L'introduzione dell'intelligenza artificiale generativa nei processi aziendali non riguarda solo efficienza, sicurezza informatica o riservatezza dei dati. Riguarda anche, e soprattutto, la compatibilità di questi strumenti con le regole che limitano il controllo a distanza dei lavoratori, quando i software impiegati permettono di raccogliere informazioni dettagliate sull'attività del personale.

I sistemi di AI generativa accumulano infatti una quantità significativa di dati: i prompt formulati, gli output prodotti, la cronologia delle interrogazioni, i log di accesso, i tempi e la frequenza di utilizzo. Un insieme di informazioni che può ricostruire, minuziosamente, come un dipendente svolge il proprio lavoro. La differenza non la fa l'etichetta "software di intelligenza artificiale", ma le sue caratteristiche tecniche concrete e le possibilità di monitoraggio che offre all'azienda.

Strumento di lavoro o strumento di controllo? La distinzione dell'art. 4

L'articolo 4 della Legge 300/1970 (Statuto dei Lavoratori) distingue due categorie: i dispositivi dai quali può derivare una forma di vigilanza a distanza sul lavoro dei dipendenti (comma 1) e i dispositivi che costituiscono strumenti di lavoro necessari al dipendente per svolgere la propria prestazione (comma 2). Un'AI generativa usata per redigere testi, tradurre, riassumere documenti o supportare l'attività quotidiana rientra, in linea di principio, nella seconda categoria.

Lo scenario cambia se la stessa tecnologia viene configurata per monitorare costantemente le interazioni, elaborare report individuali sulle performance, confrontare i risultati tra colleghi o ricavare indicatori sul comportamento del personale. In questi casi il software non è più solo un supporto operativo: diventa un mezzo con cui il datore di lavoro ottiene informazioni dettagliate sulla condotta del dipendente.

La configurazione pratica del sistema è l'elemento decisivo: la stessa piattaforma può restare un semplice strumento operativo in un'azienda e diventare un sistema di controllo in un'altra, secondo quali dati vengono registrati, quali funzioni sono attive e come l'impresa intende usare quelle informazioni.

Cosa raccontano davvero i dati dell'AI generativa

I prompt rivelano su cosa sta lavorando il dipendente, quali problemi affronta e quali documenti prepara. Gli output documentano il contenuto del lavoro completato. I metadati indicano orario, frequenza e durata delle sessioni d'uso. Se questi dati vengono associati al profilo del singolo lavoratore, l'azienda può tracciare produttività, metodi operativi e comportamento digitale. La situazione si complica ulteriormente quando il sistema genera in automatico scoring, valutazioni o inferenze comportamentali: a quel punto l'algoritmo non si limita a registrare le azioni del lavoratore, ma gli attribuisce giudizi e caratteristiche qualitative — un ambito in cui il diritto del lavoro incontra la tutela della privacy e l'AI Act.

L'obbligo di informativa anche quando l'AI resta uno strumento di lavoro

Anche quando l'AI generativa è qualificata come semplice strumento di lavoro, la questione della trasparenza non scompare. L'articolo 4, comma 3, della Legge 300/1970 prevede che le informazioni raccolte tramite gli strumenti di lavoro possano essere utilizzate per tutti i fini connessi al rapporto d'impiego, inclusi quelli disciplinari, a una condizione imprescindibile: al dipendente deve essere fornita un'adeguata e trasparente informativa sulle modalità d'uso dei programmi e sulle modalità dei controlli, nel rispetto delle norme sulla protezione dei dati personali.

