Intelligenza artificiale e controllo dei lavoratori: il quadro normativo tra Statuto, GDPR e AI Act
La diffusione rapida di strumenti di intelligenza artificiale nei luoghi di lavoro ha riportato al centro del dibattito giuridico una domanda antica quanto il diritto del lavoro stesso: fino a dove può spingersi il potere di controllo del datore di lavoro? La questione dell’intelligenza artificiale nel controllo dei lavoratori è oggi una delle aree in cui la legge italiana ed europea si trova a dover rispondere con urgenza, perché le tecnologie disponibili — sistemi di analisi comportamentale, videosorveglianza algoritmica, tracciamento delle attività digitali, riconoscimento facciale — superano di gran lunga le fattispecie che il legislatore degli anni Settanta aveva immaginato. Capire dove si colloca il confine tra un monitoraggio legittimo e una violazione dei diritti fondamentali richiede di attraversare tre livelli normativi sovrapposti: lo Statuto dei lavoratori, il Regolamento europeo sulla protezione dei dati (GDPR) e la nuova architettura regolatoria introdotta dall’AI Act e dal Decreto italiano 180/2025. Questo articolo analizza ciascuno di questi livelli, ne esamina le interazioni e individua le conseguenze pratiche per le aziende che intendono adottare — o che hanno già adottato — soluzioni di IA per la gestione del personale.
Le fondamenta dello Statuto dei lavoratori: articoli 4 e 9
Il punto di partenza obbligato è lo Statuto dei lavoratori, la legge n. 300 del 1970, che rimane la norma cardine nel diritto del lavoro italiano in materia di sorveglianza. L’articolo 4 disciplina i cosiddetti controlli a distanza, cioè l’uso di impianti audiovisivi e altri strumenti dai quali possa derivare la possibilità di controllo dell’attività dei lavoratori. La norma, riformata dal Jobs Act nel 2015, stabilisce un principio di base molto chiaro: tali strumenti possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale. Non è dunque ammissibile installare un sistema di monitoraggio con la finalità primaria di sorvegliare la condotta del singolo dipendente.
La procedura prevista dall’articolo 4 è altrettanto rigorosa. L’installazione di impianti di controllo deve avvenire previo accordo con le rappresentanze sindacali aziendali oppure, in mancanza di accordo, previa autorizzazione dell’Ispettorato Nazionale del Lavoro. Questa doppia via — accordo sindacale o autorizzazione amministrativa — non è un dettaglio procedurale: è il meccanismo attraverso cui il legislatore ha voluto bilanciare le prerogative datoriali con la tutela collettiva dei lavoratori. Quando si parla di intelligenza artificiale applicata al monitoraggio, questo meccanismo acquista un’importanza ancora maggiore, perché i sistemi algoritmici sono capaci di raccogliere e analizzare volumi di dati enormemente superiori rispetto a una telecamera tradizionale.
L’articolo 9 dello Statuto, spesso meno citato ma altrettanto rilevante, tutela la salute e l’integrità fisica dei lavoratori, riconoscendo loro il diritto a controllare l’applicazione delle norme di prevenzione e a promuovere ricerche, elaborare e proporre soluzioni. In un contesto di IA, questa disposizione si intreccia con il tema della trasparenza algoritmica: il lavoratore ha un interesse legittimo a comprendere come i dati che lo riguardano vengono elaborati e quali decisioni ne derivano.
Il GDPR come secondo livello di protezione: principi e obblighi specifici
Il Regolamento UE 2016/679, comunemente noto come GDPR, si applica integralmente al monitoraggio dei lavoratori tramite intelligenza artificiale e stabilisce un insieme di requisiti che si sovrappongono — e in parte rafforzano — le tutele già previste dallo Statuto. Il GDPR non è una norma settoriale sul lavoro, ma la sua portata generale fa sì che ogni trattamento di dati personali nel contesto lavorativo debba rispettarne i principi fondamentali: liceità, correttezza e trasparenza; limitazione delle finalità; minimizzazione dei dati; esattezza; limitazione della conservazione; integrità e riservatezza.
