Intelligenza artificiale e responsabilità del datore di lavoro: il quadro del problema
La diffusione capillare dei sistemi di intelligenza artificiale nei luoghi di lavoro ha aperto una stagione di profondi interrogativi giuridici che la dottrina e la giurisprudenza stanno ancora cercando di sistematizzare. Il nodo centrale riguarda la questione dell’intelligenza artificiale responsabilità datore di lavoro: quando un algoritmo seleziona candidati, valuta prestazioni, assegna turni o raccomanda il licenziamento di un dipendente, chi risponde delle conseguenze illegittime di quella decisione? La domanda non è retorica. È il punto di tensione attorno al quale si stanno ridisegnando i confini del diritto del lavoro, del diritto civile e del diritto penale, con ricadute immediate sulle politiche aziendali di compliance e sulla tutela effettiva dei lavoratori.
Capire la struttura di questa responsabilità richiede un approccio stratificato: occorre muovere dalle fondamenta civilistiche del codice italiano, attraversare la normativa giuslavoristica, risalire fino al diritto europeo e confrontarsi con le indicazioni regolatorie più recenti. Solo così è possibile costruire un quadro coerente che permetta ai professionisti — avvocati, consulenti del lavoro, responsabili HR, compliance officer — di orientarsi in un territorio ancora in parte inesplorato. Questo articolo analizza sistematicamente ogni livello normativo, esamina le tipologie di sistemi algoritmici più diffuse e offre indicazioni operative concrete per gestire il rischio legale connesso all’adozione dell’IA in azienda.
Perché la responsabilità del datore di lavoro per l’uso dell’IA è un tema urgente
L’adozione di sistemi di intelligenza artificiale in azienda non è più una prospettiva futura: è una realtà consolidata che attraversa settori produttivi eterogenei, dalla logistica alla finanza, dalla sanità al commercio al dettaglio. Con essa cresce, in misura proporzionale, l’esposizione giuridica del datore di lavoro. La responsabilità del datore di lavoro per l’intelligenza artificiale si manifesta su almeno tre piani distinti e convergenti: la responsabilità contrattuale verso il lavoratore per violazione degli obblighi di sicurezza e tutela della dignità; la responsabilità amministrativa verso le autorità di vigilanza per inosservanza delle norme in materia di protezione dei dati e di conformità ai requisiti dell’AI Act; la responsabilità civile extracontrattuale nei confronti di terzi che abbiano subito un pregiudizio da una decisione algoritmica adottata nell’ambito dell’attività d’impresa.
Comprendere come questi tre piani si intersechino — e come il datore di lavoro possa gestire preventivamente il rischio — è oggi una competenza indispensabile per chiunque operi nella gestione delle risorse umane o nella consulenza aziendale.
Le fondamenta civilistiche: l’articolo 2087 del Codice Civile nell’era algoritmica
Il punto di partenza obbligato di qualsiasi analisi sulla responsabilità del datore di lavoro per l’uso dell’intelligenza artificiale è l’articolo 2087 del Codice Civile. Questa norma impone al datore di lavoro di adottare tutte le misure necessarie a tutelare l’integrità fisica e la personalità morale dei prestatori di lavoro. La sua formulazione aperta — “secondo la particolarità del lavoro, l’esperienza e la tecnica” — ne ha consentito un’applicazione evolutiva nel tempo, adattandosi a rischi non prevedibili al momento della sua redazione.
Oggi, come evidenziato dalla dottrina più recente, l’articolo 2087 c.c. rappresenta la clausola generale attraverso cui estendere la responsabilità del datore di lavoro all’implementazione di sistemi di intelligenza artificiale. Se un algoritmo di monitoraggio predittivo produce stress psicofisico cronico nei lavoratori, se un sistema di ranking automatico genera condizioni di sorveglianza oppressiva, se un software di valutazione delle prestazioni introduce discriminazioni sistematiche, il datore di lavoro che ha adottato e mantenuto in uso quel sistema può essere ritenuto responsabile ai sensi di questa norma. La responsabilità è di natura contrattuale: il lavoratore non deve provare la colpa del datore, ma è sufficiente che dimostri il danno e il nesso causale con l’attività lavorativa, mentre spetta al datore dimostrare di aver adottato tutte le misure idonee a prevenire il pregiudizio.
