AI sul personale: una norma italiana vi obbliga già a spiegarne il funzionamento

Uno scenario tipico, non il caso di un’azienda reale. Una direzione del personale adotta uno strumento di AI che ordina le candidature, copre i turni e segnala gli scostamenti di produttività. In riunione la domanda è sempre la stessa: quando scatta l’AI Act? Risposta corretta e inutile — per l’alto rischio dell’Allegato III, che comprende la selezione del personale, il 2 dicembre 2027, dopo il rinvio del regolamento (UE) 2026/1744. Risposta scomoda: da quattro anni una norma italiana chiede di mettere per iscritto come quel sistema funziona.

La norma, con gli estremi

Il decreto trasparenza — D.lgs. 27 giugno 2022, n. 104, in vigore dal 13 agosto 2022 — con l’art. 4, comma 1, lettera b) ha inserito nel D.lgs. 26 maggio 1997, n. 152 un articolo 1-bis: «Ulteriori obblighi informativi nel caso di utilizzo di sistemi decisionali o di monitoraggio automatizzati». Non è una norma sull’AI: è una norma sul contratto di lavoro. Nessuna soglia dimensionale, nessuna classificazione di rischio.

La modifica del 2023 che quasi tutti sbagliano

Chi cita l’art. 1-bis nel testo del 2022 cita una norma superata. Il decreto lavoro — D.L. 4 maggio 2023, n. 48, convertito dalla legge 3 luglio 2023, n. 85 — con l’art. 26, comma 2, lettera a) ha sostituito il comma 1 a decorrere dal 5 maggio 2023. Oggi il datore di lavoro o il committente «è tenuto a informare il lavoratore dell’utilizzo di sistemi decisionali o di monitoraggio integralmente automatizzati deputati a fornire indicazioni rilevanti ai fini della assunzione o del conferimento dell’incarico, della gestione o della cessazione del rapporto di lavoro, dell’assegnazione di compiti o mansioni nonché indicazioni incidenti sulla sorveglianza, la valutazione, le prestazioni e l’adempimento delle obbligazioni contrattuali dei lavoratori». Nel 2022 l’avverbio «integralmente» non c’era. La lettera b) ha riscritto il comma 8: l’esclusione, prima limitata alle «informazioni di cui all’articolo 98» del Codice della Proprietà Industriale, oggi copre i «sistemi protetti da segreto industriale e commerciale».

Due avvertenze, perché il testo non dice più di quanto dice: «integralmente automatizzati» non è definito, e l’art. 1, comma 1, lettera s) — che richiama l’art. 1-bis nell’informativa di assunzione — è rimasto alla formula senza avverbio: l’asimmetria sta nel testo vigente. Concludere che un passaggio umano qualsiasi disattivi l’obbligo è una valutazione giuridica, da scrivere e datare come ogni decisione di conformità. E il comma 8 esclude «gli obblighi informativi di cui al presente articolo», non quelli del GDPR: «è un segreto» non è un’etichetta che appone il fornitore, perché l’art. 98 CPI protegge solo alle tre condizioni cumulative che dovete poter provare.

L’elenco, che è il cuore della norma

Il comma 2 impone di fornire al lavoratore, con le informazioni dell’art. 1 e prima dell’inizio dell’attività lavorativa, sei voci:

a) gli aspetti del rapporto di lavoro sui quali incide l’utilizzo dei sistemi;
b) gli scopi e le finalità dei sistemi;
c) la logica ed il funzionamento dei sistemi;
d) le categorie di dati e i parametri principali usati per programmare o addestrare i sistemi, «inclusi i meccanismi di valutazione delle prestazioni»;
e) le misure di controllo adottate per le decisioni automatizzate, gli eventuali processi di correzione e il responsabile del sistema di gestione della qualità;
f) il livello di accuratezza, robustezza e cybersicurezza dei sistemi, le metriche usate per misurarli e «gli impatti potenzialmente discriminatori delle metriche stesse».

