Semaforo rosso deI Garante Privacy sulla sentiment analysis da intelligenza artificiale.

Il Garante per la protezione dei dati personali è intervenuto, con il provvedimento n. 342 del 14 maggio scorso, in merito al dibattito in piena attualità che lega strumenti di misurazione delle performance e dell’organizzazione aziendale ed i più moderni sistemi basati sull’intelligenza artificiale applicata alla sfera psicologica dei dipendenti. Secondo molti osservatori il provvedimento rappresenta una presa di posizione e di coscienza molto precisa e traccia una linea di confine invalicabile tra l’ottimizzazione dei processi aziendali e l’inviolabilità della sfera emotiva della persona.

La vicenda

La vicenda giuridica in esame trae origine da una serie di notizie giornalistiche apparse sui mezzi di informazione, a seguito delle quali l’Autorità Garante ha ritenuto necessario avviare d’ufficio specifici accertamenti ispettivi nei confronti di una start-up italiana che prometteva di combinare tecnologia avanzata e competenze umane in un processo di rivoluzione, per migliorare il benessere mentale all’interno delle imprese.

L’attenzione dell’organo di controllo si è focalizzata sulle attività di trattamento eseguite grazie all’utilizzo di un innovativo sistema progettato per essere integrato all’interno delle più diffuse piattaforme di messaggistica aziendale, come Slack e Microsoft Teams. Il sistema si basava su un plug-in informatico, vale a dire un programma non autonomo che interagisce con un altro programma per ampliarne o estenderne le funzionalità originarie, basato su quella che è definita sentiment analysis.

AI e sentiment analysis

Questo tipo elaborazione attua in maniera automatizzata una analisi della semantica dei messaggi testuali scambiati dai dipendenti, al fine di valutarne i parametri di stress. Gli accertamenti ispettivi, tenuti nel mese di giugno del 2025, hanno preso atto che la commercializzazione si era limitata a una sola azienda cliente.

La società, a difesa del proprio progetto, ha rivendicato come l’architettura tecnica predisposta fosse stata pensata per arginare i rischi di violazione della normativa sulla riservatezza. Ha inoltre escluso che le imprese o gli enti clienti potessero avere alcun tipo di accesso diretto ai dati personali o ai contenuti testuali dei messaggi scambiati dai dipendenti. Nelle intenzioni della start-up, il software operava mediante un modello di intelligenza artificiale che esaminava i testi in background e, dopo aver elaborato la risposta e i parametri di stress, procedeva alla cancellazione dei dati di elaborazione, conservando esclusivamente dati anonimi riguardanti l’utilizzo e le valutazioni complessive.

La difesa della società

Per rassicurare le aziende acquirenti e l’Autorità, era stato inoltre implementato un meccanismo di sicurezza tecnica basato su una soglia minima di popolazione statistica. Proprio per evitare il monitoraggio del singolo lavoratore, di singole articolazioni organizzative o dipartimenti ristretti, il report settimanale sul benessere lavorativo destinato al datore di lavoro si attiverebbe soltanto a seguito dell’avvio simultaneo del plug-in da parte di almeno dieci lavoratori all’interno dell’intera platea aziendale. La programmazione inibisce inoltre l’accesso ai report storici e la creazione di nuovi documenti qualora il numero di utenti attivi fosse sceso al di sotto di tale soglia matematica, proprio per scongiurare il pericolo di identificazione.

La base normativa del pronunciamento

L’Autorità si è trovata quindi ad affrontare una sfida ardua, quella di bilanciare da una parte l’autonomia nello sviluppo di applicativi tecnologici, dall’altra i principi fondamentali del diritto dell’Unione Europea e dell’ordinamento nazionale. A questo fine il Garante ha richiamato l’articolo 113 del Codice in materia di protezione dei dati personali, il quale vieta esplicitamente al datore di lavoro di effettuare indagini o raccogliere dati che non si riferiscano strettamente ne all’attitudine professionale ne allo svolgimento dell’attività lavorativa operativa.

Nella stessa direzione va l’articolo 8 dello Statuto dei Lavoratori, la cui violazione è presidiata da sanzioni di natura penale. Le informazioni sullo stato psicologico, i sentimenti o il livello di stress dei dipendenti rientrano indiscutibilmente tra i dati extralavorativi che non devono essere a disposizione del datore di lavoro.

Il regolamento EU sull’Intelligenza Artificiale

In aggiunta a ciò, e nella stessa direzione si pone l’articolo 5, paragrafo 1, lettera f) del Regolamento Europe sull’IA.  Nel testo è formalmente vietata l’immissione sul mercato e in generale l’uso di sistemi di intelligenza artificiale appositamente pensati per rivelare le emozioni di una persona fisica nell’ambito del luogo di lavoro e delle istituzioni educative. Il legislatore europeo ha infatti identificato questa tipologia di software come portatrice di un rischio inaccettabile per i diritti fondamentali, decidendo di bandirla radicalmente dal territorio dell’Unione. Il Garante ha chiarito che tale proibizione ricade direttamente sugli obblighi di progettazione dei produttori e dei fornitori di tecnologia, i quali sono tenuti ad applicare i principi di privacy by design e privacy by default sanciti dall’articolo 25 del GDPR.

L’inquadramento dell’AI Act o Legge sull’Intelligenza Artificiale, vale a dire il Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, ha quindi sancito il divieto assoluto di sistemi di inferenza delle emozioni sul posto di lavoro. L’Autorità Garante con questo pronunciamento ha connesso inscindibilmente la regolamentazione inerente la protezione dei dati con il nuovissimo impianto normativo europeo sui sistemi algoritmici, rilevando un contrasto insanabile tra le funzionalità di sentiment analysis emotiva e i divieti assoluti imposti dal legislatore europeo.

Il comunicato stampa del Garante

Superando il caso specifico, l’intervento del Garante ha voluto porsi anche in una posizione preventiva diffondendo un comunicato stampa il 28 maggio 2026. La tematica diviene così da specifica a generale, focalizzandosi sulla conformità intrinseca del modello tecnologico proposto e sui trattamenti dati che avrebbero dovuto eventualmente attivare i datori di lavoro acquirenti dell’ipotetico servizio. Il documento mette in risalto i rischi insiti nelle tecnologie capaci di analizzare surrettiziamente il linguaggio, le emozioni e i livelli di stress psicologico dei dipendenti. L’intelligenza artificiale deve rimanere uno strumento al servizio del benessere reale dell’essere umano, governato dal diritto e costantemente gestito in quanto a confini e regole, sempre nell’ottica di tutela del singolo individuo e dei suoi diritti fondamentali e universalmente riconosciuti. Le tutele del lavoratore non possono essere schiacciate dalla tecnologica soprattutto quando messa al servizio di finalità non troppo chiare.