Con il provvedimento n. 342 del 14 maggio 2026, reso pubblico tramite comunicato stampa del 28 maggio, il Garante per la protezione dei dati personali ha avvertito Myndoor S.r.l., start-up italiana con sede a Rosate (Milano), che ha sviluppato un plug-in basato su intelligenza artificiale capace di analizzare i messaggi scambiati dai dipendenti su Slack e Microsoft Teams per misurarne il livello di stress psicologico. L'istruttoria era partita d'ufficio nel giugno 2025, a seguito di notizie di stampa che indicavano un possibile utilizzo del sistema anche presso enti della pubblica amministrazione.
Il provvedimento affronta un tema centrale per chiunque stia valutando l'adozione di strumenti di intelligenza artificiale per il controllo dei dipendenti: l'analisi delle emozioni dei lavoratori non rientra nella disponibilità del datore di lavoro, nemmeno quando il fornitore si presenta come titolare autonomo del trattamento e i dati vengono restituiti in forma aggregata. Una posizione che incrocia GDPR, Statuto dei Lavoratori e il divieto introdotto dall'AI Act in materia di emotion recognition.
🔍 Come funziona il plug-in Myndoor
Il sistema sviluppato da Myndoor è un componente aggiuntivo per Slack e Teams che applica tecniche di sentiment analysis al contenuto testuale dei messaggi scambiati dagli utenti durante l'attività lavorativa. L'algoritmo restituisce al singolo dipendente un indicatore del proprio livello di stress, con finalità dichiarate di benessere mentale, medicina preventiva e assistenza. Su richiesta dell'azienda cliente, il sistema produce inoltre un report settimanale aggregato sui livelli di stress complessivi del personale, generato solo qualora almeno dieci lavoratori abbiano attivato contemporaneamente il plug-in.
Nel corso dell'istruttoria la Società ha precisato di operare in qualità di titolare del trattamento, escludendo qualsiasi accesso del datore di lavoro ai dati individuali. L'attivazione del servizio avviene infatti tramite un identificativo univoco che, secondo Myndoor, non consente di risalire all'identità dei singoli interessati. Il report aggregato è stato effettivamente messo a disposizione di una sola azienda cliente.
⚖️ Perché il Garante ferma l'intelligenza artificiale che analizza i dipendenti
Il provvedimento articola un ragionamento che non si esaurisce nel singolo caso. Il Garante richiama un quadro normativo composito che esclude in radice la possibilità per il datore di lavoro di conoscere informazioni sulla sfera emotiva dei propri dipendenti, anche quando tali informazioni siano mediate da un fornitore terzo. La conformità sostanziale di un sistema di IA non si misura dunque solo sulla qualità delle misure tecniche, ma sulla compatibilità della finalità con il diritto del lavoro.
Le norme richiamate dall'Autorità si combinano in modo stringente:
- l'art. 113 del Codice Privacy vieta al datore di lavoro la raccolta di dati non pertinenti all'attività lavorativa, con rinvio all'art. 8 della legge 300/1970 (Statuto dei Lavoratori), la cui violazione è anche penalmente sanzionata
- l'art. 5 dello Statuto dei Lavoratori riserva al solo medico competente gli accertamenti sanitari sui dipendenti, escludendo iniziative autonome del datore di lavoro
- l'art. 88 del GDPR impone misure specifiche a tutela della dignità umana nei trattamenti in ambito lavorativo
- gli artt. 24 e 25 del GDPR impongono privacy by design e accountability fin dalla progettazione del sistema
🚫 Il divieto dell'AI Act sull'emotion recognition al lavoro
Il passaggio più significativo del provvedimento è il richiamo esplicito all'art. 5, par. 1, lett. f) del Regolamento UE 2024/1689 (AI Act), che vieta espressamente l'immissione sul mercato, la messa in servizio e l'uso di sistemi di IA destinati a inferire le emozioni di una persona fisica nell'ambito del luogo di lavoro. Si tratta di una pratica vietata in senso assoluto, applicabile dal 2 febbraio 2025, indipendentemente dal consenso dell'interessato e dalla qualità delle garanzie tecniche.
