Intelligenza artificiale e responsabilità del datore di lavoro: il quadro del problema
La diffusione capillare dei sistemi di intelligenza artificiale nei luoghi di lavoro ha aperto una stagione di profondi interrogativi giuridici che la dottrina e la giurisprudenza stanno ancora cercando di sistematizzare. Il nodo centrale riguarda la questione dell’intelligenza artificiale responsabilità datore di lavoro: quando un algoritmo seleziona candidati, valuta prestazioni, assegna turni o raccomanda il licenziamento di un dipendente, chi risponde delle conseguenze illegittime di quella decisione? La domanda non è retorica. È il punto di tensione attorno al quale si stanno ridisegnando i confini del diritto del lavoro, del diritto civile e del diritto penale, con ricadute immediate sulle politiche aziendali di compliance e sulla tutela effettiva dei lavoratori.
Capire la struttura di questa responsabilità richiede un approccio stratificato: occorre muovere dalle fondamenta civilistiche del codice italiano, attraversare la normativa giuslavoristica, risalire fino al diritto europeo e confrontarsi con le indicazioni regolatorie più recenti. Solo così è possibile costruire un quadro coerente che permetta ai professionisti — avvocati, consulenti del lavoro, responsabili HR, compliance officer — di orientarsi in un territorio ancora in parte inesplorato.
Le fondamenta civilistiche: l’articolo 2087 del Codice Civile nell’era algoritmica
Il punto di partenza obbligato di qualsiasi analisi sulla responsabilità del datore di lavoro in materia di IA è l’articolo 2087 del Codice Civile. Questa norma, entrata in vigore nel 1942, impone al datore di lavoro di adottare tutte le misure necessarie a tutelare l’integrità fisica e la personalità morale dei prestatori di lavoro. La sua formulazione aperta — “secondo la particolarità del lavoro, l’esperienza e la tecnica” — ne ha consentito un’applicazione evolutiva nel tempo, adattandosi a rischi non prevedibili al momento della sua redazione.
Oggi, come evidenziato dalla dottrina più recente, l’articolo 2087 c.c. rappresenta la clausola generale attraverso cui estendere la responsabilità del datore di lavoro all’implementazione di sistemi di intelligenza artificiale. Se un algoritmo di monitoraggio predittivo produce stress psicofisico cronico nei lavoratori, se un sistema di ranking automatico genera condizioni di sorveglianza oppressiva, se un software di valutazione delle prestazioni introduce discriminazioni sistematiche, il datore di lavoro che ha adottato e mantenuto in uso quel sistema può essere ritenuto responsabile ai sensi di questa norma. La responsabilità è di natura contrattuale: il lavoratore non deve provare la colpa del datore, ma è sufficiente che dimostri il danno e il nesso causale con l’attività lavorativa, mentre spetta al datore dimostrare di aver adottato tutte le misure idonee a prevenire il pregiudizio.
Questo schema si rivela particolarmente rilevante nel contesto dei sistemi di monitoraggio predittivo, dove la raccolta massiva di dati comportamentali — movimenti, tempi di inattività, interazioni digitali, persino parametri biometrici — può produrre forme di pressione psicologica difficilmente quantificabili ma giuridicamente significative.
Lo Statuto dei Lavoratori e i limiti al controllo algoritmico
Accanto all’articolo 2087 c.c., il diritto del lavoro italiano dispone di strumenti specifici per delimitare le prerogative di controllo del datore di lavoro. Gli articoli 4 e 8 della Legge n. 300 del 1970 — il cosiddetto Statuto dei Lavoratori — stabiliscono limiti precisi alla sorveglianza dei dipendenti e al tipo di informazioni che il datore può raccogliere e utilizzare.
L’articolo 4, in particolare, disciplina i controlli a distanza: gli impianti audiovisivi e gli strumenti di controllo che consentono di monitorare l’attività dei lavoratori possono essere installati solo per esigenze organizzative e produttive, per la sicurezza del lavoro o per la tutela del patrimonio aziendale, e comunque previa stipula di un accordo con le rappresentanze sindacali o, in mancanza, previa autorizzazione dell’Ispettorato del Lavoro. Le informazioni così raccolte sono utilizzabili a tutti i fini connessi al rapporto di lavoro, ma a condizione che sia data al lavoratore adeguata informazione delle modalità d’uso degli strumenti e di effettuazione dei controlli.
La questione cruciale è se e come questi limiti si applichino ai sistemi di intelligenza artificiale. Un algoritmo di monitoraggio predittivo che analizza i pattern comportamentali di un lavoratore attraverso dati estratti da dispositivi aziendali rientra nella nozione di “strumento di controllo a distanza”? La risposta prevalente in dottrina è affermativa, con la conseguenza che l’adozione di tali sistemi senza il rispetto delle procedure previste dall’articolo 4 configura una violazione di legge, con potenziali ricadute sia sul piano sanzionatorio sia sull’utilizzabilità dei dati raccolti in eventuali procedimenti disciplinari o giudiziari.
