Cosa dice il Garante Privacy e come le imprese devono governare l’AI
L’intelligenza artificiale non è più solo uno strumento per scrivere testi, creare immagini o automatizzare attività ripetitive. Sta entrando nei luoghi di lavoro, nei sistemi di comunicazione interna, nelle piattaforme aziendali e persino nei processi che riguardano il benessere dei dipendenti.
Il caso esaminato dal Garante Privacy italiano lo dimostra chiaramente: una società, Myndoor S.r.l., ha sviluppato un plug-in per Slack e Teams capace di analizzare semanticamente i messaggi dei lavoratori per rilevare il livello di stress psicologico. Il Garante ha inviato un avvertimento formale perché, pur prendendo atto di alcune misure adottate dalla società, ha rilevato il rischio che report aggregati possano mettere il datore di lavoro, anche indirettamente, nella condizione di conoscere informazioni sulla sfera emotiva dei dipendenti.
La questione è semplice, ma molto importante: l’IA può aiutare le persone, ma non può diventare uno strumento di sorveglianza psicologica sul lavoro.
Il provvedimento del Garante, datato 14 maggio 2026, riguarda il sistema Myndoor, un plug-in progettato per funzionare all’interno di piattaforme di messaggistica aziendale come Slack e Teams. Lo strumento analizza il linguaggio usato nei messaggi dei lavoratori e prova a dedurre parametri collegati allo stress psicologico.
Secondo quanto emerso nell’istruttoria, il servizio poteva essere acquistato da enti e imprese per essere messo a disposizione dei dipendenti. I lavoratori potevano scegliere se usarlo o meno, e la società ha dichiarato che il datore di lavoro non aveva accesso ai contenuti delle comunicazioni né ai risultati individuali. Tuttavia, in alcuni casi era prevista la possibilità di fornire all’azienda un report aggregato sui livelli di stress dei dipendenti, generato solo sopra una certa soglia numerica di utenti attivi.
Ed è proprio qui che nasce il problema.
Anche quando i dati sono presentati come aggregati, il rischio non scompare automaticamente. In una piccola azienda, in un reparto ristretto o in un contesto organizzativo molto riconoscibile, un’informazione apparentemente anonima può diventare indirettamente riconducibile a persone reali. Il Garante ha infatti evidenziato il rischio che i datori di lavoro possano arrivare, anche solo per inferenza, a conoscere dati relativi alla sfera emotiva dei propri dipendenti.
Non stiamo parlando di un dettaglio tecnico. Stiamo parlando di dati che toccano la persona, la sua salute, la sua fragilità, la sua condizione psicologica e il rapporto di fiducia con il datore di lavoro.
Il caso è importante perché mette insieme tre piani normativi: AI Act, GDPR e disciplina italiana sul lavoro.
Il primo riferimento è l’AI Act. L’articolo 5 vieta l’immissione sul mercato, la messa in servizio o l’uso di sistemi di IA destinati a inferire le emozioni di una persona fisica nei luoghi di lavoro e nelle istituzioni educative, salvo specifiche ragioni mediche o di sicurezza.
Questo significa che l’Europa ha tracciato una linea molto chiara: il lavoro non può diventare un laboratorio permanente di lettura emotiva dei dipendenti.
Il secondo riferimento è il GDPR. L’articolo 9 vieta, come regola generale, il trattamento di categorie particolari di dati personali, tra cui i dati relativi alla salute, salvo specifiche eccezioni e garanzie. Nel caso di strumenti che cercano di rilevare stress psicologico, benessere mentale o condizioni emotive, il rischio di entrare nell’area dei dati particolari è molto alto.
Il terzo riferimento è la normativa italiana a tutela della dignità dei lavoratori. Nel provvedimento, il Garante richiama il fatto che il datore di lavoro non può legittimamente acquisire o trattare informazioni sulla sfera emotiva del personale sulla base della normativa privacy, dello Statuto dei lavoratori e del Regolamento europeo sull’intelligenza artificiale.
Qui il punto non è solo “posso installare questo software?”. La domanda corretta è molto più profonda: questo strumento consente, direttamente o indirettamente, di osservare, classificare o dedurre aspetti intimi della persona che lavora?
Se la risposta è sì, l’impresa deve fermarsi prima dell’acquisto, non dopo il danno.
La tecnologia può essere presentata con un linguaggio rassicurante: benessere, prevenzione dello stress, supporto ai dipendenti, clima aziendale. Ma una tecnologia che analizza le emozioni dei lavoratori tocca un confine delicatissimo.
Il primo rischio è la violazione della dignità. Una persona non è solo produttività, performance, disponibilità e tono dei messaggi. Il modo in cui scrive in una chat aziendale può dipendere da mille fattori: stanchezza, contesto, urgenza, personalità, cultura, neurodivergenza, situazione familiare, salute, carico mentale. Ridurre tutto questo a un indicatore algoritmico di stress può essere pericoloso.
Il secondo rischio è la sorveglianza psicologica nascosta. Anche quando il lavoratore viene informato, il rapporto di forza tra dipendente e datore di lavoro non è mai neutro. In teoria l’adesione può essere volontaria; nella pratica, molte persone potrebbero sentirsi spinte ad accettare per non apparire poco collaborative.
Il terzo rischio è la discriminazione. Se un sistema segnala un gruppo come “stressato”, “fragile”, “negativo” o “a rischio”, quell’informazione potrebbe influenzare decisioni organizzative, promozioni, assegnazione di compiti, valutazioni o clima interno. Il Garante ha richiamato proprio i rischi legati a modelli linguistici e analisi semantica: opacità, scarsa verificabilità degli output, possibili effetti discriminatori e lesivi dei diritti dei lavoratori.
Il quarto rischio è la perdita di fiducia. Un’impresa che usa l’IA per “leggere” i dipendenti comunica, anche senza volerlo, un messaggio: non mi basta il tuo lavoro, voglio interpretare anche il tuo stato interiore.
Ed è qui che l’adozione dell’IA può fallire. Non perché la tecnologia sia inutile, ma perché viene introdotta senza cultura, senza regole e senza rispetto del confine umano.