Sotto il profilo della liceità, il trattamento di dati personali dei lavoratori tramite sistemi di IA deve fondarsi su una delle basi giuridiche previste dal Regolamento. Nel contesto lavorativo, le basi più rilevanti sono l’esecuzione del contratto di lavoro, il rispetto di un obbligo legale e il legittimo interesse del titolare del trattamento. Il consenso del lavoratore, per quanto teoricamente possibile, è generalmente considerato problematico come base giuridica esclusiva, perché il rapporto di subordinazione crea un evidente squilibrio di potere che rende difficile presumere che il consenso sia davvero libero.
Particolarmente rilevante è la disposizione del GDPR relativa alla valutazione d’impatto sulla protezione dei dati (DPIA), che scatta obbligatoriamente quando il trattamento è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche. Il monitoraggio sistematico dei lavoratori tramite sistemi automatizzati rientra tipicamente in questa categoria. La DPIA non è un adempimento burocratico: è uno strumento di analisi preventiva che impone al datore di lavoro di identificare i rischi, valutarne la gravità e adottare misure di mitigazione prima di avviare il trattamento. Omettere la DPIA quando essa è obbligatoria espone l’azienda a sanzioni significative da parte del Garante Privacy.
Il GDPR impone inoltre obblighi specifici in materia di processi decisionali automatizzati. Quando un sistema di IA produce decisioni che incidono significativamente sul lavoratore — si pensi a un algoritmo che valuta le performance individuali, che determina turni o che segnala anomalie comportamentali — il lavoratore ha il diritto di non essere sottoposto a una decisione basata unicamente su un trattamento automatizzato. Questo principio, che il Regolamento enuncia con chiarezza, è di grande importanza pratica: significa che i sistemi di IA non possono sostituire integralmente il giudizio umano nelle decisioni che producono effetti giuridici o che incidono in modo analogo significativo sul lavoratore.
L’AI Act europeo e il Decreto 180/2025: la nuova frontiera regolatoria
Il quadro normativo si è ulteriormente arricchito con l’entrata in vigore del Regolamento europeo sull’intelligenza artificiale, noto come AI Act, e con l’adozione in Italia del Decreto 180/2025, che affronta specificamente i temi della compliance in materia di IA e privacy nel contesto lavorativo. Questi due strumenti introducono un approccio basato sul rischio che è destinato a ridefinire profondamente le obbligazioni delle aziende che utilizzano sistemi di intelligenza artificiale per la gestione del personale.
L’AI Act classifica i sistemi di IA in categorie di rischio — inaccettabile, alto, limitato, minimo — e associa a ciascuna categoria un regime di obblighi differenziato. I sistemi di IA utilizzati per il reclutamento, la valutazione delle performance, l’attribuzione di compiti e il monitoraggio del comportamento dei lavoratori sono classificati come sistemi ad alto rischio. Questa classificazione comporta obblighi stringenti: valutazione della conformità, registrazione in una banca dati europea, documentazione tecnica dettagliata, misure di supervisione umana, trasparenza nei confronti degli utenti e dei soggetti interessati.
Il principio della supervisione umana merita un’attenzione particolare. L’AI Act stabilisce che i sistemi ad alto rischio devono essere progettati e sviluppati in modo da poter essere efficacemente sorvegliati da persone fisiche durante il periodo in cui sono in uso. Questo significa che un’azienda non può semplicemente installare un sistema di IA per il monitoraggio dei dipendenti e affidarsi ciecamente alle sue elaborazioni: deve predisporre meccanismi che consentano a responsabili umani di comprendere, monitorare e, se necessario, intervenire o disattivare il sistema.
Il Decreto 180/2025, nel recepire e integrare a livello nazionale le istanze dell’AI Act, ha introdotto obblighi di compliance che si sommano a quelli già previsti dal GDPR e dallo Statuto dei lavoratori. Le aziende sono tenute a documentare le proprie scelte tecnologiche, a formare il personale che interagisce con i sistemi di IA e a garantire che i lavoratori ricevano informazioni chiare e comprensibili sull’uso di tali tecnologie nel contesto del rapporto di lavoro.