Questo schema si rivela particolarmente rilevante nel contesto dei sistemi di monitoraggio predittivo, dove la raccolta massiva di dati comportamentali — movimenti, tempi di inattività, interazioni digitali, persino parametri biometrici — può produrre forme di pressione psicologica difficilmente quantificabili ma giuridicamente significative.
Lo Statuto dei Lavoratori e i limiti al controllo algoritmico
Accanto all’articolo 2087 c.c., il diritto del lavoro italiano dispone di strumenti specifici per delimitare le prerogative di controllo del datore di lavoro. Gli articoli 4 e 8 della Legge n. 300 del 1970 — il cosiddetto Statuto dei Lavoratori — stabiliscono limiti precisi alla sorveglianza dei dipendenti e al tipo di informazioni che il datore può raccogliere e utilizzare.
L’articolo 4, in particolare, disciplina i controlli a distanza: gli impianti audiovisivi e gli strumenti di controllo che consentono di monitorare l’attività dei lavoratori possono essere installati solo per esigenze organizzative e produttive, per la sicurezza del lavoro o per la tutela del patrimonio aziendale, e comunque previa stipula di un accordo con le rappresentanze sindacali o, in mancanza, previa autorizzazione dell’Ispettorato del Lavoro. Le informazioni così raccolte sono utilizzabili a tutti i fini connessi al rapporto di lavoro, ma a condizione che sia data al lavoratore adeguata informazione delle modalità d’uso degli strumenti e di effettuazione dei controlli.
La questione cruciale è se e come questi limiti si applichino ai sistemi di intelligenza artificiale. Un algoritmo di monitoraggio predittivo che analizza i pattern comportamentali di un lavoratore attraverso dati estratti da dispositivi aziendali rientra nella nozione di “strumento di controllo a distanza”? La risposta prevalente in dottrina è affermativa, con la conseguenza che l’adozione di tali sistemi senza il rispetto delle procedure previste dall’articolo 4 configura una violazione di legge, con potenziali ricadute sia sul piano sanzionatorio sia sull’utilizzabilità dei dati raccolti in eventuali procedimenti disciplinari o giudiziari.
Il GDPR e la protezione dei dati personali: l’articolo 22 e il diritto alla supervisione umana
Sul piano della protezione dei dati personali, il Regolamento europeo 2016/679 — il GDPR — introduce una disciplina specifica per le decisioni automatizzate che produce effetti giuridici significativi sulle persone fisiche. L’articolo 22 del GDPR stabilisce che l’interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona.
Nel contesto lavorativo, questa norma acquisisce un peso specifico notevole. Una decisione di licenziamento fondata esclusivamente sull’output di un algoritmo di valutazione delle prestazioni, o una scelta di non promuovere un dipendente basata su un sistema di ranking automatico, rientrano nel perimetro di applicazione dell’articolo 22 GDPR. Il datore di lavoro che utilizza tali sistemi deve garantire: il diritto del lavoratore a ottenere l’intervento umano nella decisione; il diritto a esprimere la propria opinione; il diritto a contestare la decisione stessa. Gli articoli 13 e 14 del GDPR impongono inoltre obblighi informativi specifici, che nel contesto lavorativo si traducono nell’obbligo di comunicare ai dipendenti l’esistenza di processi decisionali automatizzati, la logica sottostante e le conseguenze previste.
La violazione di questi obblighi espone il datore di lavoro a sanzioni amministrative significative da parte del Garante per la protezione dei dati personali, ma anche a responsabilità civile nei confronti del lavoratore che abbia subito un pregiudizio a causa di una decisione automatizzata non conforme. Per approfondire il quadro regolatorio europeo in materia di protezione dei dati, si rimanda al testo integrale del GDPR disponibile sul portale gdpr-info.eu.
