Antivirus, filtri per la navigazione, sistemi contro la fuoriuscita di dati e registrazioni delle telefonate del customer care sono strumenti diffusi nelle imprese. Nati per proteggere informazioni, patrimonio e qualità del servizio, possono però consentire di ricostruire che cosa fa il dipendente, quando e come. La loro installazione e il loro utilizzo devono quindi rispettare le regole sui controlli a distanza e sulla protezione dei dati personali.
Il punto di partenza è l’articolo 4 dello Statuto dei lavoratori, modificato dal decreto legislativo 151/2015. Sono vietati gli strumenti progettati esclusivamente per osservare l’attività del personale. Possono invece essere ammessi i sistemi introdotti per esigenze organizzative e produttive, per la sicurezza o per la tutela del patrimonio, anche quando producono un controllo indiretto sul lavoratore. In questi casi è necessario l’accordo preventivo con le rappresentanze sindacali oppure, in loro assenza, l’autorizzazione dell’Ispettorato del lavoro.
Quando serve l’autorizzazione
Il via libera non è richiesto per gli strumenti indispensabili allo svolgimento della mansione e per quelli destinati a rilevare accessi e presenze. L’eccezione, tuttavia, viene interpretata in modo restrittivo da giudici e Garante privacy: ogni soluzione deve essere analizzata nelle sue componenti hardware, software e applicative. Il Tribunale di Venezia, con la sentenza n. 601 del 27 ottobre 2022, ha richiamato proprio questa necessità. Non rientrano automaticamente tra gli strumenti di lavoro i programmi che operano in background senza che il dipendente ne sia consapevole o che consentono elaborazioni ulteriori non disattivabili dal lavoratore, come indicato dal Garante nel provvedimento n. 243 del 29 aprile 2025.
Il datore di lavoro non può utilizzare sistemi capaci di realizzare un monitoraggio continuo e sistematico del personale. È inoltre vietato impiegare software per rilevare emozioni, stato d’animo o livello di stress, anche attraverso l’analisi dei messaggi sulle piattaforme aziendali. La funzione è esclusa dall’AI Act, articolo 5, e il testo richiama anche il provvedimento n. 342 del 14 maggio 2026 del Garante privacy.
Email e intelligenza artificiale
La corrispondenza gode di una tutela rafforzata. Le email inviate da account personali, anche se conservate sui server dell’impresa, possono essere utilizzate soltanto per finalità legittime, con modalità proporzionate e dopo un’informazione dettagliata al dipendente. La Cassazione, sezione lavoro, lo ha ribadito con la sentenza n. 24204 del 29 agosto 2025.
La consultazione può avvenire nell’ambito dei cosiddetti controlli difensivi, quando esistono sospetti concreti di condotte dannose per l’azienda. La verifica deve essere successiva, circoscritta e proporzionata. Il Tribunale di Pisa, con la sentenza n. 800 del 13 giugno 2026, ha ritenuto legittima una ricerca limitata a parole chiave, affidata a poche persone autorizzate e fondata su una policy conosciuta dal lavoratore. Restano esclusi i controlli generalizzati sull’intera casella.
L’intelligenza artificiale può unire dati isolati, come segnalazioni, accessi e chiamate, fino a costruire profili di comportamento e trasformare verifiche occasionali in un controllo permanente. Per questo l’AI Act considera ad alto rischio i sistemi destinati a monitorare e valutare i lavoratori. Il decreto Trasparenza impone inoltre di informarli sull’uso di sistemi automatizzati, mentre una decisione definitiva sul rapporto di lavoro non può essere affidata alla sola macchina: è necessario l’intervento umano, secondo quanto indicato dal decreto legislativo 179/2026, articolo 41, comma 1.
La gestione aziendale richiede infine una verifica puntuale delle funzionalità di ogni software, la disattivazione delle opzioni che consentono un controllo diretto e l’eventuale ottenimento dell’accordo sindacale o dell’autorizzazione ispettiva prima dell’installazione. Ai dipendenti deve essere fornita un’informativa chiara: in sua assenza, i dati raccolti non sono utilizzabili neppure a fini disciplinari. I trattamenti devono inoltre restare limitati a quanto necessario e ogni decisione sul lavoratore deve conservare una valutazione umana.
