Prompt, output generati, cronologia delle richieste, log di accesso, tempi e frequenza di utilizzo: sono alcuni dei dati raccolti dai sistemi di intelligenza artificiale generativa suscettibili di restituire un quadro molto dettagliato dell’attività svolta dal lavoratore.

La problematica prescinde dal fatto che il software venga presentato come “strumento di intelligenza artificiale” in sé; contano le caratteristiche concrete dell'applicativo utilizzato e, soprattutto, le possibilità di controllo che esso offre al datore di lavoro.

In tal senso, l’art. 4 dello Statuto del lavoratori (L.300/1970) distingue, in estrema sintesi, tra:

• gli strumenti dai quali possa derivare un controllo a distanza dell’attività dei lavoratori;
• gli strumenti utilizzati dal dipendente per rendere la prestazione lavorativa.

La distinzione è particolarmente rilevante nel caso dell’AI generativa, un applicativo utilizzato per redigere testi, sintetizzare documenti, tradurre contenuti o supportare un’attività professionale può rientrare, in linea di principio, tra gli strumenti di lavoro.

Necessità di un assessment specifico

Ma la situazione cambia quando lo stesso sistema è configurato per produrre report individuali, monitorare sistematicamente le interazioni, confrontare le performance degli utenti o generare indicatori relativi al comportamento del personale. In questi casi, lo strumento non è più soltanto funzionale all’esecuzione della prestazione: può diventare anche un mezzo attraverso il quale il datore di lavoro acquisisce informazioni sull’attività del dipendente.

È quindi la configurazione concreta del sistema a diventare decisiva: la medesima piattaforma di AI può essere uno strumento operativo in un’impresa e assumere una funzione di controllo in un’altra, a seconda dei dati raccolti, delle funzionalità attivate e degli utilizzi che il datore intende fare delle informazioni:

• il testo dei prompt può mostrare quali attività il dipendente sta svolgendo, quali problemi sta cercando di risolvere o quali documenti sta preparando;
• gli output possono ricostruire il contenuto del lavoro svolto;
• i metadati possono indicare orari, frequenza e durata delle interazioni.

Se tali informazioni vengono associate al singolo lavoratore, l’impresa può arrivare a ricostruirne modalità operative, produttività e comportamento digitale.

Il problema diventa ancora più delicato quando il sistema produce automaticamente scoring, classificazioni, alert o inferenze. In questo caso non si tratta più soltanto di registrare ciò che il dipendente ha fatto, ma anche di attribuirgli caratteristiche o valutazioni ricavate attraverso il sistema.

È su questo terreno che la disciplina lavoristica si intreccia con quella sulla protezione dei dati e, nei casi previsti, con il quadro introdotto dall’AI Act (Reg. UE 1689/2024).

AI per la prestazione lavorativa

Anche quando l’AI generativa è qualificabile come strumento utilizzato per rendere la prestazione lavorativa, il tema dei controlli non scompare.

L’art. 4 c. 3 L. 300/1970 dello Statuto stabilisce infatti che le informazioni raccolte tramite gli strumenti possono essere utilizzate ai fini connessi al rapporto di lavoro a condizione che al lavoratore sia stata fornita adeguata informazione sulle modalità d’uso degli strumenti e di effettuazione dei controlli, nel rispetto della disciplina in materia di protezione dei dati personali.

Per l’AI generativa, una formula generica contenuta nella tradizionale IT policy potrebbe non essere sufficiente. L’impresa dovrebbe spiegare in maniera comprensibile quali sistemi possono essere utilizzati, quali informazioni vengono registrate, se vengono conservati prompt e output, chi può accedere ai log, per quanto tempo essi vengono mantenuti e per quali finalità possono essere consultati.

Particolarmente delicato è il possibile utilizzo di queste informazioni a fini disciplinari, infatti, il dipendente dovrebbe essere posto nella condizione di comprendere in anticipo non soltanto come utilizzare lo strumento, ma anche quali controlli possano essere effettuati sull’utilizzo dello stesso.

Per questo motivo, l’introduzione dell’AI generativa rende opportuna una revisione delle policy aziendali. Una semplice clausola con cui l’impresa si riserva genericamente la possibilità di effettuare controlli rischia di essere inadeguata rispetto alla quantità e alla qualità delle informazioni generate dai nuovi sistemi.

