Rapporto di lavoro: per decidere serve l’AI, necessario il datore di lavoro

Con l’art. 41 del d.lgs. n. 179/2026 in tema di utilizzo dell’AI, la decisione sul rapporto di lavoro torna, per legge, a una persona, purché eserciti un potere «effettivo e autonomo» e non si limiti a firmare ciò che ha deciso l’algoritmo. Più che una replica dell’art. 22 del GDPR, la norma ne è la traduzione lavoristica, che trasforma un diritto dell’interessato in un obbligo organizzativo del datore di lavoro. La vera partita si giocherà dentro le imprese, dove la riserva di umanità potrà diventare una garanzia reale, oppure un adempimento di mera facciata.

Tra le disposizioni del d.lgs. 7 ottobre 2026, n. 179 (in vigore dal 23 ottobre), l’art. 41 è quella destinata, con ogni probabilità, a incidere più direttamente sulla vita delle imprese e dei lavoratori. Essa dà attuazione all’art. 11 della legge n. 132/2025 scegliendo la via della riserva di decisione umana, che non è nuova in assoluto, ma lo è nella sua declinazione lavoristica e, soprattutto, nella sanzione che la accompagna.Il primo comma dell’art. 41 del d.lgs. n. 179/2026 stabilisce che il datore di lavoro che si avvale di sistemi di IA «assicura» che le decisioni finali relative alla costituzione, alla modificazione o alla risoluzione del rapporto, ivi compresi i provvedimenti disciplinari e le valutazioni delle prestazioni, non siano adottate unicamente sulla base di un trattamento automatizzato. La decisione definitiva è «in ogni caso» riservata a una persona fisica che eserciti un potere effettivo e autonomo, e il consenso del lavoratore non vale a derogare al divieto. Il terzo comma dell’art. 41 del d.lgs. n. 179/2026 richiama i diritti di informazione individuali e sindacali dell’art. 1-bis del d.lgs. n. 152/1997 e riconosce al lavoratore il diritto a una motivazione intelligibile della decisione; il quarto comma dell’art. 41 del d.lgs. n. 179/2026 commina la nullità del licenziamento e di ogni altra decisione assunta in violazione del divieto.Per misurare la portata dell’art. 41 del d.lgs. n. 179/2026 non basta osservare che esso fa salvo l’art. 22 GDPR - regolamento (UE) 2016/679. Occorre mettere a confronto le due norme sui diversi piani in cui si articolano.La prima differenza riguarda la struttura. L’art. 22 è formulato come diritto dell’interessato di non essere sottoposto a una decisione basata unicamente su un trattamento automatizzato. A lungo ci si è chiesti se l’interessato dovesse attivarsi per farlo valere o se si trattasse di un divieto operante di per sé, e la Corte di giustizia, nella sentenza Schufa, 7 dicembre 2023, causa C-634/21, ha accolto la seconda lettura. L’art. 41 supera la questione alla radice, perché non attribuisce un diritto al lavoratore, ma pone un obbligo in capo al datore di lavoro, che «assicura» la riserva di decisione umana. Il presidio non dipende più dall’iniziativa del singolo e diventa un requisito dell’organizzazione.In secondo luogo, è diverso l’ambito oggettivo d’applicazione. L’art. 22 riguarda qualunque decisione che produca effetti giuridici o incida in modo analogo significativamente sulla persona, formula ampia ma incerta nei confini. L’art. 41 individua invece tipologie precise di decisioni, quelle relative alla costituzione, alla modificazione e alla risoluzione del rapporto, e vi include espressamente i provvedimenti disciplinari e le valutazioni delle prestazioni. Quest’ultima inclusione è la più significativa, perché attrae nel divieto il punteggio, che del management algoritmico costituisce il cuore. È la stessa logica della sentenza Schufa, per cui uno score è già una decisione quando chi decide vi si affida in misura determinante. Di segno opposto è l’esclusione delle attività di ricerca e selezione delle candidature, sulla quale si tornerà.Il terzo piano di divergenza è quello delle eccezioni. L’art. 22 consente la decisione interamente automatizzata quando sia necessaria per la conclusione o l’esecuzione di un contratto, sia autorizzata dalla legge o si basi sul consenso esplicito dell’interessato. Nel rapporto di lavoro la prima e l’ultima sono problematiche, giacché la necessità contrattuale si presta a letture estensive e il consenso del lavoratore raramente è libero. L’art. 41 le neutralizza entrambe, il consenso in modo espresso e la necessità contrattuale per effetto dell’inciso «in ogni caso». La scelta trova copertura nell’art. 88 GDPR, che consente agli Stati membri di dettare norme più specifiche nell’ambito dei rapporti di lavoro.Il quarto nodo, forse il più rilevante, è quello del ruolo dell’essere umano. Nell’art. 22 l’intervento umano compare come garanzia minima nei soli casi in cui la decisione automatizzata è ammessa. Opera a valle, come diritto di ottenere un riesame, di esprimere la propria opinione e di contestare una decisione già presa dalla macchina. Nell’art. 41 