L’algoritmo nel rapporto di lavoro: profili di compatibilità tra l'Art. 4 St. Lav. e il Regolamento (UE) 2024/1689

L’irruzione dell’intelligenza artificiale nei processi di gestione del capitale umano impone una rivisitazione ermeneutica delle tutele statutarie, con particolare riferimento al bilanciamento tra la libertà di iniziativa economica e la dignità del prestatore d'opera. Il presente approfondimento si propone di esaminare la convergenza sistematica tra la disciplina nazionale sui controlli a distanza ex art. 4, L. 300/1970 e il nuovo quadro regolatorio europeo definito dal Regolamento (UE) 2024/1689 (AI Act), delineando i confini di liceità dell'adozione di sistemi decisionali automatizzati in ambito aziendale. Attraverso l’analisi della profilazione algoritmica,  già soggetta alle garanzie di cui all’art. 22 del Regolamento (UE) 2016/679, l'indagine si focalizza sull'inderogabile necessità di una supervisione umana che sia effettiva e consapevole, ai sensi dell'art. 14 dell'AI Act e rifuggendo da automatismi privi di responsabilità giuridica. Infine, si rivendica la centralità della contrattazione collettiva quale sede naturale di composizione degli interessi, in linea con il Considerando 165 dell'AI Act e le prerogative dell'art. 88 del GDPR, elevando l’accordo sindacale a presidio di trasparenza e condizione di legittimità per l’innovazione tecnologica. L'obiettivo è tracciare le coordinate di una compliance giuslavorista che sappia coniugare l’efficienza dei sistemi predittivi con il rispetto dei diritti fondamentali garantiti dall'ordinamento sovranazionale e costituzionale

L’evoluzione del controllo a distanza: dalla vigilanza meccanica alla profilazione algoritmica

Il perimetro normativo tracciato dall’ art.4 della Legge n. 300/1970, nell’alveo della riforma operata dall’ art.23 del D.Lgs. n. 151/2015, costituisce tuttora il baricentro dogmatico per la tutela della dignità e della riservatezza del lavoratore contro forme di monitoraggio pervasivo. Tuttavia, l'irruzione dei sistemi di intelligenza artificiale impone oggi una rilettura sistematica della norma, spostando l'asse del sindacato di legittimità dal mero controllo fisico o d'immagine alla profilazione algoritmica dei dati comportamentali.

Il cuore del dibattito attuale sull'innovazione tecnologica risiede tuttavia nel secondo comma, introdotto dalla riforma del 2015, il quale dispone che tale rigorosa procedura di concertazione “non si applica agli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa e agli strumenti di registrazione degli accessi e delle presenze”. È proprio in questo varco normativo che si inserisce la sfida posta dall’intelligenza artificiale: se un software di gestione, nativamente inteso come strumento di lavoro, evolve in un sistema capace di profilazione predittiva e monitoraggio, esso rischia di trascendere la deroga del comma 2 per ricadere nel regime autorizzatorio del comma 1.

La norma si chiude con il terzo comma, che funge da cerniera tra la disciplina lavoristica e quella della riservatezza, stabilendo che le informazioni raccolte sono utilizzabili a tutti i fini connessi al rapporto di lavoro, inclusi quelli disciplinari, ad una condizione imprescindibile: “che sia data al lavoratore adeguata informazione delle modalità d'uso degli strumenti e di effettuazione dei controlli e nel rispetto di quanto disposto dal decreto legislativo 30 giugno 2003, n. 196”. Ne deriva che l'integrità del sistema di tutela non ammette automatismi e senza la trasparenza e il rispetto del Codice Privacy, oggi integrato dal GDPR, qualsiasi dato raccolto tramite algoritmi o sistemi IA rimane giuridicamente inutilizzabile, privando il datore di lavoro del potere di incidere sulla sfera giuridica del prestatore.
 

Se la ratio originaria dello Statuto era quella di arginare l’invadenza dell’occhio tecnologico dedito alla vigilanza impropria, l'integrazione con il Regolamento UE 2024/1689 (AI Act) e il Regolamento UE 2016/679 (GDPR) amplia il perimetro di protezione verso la prevenzione del controllo latente e predittivo. In tale scenario, risulta fondamentale distinguere tra due regimi giuridici contrapposti:

