Cybersecurity, posta elettronica e intelligenza artificiale rendono sempre più sottile il confine tra protezione dell'azienda e sorveglianza dei dipendenti. Le nuove disposizioni italiane rafforzano il ruolo della persona nelle decisioni automatizzate, ma pongono anche una questione più ampia: quale cultura del lavoro vogliamo costruire?
Lavoriamo attraverso strumenti digitali che registrano una quantità crescente di informazioni. Ogni accesso ai sistemi aziendali, ogni collegamento alla rete, ogni messaggio di posta elettronica e ogni interazione con le piattaforme collaborative può generare dati. Nella maggior parte dei casi queste informazioni vengono raccolte per ragioni perfettamente legittime: garantire la sicurezza informatica, prevenire la perdita di documenti riservati, proteggere i sistemi dalle intrusioni o migliorare la qualità dei servizi.
Il problema nasce quando strumenti progettati per proteggere l'organizzazione diventano, intenzionalmente o indirettamente, strumenti per osservare le persone che vi lavorano.
Un approfondimento di Battistella e Pavone, pubblicato il 26 ottobre 2026 su Il Sole 24 Ore, riporta l'attenzione su una questione destinata ad assumere un peso crescente nelle organizzazioni: quali controlli può effettuare un'azienda attraverso i software installati sui computer dei propri dipendenti?
È una domanda particolarmente rilevante per lo smart working, perché quando il lavoro si svolge fuori dall'ufficio il confine tra strumenti professionali, autonomia individuale e capacità di controllo del datore di lavoro diventa ancora più delicato.
Quando la sicurezza diventa sorveglianza
Le aziende hanno il diritto, e spesso il dovere, di proteggere le proprie infrastrutture digitali. Un software può individuare un tentativo di accesso non autorizzato, segnalare un trasferimento anomalo di dati o rilevare un possibile attacco informatico. Allo stesso modo, una piattaforma di assistenza clienti può registrare le telefonate per esigenze organizzative, nel rispetto delle condizioni previste dalla legge.
Ma gli stessi strumenti possono produrre informazioni molto diverse da quelle strettamente necessarie alla sicurezza.
I registri degli accessi possono ricostruire gli orari di attività di un dipendente. I sistemi di posta elettronica possono mostrare frequenza, tempi e destinatari delle comunicazioni. Le piattaforme digitali possono misurare la partecipazione alle riunioni, i tempi di risposta e l'utilizzo delle applicazioni.
Presi singolarmente, questi dati raccontano soltanto una parte dell'attività lavorativa. Aggregati attraverso sistemi di intelligenza artificiale, possono invece contribuire a costruire profili comportamentali sempre più dettagliati.
Ed è qui che cambia la natura del problema.
Un conto è utilizzare un'informazione per verificare il funzionamento di un sistema informatico. Un altro è trasformare quella stessa informazione in un indicatore della diligenza, dell'affidabilità o della produttività di una persona.
Che cosa consente davvero la legge
In Italia il riferimento fondamentale rimane l'articolo 4 dello Statuto dei lavoratori, modificato dal D.Lgs. 151/2015.
La disciplina distingue gli strumenti utilizzati per rendere la prestazione lavorativa e registrare accessi e presenze dagli altri sistemi dai quali possa derivare un controllo a distanza dell'attività dei dipendenti.
Per questi ultimi, l'installazione e l'utilizzo sono ammessi soltanto per determinate esigenze organizzative, produttive, di sicurezza o di tutela del patrimonio aziendale, rispettando le procedure previste dalla legge, fra cui l'accordo sindacale o, nei casi applicabili, l'autorizzazione dell'Ispettorato del lavoro.
Esiste inoltre un principio che nessuna azienda dovrebbe sottovalutare: il dipendente deve ricevere informazioni adeguate sulle modalità di utilizzo degli strumenti e sui controlli effettuabili. L'eventuale impiego delle informazioni raccolte nel rapporto di lavoro resta subordinato anche al rispetto della normativa sulla protezione dei dati personali.
L'informativa, però, non rappresenta un'autorizzazione generale a controllare. Anche un trattamento dichiarato apertamente può risultare illegittimo se sproporzionato o incompatibile con le finalità per cui i dati sono stati raccolti.
Il Garante per la protezione dei dati personali ha affrontato in particolare il problema dei metadati della posta elettronica. Nel documento di indirizzo del giugno 2024 ha indicato, a titolo orientativo, un periodo normalmente non superiore a 21 giorni per la conservazione dei log strettamente necessari al funzionamento dell'infrastruttura di posta, salvo specifiche condizioni adeguatamente giustificate.
In un provvedimento del luglio 2026, l'Autorità ha ulteriormente chiarito che nemmeno il rispetto di questo intervallo temporale esonera automaticamente il datore di lavoro dalle garanzie previste per i controlli a distanza: contano soprattutto le finalità concrete del trattamento.
La questione, dunque, non riguarda soltanto quanti dati vengono raccolti o per quanto tempo vengono conservati, ma che cosa l'organizzazione intende farne.
L'intelligenza artificiale cambia la dimensione del controllo
L'introduzione dell'intelligenza artificiale aggiunge un elemento sostanziale. Un sistema tradizionale registra eventi, mentre un sistema di AI può identificare correlazioni, classificare comportamenti e formulare valutazioni utilizzando informazioni provenienti da fonti diverse.
Un lavoratore che risponde rapidamente alle email, partecipa a numerose riunioni e rimane collegato molte ore potrebbe apparire particolarmente produttivo. Un altro, impegnato in attività di analisi, progettazione o elaborazione strategica, potrebbe generare un numero inferiore di interazioni digitali.