Gli obblighi di informazione verso lavoratori e sindacati
Uno degli aspetti più concreti e operativamente rilevanti della disciplina vigente riguarda gli obblighi di informazione. Il legislatore europeo ha adottato, nell’ambito sia del GDPR sia dell’AI Act, tecniche procedurali che impongono alle aziende di comunicare in modo trasparente a tutti i soggetti coinvolti — lavoratori, rappresentanze sindacali, autorità di controllo — come e perché vengono utilizzate tecnologie di intelligenza artificiale nel contesto lavorativo.
In pratica, questo significa che prima di attivare un sistema di IA per il monitoraggio dei dipendenti, l’azienda deve aggiornare l’informativa privacy, specificando le finalità del trattamento, la base giuridica, i tempi di conservazione dei dati, i diritti degli interessati e l’eventuale trasferimento dei dati a soggetti terzi. L’informativa deve essere redatta in linguaggio chiaro e accessibile, non in forma di documento legale incomprensibile ai non addetti ai lavori.
Parallelamente, laddove applicabile, l’azienda deve coinvolgere le rappresentanze sindacali, sia per rispettare la procedura prevista dall’articolo 4 dello Statuto sia per adempiere agli obblighi di consultazione previsti dalla contrattazione collettiva. Alcune categorie contrattuali hanno già introdotto clausole specifiche sull’uso dell’IA nel rapporto di lavoro, e la tendenza è destinata a consolidarsi con il diffondersi di queste tecnologie. Per approfondire il quadro normativo europeo di riferimento, è utile consultare direttamente il testo del GDPR pubblicato su EUR-Lex.
Responsabilità dell’azienda per l’uso di IA da parte dei dipendenti
Un aspetto spesso sottovalutato riguarda la responsabilità dell’azienda quando è il singolo dipendente — e non il datore di lavoro — a introdurre strumenti di intelligenza artificiale nel contesto lavorativo. La posizione giuridica prevalente è che l’azienda possa essere ritenuta responsabile per l’uso di IA da parte dei propri dipendenti anche quando non ha deliberatamente deciso di adottare tali strumenti. Questo scenario, tutt’altro che teorico nell’era degli strumenti di IA generativa facilmente accessibili, espone le organizzazioni a sanzioni e azioni civili qualora l’uso dell’IA violi la privacy dei lavoratori o di terzi, oppure leda diritti fondamentali.
La logica giuridica sottostante è quella della responsabilità del titolare del trattamento: se i dati vengono trattati nell’ambito dell’attività aziendale, il datore di lavoro è il titolare del trattamento e risponde delle modalità con cui quel trattamento avviene, indipendentemente da chi materialmente lo ha avviato. Questa interpretazione impone alle aziende di adottare policy interne chiare sull’uso degli strumenti di IA, di formare i dipendenti sulle implicazioni legali e di implementare misure tecniche e organizzative che prevengano trattamenti non autorizzati.
Il ruolo del Garante Privacy e le conseguenze delle violazioni
Il Garante per la protezione dei dati personali è l’autorità di controllo nazionale competente a vigilare sul rispetto del GDPR e della normativa italiana in materia di privacy. Nell’ambito del monitoraggio dei lavoratori tramite IA, il Garante ha progressivamente affinato la propria posizione, emanando linee guida sulla videosorveglianza e sull’uso dell’intelligenza artificiale che costituiscono un riferimento imprescindibile per le aziende. Le indicazioni dell’Autorità ribadiscono la necessità di rispettare i principi di proporzionalità e minimizzazione, di effettuare la DPIA prima di avviare sistemi di monitoraggio algoritmico e di garantire la trasparenza nei confronti dei lavoratori.
Le sanzioni previste dal GDPR per le violazioni più gravi possono raggiungere il quattro per cento del fatturato annuo mondiale o venti milioni di euro, applicandosi il massimo tra i due importi. Si tratta di cifre che rendono evidente come la compliance non sia una questione di mera correttezza formale, ma una componente essenziale della gestione del rischio aziendale. Oltre alle sanzioni amministrative, le violazioni possono dar luogo ad azioni civili da parte dei lavoratori che abbiano subito un danno materiale o immateriale a causa del trattamento illecito dei propri dati.