👉 Leggi anche: Discriminazione algoritmica nel reclutamento: la responsabilità del datore di fronte ai sistemi di AI per la selezione del personale
Il Regolamento europeo sull’IA (AI Act): obblighi per i deployer in ambito lavorativo
Il quadro normativo si è significativamente arricchito con l’adozione del Regolamento UE 2024/1689, comunemente noto come AI Act. Questo strumento legislativo introduce una classificazione dei sistemi di IA per livello di rischio e stabilisce obblighi differenziati per i produttori, i fornitori e i soggetti che li utilizzano — i cosiddetti deployer — in base alla categoria di rischio in cui il sistema rientra. Con la piena applicazione progressiva delle sue disposizioni, l’AI Act rappresenta oggi il riferimento normativo più rilevante per chiunque voglia comprendere la responsabilità del datore di lavoro nell’uso dell’intelligenza artificiale.
I sistemi di IA utilizzati nell’ambito del lavoro per la selezione del personale, la valutazione delle prestazioni, la gestione delle promozioni e dei licenziamenti sono classificati come sistemi ad alto rischio. Per questi sistemi, l’AI Act impone obblighi stringenti: valutazioni di conformità preventive, documentazione tecnica dettagliata, registrazione in banche dati europee, misure di supervisione umana, trasparenza nei confronti degli utenti e dei soggetti interessati. Il datore di lavoro che adotta un sistema di IA ad alto rischio senza rispettare questi requisiti si espone a responsabilità sia nei confronti delle autorità di vigilanza sia nei confronti dei lavoratori danneggiati.
Un aspetto particolarmente rilevante riguarda l’obbligo di supervisione umana: il deployer — ovvero il datore di lavoro — deve garantire che le decisioni ad alto impatto non siano delegate integralmente all’algoritmo, ma che vi sia sempre un intervento umano consapevole e informato. Questo principio si salda con quanto già previsto dall’articolo 22 del GDPR, creando un sistema di tutele multilivello a favore del lavoratore. Il testo del Regolamento è consultabile direttamente sul portale EUR-Lex della Commissione europea.
Sistemi ad alto rischio: cosa deve fare concretamente il datore di lavoro
Per i sistemi classificati ad alto rischio dall’AI Act, il datore di lavoro-deployer è tenuto ad adempiere a una serie di obblighi operativi che si affiancano a quelli già previsti dal GDPR e dallo Statuto dei Lavoratori. In primo luogo, deve verificare che il sistema acquistato dal fornitore sia accompagnato dalla documentazione tecnica prescritta e sia stato sottoposto alle valutazioni di conformità richieste. In secondo luogo, deve implementare procedure interne di monitoraggio continuo del sistema, in modo da rilevare tempestivamente eventuali derive discriminatorie o malfunzionamenti. In terzo luogo, deve formare adeguatamente il personale che interagisce con il sistema, affinché la supervisione umana sia effettiva e non meramente formale. L’inosservanza di questi obblighi non solo espone l’azienda a sanzioni regolamentari, ma indebolisce significativamente la posizione difensiva del datore in caso di contenzioso con i lavoratori.
La Legge italiana n. 132/2026: il nuovo quadro nazionale sull’IA nel lavoro
Sul piano del diritto interno, l’adozione della Legge n. 132 ha segnato un passaggio significativo nel recepimento e nell’integrazione delle norme europee. Gli articoli 11, 12 e 13 di questa legge disciplinano specificamente l’uso dell’intelligenza artificiale in materia di lavoro. In particolare, l’articolo 12 istituisce un Osservatorio nazionale sull’adozione dell’IA nel contesto lavorativo, con il compito di monitorare gli impatti dei sistemi algoritmici sulle condizioni di lavoro, sull’occupazione e sulla tutela dei diritti dei lavoratori.
Questa scelta legislativa riflette la consapevolezza che il fenomeno dell’intelligenza artificiale nel lavoro non può essere governato esclusivamente attraverso strumenti repressivi ex post, ma richiede un approccio proattivo di monitoraggio e indirizzo. L’Osservatorio è chiamato a raccogliere dati, elaborare raccomandazioni e supportare le istituzioni nella definizione di linee guida operative. Il che, tuttavia, non esime il datore di lavoro dall’osservare già oggi gli obblighi di legge esistenti: la creazione di un organo di monitoraggio non sospende né attenua le responsabilità già previste dall’ordinamento.
