Le imprese che adottano strumenti di intelligenza artificiale senza una policy interna scritta e senza DPIA rischiano sanzioni sia sotto il GDPR che sotto il Reg. UE 2024/1689 (AI Act). Un avvocato che assiste PMI o grandi imprese deve oggi verificare se il cliente ha mappato i sistemi AI in uso e classificato il loro livello di rischio. In assenza di questi adempimenti, la responsabilità del consulente legale — per omessa advisory — diventa concreta.
Punti chiave
- Punto 1 — Il Reg. UE 2024/1689 (AI Act) impone obblighi differenziati per sistemi AI ad alto rischio già applicabili.
- Punto 2 — L’uso di AI sui dati dei dipendenti richiede DPIA ai sensi dell’art. 35 GDPR prima dell’implementazione.
- Punto 3 — Le imprese senza policy AI scritta sono esposte a sanzioni GDPR fino al 4% del fatturato globale annuo.
Se assisti imprese clienti, hai un problema concreto da affrontare adesso: la maggior parte di esse usa già strumenti AI — Copilot, ChatGPT Enterprise, sistemi di recruiting automatizzato — senza aver mai redatto una policy interna, senza aver eseguito una valutazione d’impatto e senza aver classificato quei sistemi secondo i criteri del Reg. UE 2024/1689. Il danno reputazionale e sanzionatorio è già in corso, anche se il cliente non lo sa.
Secondo un’analisi pubblicata da Agenda Digitale, l’adozione di AI in ambito lavorativo trasforma la conoscenza dei dipendenti in dati strutturati, con ricadute dirette sulla protezione dei dati personali e sui diritti dei lavoratori. Il quadro normativo europeo esiste già: le imprese, però, operano in larga parte senza adeguarsi.
Il contesto normativo
Il Reg. UE 2024/1689 (AI Act), in vigore dal 2 agosto 2024, classifica i sistemi AI per livello di rischio e impone obblighi specifici ai deployer — cioè alle imprese che utilizzano sistemi AI sviluppati da terzi. Per i sistemi ad alto rischio elencati nell’Allegato III (tra cui quelli usati in selezione del personale, valutazione delle prestazioni e gestione del rapporto di lavoro), l’art. 26 AI Act obbliga il deployer a eseguire una valutazione d’impatto prima della messa in uso e a garantire supervisione umana effettiva.
Sul fronte privacy, l’art. 35 del Reg. UE 2016/679 (GDPR) impone la DPIA ogni volta che il trattamento — specie tramite nuove tecnologie — presenta un rischio elevato per i diritti degli interessati. Il Garante Privacy italiano, con le Linee Guida del 2019 e i successivi provvedimenti, ha chiarito che i sistemi di monitoraggio automatizzato dei lavoratori rientrano sistematicamente in questa categoria. La sanzione per omessa DPIA arriva fino al 2% del fatturato globale annuo; per violazioni dei principi base del trattamento, fino al 4%.
Cosa cambia per lo studio
- Inserire nel checklist di onboarding dei clienti impresa una verifica sull’esistenza di una AI policy interna e sulla mappatura dei sistemi AI in uso, distinguendo tra sistemi sviluppati internamente e tool di terze parti (es. Microsoft 365 Copilot, strumenti HR automatizzati).
- Per ogni sistema AI che tratta dati dei dipendenti, verificare se è già stata eseguita la DPIA ex art. 35 GDPR: in assenza, il cliente va messo in mora per iscritto con indicazione del rischio sanzionatorio specifico.
- Classificare i sistemi AI del cliente secondo l’Allegato III AI Act: quelli usati in ambito HR — recruitment, valutazione performance, gestione accessi — rientrano nella categoria ad alto rischio e richiedono obblighi documentali rafforzati ex art. 26 AI Act.
- Redigere o aggiornare il Regolamento aziendale sull’uso degli strumenti digitali (già richiesto dall’art. 4 l. 300/1970 per i sistemi di controllo a distanza) includendo esplicitamente le policy sull’uso di AI generativa da parte dei dipendenti.
- Verificare i contratti con i fornitori di soluzioni AI: chi è il provider, chi è il deployer, chi risponde in caso di bias algoritmico o decisione automatizzata contestata da un lavoratore ex art. 22 GDPR.
Attenzione a
Il primo errore che i clienti commettono è credere che la responsabilità del compliance AI Act ricada solo sul produttore del software. Sbagliato: l’art. 26 AI Act scarica obblighi precisi sul deployer, cioè sull’impresa che usa il sistema, indipendentemente da chi lo ha sviluppato. Un’azienda che usa un tool HR di un grande vendor senza aver fatto la DPIA e senza supervisione umana documentata è già inadempiente.
Il secondo rischio riguarda le decisioni automatizzate sui lavoratori: se un sistema AI incide su promozioni, turni, valutazioni o licenziamenti senza che il dipendente possa richiedere una revisione umana, l’impresa viola simultaneamente l’art. 22 GDPR e i requisiti di supervisione umana dell’art. 26 AI Act. In sede ispettiva o contenziosa, questo cumulo di violazioni pesa in modo significativo sulla quantificazione del danno risarcibile.
Domande frequenti
Cosa rischia un’azienda che usa ChatGPT senza policy interna?
Rischia violazioni del GDPR (artt. 5, 13, 35 Reg. UE 2016/679) se tratta dati personali senza base giuridica adeguata o senza DPIA, con sanzioni fino al 4% del fatturato globale annuo. Con l’AI Act in vigore, l’assenza di policy interna aggrava la posizione del deployer in caso di ispezione o contenzioso.
Un sistema AI usato per la selezione del personale è ad alto rischio secondo l’AI Act?
Sì. L’Allegato III del Reg. UE 2024/1689 include esplicitamente i sistemi AI usati in selezione, valutazione e gestione del rapporto di lavoro tra i sistemi ad alto rischio. Il deployer — cioè l’impresa che lo usa — è obbligato a eseguire una valutazione d’impatto, garantire supervisione umana e tenere documentazione tecnica aggiornata.
L’art. 4 dello Statuto dei Lavoratori si applica anche all’AI?
Sì. L’art. 4 l. 300/1970, come modificato dal d.lgs. 151/2015, si applica a qualsiasi strumento di controllo a distanza, inclusi i sistemi AI che monitorano produttività, comportamenti o accessi dei lavoratori. L’adozione richiede accordo sindacale o autorizzazione dell’Ispettorato del Lavoro, oltre all’informativa ai dipendenti.
Fonte di riferimento: AgendaDigitale