essere soggette a supervisione umana effettiva, non meramente formale. Il lavoratore deve poter chiedere il riesame della decisione: non basterà dire “ha deciso il sistema”. Rilevante anche il ruolo delle rappresentanze dei lavoratori, che devono poter comprendere e discutere l’impatto degli algoritmi sull’organizzazione del lavoro. Sul piano operativo serviranno:

• mappatura dei dati;
• DPIA ove necessario;
• informativa chiara;
• procedura per human review;
• audit periodico su bias, proporzionalità e impatti discriminatori.

Common foundation europea e differenze nazionali di approccio

Dagli eventi è emerso comunque che sul potenziale monitoraggio digitale nei luoghi di lavoro esiste una base comune europea, ma l’applicazione resta frammentata. La base comune è composta da:

• Carta dei diritti fondamentali UE;
• GDPR, in particolare art. 88 GDPR sui trattamenti in ambito lavorativo;
• giurisprudenza Bărbulescu c. Romania, che richiede un corretto bilanciamento tra esigenze datoriali e diritto alla vita privata del lavoratore.

La frammentazione nasce perché l’art. 88 GDPR consente agli Stati membri di introdurre regole più specifiche, anche tramite leggi o contratti collettivi. Ciò genera approcci nazionali diversi su:

• controllo;
• informazione;
• coinvolgimento sindacale;
• rimedi.

Germania e Spagna si soffermano maggiormente sul tema delle norme lavoristiche. Il Regno Unito, fuori dal quadro UE, valorizza linee guida dell’ICO, requisiti di sicurezza nazionale e indicazioni settoriali, ad esempio per pubblico impiego e servizi finanziari. Da tutto ciò un DPO deriva una conseguenza molto concreta: una multinazionale non può adottare una sola policy europea “copia e incolla”. Serve una common policy di gruppo fondata su GDPR, AI Act e principi CEDU, ma con local addendum per ciascun Paese, verificando:

• regole lavoristiche;
• ruolo delle rappresentanze dei lavoratori;
• obblighi informativi;
• DPIA/FRIA;
• poteri dei Garanti Privacy;
• giurisprudenza nazionale.

L’AI Act armonizza alcuni obblighi sui sistemi ad alto rischio in ambito employment, ma non elimina le differenze nazionali del diritto del lavoro.

Italia: CCNL chimico-farmaceutico e utilizzo dell’AI in azienda

Nel rinnovo del CCNL chimico-farmaceutico 2025-2028, sottoscritto il 15 aprile 2025, compare un passaggio molto innovativo: un intero capitolo di linee guida settoriali sull’utilizzo dell’intelligenza artificiale nell’organizzazione aziendale. Il contratto istituisce anche, nell’Osservatorio nazionale, una sezione specifica su Trasformazione digitale e Intelligenza Artificiale. Le linee guida settoriali sull’intelligenza artificiale sono fondate su:

• centralità della persona;
• responsabilizzazione;
• trasparenza;
• formazione;
• coinvolgimento dei lavoratori.

Il punto più interessante è che l’AI non viene trattata solo come leva di efficienza, ma anche come possibile fonte di rischi:

• privacy;
• discriminazioni;
• opacità decisionale;
• informazioni fuorvianti;
• tutela del know-how aziendale.

Sul piano operativo, il CCNL valorizza il confronto con le rappresentanze aziendali e l’Osservatorio sulla trasformazione digitale, anticipando un modello di governance partecipata. Le aziende dovranno orientarsi al fatto che l’introduzione di sistemi AI nei luoghi di lavoro deve essere preceduta da mappatura dei rischi, informazione, formazione e coordinamento con GDPR, AI Act e Statuto dei Lavoratori.

I casi rider: il Garante ha già indicato la strada

Le ordinanze e i provvedimenti del Garante per la protezione dei dati personali italiano mostrano che il problema è attuale. Nel primo caso Foodinho Glovo del 2021, il Garante ha sanzionato gravi carenze relative agli algoritmi di gestione dei rider, contestando anche l’insufficiente trasparenza e le garanzie sull’esattezza e correttezza dei sistemi utilizzati. Nel secondo caso, con provvedimento del 13 novembre 2024, n. 675, doc. web 10074601, il Garante Privacy ha sanzionato sempre Foodinho S.r.l., gruppo Glovo, per trattamenti illeciti dei dati dei rider tramite piattaforma digitale. Il principio è chiaro: l’algoritmo che incide sull’organizzazione del lavoro non può essere opaco, incontestabile o privo di adeguate garanzie di controllo umano.

Il rischio più sottovalutato: la Shadow AI

Un ulteriore punto emerso con forza è la Shadow AI: l’uso non dichiarato di strumenti di AI da parte di dipendenti, collaboratori o funzioni aziendali, spesso tramite strumenti gratuiti o account personali. Il problema non è solo tecnologico, ma organizzativo. Se l’azienda non offre regole, strumenti approvati e formazione, l’innovazione si sposta nell’ombra. Per questo serve una policy chiara sull’uso degli strumenti AI, accompagnata da:

• formazione;
• controlli tecnici;
• procedure di procurement;
• criteri di classificazione dei casi d’uso;
• canale interno per proporre nuovi utilizzi in modo governato.

Checklist operativa per imprese, HR e DPO