Monitoraggio uso AI dipendenti e Statuto dei Lavoratori

Il monitoraggio dell'uso dell'AI da parte dei dipendenti è la raccolta di dati su quali strumenti generativi vengono usati, in quali reparti e con quale intensità, con l'obiettivo di capire se gli investimenti in licenze e formazione producono adozione. È legittimo come obiettivo organizzativo, ma tocca due ambiti normativi: l'art. 4 dello Statuto dei Lavoratori (Legge 20 maggio 1970, n. 300) sul controllo a distanza e il GDPR (Regolamento (UE) 2016/679) sul trattamento dei dati personali. Quanto segue è informativo e non sostituisce un parere legale: il perimetro va validato con il consulente legale e con le rappresentanze dei lavoratori.

Perché misurare l'uso dell'AI senza controllare le persone?

Un'azienda che acquista licenze di assistenti generativi deve sapere se vengono usate, altrimenti non può decidere su rinnovi, formazione e priorità. Nell'adozione dell'AI la domanda è sul processo e sul reparto: dove l'AI è entrata nel lavoro, dove no, e perché.

Il controllo del singolo risponde a una domanda diversa e ne crea di nuove: chi usa meno, chi usa troppo, chi scrive cosa. Oltre ai rischi giuridici, produce un effetto pratico noto a chi si occupa di cambiamento: le persone cominciano a usare gli strumenti per essere viste, oppure a evitarli o ad aggirarli con account personali, e i dati peggiorano. Il principio di Delphis è netto: i dati sulle persone restano sempre aggregati per ruolo o reparto.

Che cosa prevede l'art. 4 dello Statuto dei Lavoratori?

L'art. 4 disciplina gli impianti audiovisivi e gli altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell'attività dei lavoratori. In sintesi, e senza pretesa di esaustività:

• tali strumenti possono essere impiegati per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale;
• l'installazione richiede, in via ordinaria, un accordo con le rappresentanze sindacali, oppure un'autorizzazione dell'autorità amministrativa competente quando l'accordo manca;
• la norma tratta in modo distinto gli strumenti utilizzati dal lavoratore per rendere la prestazione, per i quali sono previste regole proprie;
• le informazioni raccolte sono utilizzabili per fini connessi al rapporto di lavoro solo se al lavoratore è data adeguata informazione sulle modalità d'uso e di effettuazione dei controlli, nel rispetto della disciplina sulla protezione dei dati.

La qualificazione di un assistente generativo, o della sua console di amministrazione, rispetto a queste categorie non è automatica. Dipende da che cosa effettivamente raccoglie, a quale livello di dettaglio e con quali finalità. È una valutazione da fare con il consulente del lavoro e con il legale, prima dell'attivazione.

Quali dati si possono raccogliere e a quale livello di dettaglio?

Il criterio guida è la finalità: misurare l'adozione, non sorvegliare l'attività. Le console di amministrazione dei fornitori espongono, in misura diversa, dati di utilizzo. Non tutto ciò che è disponibile è anche opportuno raccoglierlo.

Dati di norma coerenti con la finalità, se aggregati:

• numero di utenti attivi per reparto o ruolo in un periodo;
• frequenza media d'uso per gruppo, non per persona;
• distribuzione dell'uso tra strumenti diversi, utile per la razionalizzazione delle licenze;
• licenze assegnate e mai attivate, trattate come dato di inventario;
• esiti di questionari anonimi o aggregati sull'utilità percepita.

Dati da non raccogliere, o da escludere in partenza:

• il contenuto di prompt, conversazioni e file dei singoli utenti;
• cronologie d'uso nominative con orari e durate;
• classifiche o confronti tra colleghi;
• qualsiasi indicatore usato per valutare produttività, merito o disciplina.

Come si applica il GDPR a questo monitoraggio?

Anche i dati di utilizzo, se riferibili a un utente identificabile, sono dati personali. Vanno quindi rispettati i principi dell'art. 5 del GDPR: liceità, correttezza e trasparenza, limitazione delle finalità, minimizzazione, limitazione della conservazione.

