---
title: "Si può usare l’AI sui dati dei dipendenti? Che cosa è vietato, e che cosa è cambiato il 23 ottobre"
description: "Curriculum, turni, valutazioni, umore nelle chat: che cosa vietano Statuto dei lavoratori e Garante, e che cosa chiede al datore di lavoro il decreto 179/2026."
url: https://csidia.com/note-operative/ai-dati-dipendenti-cosa-vietato-23-ottobre/
lang: it
date: 2026-11-01
label: "Normativa"
publisher: CSIDIA S.r.l. (https://csidia.com/)
---

# Si può usare l’AI sui dati dei dipendenti? Che cosa è vietato, e che cosa è cambiato il 23 ottobre

Se guidate il personale o siete il titolare, qualcuno vi proporrà un’intelligenza artificiale che ordina i curriculum, prepara i turni o valuta le prestazioni. Si può, dentro confini precisi. Uno è nuovo: dal 23 ottobre 2026 la decisione finale sul rapporto di lavoro deve restare a una persona, altrimenti è nulla.

## Che cosa non si fa

**Leggere le emozioni.** Dal 2 febbraio 2025 l’AI Act vieta «l’uso di sistemi di IA per inferire le emozioni di una persona fisica nell’ambito del luogo di lavoro», tranne che «per motivi medici o di sicurezza» (art. 5, paragrafo 1, lettera f)). Multa fino a 35 milioni di euro o al 7% del fatturato mondiale, se superiore; per le piccole e medie imprese, il più basso dei due (d.lgs. 179/2026, art. 23). Per la Commissione europea, in orientamenti non vincolanti, il divieto riguarda i sistemi basati su dati biometrici, come webcam e voce, e lascia fuori quelli che lavorano «non sulla base di dati biometrici», per esempio su un testo scritto.

Le chat però non sono una scappatoia. Il 14 maggio 2026 il Garante privacy ha avvertito una società che vendeva un’estensione per Slack e Teams: ricavava lo stress dai messaggi di chi sceglieva di usarla, e poteva dare all’azienda un report aggregato. Per il Garante, benessere e stress psicologico sono informazioni «la cui conoscibilità è dunque preclusa al datore di lavoro», e anche quel report poteva violare le regole; ha richiamato anche il divieto dell’AI Act (provvedimento n. 342).

**Indagare su ciò che non riguarda il lavoro.** Lo Statuto dei lavoratori vieta, per assumere e durante il rapporto, indagini «anche a mezzo di terzi» sulle opinioni politiche, religiose o sindacali e «su fatti non rilevanti ai fini della valutazione dell’attitudine professionale del lavoratore» (art. 8). Un’AI che setaccia i profili social dei candidati rischia di finire qui.

## La novità: l’ultima parola a una persona

Lo dice l’articolo 41 del d.lgs. 179/2026. Le decisioni finali su assunzione, modifiche e fine del rapporto, «ivi compresi i provvedimenti disciplinari e le valutazioni delle prestazioni», non possono essere adottate «unicamente sulla base di un trattamento automatizzato».

- **La persona deve decidere davvero.** «La decisione definitiva è in ogni caso riservata a una persona fisica, che eserciti un potere effettivo e autonomo.» Una conferma data per abitudine difficilmente lo è: [ne abbiamo scritto qui](https://csidia.com/note-operative/ai-prepara-persona-approva-chi-decide-davvero/).
- **Il consenso non salva.** «Il consenso del lavoratore non costituisce un’eccezione al divieto».
- **Si deve poter spiegare.** Il lavoratore può chiedere, e ottenere da una persona, «una motivazione intelligibile della decisione che lo riguarda», con il peso che ha avuto l’AI e i «principali parametri considerati».
- **La conseguenza è pesante.** «Il licenziamento intimato in violazione del comma 1 è nullo», e sono nulle anche le altre decisioni prese così.

Cercare e selezionare candidature, però, non è una decisione finale, «anche quando comportino la mancata ammissione alle successive fasi della selezione». La scrematura dei curriculum resta fuori da questa regola, non dall’articolo 22 del GDPR sulle decisioni automatizzate né dall’AI Act.

