I neurodiritti sono diritti fondamentali autonomi pensati per proteggere i dati neurali, l’identità cognitiva e la libertà decisionale delle persone sottoposte a tecnologie di lettura cerebrale. Sul piano pratico, un avvocato deve già oggi ragionare su questi profili quando assiste clienti nel settore medtech, HR analytics o assicurativo che impiegano strumenti di inferenza algoritmica su dati biometrici cerebrali. Il GDPR copre parzialmente la questione attraverso l’art. 9 sui dati biometrici, ma non è progettato per le inferenze cognitive: questo gap normativo è il vero rischio da presidiare.
Punti chiave
- Punto 1 — I dati neurali rientrano nei dati biometrici ex art. 9 GDPR, ma le inferenze cognitive restano in una zona grigia normativa.
- Punto 2 — Il Cile ha già adottato nel 2021 una legge costituzionale sui neurodiritti: primo precedente legislativo vincolante al mondo.
- Punto 3 — Nessuna norma italiana o UE disciplina ancora esplicitamente la libertà mentale o l’integrità cognitiva come diritti autonomi.
Chiunque assista aziende che raccolgono segnali biometrici cerebrali — dai dispositivi BCI nel settore medtech fino ai tool di misurazione dell’attenzione nei contesti lavorativi — si trova già oggi davanti a obblighi di compliance che il GDPR copre solo in parte. Il nodo non è teorico: le inferenze algoritmiche su stati mentali non sono qualificate come «dati biometrici» in modo uniforme dai Garanti europei, e questo apre spazi di responsabilità civile e amministrativa non ancora mappati dalla giurisprudenza italiana.
La spinta a riconoscere neurodiritti come categoria autonoma — separata da privacy, consenso informato e non discriminazione — arriva da un dibattito accademico e istituzionale ormai maturo. Agenda Digitale sintetizza il punto centrale: le categorie giuridiche esistenti non reggono davanti a tecnologie capaci di leggere e modificare l’attività cerebrale, da cui l’esigenza di diritti specifici a tutela dell’interiorità mentale e dell’identità cognitiva.
Il contesto normativo
Il GDPR classifica i dati biometrici come categoria speciale ex art. 9 Reg. UE 2016/679, con divieto di trattamento salvo basi giuridiche tassative. Tuttavia, le inferenze su stati emotivi o cognitivi ricavate da dati neurali non sempre soddisfano la definizione tecnica di «dato biometrico» dell’art. 4 n. 14, che richiede l’identificazione univoca della persona fisica. Il Garante italiano ha affrontato profili contigui nel provvedimento del 22 giugno 2023 sul riconoscimento facciale (doc. web n. 9913793), ma i dati neurali restano privi di una disciplina dedicata.
Sul piano costituzionale, l’art. 2 Cost. e la clausola aperta sui diritti inviolabili offrono già una base argomentativa per chi volesse tutelare in giudizio l’integrità mentale come diritto fondamentale. La Corte Costituzionale ha riconosciuto con sentenza n. 238/2014 la possibilità di ricavare diritti impliciti dal combinato disposto degli artt. 2 e 3 Cost., strada percorribile anche in questo ambito. Sul fronte UE, l’AI Act (Reg. UE 2024/1689) vieta all’art. 5 i sistemi AI per l’inferenza di emozioni in contesti lavorativi e scolastici: primo ancoraggio normativo positivo direttamente applicabile.
Cosa cambia per lo studio
- Chi redige contratti con fornitori di tecnologie HR che includono analisi biometriche deve verificare se il sistema rientra nei divieti dell’art. 5 AI Act, applicabile dal 2 agosto 2026 per questa categoria di rischio.
- Nelle due diligence di M&A che coinvolgono aziende medtech o neurotech, occorre mappare esplicitamente i dataset neurali trattati e la loro qualificazione giuridica, perché incidono sul profilo di rischio GDPR e responsabilità ex d.lgs. 231/2001.
- Chi assiste pazienti sottoposti a BCI (Brain-Computer Interface) in ambito clinico deve distinguere tra consenso al trattamento sanitario ex art. 3 L. 219/2017 e consenso al trattamento dati neurali: sono atti distinti con requisiti diversi.
- Sul fronte contenzioso, il danno non patrimoniale da «manipolazione cognitiva» algoritmica è già argomentabile ex art. 2059 c.c. e art. 82 GDPR, anche in assenza di una norma specifica sui neurodiritti.
- Studi con clienti nel settore assicurativo devono monitorare l’uso di dati neurali per la profilazione del rischio: pratica che il Garante potrebbe qualificare come decisione automatizzata vietata ex art. 22 GDPR.
Attenzione a
Il rischio più frequente è trattare i dati neurali come semplice sottocategoria dei dati sanitari, applicando solo le garanzie del Titolo IV d.lgs. 196/2003. Quella qualificazione è parziale: i dati neurali possono non avere finalità diagnostica e sfuggire al perimetro sanitario, finendo in un vuoto normativo che espone il titolare del trattamento senza che nessuna base giuridica li copra correttamente.
Secondo errore ricorrente: ignorare l’AI Act assumendo che entri in vigore «tra qualche anno». Il divieto sull’inferenza emotiva in ambito lavorativo ex art. 5 AI Act si applica dal 2 agosto 2026, e le obbligazioni contrattuali stipulate oggi potrebbero già essere incompatibili con quella scadenza.
Domande frequenti
I dati EEG raccolti in ambito lavorativo sono dati biometrici ai sensi del GDPR?
Dipende dall’uso. Se i segnali EEG servono a identificare univocamente la persona, rientrano nell’art. 4 n. 14 GDPR come dati biometrici e sono soggetti al divieto ex art. 9. Se invece servono solo a inferire stati emotivi o livelli di attenzione senza identificazione, la qualificazione è incerta e occorre una valutazione caso per caso con il DPO.
L’AI Act vieta già oggi i sistemi di rilevamento emotivo sui dipendenti?
Il divieto dell’art. 5 AI Act per i sistemi di inferenza emotiva in contesti lavorativi e scolastici diventa applicabile dal 2 agosto 2026. Tuttavia, contratti e appalti stipulati oggi che prevedono queste funzionalità vanno già verificati: potrebbero risultare non conformi alla scadenza senza possibilità di rinegoziazione a breve termine.
È possibile chiedere il risarcimento del danno per manipolazione algoritmica dello stato cognitivo?
Sul piano teorico sì: il danno non patrimoniale da lesione dell’integrità psichica è risarcibile ex art. 2059 c.c., e l’art. 82 GDPR prevede risarcimento per danni da trattamento illecito di dati. La difficoltà pratica è la prova del nesso causale tra il trattamento algoritmico e il pregiudizio cognitivo lamentato, profilo su cui la giurisprudenza italiana non ha ancora precedenti diretti.
Fonte di riferimento: AgendaDigitale
Leggi anche: