Algoritmi e decisioni automatizzate sul lavoro: i diritti dei dipendenti secondo il GDPR nel 2026

L'uso di algoritmi nei processi di selezione, valutazione, monitoraggio e gestione del personale è ormai una realtà consolidata nelle imprese italiane ed europee. Software di recruiting che scremano i curriculum, sistemi di performance management che attribuiscono punteggi automatici, piattaforme di workforce scheduling che distribuiscono i turni senza intervento umano: tutto questo rientra nella categoria delle decisioni automatizzate sul lavoro, un fenomeno che il GDPR disciplina in modo preciso e che nel 2026 continua ad essere oggetto di attenzione crescente da parte delle autorità di controllo, incluso il Garante per la protezione dei dati personali italiano.

Questo articolo analizza il quadro normativo vigente, i diritti dei lavoratori, gli obblighi dei datori di lavoro e le implicazioni pratiche per chiunque utilizzi o subisca l'influenza di un sistema algoritmico nel rapporto di lavoro.

Cosa si intende per decisione automatizzata nel contesto lavorativo

L'articolo 22 del GDPR definisce la decisione basata unicamente sul trattamento automatizzato come quella che produce effetti giuridici o incide in modo analogo significativamente sulla persona fisica. Nel contesto del lavoro subordinato, rientrano in questa definizione:

• i sistemi di screening automatico dei candidati che escludono profili senza alcun intervento umano;
• gli algoritmi di valutazione delle prestazioni che determinano aumenti di stipendio, promozioni o sanzioni;
• i sistemi di controllo in tempo reale dei lavoratori delle piattaforme digitali che calcolano produttività e comportamento;
• i software di scheduling che assegnano turni, ferie e carichi di lavoro sulla base di parametri automatici;
• i modelli predittivi utilizzati per identificare i dipendenti a rischio di abbandono o candidati al licenziamento.

La distinzione rilevante ai fini normativi è tra decisione interamente automatizzata, in cui nessun essere umano valuta realmente il caso individuale, e decisione assistita da algoritmo, in cui lo strumento fornisce un supporto ma la scelta finale resta in capo a una persona. Come vedremo, questa distinzione ha conseguenze concrete sui diritti azionabili dal lavoratore.

Il quadro normativo di riferimento nel 2026

Il GDPR e l'articolo 22

Il GDPR, applicabile in Italia dal 25 maggio 2018, prevede all'articolo 22 che l'interessato abbia il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici o incida in modo analogo significativamente sulla sua persona. Questo diritto ammette tre eccezioni: la necessità per la conclusione o l'esecuzione di un contratto, la previsione da parte del diritto dell'Unione o dello Stato membro cui è soggetto il titolare, oppure il consenso esplicito dell'interessato.

Nel rapporto di lavoro, l'applicabilità dell'articolo 22 incontra alcune complessità. Il consenso del lavoratore, ad esempio, è in linea di principio inidoneo come base giuridica autonoma proprio perché il dipendente si trova in una posizione di debolezza strutturale rispetto al datore, come chiarito dalle linee guida dell'EDPB (European Data Protection Board). Questo significa che le aziende non possono semplicemente far firmare una liberatoria per legittimare sistemi decisionali automatizzati che incidono significativamente sul rapporto di lavoro.

Il Codice Privacy italiano e le specifiche nazionali

Il Decreto Legislativo 101/2018 ha adeguato il Codice Privacy al GDPR, introducendo o mantenendo alcune disposizioni specifiche per il contesto lavorativo. L'articolo 88 del GDPR consente agli Stati membri di stabilire norme più specifiche per il trattamento dei dati personali nel contesto occupazionale. In Italia, il Garante ha progressivamente affinato la propria posizione attraverso provvedimenti, pareri e linee guida che nel 2026 costituiscono un corpus di riferimento imprescindibile per i datori di lavoro.

L'AI Act europeo e la sua interazione con il GDPR

A partire dal 2 agosto 2026, molte disposizioni dell'AI Act (Regolamento UE 2024/1689) sono pienamente applicabili, comprese quelle relative ai sistemi di intelligenza artificiale ad alto rischio. L'Allegato III dell'AI Act classifica esplicitamente come ad alto rischio i sistemi AI utilizzati per l'assunzione o la selezione delle persone fisiche, per la valutazione delle prestazioni, la promozione, la rescissione dei contratti di lavoro e per il monitoraggio e la valutazione dei lavoratori. Ciò significa che tali sistemi, oltre agli obblighi GDPR, sono soggetti ai requisiti di conformità dell'AI Act: gestione del rischio, qualità dei dati, trasparenza, supervisione umana, robustezza e accuratezza. Per i datori di lavoro italiani che li utilizzano nella veste di deployer, ciò comporta obblighi concreti di valutazione, documentazione e informazione.

