L’utilizzo di sistemi di intelligenza artificiale è oggi, per le imprese, un tema di organizzazione, regole interne e tutela delle persone. Non può più essere trattato come una semplice questione tecnologica. Quando l’AI entra nei processi aziendali – dalla selezione del personale alla gestione delle performance, fino all’analisi dei dati – privacy, diritto del lavoro e governance devono essere affrontati insieme.

Le recenti evoluzioni normative vanno tutte in questa direzione. La Corte di giustizia UE ha chiarito che, se un processo automatizzato incide in modo significativo sulla persona (profilazioni, punteggi, classificazioni), non è sufficiente una spiegazione generica: le informazioni devono essere realmente comprensibili e utili. Allo stesso modo, anche i dati pseudonimizzati restano soggetti al GDPR se esiste una possibilità ragionevole di risalire all’interessato.

In Italia, la Legge 132/2025 e il D.M. 180/2025 del Ministero del Lavoro hanno rafforzato questo approccio, chiedendo alle aziende di integrare AI Act, GDPR e diritto del lavoro in una gestione coerente e verificabile. Se un sistema produce effetti concreti sulle persone, non può essere considerato un semplice “strumento di supporto”: deve essere governato.

Questo significa, in termini operativi, implementare attività di compliance precise.

L’introduzione dell’AI comporta la revisione del registro dei trattamenti, per rappresentare correttamente nuove finalità, flussi e modalità di utilizzo dei dati. Le informative privacy devono essere aggiornate, spiegando in modo chiaro l’uso di sistemi automatizzati e l’eventuale impatto sulle decisioni. Nei casi in cui il trattamento presenti rischi elevati per i diritti e le libertà delle persone, è necessaria una DPIA, mentre per i sistemi ad alto rischio ai sensi dell’AI Act si affianca la FRIA, che valuta l’impatto sui diritti fondamentali in senso più ampio.

Accanto agli adempimenti documentali, è essenziale adottare policy interne sull’uso dell’AI, definire regole per l’utilizzo dell’AI generativa (in particolare sul caricamento di dati personali o informazioni riservate), garantire una supervisione umana effettiva sulle decisioni automatizzate e verificare attentamente i rapporti contrattuali con i fornitori, soprattutto in caso di servizi cloud o trasferimenti extra-UE.

Non si tratta solo di evitare sanzioni. Una governance strutturata consente di ridurre rischi reputazionali, prevenire discriminazioni indirette, evitare utilizzi impropri dei dati e rafforzare la fiducia di lavoratori e clienti.

La privacy non è un ostacolo all’innovazione tecnologica: è la condizione per renderla sostenibile. L’algoritmo può supportare l’organizzazione, ma la responsabilità resta sempre in capo all’impresa.

Articolo ripreso da FederPrivacy