Avvia una prova

Note operative Normativa

Sentiment analysis sui dipendenti in chat: cosa ha fermato il Garante Privacy

6 min di lettura

Mani che digitano su una tastiera di un computer portatile in un ufficio
Ogni messaggio scritto in una chat aziendale può finire, senza che l’autore lo sappia, in un indice di stress.

Il 14 maggio 2026 il Garante per la protezione dei dati personali ha ammonito Myndoor S.r.l., società che vende un plug-in per Slack e Microsoft Teams capace di leggere lo stato emotivo dei dipendenti analizzando il linguaggio delle chat aziendali (provvedimento n. 342/2026, doc-web 10255494). Il dettaglio che dovrebbe far riflettere ogni direzione HR non è il divieto in sé: è la soglia. Il sistema genera un report aggregato sullo stress a partire da appena 10 utenti attivi. Bastano due piccoli team che lo adottano — per «sentire il polso» sul carico di lavoro — perché l’azienda ottenga, se lo cercasse, una mappa dello stress del proprio personale. La tesi scomoda è questa: il problema non è se un fornitore amplierà domani le funzioni fino all’accesso individuale — è quasi fisiologico in un SaaS che vive di nuove feature. Il problema è che, finché il dato transita su un server di un terzo fuori dal perimetro aziendale, la promessa «non lo vediamo» non è verificabile da chi dovrebbe risponderne per primo: il datore di lavoro.

Cosa vieta (e cosa no)

Pur non dando al datore di lavoro accesso ai dati del singolo dipendente, il sistema tratta comunque — scrive il Garante — informazioni sulla sfera emotiva che «non possono essere nella disponibilità» dell’azienda: il provvedimento richiama gli artt. 5, 6 e 9 del Regolamento (UE) 2016/679 (GDPR), gli artt. 24-25 su responsabilizzazione e privacy by design, l’art. 88 sul trattamento nei rapporti di lavoro, gli artt. 2-ter e 113 del Codice Privacy (D.Lgs. 196/2003) e gli artt. 5 e 8 dello Statuto dei Lavoratori (l. 20 maggio 1970, n. 300) sul divieto di indagini non pertinenti. Ma la norma che chiude davvero la partita è assoluta: l’art. 5, par. 1, lett. f) del Regolamento (UE) 2024/1689 (AI Act) vieta l’uso di sistemi di IA per inferire le emozioni di una persona sul luogo di lavoro, salvo le sole eccezioni per finalità mediche o di sicurezza. È in vigore dal 2 febbraio 2025: non una scadenza futura, un fatto già accaduto, sanzionabile fino a 35 milioni di euro o il 7% del fatturato mondiale (art. 99, par. 3, AI Act).

Lo scenario che i clienti ci descrivono

L’HR manager scarica dal marketplace di Teams un’app di «employee wellbeing» per intercettare il burnout prima delle dimissioni. La installa un team leader volenteroso, senza passare dalla funzione legale: non tratta cartelle cliniche, quindi «non sembra» un dato sensibile. Mesi dopo, un audit interno — o la segnalazione di un dipendente alla RSU — scopre che lo strumento è attivo su quaranta persone e genera ogni settimana un indice di stress per reparto, già circolato in due riunioni di direzione. Contano allora due cose insieme: l’AI Act, che rende il sistema vietato di per sé; e l’art. 4 dello Statuto dei Lavoratori, che — trattandosi di uno strumento da cui deriva anche la possibilità di controllo a distanza — avrebbe comunque richiesto un accordo con le rappresentanze sindacali aziendali o, in mancanza, l’autorizzazione della sede territoriale dell’Ispettorato nazionale del lavoro, prima dell’installazione, non dopo la scoperta.

Il rinvio di Bruxelles non salva nessuno

Non tutta l’AI che tocca i lavoratori è vietata come la sentiment analysis: il grosso dei sistemi HR — screening dei CV, valutazione delle candidature, assegnazione dei compiti su base comportamentale, decisioni su promozioni o cessazioni — è classificato alto rischio dal punto 4 dell’Allegato III dell’AI Act, con l’obbligo per il datore (art. 26, par. 7) di informare rappresentanti e lavoratori prima della messa in servizio. Questi obblighi specifici, per i sistemi Allegato III «autonomi», sono stati rinviati al 2 dicembre 2027 dal Digital Omnibus approvato a giugno. Ma chi legge il rinvio come una pausa sbaglia due volte: la sentiment analysis resta vietata oggi, perché il divieto dell’art. 5 non è mai stato nel pacchetto spostato; e gli stessi obblighi sostanziali — informare per iscritto i lavoratori, negoziare con le rappresentanze sindacali — sono già legge italiana dal 2022, indipendentemente da Bruxelles: l’art. 4 del D.Lgs. 27 giugno 2022, n. 104 ha introdotto nel D.Lgs. 152/1997 l’art. 1-bis, che impone di informare ogni lavoratore su logica, finalità e categorie di dati di qualunque sistema decisionale o di monitoraggio automatizzato usato nel rapporto di lavoro. Il calendario europeo del 2027 è un pavimento, non un soffitto: chi lo aspetta per adeguare i propri sistemi HR scoprirà di essere già fuori norma da anni, per il diritto italiano.

Chiudere per costruzione

Il filo che lega il caso Myndoor, l’art. 4 dello Statuto e l’Allegato III dell’AI Act è strutturale, non burocratico. Ogni volta che un dato sui lavoratori — un’emozione, uno stress, una valutazione — lascia il perimetro aziendale per finire sul server di un fornitore SaaS, il datore di lavoro perde per definizione il controllo su chi altro può vederlo, per cosa verrà riusato, in quale giurisdizione atterrerà se un’autorità straniera lo richiede. È per questo che costruiamo diversamente: un’AI on-premise, in un ambiente dedicato e sganciato dal web, non promette di rispettare questi vincoli — li rispetta per costruzione, perché il dato del lavoratore non esce mai dal perimetro che il datore di lavoro controlla e può esibire a un ispettore, a un sindacato, a un giudice. È il principio su cui costruiamo la piattaforma, ed è la ragione per cui ogni prova operativa parte dai dati che restano vostri — non da un abbonamento a un servizio esterno che nessun fornitore, per quanto in buona fede, può garantire davvero isolato.

Cosa fare adesso

  1. Censite ogni plug-in AI collegato a Slack, Teams o alla posta aziendale, non solo i sistemi «ufficiali»: lo shadow AI si governa mappando, non vietando.
  2. Distinguete i due regimi: sentiment ed emotion recognition sono vietati, senza nulla da negoziare; i sistemi di gestione e valutazione dei lavoratori sono alto rischio, con obblighi di informativa in arrivo.
  3. Prima di ogni installazione che tocchi comportamento o performance delle persone, passate dalle rappresentanze sindacali (o dall’Ispettorato) e aggiornate l’informativa ex art. 1-bis del D.Lgs. 152/1997.
  4. Chiedete al DPO una mappa dei dati «sulle persone» che oggi transitano verso fornitori cloud esterni: è lo stesso censimento richiesto dal registro AI Act — come per la legge italiana sull’AI, che sul lavoro chiede la stessa cosa. Fatelo una volta sola.

Volete sapere quali strumenti già collegati alle vostre chat aziendali toccano questa linea? Mezz’ora con un nostro esperto per la prima mappa.

Fonti