Il GDPR e la protezione dei dati personali: l’articolo 22 e il diritto alla supervisione umana
Sul piano della protezione dei dati personali, il Regolamento europeo 2016/679 — il GDPR — introduce una disciplina specifica per le decisioni automatizzate che produce effetti giuridici significativi sulle persone fisiche. L’articolo 22 del GDPR stabilisce che l’interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona.
Nel contesto lavorativo, questa norma acquisisce un peso specifico notevole. Una decisione di licenziamento fondata esclusivamente sull’output di un algoritmo di valutazione delle prestazioni, o una scelta di non promuovere un dipendente basata su un sistema di ranking automatico, rientrano nel perimetro di applicazione dell’articolo 22 GDPR. Il datore di lavoro che utilizza tali sistemi deve garantire: il diritto del lavoratore a ottenere l’intervento umano nella decisione; il diritto a esprimere la propria opinione; il diritto a contestare la decisione stessa. Gli articoli 13 e 14 del GDPR impongono inoltre obblighi informativi specifici, che nel contesto lavorativo si traducono nell’obbligo di comunicare ai dipendenti l’esistenza di processi decisionali automatizzati, la logica sottostante e le conseguenze previste.
La violazione di questi obblighi espone il datore di lavoro a sanzioni amministrative significative da parte del Garante per la protezione dei dati personali, ma anche a responsabilità civile nei confronti del lavoratore che abbia subito un pregiudizio a causa di una decisione automatizzata non conforme. Per approfondire il quadro regolatorio europeo in materia di protezione dei dati, si rimanda al testo integrale del GDPR disponibile sul portale gdpr-info.eu.
Il Regolamento europeo sull’IA (2024/1689): obblighi per i deployer in ambito lavorativo
Il quadro normativo si è significativamente arricchito con l’adozione del Regolamento UE 2024/1689 del 13 giugno 2024, comunemente noto come AI Act. Questo strumento legislativo introduce una classificazione dei sistemi di IA per livello di rischio e stabilisce obblighi differenziati per i produttori, i fornitori e i soggetti che li utilizzano — i cosiddetti deployer — in base alla categoria di rischio in cui il sistema rientra.
I sistemi di IA utilizzati nell’ambito del lavoro per la selezione del personale, la valutazione delle prestazioni, la gestione delle promozioni e dei licenziamenti sono classificati come sistemi ad alto rischio. Per questi sistemi, l’AI Act impone obblighi stringenti: valutazioni di conformità preventive, documentazione tecnica dettagliata, registrazione in banche dati europee, misure di supervisione umana, trasparenza nei confronti degli utenti e dei soggetti interessati. Il datore di lavoro che adotta un sistema di IA ad alto rischio senza rispettare questi requisiti si espone a responsabilità sia nei confronti delle autorità di vigilanza sia nei confronti dei lavoratori danneggiati.
Un aspetto particolarmente rilevante riguarda l’obbligo di supervisione umana: il deployer — ovvero il datore di lavoro — deve garantire che le decisioni ad alto impatto non siano delegate integralmente all’algoritmo, ma che vi sia sempre un intervento umano consapevole e informato. Questo principio si salda con quanto già previsto dall’articolo 22 del GDPR, creando un sistema di tutele multilivello a favore del lavoratore. Il testo del Regolamento è consultabile direttamente sul portale EUR-Lex della Commissione europea.
La Legge italiana n. 132/2025: il nuovo quadro nazionale sull’IA nel lavoro
Sul piano del diritto interno, l’adozione della Legge n. 132 del 2025 ha segnato un passaggio significativo nel recepimento e nell’integrazione delle norme europee. Gli articoli 11, 12 e 13 di questa legge disciplinano specificamente l’uso dell’intelligenza artificiale in materia di lavoro. In particolare, l’articolo 12 istituisce un Osservatorio nazionale sull’adozione dell’IA nel contesto lavorativo, con il compito di monitorare gli impatti dei sistemi algoritmici sulle condizioni di lavoro, sull’occupazione e sulla tutela dei diritti dei lavoratori.
Questa scelta legislativa riflette la consapevolezza che il fenomeno dell’intelligenza artificiale nel lavoro non può essere governato esclusivamente attraverso strumenti repressivi ex post, ma richiede un approccio proattivo di monitoraggio e indirizzo. L’Osservatorio è chiamato a raccogliere dati, elaborare raccomandazioni e supportare le istituzioni nella definizione di linee guida operative. Il che, tuttavia, non esime il datore di lavoro dall’osservare già oggi gli obblighi di legge esistenti: la creazione di un organo di monitoraggio non sospende né attenua le responsabilità già previste dall’ordinamento.