L'integrazione tra AI Act e GDPR è il vero baricentro del provvedimento. Il Garante chiarisce che le valutazioni sulla disattivazione di funzioni prive di base giuridica devono essere svolte dai produttori già in fase di progettazione: non è ammessa una commercializzazione che lasci al cliente finale la responsabilità di scegliere se attivare o meno funzioni vietate dall'ordinamento. Per i fornitori di soluzioni HR basate su IA, questo significa un onere di compliance by design che incide direttamente sull'architettura del prodotto.
🧩 Anche l'anonimato aggregato non basta
Un aspetto rilevante del provvedimento riguarda il rischio di re-identificazione. Anche se il report fornito al datore di lavoro contiene dati aggregati, in realtà organizzative di dimensioni ridotte o con caratteristiche peculiari del personale impiegato (dipartimenti specifici, gruppi omogenei) il dato aggregato può consentire inferenze sulle condizioni psicologiche di singoli dipendenti. Il Garante richiede perciò a Myndoor di adottare misure idonee a prevenire qualsiasi forma di messa a disposizione dei dati ai datori di lavoro, anche indiretta.
Lo stesso ragionamento si estende ai modelli di machine learning in generale. L'Autorità sottolinea che l'analisi semantica e i modelli linguistici producono inferenze non sempre prevedibili o controllabili, con problemi di interpretabilità e rischi di bias che possono tradursi in effetti discriminatori. Per questo le valutazioni sull'adozione di sistemi IA in contesti delicati devono includere robustezza del modello, qualità dei dati di addestramento, verificabilità degli output e controllo umano effettivo.
📌 Cosa devono verificare le aziende che usano strumenti IA in ambito HR
Il caso Myndoor offre indicazioni operative per qualsiasi organizzazione che stia valutando o già utilizzi strumenti basati su intelligenza artificiale nella gestione del personale. La presenza di un fornitore terzo che si qualifica come titolare autonomo del trattamento non esonera il datore di lavoro dalla responsabilità di verificare la liceità del servizio acquistato, soprattutto quando questo possa restituire informazioni — anche aggregate — sui propri dipendenti.
I punti di attenzione che emergono dal provvedimento sono diversi:
- verificare se il sistema rientra tra le pratiche vietate dall'art. 5 dell'AI Act, in particolare emotion recognition e categorizzazione biometrica
- esaminare la finalità dichiarata del trattamento e la sua compatibilità con il perimetro consentito al datore di lavoro
- valutare la possibilità concreta di re-identificazione dei dipendenti dai dati aggregati, in funzione della dimensione organizzativa
- aggiornare DPIA e registri dei trattamenti per i sistemi IA introdotti o in fase di adozione
- assicurare l'alfabetizzazione IA del personale ai sensi dell'art. 4 dell'AI Act, già obbligatoria
La distanza tra un sistema conforme e una pratica vietata si misura nelle scelte di progettazione e nella selezione dei fornitori, non nelle dichiarazioni di principio. La valutazione preventiva degli strumenti IA destinati ai processi HR — prima ancora dell'adozione — è oggi parte integrante del lavoro di chi presidia la governance privacy di un'organizzazione, insieme alla revisione delle DPIA esistenti e all'aggiornamento dei registri rispetto al perimetro dell'AI Act. Sul piano interno, riconoscere ciò che l'art. 5 vieta in modo assoluto richiede un livello di alfabetizzazione che non si esaurisce nell'adempimento dell'art. 4, ma si traduce in scelte quotidiane di chi decide quali strumenti introdurre e con quali finalità.
#sentimentanalysis #aiact #emotionrecognition #controllolavoratori #governanceai