## Prima di accenderla

- **Accordo o autorizzazione.** Gli strumenti «dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori» si usano solo per esigenze organizzative, produttive, di sicurezza o di tutela del patrimonio, e solo dopo un accordo con i sindacati aziendali o l’autorizzazione dell’Ispettorato del lavoro (Statuto, art. 4). Fanno eccezione gli strumenti con cui si svolge il lavoro, un’eccezione di «stretta interpretazione» per il Garante (2024, sulla posta elettronica). Un assistente che serve solo a scrivere può rientrarci, se non ne nasce un controllo sulle persone; un cruscotto su chi gli chiede che cosa è un’altra faccenda, come nella [nota sulla policy](https://csidia.com/note-operative/policy-aziendale-ai-cinque-regole/).
- **L’informativa.** Prima di cominciare si danno a lavoratori e sindacati le [informazioni dell’articolo 1-bis del d.lgs. 152/1997](https://csidia.com/note-operative/ai-act-azienda-che-usa-ai-cosa-deve-fare/) (scopi, logica, dati usati, accuratezza) e si fanno analisi dei rischi e valutazione d’impatto. Quell’articolo parla di sistemi «integralmente automatizzati»; l’articolo 41, comma 3, rinvia ai suoi obblighi senza ripetere l’avverbio: nel dubbio, informate. Il comma 8 esclude i sistemi protetti da segreto industriale; il diritto alla motivazione dell’articolo 41 non prevede questa eccezione.
- **La valutazione dei rischi.** L’AI che incide «sull’organizzazione del lavoro, sui ritmi produttivi» entra nella valutazione dei rischi per la sicurezza (d.lgs. 179/2026, art. 42).
- **L’alto rischio, dal 2 dicembre 2027.** Saranno ad alto rischio i sistemi per selezionare il personale, per assegnare compiti in base al comportamento o alle caratteristiche personali e per «monitorare e valutare le prestazioni e il comportamento» delle persone (AI Act, allegato III, punto 4).

## Tenerla in casa non vi esonera, ma aiuta

Un’AI su una macchina vostra non toglie nessuno di questi obblighi. Cambiano due cose: se la macchina è chiusa davvero, curriculum, valutazioni e buste paga non vanno da un fornitore esterno; e se lo registrate, quando un lavoratore chiede una motivazione sapete quale modello e quale versione hanno lavorato. Su un compito preciso, *un modello a pesi aperti rifinito su quel lavoro fa meglio dei grandi modelli generalisti, e resta in casa vostra*: [ne abbiamo scritto qui](https://csidia.com/note-operative/modello-piccolo-addestrato-sul-compito-batte-grandi-modelli/). Su quel compito, non in tutto. Rifinirlo sui dati del personale, però, è un trattamento in più, da valutare prima.

## Come lo facciamo noi

Per i nostri progetti di AI teniamo un registro dei modelli, cinque registri al 20 ottobre 2026: che cosa fa ognuno, dove gira, licenza e uso commerciale, stato, le prove con i numeri e il perché della scelta. Non è nato per il personale, ma un’informativa parte da una scheda così.

## Che cosa fare adesso

1. Elencate ogni strumento che tocca le persone, comprese le estensioni.
2. Togliete quelli che ricavano umore, stress o emozioni.
3. Per ogni decisione su assunzioni, sanzioni e valutazioni, scrivete chi decide e che cosa guarda oltre al suggerimento dell’AI.
4. Portate l’elenco al consulente del lavoro e al responsabile della protezione dei dati.

Se volete far preparare all’AI parte del lavoro sul personale, il passo è uno: [scriveteci quali decisioni](https://csidia.com/contatti/).

*Scritto con l’aiuto dell’AI e verificato da CSIDIA.*

## Fonti

- [Decreto legislativo 7 ottobre 2026, n. 179, artt. 23, 41 e 42: sanzioni, tutela del lavoratore nelle decisioni assistite dall’AI, sicurezza sul lavoro (Normattiva)](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2026-10-07;179~art41!vig=)
- [Legge 20 maggio 1970, n. 300 (Statuto dei lavoratori), artt. 4 e 8: strumenti di controllo e divieto di indagini sulle opinioni (Normattiva)](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:1970-05-20;300~art4!vig=)
- [Regolamento (UE) 2024/1689 (AI Act), artt. 5 e 113 e allegato III, nel testo modificato dal Regolamento (UE) 2026/1744 (EUR-Lex)](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:02024R1689-20260727)
- [Commissione europea, orientamenti sulle pratiche di IA vietate, C(2025) 5052, punto 265 (PDF)](https://ec.europa.eu/newsroom/dae/redirection/document/118653)
- [Garante per la protezione dei dati personali, provvedimento n. 342 del 14 maggio 2026](https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10255494)

Nota di CSIDIA S.r.l. (Vignola, MO): https://csidia.com/note-operative/ai-dati-dipendenti-cosa-vietato-23-ottobre/ · Chi siamo e che cosa facciamo: https://csidia.com/in-breve/ · engagement@csidia.com