AI per il monitoraggio dell'attività

Non tutti gli strumenti di AI generativa possono essere automaticamente ricondotti alla categoria degli strumenti di lavoro. Infatti, se il sistema viene configurato per realizzare un monitoraggio organizzato e continuativo del personale – attraverso dashboard individuali, ranking, sistemi di scoring, indicatori di performance o analisi sistematiche dei comportamenti – può entrare in gioco il comma 1 dell’art. 4, con la conseguente necessità di valutare l’applicazione delle garanzie previste dalla norma.

L’elemento da osservare è la funzione effettivamente svolta dalla tecnologia, un sistema introdotto per aiutare un dipendente a predisporre un documento è cosa diversa da un sistema attraverso il quale l’azienda registra e analizza stabilmente quante richieste vengono effettuate, quanto tempo viene impiegato, quali risultati vengono prodotti e come le performance di un lavoratore si confrontano con quelle dei colleghi. Di fronte a strumenti così flessibili, una valutazione preventiva della configurazione tecnica diventa quindi essenziale anche sotto il profilo lavoristico.

AI nei controlli difensivi

Un ulteriore scenario riguarda l’utilizzo dei dati dell’AI generativa quando emerge il sospetto di un comportamento illecito del dipendente, si pensi al caso in cui un lavoratore abbia inserito in un sistema pubblico informazioni riservate dell’impresa, segreti commerciali, dati di clienti o documenti che non avrebbero dovuto essere caricati sulla piattaforma.

La presenza di un illecito può certamente rendere necessario un accertamento, tuttavia, la disciplina dei cd. controlli difensivi non consente di trasformare qualsiasi raccolta preventiva e indiscriminata di dati in un controllo legittimo soltanto perché, in un secondo momento, è sorto un sospetto. La giurisprudenza distingue infatti i controlli generalizzati da quelli mirati nei confronti di uno specifico lavoratore sulla base di elementi concreti. Per le imprese, ciò suggerisce l’opportunità di predisporre procedure specifiche che stabiliscano quando e con quali modalità possano essere consultati i log dell’AI in presenza di un sospetto di abuso.

Cosa dice l'AI Act

L’AI Act attribuisce particolare attenzione ai sistemi utilizzati nell’ambito del lavoro quando questi intervengono in attività di monitoraggio, valutazione o decisione riguardanti i lavoratori.

Accanto a questi profili assume rilievo anche l’art. 4 dell’AI Act, dedicato all’AI literacy. La disposizione richiede a provider e deployer di adottare misure volte ad assicurare, per quanto possibile, un livello sufficiente di alfabetizzazione in materia di AI del personale e delle altre persone che utilizzano i sistemi per loro conto.

Per le imprese, formazione e controllo non sono quindi due temi separati: una policy sull’AI generativa difficilmente può funzionare se i dipendenti non comprendono, ad esempio, perché determinati documenti non possano essere caricati su una piattaforma, quali rischi derivino dagli output generati dal sistema o quali informazioni sull’utilizzo dello strumento possano essere registrate.

AI in azienda: una checklist per la compliance

L’introduzione di strumenti di AI generativa dovrebbe essere accompagnata:

• innanzitutto, da una mappatura delle tecnologie utilizzate e dei dati prodotti durante il loro utilizzo;
• l’impresa dovrebbe poi verificare se il sistema svolga esclusivamente una funzione operativa o se presenti anche funzionalità suscettibili di consentire un controllo dell’attività lavorativa;
• occorre inoltre aggiornare le policy aziendali, specificando gli strumenti autorizzati, gli utilizzi consentiti e vietati, la gestione dei log, le modalità di conservazione dei dati e gli eventuali controlli.
• a ciò dovrebbe accompagnarsi una verifica dell’effettiva conoscenza delle regole da parte dei lavoratori e un programma di formazione coerente con gli obblighi di AI literacy.
• infine, particolare attenzione dovrebbe essere dedicata alle funzionalità di analytics e monitoraggio messe a disposizione dai fornitori. In molti casi, infatti, il rischio non nasce dall’utilizzo dell’AI in sé, ma dall’attivazione di funzionalità accessorie che permettono al datore di lavoro di osservare e valutare in modo sempre più dettagliato il comportamento degli utenti.