l’essere umano non interviene dopo, ma decide, poiché la decisione definitiva è in ogni caso riservata a una persona fisica. Il legislatore, inoltre, non ha eliminato l’avverbio «unicamente», che aveva consentito di ritenere sufficiente una firma in calce all’output, ma lo ha riempito di contenuto, esigendo che quella persona eserciti un potere effettivo e autonomo. La nozione di intervento umano significativo, elaborata dalle linee guida europee come criterio interpretativo, diventa così un requisito di legge.Il quinto piano è quello del diritto alla spiegazione. Il GDPR garantisce, agli artt. 13-15, «informazioni significative sulla logica utilizzata», che riguardano il funzionamento del sistema e si collocano, di regola, prima del trattamento o in sede di accesso. L’art. 41 aggiunge il diritto a una motivazione intelligibile della singola decisione, da fornire su richiesta e tramite una persona fisica, con l’indicazione dell’incidenza del sistema e dei principali parametri considerati. Si passa così dalla spiegazione del sistema alla spiegazione della decisione, nel solco della sentenza Dun & Bradstreet - Corte UE 27 febbraio 2025, causa C-203/22, che non esige la comunicazione del codice sorgente, ma neppure si accontenta di formule generiche.Infine, vi è la questione della sanzione. La violazione dell’art. 22 espone il titolare alle sanzioni amministrative del GDPR e al risarcimento del danno, ma non incide sulla validità dell’atto datoriale. L’art. 41 commina invece la nullità del licenziamento e di ogni altra decisione assunta in violazione, portando la riserva di umanità sul terreno dell’invalidità degli atti e dei rimedi propri del diritto del lavoro.Il disegno presenta, tuttavia, alcune zone d’ombra.La più evidente riguarda la selezione del personale, che la norma sottrae alle decisioni relative alla costituzione del rapporto anche quando comporti la mancata ammissione alle fasi successive. Si comprende il timore di paralizzare lo screening di grandi volumi di candidature, ma per chi viene escluso al primo filtro quell’esclusione è la decisione finale; e se l’art. 22 GDPR e la disciplina antidiscriminatoria continuano ad applicarsi, viene meno proprio il presidio lavoristico, nullità compresa. Un analogo restringimento deriva dal rinvio alla nozione di sistema di IA dell’AI Act - regolamento (UE) 2024/1689, che lascia fuori i sistemi a regole predeterminate, non meno capaci di produrre graduatorie opache, con l’esito paradossale di un regime più severo per gli algoritmi più evoluti.Più sottile è il problema posto dal rinvio all’art. 1-bis del d.lgs. n. 152/1997, i cui obblighi informativi riguardano, dopo il d.l. n. 48/2023, i soli sistemi «integralmente» automatizzati, mentre l’art. 41 presuppone che la decisione finale non lo sia. Preso alla lettera, il rinvio non opererebbe mai proprio quando il datore rispetta la norma. È dunque ragionevole leggerlo come un’estensione di quegli obblighi, compresa l’informazione alle rappresentanze sindacali, a tutti i sistemi di IA impiegati nei processi decisionali, a conferma della vocazione organizzativa della disposizione.Tirando le fila, l’art. 41 del d.lgs. n. 179/2026 merita un giudizio complessivamente positivo, non tanto per ciò che vieta, quanto per ciò che obbliga a fare. Il divieto di decisioni interamente automatizzate era già, in larga parte, nell’art. 22 GDPR; ciò che la norma aggiunge è la pretesa che la decisione umana sia dimostrabilmente tale, e dunque che le imprese si dotino di processi, competenze e tracce documentali idonei a provarlo. Ciò naturalmente evitando che la riserva di umanità resti sulla cartaUn banco di prova, in questo senso, sarà rappresentato proprio dai comitati etici per l’intelligenza artificiale, che molte imprese vanno istituendo e che il lessico della compliance ha già eletto a parola d’ordine. Nessuna norma li impone, e il rischio che si riducano a un ornamento reputazionale, a un’etica di facciata che farebbe il paio con quella severità soltanto apparente è tutt’altro che teorico. Se però saranno dotati di poteri reali (approvare o bloccare l’adozione di un sistema, verificare periodicamente gli scostamenti tra proposta algoritmica e decisione umana, ricevere le contestazioni dei lavoratori) e aperti alle rappresentanze sindacali, potranno diventare il luogo in cui l’effettività e l’autonomia richieste dall’art. 41 cessano di essere aggettivi e si traducono in procedure. Il luogo, cioè, in cui la riserva di umanità, prima di essere fatta valere dal singolo lavoratore davanti al giudice, viene organizzata dentro l’impresa e negoziata con chi vi lavora; ed è proprio questa, a ben vedere, la sede in cui il diritto del lavoro ha sempre dato il meglio di sé.Copyright © - Riproduzione riservata

Fonte: https://www.ipsoa.it/documents/quotidiano/2026/10/24/rapporto-lavoro-decidere-serve-ai-necessario-datore-lavoro