Sistemi di monitoraggio predittivo: tecnologie, rischi e profili di responsabilità
Per comprendere concretamente come si articola la questione dell’intelligenza artificiale e responsabilità del datore di lavoro, è utile esaminare le tipologie di sistemi più diffuse e i relativi profili di rischio giuridico.
Sensori intelligenti e dispositivi indossabili
I sistemi di monitoraggio predittivo possono includere sensori ambientali, dispositivi indossabili e piattaforme di analisi comportamentale. Nel settore della logistica, ad esempio, i lavoratori possono essere monitorati attraverso dispositivi che tracciano i movimenti, i tempi di inattività e i ritmi di lavoro. Questi dati, elaborati da algoritmi di machine learning, possono essere utilizzati per generare profili di produttività individuale, identificare anomalie comportamentali o prevedere rischi di infortuni.
Sul piano della responsabilità, il datore di lavoro che adotta questi sistemi deve verificare: che la raccolta dei dati sia conforme al GDPR e alle norme dello Statuto dei Lavoratori; che i lavoratori siano adeguatamente informati; che i dati non siano utilizzati per decisioni automatizzate in violazione dell’articolo 22 GDPR; che il sistema non generi condizioni di sorveglianza tali da ledere la dignità e la salute psicofisica dei lavoratori, con conseguente responsabilità ai sensi dell’articolo 2087 c.c.
Algoritmi di selezione e valutazione del personale
Un secondo ambito critico riguarda l’uso di algoritmi per la selezione dei candidati e la valutazione delle prestazioni. I sistemi di screening automatico dei curriculum, i test psicometrici somministrati via IA e i sistemi di ranking automatico dei dipendenti pongono il problema del bias algoritmico: se il sistema è stato addestrato su dati storici che riflettono discriminazioni pregresse, tenderà a replicarle e amplificarle, producendo effetti discriminatori sistematici nei confronti di specifiche categorie di lavoratori.
In questo contesto, la questione dell’onere della prova assume un rilievo decisivo. Il diritto antidiscriminatorio italiano ed europeo prevede un meccanismo di inversione parziale dell’onere probatorio: il lavoratore che alleghi di essere stato vittima di discriminazione deve fornire elementi di fatto idonei a far presumere l’esistenza della discriminazione, dopodiché spetta al datore di lavoro dimostrare che la decisione era giustificata da ragioni oggettive e legittime. Nel caso di sistemi algoritmici, questa dimostrazione richiede al datore di essere in grado di spiegare il funzionamento del sistema, i criteri utilizzati e l’assenza di effetti discriminatori — un onere che presuppone un livello di trasparenza e documentazione che molte organizzazioni non sono ancora in grado di garantire.
Sistemi di ranking automatico e gestione algoritmica
Il fenomeno della cosiddetta gestione algoritmica — in cui le decisioni operative quotidiane (assegnazione dei turni, distribuzione dei carichi di lavoro, valutazione in tempo reale delle prestazioni) sono delegate a sistemi automatizzati — è particolarmente diffuso nei settori della logistica, del commercio elettronico e dei servizi di consegna. In questi contesti, i lavoratori si trovano a operare sotto una forma di controllo continuo e impersonale che può produrre effetti significativi sulla loro salute mentale e sulla qualità del lavoro.
La questione giuridica è se il datore di lavoro risponda dei danni prodotti da questi sistemi anche quando non abbia direttamente programmato l’algoritmo, ma lo abbia acquistato da un fornitore esterno. La risposta, alla luce del combinato disposto dell’articolo 2087 c.c. e dell’AI Act, è tendenzialmente affermativa: il deployer — il datore di lavoro — rimane responsabile della scelta, dell’implementazione e del monitoraggio del sistema, indipendentemente da chi lo abbia sviluppato. Il contratto con il fornitore può prevedere meccanismi di rivalsa, ma non esclude la responsabilità diretta nei confronti del lavoratore.
Obblighi di trasparenza algoritmica e gestione del rischio
La questione della trasparenza algoritmica è trasversale a tutti i profili di responsabilità esaminati. Il datore di lavoro che utilizza sistemi di IA in ambito lavorativo deve essere in grado di rispondere a domande precise: Quali dati vengono raccolti? Con quale frequenza? Come vengono elaborati? Quali decisioni vengono adottate sulla base dei risultati? Esiste un meccanismo di revisione umana? I lavoratori sono stati informati?