Il quadro sanzionatorio si arricchisce ulteriormente con l’AI Act, che prevede sanzioni specifiche per le violazioni degli obblighi imposti ai fornitori e agli utilizzatori di sistemi di IA ad alto rischio. Le autorità nazionali di vigilanza sull’IA, che in Italia si affiancheranno al Garante Privacy nelle rispettive sfere di competenza, potranno irrogare sanzioni autonome per le violazioni della normativa sull’intelligenza artificiale. Per un approfondimento aggiornato sull’attività del Garante Privacy italiano, è possibile consultare il sito ufficiale dell’Autorità.
Cosa è consentito e cosa è vietato: una mappa pratica
Alla luce del quadro normativo descritto, è possibile tracciare una mappa, necessariamente schematica ma operativamente utile, di ciò che la legge consente e di ciò che vieta in materia di controllo dei lavoratori tramite intelligenza artificiale.
Pratiche generalmente consentite
- Utilizzo di sistemi di videosorveglianza per finalità di sicurezza e tutela del patrimonio aziendale, previa procedura sindacale o autorizzazione amministrativa e con adeguata informativa ai lavoratori.
- Monitoraggio delle attività informatiche sui dispositivi aziendali per finalità di sicurezza informatica, nel rispetto dei principi di proporzionalità e minimizzazione.
- Utilizzo di sistemi di IA per la pianificazione dei turni o la gestione delle risorse umane, a condizione che le decisioni significative siano sottoposte a supervisione umana e che i lavoratori siano informati.
- Analisi aggregata e anonimizzata dei dati di produzione per finalità organizzative, quando non consente l’identificazione del singolo lavoratore.
Pratiche vietate o fortemente limitate
- Monitoraggio continuativo e sistematico del comportamento individuale dei lavoratori senza base giuridica adeguata, senza informativa e senza procedura sindacale.
- Utilizzo di sistemi di riconoscimento biometrico o facciale per il controllo delle presenze o delle attività, salvo casi eccezionali con base giuridica specifica e misure di garanzia rafforzate.
- Decisioni automatizzate che incidono significativamente sul lavoratore — licenziamento, valutazione della performance, attribuzione di incarichi — senza intervento umano e senza possibilità per il lavoratore di contestare la decisione.
- Raccolta e conservazione di dati in misura eccedente rispetto alle finalità dichiarate, o per periodi superiori a quelli necessari.
- Utilizzo di sistemi di IA classificati come ad alto rischio dall’AI Act senza aver completato la valutazione della conformità e senza aver predisposto la documentazione tecnica richiesta.
Verso un approccio integrato: compliance come strategia, non come obbligo
La complessità del quadro normativo che regola l’intelligenza artificiale nel controllo dei lavoratori può indurre le aziende a percepire la compliance come un ostacolo alla modernizzazione tecnologica. Questa lettura è miope. Le norme esistenti — lo Statuto dei lavoratori, il GDPR, l’AI Act, il Decreto 180/2025 — non vietano l’uso dell’intelligenza artificiale nel contesto lavorativo: ne definiscono le condizioni di legittimità. Un’azienda che si dota di un sistema di IA per la gestione del personale rispettando tutti gli obblighi normativi — informativa, DPIA, accordo sindacale, supervisione umana, documentazione tecnica — non solo evita sanzioni, ma costruisce un rapporto di fiducia con i propri dipendenti che ha un valore organizzativo e reputazionale difficilmente quantificabile.
Il punto di arrivo di questo percorso normativo è un modello di governance dell’IA in azienda che integri il rispetto dei diritti dei lavoratori nella progettazione stessa dei sistemi tecnologici, secondo il principio della privacy by design. Non si tratta di aggiungere adempimenti a posteriori, ma di costruire fin dall’inizio sistemi che raccolgano solo i dati necessari, che li conservino per il tempo strettamente indispensabile, che rendano le decisioni algoritmiche comprensibili e contestabili, e che mantengano saldo il principio che nessuna macchina può sostituire integralmente il giudizio umano nelle decisioni che incidono sulla vita lavorativa delle persone. In questo senso, la disciplina dell’intelligenza artificiale nel controllo dei lavoratori non è solo un insieme di vincoli legali, ma una mappa per un uso dell’IA che sia al tempo stesso innovativo, efficiente e rispettoso della dignità umana.
Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.
