L’intersezione tra la normativa europea sulla protezione dei dati personali e la diffusione dei sistemi di intelligenza artificiale sta generando un corpus giurisprudenziale e regolatorio di crescente complessità. Le aziende che utilizzano strumenti di AI si trovano a dover navigare un quadro in cui il GDPR e l’AI Act si sovrappongono, si integrano e talvolta creano obblighi che richiedono una lettura coordinata.
Il punto di partenza è la base giuridica del trattamento. Qualsiasi sistema di AI che elabora dati personali deve poggiare su una delle basi giuridiche previste dall’articolo 6 del GDPR. Nel contesto lavorativo, questo significa che un sistema di AI utilizzato per la selezione del personale, la valutazione delle performance, il monitoraggio della produttività o la gestione dei turni deve avere una base giuridica esplicita, che raramente può essere il consenso del lavoratore per l’asimmetria del rapporto.
Il principio di minimizzazione dei dati è un altro nodo critico. I sistemi di AI, per natura, tendono a voler acquisire più dati possibili per migliorare le proprie prestazioni. Questo entra in tensione diretta con il GDPR, che richiede che i dati trattati siano adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati.
La valutazione d’impatto sulla protezione dei dati (DPIA) è obbligatoria ogni volta che un trattamento è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche. I sistemi di AI che incidono su decisioni significative — assunzioni, licenziamenti, valutazioni, accesso a servizi — rientrano quasi certamente in questa categoria.
Un elemento che spesso sfugge è il rapporto tra AI e diritti degli interessati in materia di decisioni automatizzate. L’articolo 22 del GDPR prevede il diritto di non essere sottoposti a decisioni basate esclusivamente su trattamenti automatizzati che producono effetti giuridici significativi. Applicato al lavoro, questo significa che le aziende che usano AI per selezione, valutazione delle performance e progressioni di carriera devono garantire la revisione umana effettiva di ogni decisione rilevante, con piena tracciabilità del processo decisionale, dei criteri applicati e delle motivazioni che hanno orientato la scelta finale. Le aziende che costruiscono oggi questi processi in modo strutturato si trovano in una posizione molto più solida davanti ai controlli del Garante e nei contenziosi che questo tema inevitabilmente genererà.
di Simona D’Aniello