La capacità di rispondere a queste domande non è solo un requisito di compliance, ma costituisce anche un elemento fondamentale nella gestione del rischio legale. In un eventuale contenzioso, il datore di lavoro che possa documentare l’adozione di misure adeguate di trasparenza, supervisione umana e valutazione del rischio si troverà in una posizione difensiva significativamente più solida rispetto a chi non disponga di tale documentazione.
Sul piano pratico, questo si traduce nell’adozione di strumenti quali: valutazioni d’impatto sulla protezione dei dati (DPIA) ai sensi dell’articolo 35 GDPR; audit periodici dei sistemi algoritmici per verificare l’assenza di bias; procedure interne di contestazione delle decisioni automatizzate; formazione del personale HR sui rischi connessi all’uso dell’IA; clausole contrattuali specifiche con i fornitori di sistemi di IA che garantiscano trasparenza e documentazione tecnica adeguata.
Il profilo penale: quando la responsabilità del datore diventa reato
Accanto alla responsabilità civile, non può essere trascurato il profilo penale. Se un sistema di monitoraggio predittivo viene utilizzato in violazione delle disposizioni dello Statuto dei Lavoratori — ad esempio installando strumenti di controllo a distanza senza il rispetto delle procedure previste dall’articolo 4 — il datore di lavoro può incorrere nelle sanzioni penali previste dall’articolo 38 della medesima legge. Analogamente, la raccolta e il trattamento illecito di dati personali possono integrare le fattispecie penali previste dal Codice della Privacy.
Vi è poi il tema della responsabilità amministrativa degli enti ai sensi del Decreto Legislativo n. 231 del 2001: se l’adozione di un sistema di IA discriminatorio avviene nell’interesse o a vantaggio dell’azienda, e se l’ente non ha adottato modelli organizzativi idonei a prevenire tali illeciti, la società stessa può essere soggetta a sanzioni pecuniarie e interdittive. Questo profilo è ancora in fase di elaborazione dottrinale, ma la tendenza è verso un’applicazione estensiva del D.Lgs. 231/2001 ai reati commessi mediante sistemi algoritmici.
Verso un modello di compliance integrata: indicazioni operative per il datore di lavoro
Alla luce del quadro normativo e giurisprudenziale delineato, è possibile identificare alcune direttrici operative fondamentali per il datore di lavoro che intenda adottare sistemi di intelligenza artificiale in modo giuridicamente sicuro.
- Mappatura preventiva dei sistemi adottati: classificare i sistemi di IA in uso secondo i criteri dell’AI Act, identificando quelli ad alto rischio che richiedono misure rafforzate di conformità.
- Valutazione d’impatto: condurre DPIA per tutti i sistemi che comportano trattamento di dati su larga scala o che incidono significativamente sui diritti dei lavoratori.
- Informativa ai lavoratori: aggiornare le informative rese ai sensi degli articoli 13-14 GDPR per includere informazioni specifiche sui sistemi di IA e sulle decisioni automatizzate.
- Accordi sindacali: per i sistemi che rientrano nell’ambito di applicazione dell’articolo 4 dello Statuto dei Lavoratori, stipulare accordi con le rappresentanze sindacali o ottenere l’autorizzazione dell’Ispettorato del Lavoro.
- Supervisione umana: garantire che le decisioni ad alto impatto siano sempre sottoposte a revisione umana consapevole e documentata.
- Audit periodici: sottoporre i sistemi algoritmici a verifiche periodiche per rilevare eventuali bias o anomalie nel funzionamento.
- Clausole contrattuali con i fornitori: negoziare con i fornitori di sistemi di IA clausole che garantiscano trasparenza, documentazione tecnica e responsabilità condivisa in caso di danni.
Conclusioni: la responsabilità come presidio di dignità nel lavoro algoritmico
La questione dell’intelligenza artificiale e della responsabilità del datore di lavoro non è destinata a risolversi in breve tempo. La velocità dell’innovazione tecnologica continua a superare la capacità degli ordinamenti giuridici di adeguarsi, e i sistemi di monitoraggio predittivo rappresentano solo uno dei molti fronti su cui si gioca questa partita. Ciò che appare chiaro, tuttavia, è che il diritto — attraverso il combinato disposto dell’articolo 2087 c.c., dello Statuto dei Lavoratori, del GDPR e dell’AI Act — ha già oggi gli strumenti per imporre al datore di lavoro un modello di adozione responsabile dell’IA, fondato sulla trasparenza, sulla supervisione umana e sul rispetto della dignità del lavoratore. La sfida per i professionisti del diritto e per le organizzazioni è quella di tradurre questi principi in pratiche concrete, prima che siano i tribunali a farlo, con esiti meno prevedibili e costi ben più elevati.
Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.
