La sentiment analysis entra nei luoghi di lavoro e il Garante Privacy alza subito l’attenzione. Con il provvedimento n. 342 del 14 maggio 2026, l’Autorità ha rivolto un avvertimento a una start-up che ha sviluppato un plug-in per Slack e Teams capace di analizzare semanticamente le chat e stimare il livello di stress dei dipendenti .

Il sistema, secondo quanto ricostruito, funziona così: il lavoratore che sceglie di attivarlo consente all’applicativo di analizzare i messaggi testuali scambiati nelle chat aziendali. L’algoritmo restituisce poi suggerimenti orientati al benessere personale. Al datore di lavoro, almeno nella configurazione dichiarata dalla società, non sarebbe consentito vedere né i contenuti delle conversazioni né i risultati individuali. Resta però la possibilità di ottenere un report aggregato settimanale sul livello di stress, a condizione che vi siano almeno dieci utenti attivi .

Ed è proprio qui che si concentra il nodo più delicato. Per il Garante, anche un dato presentato come aggregato può diventare problematico se, in un determinato contesto aziendale, consente comunque di risalire indirettamente ai singoli lavoratori. In altre parole, il rischio non riguarda solo l’accesso diretto ai dati individuali, ma anche la possibilità di ricostruire informazioni personali per inferenza, soprattutto in realtà con gruppi ristretti o facilmente identificabili .

Il provvedimento chiarisce anche un punto importante sui ruoli. In questa configurazione, è la società che sviluppa il servizio a essere considerata titolare del trattamento. Il datore di lavoro, pur avendo acquistato il servizio per metterlo a disposizione del personale, resta formalmente estraneo al trattamento dei dati generati dall’uso del plug-in. Una ricostruzione che il Garante collega a casi già noti, come assicurazioni sanitarie o servizi di supporto psicologico offerti ai dipendenti, dove il datore finanzia o mette a disposizione il servizio ma non può conoscere i dati trattati nell’ambito della sua fruizione .

Sul piano sostanziale, però, il messaggio dell’Autorità è netto: le informazioni sulla sfera emotiva e sul livello di stress del lavoratore non possono trasformarsi in dati nella disponibilità del datore di lavoro. Il richiamo è alla tutela della dignità della persona e al divieto di raccogliere informazioni non pertinenti rispetto all’attività lavorativa. Ancora di più se il trattamento viene presentato come legato a finalità di benessere, prevenzione o assistenza, ambiti che non possono essere ricondotti al controllo datoriale .

Il Garante richiama anche l’AI Act, in particolare il divieto relativo ai sistemi di IA che inferiscono emozioni nei luoghi di lavoro. È forse il passaggio più interessante, ma anche il più delicato del provvedimento. Il punto aperto è se un sistema che analizza testi scritti, e non dati biometrici come voce o volto, rientri davvero in quel divieto. L’Autorità usa questo riferimento soprattutto come chiave di indirizzo e di cautela, più che come base sanzionatoria vera e propria .

Alla fine, il Garante non ha imposto sanzioni né misure correttive immediate. Ha scelto invece la strada dell’avvertimento, cioè uno strumento preventivo: nessuna violazione attuale accertata, ma un richiamo chiaro al fatto che, se quel report aggregato dovesse tradursi in una conoscenza anche indiretta dello stato emotivo dei dipendenti, il rischio di illecito diventerebbe concreto .

Il principio che emerge è semplice: lo stato emotivo del lavoratore non può diventare un’informazione gestionale solo perché oggi esistono strumenti tecnologici capaci di stimarlo. E proprio per questo, quando si parla di IA nei contesti aziendali, la vera partita si gioca prima ancora dell’uso concreto: nella progettazione, nelle finalità dichiarate e nei limiti imposti fin dall’origine al sistema

Articolo ripreso da Federprivacy