Sistemi di monitoraggio predittivo: tecnologie, rischi e profili di responsabilità
Per comprendere concretamente come si articola la questione dell’intelligenza artificiale e responsabilità del datore di lavoro, è utile esaminare le tipologie di sistemi più diffuse e i relativi profili di rischio giuridico.
Sensori intelligenti e dispositivi indossabili
I sistemi di monitoraggio predittivo possono includere sensori ambientali, dispositivi indossabili e piattaforme di analisi comportamentale. Nel settore della logistica, ad esempio, i lavoratori possono essere monitorati attraverso dispositivi che tracciano i movimenti, i tempi di inattività e i ritmi di lavoro. Questi dati, elaborati da algoritmi di machine learning, possono essere utilizzati per generare profili di produttività individuale, identificare anomalie comportamentali o prevedere rischi di infortuni.
Sul piano della responsabilità, il datore di lavoro che adotta questi sistemi deve verificare: che la raccolta dei dati sia conforme al GDPR e alle norme dello Statuto dei Lavoratori; che i lavoratori siano adeguatamente informati; che i dati non siano utilizzati per decisioni automatizzate in violazione dell’articolo 22 GDPR; che il sistema non generi condizioni di sorveglianza tali da ledere la dignità e la salute psicofisica dei lavoratori, con conseguente responsabilità ai sensi dell’articolo 2087 c.c.
Algoritmi di selezione e valutazione del personale
Un secondo ambito critico riguarda l’uso di algoritmi per la selezione dei candidati e la valutazione delle prestazioni. I sistemi di screening automatico dei curriculum, i test psicometrici somministrati via IA e i sistemi di ranking automatico dei dipendenti pongono il problema del bias algoritmico: se il sistema è stato addestrato su dati storici che riflettono discriminazioni pregresse, tenderà a replicarle e amplificarle, producendo effetti discriminatori sistematici nei confronti di specifiche categorie di lavoratori.
In questo contesto, la questione dell’onere della prova assume un rilievo decisivo. Il diritto antidiscriminatorio italiano ed europeo prevede un meccanismo di inversione parziale dell’onere probatorio: il lavoratore che alleghi di essere stato vittima di discriminazione deve fornire elementi di fatto idonei a far presumere l’esistenza della discriminazione, dopodiché spetta al datore di lavoro dimostrare che la decisione era giustificata da ragioni oggettive e legittime. Nel caso di sistemi algoritmici, questa dimostrazione richiede al datore di essere in grado di spiegare il funzionamento del sistema, i criteri utilizzati e l’assenza di effetti discriminatori — un onere che presuppone un livello di trasparenza e documentazione che molte organizzazioni non sono ancora in grado di garantire.
Sistemi di ranking automatico e gestione algoritmica
Il fenomeno della cosiddetta gestione algoritmica — in cui le decisioni operative quotidiane (assegnazione dei turni, distribuzione dei carichi di lavoro, valutazione in tempo reale delle prestazioni) sono delegate a sistemi automatizzati — è particolarmente diffuso nei settori della logistica, del commercio elettronico e dei servizi di consegna. In questi contesti, i lavoratori si trovano a operare sotto una forma di controllo continuo e impersonale che può produrre effetti significativi sulla loro salute mentale e sulla qualità del lavoro.
La questione giuridica è se il datore di lavoro risponda dei danni prodotti da questi sistemi anche quando non abbia direttamente programmato l’algoritmo, ma lo abbia acquistato da un fornitore esterno. La risposta, alla luce del combinato disposto dell’articolo 2087 c.c. e dell’AI Act, è tendenzialmente affermativa: il deployer — il datore di lavoro — rimane responsabile della scelta, dell’implementazione e del monitoraggio del sistema, indipendentemente da chi lo abbia sviluppato. Il contratto con il fornitore può prevedere meccanismi di rivalsa, ma non esclude la responsabilità diretta nei confronti del lavoratore.
👉 Leggi anche: Discriminazione algoritmica nel recruiting: responsabilità datoriale e rimedi legali secondo la giurisprudenza italiana 2025-2026
Responsabilità del datore di lavoro per decisioni algoritmiche: il punto sull’onere probatorio
Uno dei profili più dibattuti in dottrina riguarda la distribuzione dell’onere della prova nei contenziosi in cui il lavoratore contesti una decisione adottata — in tutto o in parte — da un sistema di intelligenza artificiale. La questione assume contorni peculiari rispetto al contenzioso lavoristico tradizionale, perché l’opacità degli algoritmi — il cosiddetto problema della «black box» — rende strutturalmente difficile per il lavoratore ricostruire il percorso logico che ha condotto alla decisione lesiva.
La giurisprudenza di merito più recente ha iniziato a elaborare soluzioni che tengano conto di questa asimmetria informativa. In alcune pronunce, i giudici hanno ritenuto che, una volta allegata dal lavoratore l’esistenza di una decisione automatizzata e il pregiudizio subito, il datore di lavoro sia tenuto a fornire una spiegazione intelligibile del funzionamento del sistema e dei criteri applicati. L’impossibilità o il rifiuto di fornire tale spiegazione può essere valutato negativamente dal giudice, anche ai fini della prova del nesso causale. Questo orientamento si allinea con il principio di «spiegabilità» delle decisioni algoritmiche che permea sia il GDPR sia l’AI Act, e che il datore di lavoro diligente deve interiorizzare già nella fase di adozione del sistema.
Obblighi di trasparenza algoritmica e gestione del rischio
La questione della trasparenza algoritmica è trasversale a tutti i profili di responsabilità esaminati. Il datore di lavoro che utilizza sistemi di IA in ambito lavorativo deve essere in grado di rispondere a domande precise: Quali dati vengono raccolti? Con quale frequenza? Come vengono elaborati? Quali decisioni vengono adottate sulla base dei risultati? Esiste un meccanismo di revisione umana? I lavoratori sono stati informati?
La capacità di rispondere a queste domande non è solo un requisito di compliance, ma costituisce anche un elemento fondamentale nella gestione preventiva del rischio legale. Un’azienda che abbia documentato in modo rigoroso le scelte compiute in fase di adozione del sistema — la valutazione d’impatto sui dati personali (DPIA), l’accordo sindacale ex articolo 4 St. Lav., la formazione del personale, le procedure di audit algoritmico — si trova in una posizione difensiva significativamente più solida rispetto a un’azienda che abbia implementato il sistema senza alcuna governance strutturata.
Sul piano operativo, la trasparenza algoritmica si traduce in un insieme di pratiche concrete: la redazione di informative chiare e comprensibili per i lavoratori; la predisposizione di procedure interne per la contestazione delle decisioni algoritmiche; la nomina di un referente interno per la supervisione dei sistemi di IA; la conduzione di audit periodici per verificare l’assenza di bias discriminatori; la tenuta di un registro delle attività di trattamento aggiornato e dettagliato.
Come il datore di lavoro può limitare la propria esposizione: un approccio di governance integrata
Alla luce del quadro normativo delineato, è possibile identificare un insieme di misure che il datore di lavoro dovrebbe adottare per ridurre concretamente la propria esposizione alla responsabilità per l’uso dell’intelligenza artificiale nel lavoro. Non si tratta di adempimenti formali, ma di scelte organizzative e gestionali che incidono sulla struttura stessa del rapporto tra l’azienda e i propri dipendenti.
Prima dell’adozione del sistema
Prima di implementare qualsiasi sistema di IA che incida sul rapporto di lavoro, il datore dovrebbe: condurre una valutazione d’impatto sui diritti fondamentali (FRIA) e una DPIA ai sensi del GDPR; verificare che il fornitore abbia adempiuto agli obblighi previsti dall’AI Act per i sistemi ad alto rischio; avviare la procedura di informazione e consultazione sindacale prevista dall’articolo 4 dello Statuto dei Lavoratori; definire le policy interne di utilizzo del sistema e i limiti entro cui le sue raccomandazioni possono tradursi in decisioni vincolanti.