• il regime autorizzatorio ex art. 4, comma 1, St. Lav.: questa disposizione rappresenta la regola generale per ogni strumento che consenta il controllo a distanza e stabilisce che l’installazione di tali sistemi è legittima solo se giustificata da esigenze tassative di natura organizzativa, produttiva, di sicurezza o tutela del patrimonio e, soprattutto, se filtrata da una procedura di garanzia collettiva che impone al datore di lavoro di raggiungere un accordo preventivo con le rappresentanze sindacali (RSU/RSA) o, in mancanza di accordo, di ottenere l'autorizzazione dall'Ispettorato Nazionale del Lavoro; questo passaggio obbligato serve a verificare che l'uso della tecnologia sia proporzionato e non leda la dignità del personale;
• l’esonero per gli strumenti di lavoro ex art. 4, comma 2, St. Lav.: il comma 2 esenta il datore di lavoro dalla suddetta concertazione sindacale qualora i dispositivi siano strettamente necessari al lavoratore per rendere la propria prestazione; tuttavia, tale esonero deve ritenersi inapplicabile qualora il software incorpori logiche di IA volte all'analisi predittiva o alla misurazione della performance psico-attitudinale. In tali ipotesi, lo strumento subisce una mutazione giuridica in quanto non è più un mero mezzo per lavorare ma diventa un apparato di sorveglianza che ricade inevitabilmente nelle fattispecie del comma 1 soggette a preventiva concertazione;
• obblighi di trasparenza ex art. 1-bis D.Lgs. 104/2022: il cosiddetto Decreto Trasparenza potenzia questo quadro, imponendo al datore l'onere di informare dettagliatamente il lavoratore circa l'impiego di sistemi decisionali o di monitoraggio automatizzati; la violazione di tale precetto, letta in combinato disposto con il divieto di controllo a distanza, configura un'ipotesi di illiceità del trattamento che determina l'inutilizzabilità dei dati acquisiti ai fini disciplinari.

In definitiva, la tenuta del sistema di tutele esige che l'innovazione tecnologica non diventi un espediente per eludere il suindicato comma 1 dell'art. 4: qualora l'IA incida sulla libertà e sul riserbo del prestatore d'opera, l'accordo sindacale o l'intervento dell'autorità pubblica non sono opzionali ma rappresentano la condizione di legittimità stessa dell'algoritmo in azienda.

Il principio di riserva dell'intervento umano: la supervisione effettiva e consapevole

La transizione verso una gestione algoritmica dei rapporti di lavoro pone il tema critico dell’autonomia decisionale. In questo ambito, l’integrazione tra la disciplina nazionale e l’ AI Act delinea un nuovo standard di legittimità sancito dall'obbligo di supervisione umana effettiva ex art. 14 del Regolamento.

La normativa in rassegna stabilisce il principio cardine della sorveglianza umana, imponendo che i sistemi di IA ad alto rischio siano “progettati e sviluppati, anche con strumenti di interfaccia uomo-macchina adeguati, in modo tale da poter essere efficacemente supervisionati da persone fisiche durante il periodo in cui sono in uso”, delineando così un obbligo che trasforma la tecnologia da decisore solitario a strumento assistito. Questa sorveglianza non è un mero esercizio formale, ma “mira a prevenire o ridurre al minimo i rischi per la salute, la sicurezza o i diritti fondamentali” che potrebbero scaturire da un uso conforme o da un “uso improprio ragionevolmente prevedibile”, garantendo che il controllo rimanga una prerogativa umana commisurata “ai rischi, al livello di autonomia e al contesto di utilizzo”. 

 Il legislatore europeo richiede dunque che l'intervento umano sia attivo e risolutivo, conferendo alla persona fisica il potere di “decidere, in qualsiasi situazione particolare, di non usare il sistema di IA ad alto rischio o altrimenti di ignorare, annullare o ribaltare l'output”, fino alla possibilità estrema di “interrompere il sistema mediante un pulsante di «arresto»”. Tale architettura di garanzie culmina, per i casi di identificazione biometrica più sensibili, nell'obbligo di una verifica operata da “almeno due persone fisiche dotate della necessaria competenza, formazione e autorità”, sancendo definitivamente che, nell'ecosistema giuslavoristico regolato dall'IA Act, l'efficacia del sistema non può mai prescindere da una supervisione che sia, al contempo, tecnica, etica e giuridicamente responsabile.

La correlazione tra le due norme risiede nel concetto di “decisione unicamente automatizzata”: affinché una decisione non ricada nel divieto del GDPR, l’intervento umano previsto dall’IA Act deve essere reale e non meramente simbolico; la sorveglianza umana, infatti, deve consentire di comprendere correttamente le capacità e i limiti del sistema e di “ignorare, annullare o ribaltare l'output”, laddove la decisione finale risulti essere una semplice ratifica acritica dell'algoritmo.

