Intelligenza artificiale e controllo emotivo dei lavoratori: i limiti privacy
L'analisi automatizzata dello stato emotivo dei dipendenti tramite intelligenza artificiale solleva un nodo serio: monitorare lo stress attraverso le comunicazioni aziendali può violare la dignità del lavoratore e le norme su privacy e controllo a distanza. Il tema impone ai datori di lavoro una verifica rigorosa di basi giuridiche e proporzionalità prima di adottare simili strumenti.
Il contesto
Le piattaforme di analisi del personale promettono di misurare il benessere organizzativo leggendo il "tono emotivo" delle comunicazioni interne: chat, e-mail, ticket. L'obiettivo dichiarato — prevenire il burnout, migliorare il clima — è legittimo. Il metodo, invece, può essere radicalmente illegittimo.
Questa distinzione tra finalità (in sé apprezzabile) e mezzo (la sorveglianza emotiva continua) è il cuore della questione. Un fine buono non sana uno strumento sproporzionato.
*Nota metodologica: in assenza di un provvedimento con estremi verificabili, trattiamo qui un'ipotesi tecnica esemplificativa, costruita sui principi applicabili. Non ci riferiamo a un caso concreto già deciso.*
Inquadramento normativo
Il primo presidio è l'art. 4 dello Statuto dei lavoratori (L. 300/1970), come riscritto dal Jobs Act (D.lgs. 151/2015). Gli strumenti dai quali deriva un controllo a distanza dell'attività possono essere installati solo per esigenze organizzative, produttive, di sicurezza o tutela del patrimonio, e previo accordo sindacale o, in mancanza, autorizzazione dell'Ispettorato del lavoro. Un sistema che inferisce stati emotivi dalle comunicazioni produce inevitabilmente un controllo a distanza: senza la procedura dell'art. 4, manca a monte la legittimità.
Si aggiunge l'art. 8 dello Statuto (divieto di indagini sulle opinioni e su fatti non rilevanti per l'attitudine professionale), richiamato dall'art. 113 del Codice privacy (D.lgs. 196/2003).
Sul versante europeo rileva l'art. 88 GDPR, base specifica per il trattamento dati nel rapporto di lavoro, che impone garanzie su dignità, interessi legittimi e diritti fondamentali. La disciplina si completa con gli artt. 5, 6 e 9 GDPR sulle basi giuridiche e con i principi di privacy by design e by default (artt. 24 e 25).
Perché le basi giuridiche traballano
L'errore ricorrente è invocare il consenso del dipendente. Nel rapporto di lavoro il consenso è quasi sempre invalido: il GDPR lo richiede libero, e lo squilibrio di potere tra datore e lavoratore lo rende non genuino. Il lavoratore non è in posizione di rifiutare senza temere conseguenze.
Resta il legittimo interesse (art. 6, lett. f): regge solo se supera il test di proporzionalità — necessità, minimizzazione, bilanciamento con i diritti dell'interessato. Un monitoraggio emotivo pervasivo e continuativo difficilmente passa questo vaglio, perché esistono mezzi meno invasivi per perseguire lo stesso fine (sondaggi anonimi, indicatori aggregati).
Una precisazione tecnica doverosa: il dato emotivo non è automaticamente una categoria particolare ex art. 9 GDPR. Lo diventa quando l'inferenza rivela informazioni sulla salute psicofisica della persona — ad esempio stati ansiosi o depressivi. In quei casi scatta il regime rafforzato dell'art. 9, che restringe ulteriormente le condizioni di liceità.
Implicazioni pratiche
Per il datore di lavoro il messaggio è netto. Non basta acquistare un software "compliant" sulla carta: occorre dimostrare che il trattamento sia necessario, proporzionato e dotato di una base giuridica solida, oltre che assistito dalle procedure dell'art. 4.
Il perimetro di ciò che resta ammissibile esiste, ma è stretto. Strumenti che lavorano su dati aggregati e anonimi — clima percepito a livello di team, senza profilazione individuale — possono essere compatibili, perché non consentono di risalire al singolo e non costituiscono controllo personale.
Cosa fare in concreto
- Mappa il trattamento: individua quali dati l'algoritmo elabora e se da essi si può inferire lo stato di salute o l'emotività del singolo dipendente.
- Verifica l'art. 4 St. lav.: attiva l'accordo sindacale o l'autorizzazione dell'Ispettorato prima di qualunque installazione che produca controllo a distanza.
- Conduci una DPIA: la valutazione d'impatto (art. 35 GDPR) è obbligatoria per i trattamenti ad alto rischio basati su profilazione e tecnologie innovative.
- Privilegia l'aggregazione: configura i sistemi per restituire indicatori collettivi e anonimi, escludendo la profilazione individuale (artt. 24-25 GDPR).
- Documenta la base giuridica: motivimola per iscritto, evitando il consenso come fondamento e sviluppando, dove applicabile, un test di legittimo interesse rigoroso.
L'introduzione dell'intelligenza artificiale nei luoghi di lavoro non è vietata: va governata. La dignità della persona non è un parametro negoziabile rispetto all'efficienza organizzativa, ma il punto di partenza di ogni progettazione.
Disclaimer
Contributo informativo a cura di Tamburro & Partners - Avv. Giuseppe Tamburro. Non costituisce parere legale.
Ogni storia di lavoro ha i suoi tempi.
Se gestisci HR e vuoi un confronto su contenzioso, ispezioni o licenziamenti, scrivi allo studio. Ti rispondiamo entro un giorno lavorativo.