Sarebbe però un errore confondere la quantità di attività rilevabile da un software con la qualità del lavoro effettivamente svolto.
Si tratta di una distinzione essenziale in tutte quelle professioni in cui concentrazione, autonomia e capacità di risolvere problemi contano più della presenza continuativa davanti a uno schermo.
L'AI Act europeo considera ad alto rischio determinate applicazioni dell'intelligenza artificiale utilizzate nella gestione, nel monitoraggio e nella valutazione dei lavoratori. Vieta inoltre, salvo specifiche eccezioni per ragioni mediche o di sicurezza, i sistemi destinati a dedurre le emozioni delle persone nei luoghi di lavoro.
Sul piano nazionale è intervenuto il D.Lgs. 179/2026, entrato in vigore il 23 ottobre. L'articolo 41 stabilisce che le decisioni finali relative al rapporto di lavoro, comprese le valutazioni delle prestazioni e i provvedimenti disciplinari, non possano essere adottate unicamente attraverso trattamenti automatizzati.
La decisione definitiva deve essere assunta da una persona fisica dotata di un potere effettivo e autonomo. Il lavoratore può inoltre richiedere una spiegazione comprensibile della decisione, dell'eventuale ruolo svolto dall'intelligenza artificiale e dei principali parametri considerati.
La norma prevede la nullità delle decisioni adottate in violazione di questo specifico divieto. Contiene tuttavia una distinzione per le attività di ricerca e selezione delle candidature, che non rientrano nella medesima definizione di decisione finale sulla costituzione del rapporto, pur restando soggette alle altre tutele applicabili.
È un passaggio significativo: il legislatore non esclude l'utilizzo dell'intelligenza artificiale nei processi aziendali, ma ribadisce che la responsabilità delle decisioni riguardanti le persone non può essere trasferita integralmente a una macchina.
Il rischio di ricostruire digitalmente il vecchio ufficio
Per chi si occupa di trasformazione del lavoro, il tema supera gli aspetti strettamente giuridici.
Una delle promesse più importanti dello smart working è sempre stata la possibilità di organizzare il lavoro sulla base di obiettivi, responsabilità e risultati, superando l'equazione tradizionale tra presenza fisica e produttività.
Sarebbe paradossale se la diffusione delle tecnologie digitali producesse l'effetto contrario, sostituendo il controllo visivo del responsabile in ufficio con un controllo permanente delle attività svolte al computer.
La disponibilità di informazioni non rende automaticamente quelle informazioni utili per valutare un lavoratore. E soprattutto non significa che sia opportuno utilizzarle.
Monitorare costantemente la presenza online rischia di incentivare comportamenti orientati a dimostrare attività, invece che a generare risultati. Il dipendente potrebbe essere spinto a rispondere immediatamente a ogni messaggio, moltiplicare le interazioni o evitare le pause, anche quando queste condotte non migliorano la qualità del lavoro.
L'organizzazione finirebbe così per misurare ciò che è facilmente rilevabile, non necessariamente ciò che produce valore.
È una questione di progettazione organizzativa prima ancora che tecnologica.
La responsabilità delle imprese
Le imprese dovrebbero interrogarsi non soltanto sulla legittimità dei sistemi acquistati, ma sulle conseguenze del loro utilizzo.
Prima di introdurre un software capace di raccogliere informazioni sui dipendenti, sarebbe opportuno chiarire quali dati siano realmente necessari, chi possa consultarli, per quanto tempo debbano essere conservati e quali utilizzi siano espressamente esclusi.
Andrebbe inoltre verificato se le funzionalità più invasive possano essere disattivate, se i sistemi consentano controlli aggregati senza identificare i singoli lavoratori e se le valutazioni automatizzate siano effettivamente sottoposte a una supervisione umana indipendente.
La conformità normativa deve accompagnarsi a una riflessione sulla fiducia all'interno dell'organizzazione.
Un ambiente di lavoro nel quale ogni attività può trasformarsi in un indicatore individuale rischia di condizionare i comportamenti delle persone anche quando nessuno sta effettivamente osservando quei dati.
E un modello organizzativo basato sulla sorveglianza permanente difficilmente può essere conciliato con l'autonomia che lo smart working dovrebbe promuovere.
La vera sfida non è controllare meglio, ma organizzare meglio
L'intelligenza artificiale offre opportunità straordinarie per migliorare la sicurezza dei sistemi, ridurre le attività ripetitive, supportare i processi decisionali e rendere più efficienti le organizzazioni.
Non esiste alcuna ragione per rinunciare a questi benefici. Esiste, invece, una ragione molto concreta per distinguere l'automazione utile dal controllo eccessivo.
Le aziende che sapranno utilizzare la tecnologia per facilitare il lavoro, valutando le persone sulla base di obiettivi comprensibili, responsabilità effettive e risultati, potranno costruire organizzazioni più solide e attrattive.
Quelle che continueranno a cercare nella quantità di dati raccolti una garanzia di produttività rischiano di riprodurre, con strumenti tecnologicamente sofisticati, modelli gestionali che appartengono al passato.
Il futuro del lavoro non dipenderà da quanto le aziende saranno capaci di osservare i propri dipendenti, ma da quanto saranno capaci di metterli nelle condizioni di lavorare bene.
Ed è una differenza che nessun algoritmo può decidere al posto loro.
Riferimenti normativi e istituzionali
.jpg)
.jpg)
.jpg)
.jpg)
.jpg)
.jpg)
.jpg)
.jpg)
.jpg)
.jpg)
.jpg)
.webp)
