Premessa

L’ingresso dell’AI generativa nei processi aziendali non pone soltanto questioni di efficienza o protezione dei dati: può aprire anche un problema tipicamente lavoristico, quello della compatibilità con le norme sul controllo dei dipendenti, ogniqualvolta i sistemi utilizzati consentano di raccogliere informazioni sull’attività del lavoratore.

Prompt, output generati, cronologia delle richieste, log di accesso: sono alcuni dei dati che l’AI generativa produce e che possono restituire un quadro molto dettagliato dell’attività del dipendente.

Il Ministero del lavoro, con le Linee guida sull’implementazione dell’AI nel mondo del lavoro (D.M. 17 dicembre 2025, n. 180), ha chiarito che il tema va letto alla luce del pieno mantenimento in vigore dell’art. 4 della legge 300/1970 (Statuto dei lavoratori).

Strumento di lavoro o strumento di controllo: conta la funzione effettiva

La norma distingue tra

• strumenti dai quali possa derivare un controllo a distanza dell’attività dei lavoratori, soggetti alle garanzie del comma 1, e
• strumenti utilizzati dal dipendente per rendere la prestazione, disciplinati dal comma 2.

La giurisprudenza ha consolidato un criterio funzionale: rileva la finalità che l’applicativo assume nell’organizzazione aziendale, non la sua natura tecnica.

La Suprema Corte ha qualificato la chat aziendale come strumento di lavoro ex art. 4, comma 2, in quanto destinata alle comunicazioni di servizio e funzionale alla prestazione, senza che rilevi l’uso privato occasionale del dipendente (Cass. Sez. Lav. 22 settembre 2021, n. 25731; Cass. 11 dicembre 2025, n. 32283).

Un sistema di AI generativa utilizzato per redigere testi, sintetizzare documenti o tradurre contenuti rientra, in linea di principio, tra gli strumenti di lavoro.

La situazione cambia quando la piattaforma è configurata

• per produrre report individuali,
• monitorare sistematicamente le interazioni o
• confrontare le performance degli utenti.

Lo strumento assume allora anche una funzione di controllo e, senza accordo sindacale o autorizzazione dell’Ispettorato del lavoro, i dati raccolti rischiano l’inutilizzabilità anche a fini disciplinari, come già affermato in materia di impianti audiovisivi (Cass. 24 novembre 2025, n. 30822).

AI per la prestazione: l’informazione preventiva non è un adempimento formale

Anche quando l’AI è qualificabile come strumento di lavoro, il tema dei controlli non scompare: l’art. 4, comma 3, subordina l’utilizzabilità delle informazioni raccolte all’adeguata informazione del lavoratore sulle modalità d’uso degli strumenti e di effettuazione dei controlli, nel rispetto della disciplina privacy.

La Cassazione ha ritenuto l’informativa idonea ove la policy, pubblicata sull’intranet e richiamata nel contratto di assunzione, specificasse i sistemi oggetto di controllo e l’avvertenza espressa della possibile utilizzazione disciplinare delle conversazioni (Cass. n. 32283/2025).

Per l’AI generativa una formula generica contenuta nella tradizionale IT policy difficilmente è sufficiente: l’impresa dovrebbe:

• indicare quali sistemi possono essere utilizzati,
• se vengono conservati prompt e output,
• chi può accedere ai log,
• per quanto tempo e
• con quali finalità,

così da mettere il dipendente in condizione di comprendere in anticipo anche quali controlli possano essere effettuati.

Controlli difensivi: il fondato sospetto come argine all’uso indiscriminato dei log

Un ulteriore scenario riguarda la consultazione dei log dell’AI quando emerge il sospetto di un illecito del dipendente, si pensi al lavoratore che abbia inserito in un sistema pubblico informazioni riservate dell’impresa o segreti commerciali.

La giurisprudenza distingue i controlli generalizzati, soggetti all’art. 4, dai controlli difensivi in senso stretto, diretti all’accertamento di specifiche condotte illecite riconducibili, sulla base di concreti indizi, a singoli dipendenti: questi restano legittimi solo se mirati, attuati ex post rispetto all’insorgenza del fondato sospetto e limitati ai dati raccolti successivamente (Cass. 22 settembre 2021, n. 25732; Cass. 26 giugno 2023, n. 18168).

Grava sul datore l’onere di provare le circostanze specifiche che hanno determinato l’attivazione del controllo, con elementi indiziari materiali e riconoscibili, non espressione di un mero convincimento soggettivo; in difetto, il licenziamento fondato sui dati acquisiti è illegittimo (Cass. 24 aprile 2025, n. 10822).

Ne consegue l’opportunità di procedure che stabiliscano quando e con quali modalità possano essere consultati i log dell’AI, evitando che una raccolta preventiva e indiscriminata di dati si trasformi, in un secondo momento, in una presunta prova di abuso.

AI Act e AI literacy

Il quadro si completa con l’AI Act (Reg. UE 2024/1689), che riserva particolare attenzione ai sistemi utilizzati nell’ambito del lavoro quando intervengono in attività di monitoraggio, valutazione o decisione riguardanti i lavoratori, e con l’art. 4 del regolamento, dedicato all’AI literacy: formare i dipendenti e informarli sui controlli non sono due temi separati, ma due presidi della stessa strategia di compliance.

La checklist per le aziende

L’introduzione dell’AI generativa in azienda richiede un approccio strutturato, articolato su almeno sei punti di verifica.

1. Mappatura dei sistemi e dei dati. L’impresa dovrebbe censire i sistemi di AI generativa effettivamente utilizzati, anche al di fuori di quelli ufficialmente autorizzati, e i dati che essi producono: prompt, output, cronologie, log di accesso e metadati.

2. Qualificazione dello strumento. Occorre verificare se il sistema svolga una funzione soltanto operativa o presenti funzionalità idonee al controllo dell’attività lavorativa, come report individuali, scoring, ranking o confronti tra performance.

3. Regolarizzazione delle funzioni di controllo. Se lo strumento ricade nel comma 1 dell’art. 4, il datore di lavoro deve acquisire, prima dell’attivazione, l’accordo sindacale o l’autorizzazione dell’Ispettorato del lavoro.

4. Aggiornamento di policy e informativa. Le policy aziendali dovrebbero specificare gli strumenti autorizzati, gli usi consentiti e vietati, la conservazione di prompt e output, i soggetti che possono accedere ai log, la durata della conservazione e le finalità di utilizzo, così che il dipendente comprenda in anticipo anche quali controlli possano essere effettuati.

5. Procedura per i controlli difensivi. È opportuno predisporre in anticipo le modalità con cui, in presenza di un fondato sospetto, i log dell’AI possono essere consultati, rispettando i requisiti di specificità e posteriorità richiesti dalla giurisprudenza.

6. Formazione e AI literacy. Il programma di formazione dovrebbe rendere i dipendenti consapevoli dei rischi degli output, delle informazioni registrate sull’utilizzo e delle categorie di dati che non possono essere caricate sulle piattaforme.

Particolare attenzione, infine, alle funzionalità di analytics dei fornitori: spesso il rischio non nasce dall’AI in sé, ma dall’attivazione di opzioni accessorie che permettono di osservare e valutare in modo sempre più dettagliato il comportamento digitale dei lavoratori.

Fonti giurisprudenziali

• Corte di Cassazione, Sez. Lav., sentenza n. 32283/2025 dell’11 dicembre 2025

• Corte di Cassazione, sentenza n. 30822/2025 del 24 novembre 2025