Il decreto legislativo 7 ottobre 2026, n. 179, introduce in Italia il divieto di decisioni completamente automatizzate nei rapporti di lavoro, con sanzione di nullità per il datore che lo viola.
Cosa ha deciso il legislatore italiano
Il decreto legislativo 179/2026, pubblicato in Gazzetta Ufficiale il 8 ottobre 2026, completa l’adeguamento italiano al regolamento (UE) 2024/1689 sull’intelligenza artificiale. Accanto alla ripartizione dei poteri fra AgID, Agenzia per la cybersicurezza nazionale, autorità finanziarie e Garante, il decreto introduce una disciplina specifica dei sistemi di IA nei processi decisionali riguardanti il personale. La novità di maggior impatto operativo risiede negli articoli 41 e 42, che stabiliscono il divieto di decisione integralmente automatizzata in materia di costituzione, modificazione e risoluzione del rapporto di lavoro, nonché di provvedimenti disciplinari e valutazioni delle prestazioni.
La disposizione recepisce l’articolo 22 del regolamento (UE) 2016/679, ma introduce una protezione rafforzata: il consenso del lavoratore non costituisce eccezione al divieto, a ragione dello squilibrio di potere nel rapporto occupazionale. La decisione finale deve restare riservata a una persona fisica che eserciti “un potere effettivo e autonomo”, e il mero visto apposto su un output algoritmico non soddisfa tale requisito.
La sanzione di nullità e i suoi effetti
L’articolo 41, comma 4, stabilisce che il licenziamento intimato in violazione del divieto è nullo, e nulle sono le decisioni assunte dal datore di lavoro in violazione della norma. La nullità comporta conseguenze severe: imprescrittibilità dell’azione di accertamento e, nel caso del licenziamento, regime reintegratorio pieno. Il datore che risolva un rapporto sulla base di una valutazione automatizzata senza effettivo intervento umano si espone a un contenzioso dall’esito prevedibilmente sfavorevole. La prova dell’intervento “effettivo e autonomo” grava sulla parte datoriale e dovrà essere documentata: in sede ispettiva, la descrizione dei processi decisionali costituisce il primo elemento sottoposto a verifica.
Le eccezioni e il perimetro di applicazione
L’articolo 41, comma 1, precisa che non rientrano nel divieto le attività di ricerca e selezione delle candidature, anche quando comportino l’esclusione automatizzata dalle fasi successive. Tuttavia, tale esclusione dal regime specifico del decreto non sottrae lo screening alla disciplina generale del regolamento (UE) 2016/679 né agli obblighi informativi ex articolo 1-bis del decreto legislativo 152/1997. L’esclusione va quindi letta in senso restrittivo e coordinata con il GDPR. Restano inoltre pienamente applicabili all’impiego di sistemi di monitoraggio della prestazione le disposizioni dell’articolo 4 della legge 300/1970 in materia di controlli a distanza, che richiedono accordo sindacale o autorizzazione amministrativa.
Cosa devono fare le imprese
Le organizzazioni che utilizzano sistemi di IA nei processi decisionali concernenti il personale devono innanzitutto mappare i sistemi interessati e verificare che esista un punto di decisione umana documentato per ciascuno di essi. Per ogni processo relativo a licenziamenti, valutazioni delle prestazioni o provvedimenti disciplinari, il datore deve assicurare che il responsabile della decisione disponga effettivamente delle informazioni e del potere di discostarsi dall’output algoritmico. Tale verifica andrà documentata con evidenza delle modalità di intervento umano: in caso di contenzioso, l’onere di provare l’effettività graverà sull’organizzazione. Occorre inoltre revisionare l’informativa ex articolo 1-bis del decreto legislativo 152/1997, che deve coprire tutti gli elementi ivi elencati e trasmetterla alle rappresentanze sindacali, nonché predisporre una procedura interna per fornire al lavoratore, su richiesta, una motivazione intelligibile della decisione che lo riguarda, comprendente l’incidenza del sistema sul processo e i principali parametri considerati.
Valutazione dei rischi e formazione dei lavoratori
L’articolo 42 impone l’integrazione del documento di valutazione dei rischi ex articolo 28 del decreto legislativo 81/2008 con una sezione dedicata ai sistemi di IA incidenti sull’organizzazione del lavoro, sui ritmi produttivi o sui processi rilevanti per la sicurezza. Tale integrazione va coordinata con la valutazione d’impatto prevista dal regolamento (UE) 2016/679, evitando duplicazioni documentali. Il datore deve inoltre programmare la formazione dei lavoratori sui rischi specifici connessi all’utilizzo dei sistemi algoritmici e sulle misure di prevenzione adottate. Questa attività si distingue, sul piano delle finalità, dall’alfabetizzazione generale sui sistemi di IA prescritta dall’articolo 4 del regolamento IA, ma può coordinarsi nella medesima sessione formativa per ottimizzare le risorse.
L’approfondimento completo di questo articolo è disponibile su 01magazine.it.