I diritti del lavoratore di fronte agli algoritmi

Diritto all'informazione e alla trasparenza

Il GDPR impone al titolare del trattamento di fornire all'interessato informazioni significative sulla logica utilizzata nel trattamento automatizzato, nonché l'importanza e le conseguenze previste. Nel contesto lavorativo, questo si traduce nell'obbligo di indicare nell'informativa privacy se vengono utilizzati sistemi automatizzati, quali dati alimentano tali sistemi, come funzionano nella loro logica di base e quali effetti possono produrre sul rapporto di lavoro.

Non è sufficiente un riferimento generico all'uso di strumenti informatici. L'informazione deve essere comprensibile, specifica e preventiva. Il lavoratore ha il diritto di sapere prima che una decisione venga adottata, non dopo.

Diritto di ottenere l'intervento umano

Nelle ipotesi in cui si applica l'articolo 22 del GDPR, ovvero quando la decisione è basata unicamente su trattamento automatizzato e produce effetti significativi, il lavoratore ha il diritto di ottenere l'intervento di una persona fisica da parte del titolare del trattamento. Questo diritto implica che qualcuno con effettiva capacità decisionale riesamini il caso, verifichi la correttezza del dato e possa modificare l'esito. Non è sufficiente una revisione meramente formale o un operatore che si limita a ratificare quanto suggerito dall'algoritmo senza alcun margine di autonomia.

Diritto di esprimere la propria opinione

Il lavoratore soggetto a una decisione automatizzata significativa ha il diritto di esprimere la propria opinione e di contestare la decisione. In pratica, deve esserci un canale reale attraverso cui il dipendente possa illustrare il proprio punto di vista, segnalare errori nei dati o nelle elaborazioni, e richiedere una rivalutazione.

Diritto di accesso ai dati e alla logica del trattamento

Il diritto di accesso previsto dall'articolo 15 GDPR comprende il diritto di ottenere informazioni sull'esistenza di processi decisionali automatizzati, compresa la profilazione, e informazioni significative sulla logica utilizzata, nonché l'importanza e le conseguenze previste di tale trattamento. Il lavoratore può dunque richiedere al datore di lavoro di illustrare come funziona l'algoritmo che lo riguarda, quali variabili prende in considerazione, come ponderano i diversi fattori e a quale esito hanno condotto nel suo caso specifico.

Gli obblighi del datore di lavoro

Valutazione d'impatto sulla protezione dei dati (DPIA)

L'articolo 35 GDPR impone la conduzione di una DPIA quando il trattamento, in particolare mediante l'uso di nuove tecnologie, è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche. L'impiego di sistemi algoritmici per la valutazione sistematica e su larga scala delle prestazioni dei lavoratori rientra certamente in questa categoria. La DPIA deve precedere l'avvio del trattamento, deve documentare i rischi identificati e le misure adottate per mitigarli, e in alcuni casi deve essere preceduta da una consultazione preventiva del Garante.

Informativa adeguata e trasparente

L'informativa privacy destinata ai dipendenti deve essere aggiornata e deve includere una descrizione chiara di ogni sistema decisionale automatizzato impiegato, della logica sottostante, delle categorie di dati trattati e degli effetti potenziali sul rapporto di lavoro. Un'informativa generica o priva di questi elementi è insufficiente e espone il datore di lavoro a sanzioni.

Minimizzazione dei dati e limitazione delle finalità

Gli algoritmi HR tendono a raccogliere un volume molto elevato di dati sui lavoratori: presenze, performance, interazioni, comportamenti digitali, movimenti fisici negli spazi aziendali, comunicazioni professionali e molto altro. Il GDPR impone che i dati trattati siano adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati. Il datore di lavoro deve quindi chiedersi, per ogni dato che alimenta il sistema, se sia realmente necessario e proporzionato allo scopo.

Supervisione umana effettiva e non meramente formale

Come anticipato, la semplice previsione di un "intervento umano" non basta. Le autorità di controllo europee hanno chiarito che la supervisione umana deve essere sostanziale: la persona fisica deve avere la competenza, le informazioni e il potere di discostarsi dall'indicazione algoritmica. Strutturare sistemi in cui il responsabile delle risorse umane si limita a cliccare su "conferma" senza reale possibilità di revisione non soddisfa il requisito normativo.

Il caso dei lavoratori delle piattaforme digitali

I rider, i driver e più in generale i lavoratori che operano tramite piattaforme digitali si trovano in una situazione peculiare: il loro intero rapporto di lavoro è mediato dall'algoritmo, che decide chi lavorare, quando, dove, a quale tariffa e se continuare il rapporto. La Direttiva UE 2024/2831 sul lavoro nelle piattaforme digitali, che gli Stati membri dovranno recepire entro 2026, introduce specifiche garanzie in materia di trasparenza algoritmica e introduce una presunzione di subordinazione per molti di questi lavoratori. In combinazione con il GDPR e l'AI Act, si configura un sistema di protezione rafforzata che le piattaforme sono tenute a rispettare.