Nella pratica:

1. Base giuridica. Va individuata ai sensi dell'art. 6 e documentata. Nei rapporti di lavoro il consenso è raramente adatto, per lo squilibrio tra le parti: la scelta va condivisa con il DPO.
2. Informativa. Gli artt. 13 e 14 impongono di informare i lavoratori su finalità, categorie di dati, destinatari e tempi di conservazione.
3. Minimizzazione e aggregazione. Se l'obiettivo è statistico, il dato nominativo non serve oltre la fase tecnica di raccolta e va trasformato quanto prima in dato aggregato.
4. Valutazione d'impatto. Se il monitoraggio riguarda molti lavoratori e può incidere su di loro, il DPO valuta se serve una DPIA ai sensi dell'art. 35.
5. Ruolo del fornitore. Il fornitore dello strumento agisce di norma come responsabile ai sensi dell'art. 28: il contratto va verificato. Approfondimenti nell'articolo su GDPR e AI generativa in azienda.

Come coinvolgere le rappresentanze sindacali?

Il coinvolgimento dei sindacati non è una formalità da chiudere a posteriori. Un confronto aperto prima dell'attivazione serve a tre cose: stabilire quali dati si raccolgono e quali no, concordare le garanzie sull'uso, e costruire fiducia, senza la quale l'adozione stessa rallenta.

Un percorso ragionevole, da adattare alla realtà aziendale e da validare con il consulente:

1. Preparare una descrizione scritta del progetto: finalità, dati, livello di aggregazione, soggetti con accesso, conservazione.
2. Presentarla alle rappresentanze (RSU o RSA, secondo il caso) prima di attivare la raccolta.
3. Verificare con il legale se l'art. 4 richieda un accordo o un'autorizzazione per gli strumenti coinvolti.
4. Formalizzare gli impegni, tra cui il divieto di uso disciplinare e di valutazione individuale.
5. Prevedere una revisione periodica con le stesse rappresentanze, in particolare quando cambiano strumenti o funzioni.

Che cosa comunicare ai dipendenti?

La trasparenza è insieme obbligo e leva di adozione. Le persone devono sapere cosa viene misurato, perché, a quale livello di aggregazione, chi vede i dati e per quanto tempo si conservano. La comunicazione dovrebbe dire anche ciò che non viene fatto: nessun accesso ai contenuti, nessuna analisi individuale, nessun uso nelle valutazioni.

Questa comunicazione si integra con la policy AI aziendale e con i percorsi di formazione, richiesti anche dall'art. 4 dell'AI Act (Regolamento (UE) 2024/1689) in materia di alfabetizzazione, applicabile dal 02/02/2025: vedi AI literacy e formazione. Per il calendario degli altri obblighi dell'AI Act conviene verificare gli aggiornamenti. Se l'AI viene usata per decisioni sui lavoratori, la classificazione per livelli di rischio dell'AI Act va esaminata a parte.

Che cosa evitare nel monitoraggio dell'uso dell'AI?

• Dashboard nominative accessibili a responsabili di linea o HR.
• Uso dei dati per la valutazione della performance, per incentivi o per provvedimenti disciplinari.
• Raccolta dei contenuti di prompt e conversazioni, che oltre ai rischi giuridici espone a dati personali di terzi.
• Finalità vaghe ("migliorare l'efficienza") non dichiarate né documentate.
• Soglie minime d'aggregazione assenti: un reparto di due persone, di fatto, identifica gli individui.
• Attivazione prima del confronto con consulente e rappresentanze.
• Raccolta indiscriminata di tutto ciò che la console rende disponibile.

Dove si colloca Delphis

Delphis è una piattaforma indipendente dai fornitori di AI che collega spesa, adozione, impatto e obblighi normativi. Per l'adozione, raccoglie i dati di utilizzo dei diversi strumenti e li presenta aggregati per ruolo e reparto, senza valutazioni dei singoli. La mappatura normativa aiuta a capire obblighi e gap, ma non è un parere legale: il perimetro del monitoraggio resta da validare con legale e rappresentanze. Vedi la pagina Adozione e ROI.

Fonti

• GDPR, Regolamento (UE) 2016/679
• AI Act, Regolamento (UE) 2024/1689