Anche nel caso di un trattamento autorizzato perché necessario per la conclusione o l'esecuzione di un contratto o basato sul consenso esplicito, il titolare del trattamento è obbligato ad attuare “misure appropriate per tutelare i diritti, le libertà e i legittimi interessi”, garantendo “almeno il diritto di ottenere l'intervento umano”, di esprimere la propria opinione e di contestare la decisione. In questo senso, la lotta alla “distorsione dell'automazione” citata dall'IA Act diventa lo strumento tecnico per rendere effettivo il diritto alla contestazione previsto dal GDPR: solo un supervisore consapevole della “tendenza a fare eccessivo affidamento sull'output” può esercitare quella revisione critica necessaria a validare il processo decisionale. In definitiva, il combinato disposto delle due norme impone un approccio di accountability responsabilizzante che dimostri la capacità proattiva di governare il rischio algoritmico, assicurando che l'autonomia del sistema non travolga mai la responsabilità finale dell'uomo.

La negoziazione collettiva quale presupposto di legittimità dell'innovazione tecnologica 

Il terzo pilastro della disciplina risiede nel ruolo costitutivo della concertazione sindacale, la quale assurge a vera e propria condizione di liceità per l’introduzione di sistemi di intelligenza artificiale incidenti sulla gestione del rapporto di lavoro. Tale prerogativa non poggia esclusivamente sul diritto interno ma trova oggi una rinnovata legittimazione nel quadro europeo.

In prima istanza, l’art. 88 del Regolamento (UE) 2016/679 (GDPR) conferisce alla contrattazione collettiva il potere di definire norme più specifiche per garantire la tutela dei diritti e delle libertà nel contesto lavorativo, con particolare riguardo alla trasparenza del trattamento. Tale facoltà è stata ulteriormente corroborata dal Considerando 165 del Regolamento (UE) 2024/1689 (AI Act), il quale promuove una gestione dell'IA basata sulla “partecipazione dei portatori di interessi” ed incoraggia esplicitamente il “coinvolgimento, se del caso, dei portatori di interessi pertinenti quali [...] i sindacati” non solo nella “progettazione e nello sviluppo dei sistemi di IA”, ma anche nell'elaborazione di codici di condotta che favoriscano un'IA etica e affidabile.

Attraverso il richiamo alla partecipazione sindacale per la definizione di “obiettivi chiari e indicatori chiave di prestazione”, l'AI Act eleva la rappresentanza dei lavoratori a interlocutore necessario per garantire una progettazione inclusiva e il rispetto dei diritti fondamentali. In tal modo, la norma conferma che la gestione della transizione digitale non è una prerogativa unilaterale ma un terreno di necessaria co-determinazione in cui il sindacato assume il ruolo di garante della conformità etica e sociale dell'algoritmo

Interpretando in senso evolutivo il comma 1, la nozione di “altre apparecchiature” ricomprende oggi anche i sistemi di gestione algoritmica, subordinando così l’impiego di tali tecnologie, qualora ne derivi anche solo l'astratta possibilità di controllo a distanza, al previo accordo collettivo stipulato dalla rappresentanza sindacale aziendale o, in difetto, all'autorizzazione amministrativa dell'Ispettorato Nazionale del Lavoro. Tale ragionamento trova la sua genesi nella naturale e necessaria integrazione con il dettato ex art. 1-bis del D.Lgs. 104/2022 il quale sancisce, con riguardo all’utilizzo di “sistemi decisionali o di monitoraggio automatizzati destinati a fornire indicazioni rilevanti ai fini dell'assunzione o del conferimento dell'incarico, della gestione o della cessazione del rapporto di lavoro, dell'assegnazione di compiti o mansioni nonché indicazioni incidenti sulla sorveglianza, sulla valutazione, sulle prestazioni e sull'adempimento delle obbligazioni contrattuali dei lavoratori”, l’obbligo per il datore di lavoro di comunicarli “alle rappresentanze sindacali aziendali o alla rappresentanza sindacale unitaria e, in assenza di queste, alle sedi territoriali delle associazioni sindacali comparativamente più rappresentative sul piano nazionale”.

La portata precettiva dell’art. 1-bis del D.Lgs. 104/2022  è stata analiticamente declinata dalla Circolare MLPS 20 settembre 2022, n. 19 con cui il Ministero chiarisce che l'obbligo informativo sorge ogniqualvolta il datore utilizzi strumenti che, tramite “attività di raccolta dati ed elaborazione degli stessi effettuata tramite algoritmo, intelligenza artificiale, ecc., siano in grado di generare decisioni automatizzate”, precisando che tale onere sussiste anche nel caso di intervento umano meramente accessorio.