Le sanzioni e i casi concreti

Le violazioni delle norme in materia di decisioni automatizzate e trattamento dei dati nel contesto lavorativo possono comportare sanzioni amministrative fino a 20 milioni di euro o al 4% del fatturato annuo mondiale dell'impresa. Il Garante italiano ha già irrogato sanzioni significative in materia di controllo dei lavoratori tramite sistemi tecnologici e di trattamento illecito di dati personali nel rapporto di lavoro. Nel 2026, con l'entrata in vigore piena dell'AI Act, il quadro sanzionatorio si arricchisce di ulteriori livelli, con autorità di vigilanza designate per l'applicazione delle norme AI che si affiancano alle autorità per la protezione dei dati.

Come tutelare i propri diritti: guida pratica per il lavoratore

Se un lavoratore ritiene di essere stato oggetto di una decisione algoritmicamente determinata che ha inciso negativamente sul suo rapporto di lavoro, può:

1. Richiedere al datore di lavoro, tramite il proprio delegato sindacale o direttamente, una copia dell'informativa privacy aggiornata e delle informazioni relative ai sistemi decisionali automatizzati impiegati.
2. Esercitare il diritto di accesso ai propri dati personali e alle informazioni sulla logica del trattamento ai sensi dell'articolo 15 GDPR, mediante richiesta scritta al datore di lavoro.
3. Richiedere formalmente l'intervento umano, la possibilità di esprimere la propria opinione e di contestare la decisione.
4. In caso di rifiuto o risposta inadeguata, presentare un reclamo al Garante per la protezione dei dati personali.
5. Valutare con il proprio legale l'impugnazione della decisione in sede giuslavoristica, laddove la decisione abbia determinato conseguenze sul rapporto di lavoro (licenziamento, demansionamento, mancata promozione).

FAQ: domande frequenti su algoritmi, lavoro e GDPR

Un'azienda può licenziare un dipendente in base a una valutazione algoritmica?

No, non in modo completamente automatizzato. La decisione di licenziamento, che è l'effetto giuridico più grave sul rapporto di lavoro, non può essere assunta unicamente sulla base di un sistema automatizzato senza un reale intervento umano. Inoltre, deve rispettare tutte le garanzie previste dallo Statuto dei Lavoratori e dalla normativa giuslavoristica, indipendentemente dalle indicazioni algoritmiche.

Il consenso del dipendente è sufficiente a legittimare l'uso di sistemi algoritmici HR?

In linea di principio no, perché il GDPR riconosce che nel contesto lavorativo il consenso raramente può essere prestato liberamente a causa del rapporto di dipendenza. Le basi giuridiche più adeguate sono l'esecuzione del contratto di lavoro e il rispetto di obblighi legali, fermi restando i limiti sostanziali all'uso di sistemi automatizzati.

Il datore di lavoro deve spiegare come funziona l'algoritmo?

Deve fornire informazioni significative sulla logica del trattamento, il che non equivale necessariamente alla divulgazione del codice sorgente, ma implica una spiegazione comprensibile dei fattori considerati, del loro peso e delle conseguenze del trattamento sul dipendente.

I sistemi di monitoraggio della produttività rientrano nelle norme sulle decisioni automatizzate?

Dipende dall'uso che ne viene fatto. Un sistema che raccoglie dati sulla produttività e li usa per produrre classifiche, punteggi o valutazioni che incidono su promozioni, premi o misure disciplinari rientra nell'ambito applicativo dell'articolo 22 GDPR quando tali decisioni derivano unicamente dall'elaborazione automatica.

Cosa cambia con l'AI Act per i datori di lavoro nel 2026?

I sistemi AI utilizzati per la selezione, la valutazione, la promozione e il monitoraggio dei lavoratori sono classificati ad alto rischio. I datori di lavoro che li usano come deployer devono garantire supervisione umana, condurre valutazioni di conformità, tenere registrazioni e informare i lavoratori dell'uso di tali sistemi, in coordinamento con gli obblighi già previsti dal GDPR.

Conclusioni

Il GDPR non è uno strumento astratto: nel 2026 è la principale difesa giuridica dei lavoratori di fronte all'espansione degli algoritmi nelle risorse umane. Garantisce trasparenza, richiede la supervisione umana effettiva, attribuisce diritti azionabili e impone sanzioni significative alle aziende che lo violano. Per i datori di lavoro, la compliance non è un'opzione accessoria ma un obbligo concreto che richiede un approccio sistematico, dalla DPIA alla formazione dei responsabili HR, dalla revisione delle informative all'audit periodico dei sistemi impiegati.

Avvocati giuslavoristi e consulenti del lavoro che devono orientarsi in questo scenario in rapida evoluzione hanno bisogno di strumenti aggiornati e affidabili. IUS AI mette a disposizione un database di oltre 100.000 sentenze ricercabili con intelligenza artificiale, strumenti di generazione documentale e assistenza legale in tempo reale.

Prova IUS AI gratuitamente su https://i-us.ai/auth/sign-up e porta il tuo studio o la tua attività di compliance verso gli standard del 2026.