Durante l’utilizzo del sistema
Una volta avviato il sistema, il datore di lavoro deve mantenere attivi i meccanismi di supervisione umana, garantendo che nessuna decisione ad alto impatto — licenziamento, mancata promozione, modifica sostanziale delle condizioni di lavoro — sia adottata senza una valutazione umana consapevole e documentata. Deve inoltre monitorare continuamente il sistema per rilevare eventuali derive discriminatorie, aggiornare le informative ai lavoratori in caso di modifiche significative al sistema e conservare i log delle decisioni per un periodo adeguato a consentire eventuali contestazioni.
In caso di contenzioso
Quando un lavoratore contesta una decisione algoritmica, il datore di lavoro che abbia adottato un approccio di governance integrata sarà in grado di produrre documentazione tecnica e organizzativa a sostegno della legittimità della decisione. Questa capacità documentale non è solo uno strumento difensivo: è la prova concreta che il datore ha esercitato il proprio potere direttivo in modo consapevole e responsabile, nel rispetto dei diritti dei lavoratori e degli obblighi di legge.
FAQ: intelligenza artificiale e responsabilità del datore di lavoro
Il datore di lavoro risponde sempre delle decisioni prese da un algoritmo?
In linea generale, sì. Il datore di lavoro che adotta un sistema di intelligenza artificiale per gestire aspetti del rapporto di lavoro rimane il soggetto responsabile delle conseguenze di quelle decisioni nei confronti dei dipendenti. Questa responsabilità non viene meno per il fatto che il sistema sia stato sviluppato da un fornitore esterno: il deployer risponde della scelta, dell’implementazione e del monitoraggio del sistema. Eventuali azioni di rivalsa nei confronti del fornitore sono possibili sul piano contrattuale, ma non escludono la responsabilità diretta verso il lavoratore.
Cosa rischia concretamente il datore di lavoro che usa l’IA senza rispettare le norme?
Le sanzioni possono essere di natura diversa e cumularsi tra loro. Sul piano amministrativo, il Garante Privacy può irrogare sanzioni fino a 20 milioni di euro o al 4% del fatturato annuo globale per violazioni del GDPR; l’AI Act prevede sanzioni fino a 35 milioni di euro o al 7% del fatturato per le violazioni più gravi. Sul piano civile, il lavoratore danneggiato può agire per il risarcimento del danno patrimoniale e non patrimoniale. Sul piano giuslavoristico, le decisioni adottate in violazione delle norme possono essere annullate dal giudice, con conseguente reintegra o indennizzo del lavoratore.
Un licenziamento deciso da un algoritmo è valido?
Un licenziamento fondato esclusivamente sull’output di un sistema automatizzato, senza alcuna valutazione umana, è altamente vulnerabile sul piano giuridico. Viola l’articolo 22 del GDPR, che garantisce il diritto a non essere sottoposti a decisioni basate unicamente sul trattamento automatizzato; può violare l’obbligo di supervisione umana imposto dall’AI Act per i sistemi ad alto rischio; e può essere contestato sul piano della giustificazione causale richiesta dalla disciplina del licenziamento individuale. Il giudice che accerti l’assenza di una valutazione umana consapevole può dichiarare il licenziamento illegittimo.
I lavoratori devono essere informati dell’uso di sistemi di IA?
Sì, e su più livelli. Il GDPR impone obblighi informativi specifici sull’esistenza di processi decisionali automatizzati e sulla logica sottostante. L’AI Act richiede che i soggetti interessati siano informati dell’interazione con sistemi ad alto rischio. Lo Statuto dei Lavoratori impone che i dipendenti siano informati delle modalità di controllo a distanza. L’omissione di queste informative espone il datore a responsabilità e rende inutilizzabili i dati raccolti in eventuali procedimenti disciplinari.
Il bias algoritmico può configurare una discriminazione vietata dalla legge?
Sì. Se un sistema di selezione o valutazione produce effetti sistematicamente sfavorevoli nei confronti di lavoratori appartenenti a categorie protette — donne, lavoratori anziani, persone con disabilità, lavoratori di determinate origini etniche — si configura una discriminazione indiretta vietata dal diritto antidiscriminatorio italiano ed europeo. Il datore di lavoro che non abbia verificato l’assenza di bias nel sistema adottato si espone a responsabilità anche in assenza di un intento discriminatorio, poiché ciò che rileva è l’effetto della condotta, non la sua finalità soggettiva.
Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.