L'integrazione tra le fonti impone di distinguere, come suggerito dal Dicastero, tra sistemi finalizzati ad un procedimento decisionale e sistemi “incidenti sulla sorveglianza, la valutazione, le prestazioni e l’adempimento delle obbligazioni contrattuali”, includendo in quest'ultima categoria dispositivi quali “tablet, dispositivi digitali e wearables, gps e geolocalizzatori, sistemi per il riconoscimento facciale, sistemi di rating e ranking”. Ne deriva che l'accordo sindacale non può più esaurirsi in una mera autorizzazione all'uso del software, ma deve evolvere in un protocollo di verifica che investa “le categorie di dati e i parametri principali utilizzati per programmare o addestrare i sistemi”, nonché i meccanismi di correzione dei processi decisionali. Questa saldatura normativa trasforma il sindacato in un garante chiamato a presidiare l'algoritmo affinché i criteri di input non introducano discriminazioni indirette; in assenza di questo coordinamento procedurale, l'impiego dell'IA si configura come radicalmente illecito, determinando l'inutilizzabilità dei dati raccolti e integrando la fattispecie di reato contravvenzionale prevista dall’art. 38 dello Statuto, in un quadro di compliance dove la trasparenza del codice diventa condizione essenziale per l'esercizio del potere datoriale.

In conclusione, la contrattazione collettiva si appresta ad essere lo strumento d'elezione per bilanciare l'esigenza di efficientamento tecnologico dell'impresa con il diritto costituzionalmente garantito alla tutela della dignità del lavoro. La legittimità dell'IA in azienda passa necessariamente attraverso una procedimentalizzazione del potere datoriale, dove il sindacato assume il ruolo di garante della conformità etica e giuridica del sistema.

La Circolare MLPS n. 19/2022 interviene con fermezza su questo punto, precisando che l’obbligo informativo e procedurale trova applicazione anche qualora i sistemi decisionali siano “integrati negli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa, allorquando presentino le caratteristiche tecniche e le funzioni” di monitoraggio o decisione automatizzata. Ciò significa che un dispositivo nato come mero strumento di lavoro, come può essere esemplificatamene un tablet per la gestione degli ordini o a un software di logistica, trasmuta in uno strumento di controllo soggetto al comma 1 dell'art. 4 nel momento in cui l'algoritmo sottostante inizia a processare i dati per fornire “indicazioni incidenti sulla sorveglianza, la valutazione, le prestazioni”. In questa prospettiva, la deroga prevista per gli strumenti di lavoro non può più essere invocata come una zona franca: se lo strumento, oltre a consentire l'esecuzione della prestazione, la analizza al fine di definire autonomamente carichi di lavoro, turni o revoca di mansioni, l'esenzione decade.

Il professionista è dunque chiamato ad un’analisi funzionale rigorosa: non è l’oggetto fisico a determinare il regime giuridico ma la logica algoritmica che lo governa. La legittimità dell'IA in azienda passa necessariamente attraverso questa procedimentalizzazione del potere datoriale, dove il sindacato assume il ruolo di garante della conformità etica e giuridica del sistema, trasformando l'accordo sindacale nel presidio indispensabile per evitare che lo strumento di lavoro si converta, in modo surrettizio e opaco, in un dispositivo di sorveglianza totale.
 

Caso

Si condivide di seguito un esempio di clausola di "accordo di garanzia" volto a soddisfare congiuntamente il precetto autorizzatorio dell’art. 4, comma 1, St. Lav. e i nuovi oneri di trasparenza e supervisione previsti dal Regolamento (UE) 2024/1689:

Art. X – Regolamentazione dei Sistemi Decisionali e di Monitoraggio Automatizzati

L’esperto 

No, sono due piani distinti. L'autorizzazione dell'INL o l'accordo sindacale rende lecito l'insediamento dello strumento in azienda sotto il profilo della vigilanza a distanza; la supervisione umana effettiva, invece, è un obbligo di modalità d'uso nel senso che serve a garantire che ogni decisione finale sia filtrata da un occhio umano per evitare errori o discriminazioni dell'algoritmo.

L'Art. 4 tecnicamente si applica ai lavoratori già in forza. Tuttavia, per i candidati, entrano in gioco l'AI Act che classifica il recruiting come ad alto rischio e l'art. 8 dello Statuto dei Lavoratori, che vieta indagini sulle opinioni e fatti non rilevanti ai fini dell'attitudine professionale; un algoritmo che analizzi surrettiziamente tratti della personalità o dati sensibili in fase di selezione sarebbe comunque illecito.

Il rischio è duplice: sul piano civilistico, l'inutilizzabilità di qualsiasi dato raccolto per licenziamenti o sanzioni, con conseguente reintegra o risarcimento; sul piano sanzionatorio, oltre alle ammende previste dallo Statuto ex art. 38, si espone alle pesanti sanzioni pecuniarie previste dal GDPR e dal nuovo AI Act per l'inosservanza dei requisiti di trasparenza e gestione del rischio.