Per l'AI generativa, inserire formule generiche nelle vecchie IT policy aziendali non è più sufficiente. L'impresa deve chiarire in modo comprensibile:

Quando serve l'accordo sindacale o l'autorizzazione dell'Ispettorato

Se il sistema di AI viene configurato per svolgere una sorveglianza continua e organizzata dei lavoratori — dashboard personalizzate, indicatori di rendimento, sistemi di punteggio, analisi sistematiche dei comportamenti — si applicano le tutele del comma 1 dell'art. 4: è necessario un accordo con le rappresentanze sindacali oppure, in mancanza, l'autorizzazione dell'Ispettorato Nazionale del Lavoro. Conta la funzione reale svolta dal software: un'applicazione che aiuta un dipendente a scrivere un testo è cosa diversa da un sistema che analizza stabilmente il numero di richieste effettuate, la durata delle interazioni, i risultati finali e li confronta con quelli dei colleghi. Una valutazione preventiva sulla configurazione tecnica del sistema è quindi indispensabile prima dell'adozione.

I controlli difensivi: cosa è permesso in caso di sospetto illecito

Un ulteriore scenario riguarda i cosiddetti controlli difensivi, che scattano quando emerge il sospetto di una condotta illecita del dipendente — ad esempio l'inserimento di segreti commerciali, dati sensibili di clienti o informazioni riservate dell'impresa in piattaforme di AI pubbliche. Il sospetto di un illecito giustifica degli accertamenti, ma non una raccolta generalizzata e preventiva di dati, condotta al solo scopo di poterla usare a posteriori se emerge un dubbio. Secondo la giurisprudenza consolidata, i controlli non possono essere indiscriminati: devono essere mirati su un singolo lavoratore e basati su elementi indiziari concreti. È quindi opportuno definire in anticipo procedure precise su modalità e limiti di consultazione dei log dell'AI in presenza di sospetti abusi.

L'AI Act e l'obbligo di alfabetizzazione (AI literacy)

L'AI Act (Regolamento UE 2024/1689) dedica particolare attenzione ai sistemi di intelligenza artificiale usati in ambito lavorativo che intervengono nei processi di monitoraggio, valutazione o decisione riguardanti i dipendenti. Se il modulo di analytics collegato all'AI generativa arriva a classificarsi come sistema "ad alto rischio" nel contesto occupazionale (Allegato III), scattano obblighi aggiuntivi: l'articolo 14 impone una sorveglianza umana effettiva sul sistema, cioè la possibilità concreta per una persona di comprendere, controllare e correggere le decisioni prodotte dall'algoritmo, evitando che il personale si affidi ciecamente all'output. In parallelo, l'articolo 22 del GDPR tutela il lavoratore dal essere sottoposto a decisioni basate unicamente su un trattamento automatizzato che produca effetti significativi su di lui, garantendogli il diritto di ottenere l'intervento umano e di contestare la decisione.

Parallelamente, l'articolo 4 del Regolamento introduce l'obbligo di alfabetizzazione in materia di AI (AI literacy), richiedendo a fornitori e utilizzatori di adottare misure idonee ad assicurare un livello di competenze adeguato al personale che utilizza tali sistemi.

Formazione e controllo sono strettamente collegati: una policy aziendale sull'AI generativa non funziona se i dipendenti non comprendono quali rischi comportano gli output, perché certi file non vanno caricati online o quali dati sul loro utilizzo vengono registrati dall'organizzazione. Su questo obbligo formativo, lo Studio ha già approfondito nella guida dedicata alla formazione AI Act per le imprese.

A questo si aggiunge un ulteriore livello di tutela introdotto dalla prima legge italiana organica sull'intelligenza artificiale, la Legge 132/2025: l'articolo 11 impone al datore di lavoro di informare preventivamente i lavoratori quando l'IA interviene in processi decisionali o di monitoraggio che incidono su assunzione, assegnazione di compiti, valutazione delle prestazioni o cessazione del rapporto. Un obbligo che si affianca, senza sostituirla, a quello già previsto dall'art. 4 dello Statuto dei Lavoratori.

Sintesi informativa non esaustiva dei chiarimenti ufficiali: non sostituisce una consulenza personalizzata. Studio Baroldi non risponde di interpretazioni o utilizzi impropri delle informazioni qui riportate.