Poi i contorni. Comma 6: tutto va comunicato «in modo trasparente, in formato strutturato, di uso comune e leggibile da dispositivo automatico», e anche alle rappresentanze sindacali aziendali o alla RSU — in loro assenza alle sedi territoriali delle associazioni comparativamente più rappresentative; Ministero del lavoro e Ispettorato nazionale del lavoro possono chiedere le stesse informazioni e accedervi. Comma 5: ogni modifica che cambi le condizioni di svolgimento del lavoro va comunicata per iscritto almeno 24 ore prima. Comma 3: il lavoratore, anche tramite le rappresentanze sindacali, accede ai dati, e la risposta scritta è dovuta entro trenta giorni. Comma 4: analisi dei rischi e valutazione d’impatto sui trattamenti, con consultazione preventiva del Garante nei casi dell’art. 36 del GDPR.

Le sanzioni, con la fonte

L’art. 4 del D.lgs. 152/1997 rinvia all’art. 19, comma 2, del D.lgs. 10 settembre 2003, n. 276: il lavoratore denuncia l’assolvimento «mancato, ritardato, incompleto o inesatto», l’Ispettorato accerta ai sensi della legge 689/1981 e sanziona. Testo vigente: per le violazioni dell’art. 1-bis, commi 2, 3 secondo periodo e 5, da 100 a 750 euro per ciascun mese di riferimento; da 400 a 1.500 euro oltre i cinque lavoratori; da 1.000 a 5.000 euro oltre i dieci, e lì «non è ammesso il pagamento della sanzione in misura ridotta». Per l’omessa comunicazione alle rappresentanze sindacali (comma 6, secondo periodo), da 400 a 1.500 euro per ciascun mese. La circolare INL n. 4 del 10 agosto 2022 chiarisce che vale per ogni mese in cui il lavoratore opera in violazione ed è diffidabile ex art. 13 del D.lgs. 124/2004, salvo la fascia oltre i dieci. Restano ferme le violazioni sui dati personali (art. 83 GDPR, art. 166 Codice Privacy).

Non sono cifre da prima pagina. Ma si moltiplicano per mese e per fascia, e bastano una denuncia e un accertamento.

Il punto che quasi nessuno scrive: l’obbligo si scarica sul fornitore

Rileggete le lettere c) e f). Per adempiere dovete descrivere la logica di funzionamento e dichiarare accuratezza, robustezza e cybersicurezza con le metriche usate per misurarle. Se il sistema ve lo vende un terzo e il contratto non vi garantisce quelle informazioni, l’adempimento non è difficile: è impossibile. E davanti all’ispettore l’inadempiente siete voi, non il fornitore.

È una clausola di capitolato prima che una questione di AI: chi compra uno strumento che tocca selezione, turni, valutazione o monitoraggio pretende per iscritto logica, dati e parametri, metriche con i risultati misurati, procedura di correzione, responsabile della qualità e preavviso su ogni modifica del modello — perché verso i lavoratori quel preavviso, per legge, è di 24 ore. Una distinzione, infine: l’art. 1-bis è un obbligo informativo, mentre installare uno strumento da cui derivi la possibilità di controllo a distanza richiede prima l’accordo sindacale o l’autorizzazione dell’Ispettorato (art. 4 dello Statuto dei lavoratori, fatto salvo dal comma 1). Adempimenti diversi, spesso concorrenti.

Come lo risolviamo noi

La conoscibilità che la norma chiede non nasce da una dichiarazione del fornitore: nasce quando il sistema è ispezionabile e i suoi log sono vostri. Per questo costruiamo AI dedicate e chiuse, sganciate dal web aperto, in due modalità: on-premise nell’ambiente del cliente, oppure sul nostro cloud dedicato — riservato al singolo cliente, accesso via VPN dedicata, data center residente in Italia, locali che presidiamo direttamente. In entrambi i casi logica, dati e metriche restano descrivibili perché restano dentro il perimetro, e la traccia di ogni decisione è esibibile: a un lavoratore, a una RSU, a un ispettore. È il metodo con cui teniamo l’AI aziendale sotto controllo dimostrabile: una scelta di architettura, non una promessa commerciale.

Sapreste consegnare oggi, a un lavoratore e alla sua RSU, la descrizione scritta della logica del vostro sistema? Mezz’ora con un nostro esperto basta per capire cosa manca e a chi chiederlo.