Il diritto alla disconnessione e il monitoraggio dell'IA: rischi normativi e compliance HR

Il diritto alla disconnessione: che cos'è

Il diritto alla disconnessione è il diritto di lavoratori e lavoratrici a non dover rispondere a email, telefonate, messaggi o notifiche di lavoro al di fuori dell'orario lavorativo e durante ferie, permessi e periodi di riposo.

Non limita l'utilizzo degli strumenti digitali, ma definisce regole che bilanciano le esigenze organizzative con la tutela della salute e della vita privata delle persone.

Con l'affermarsi dello smart working e dei modelli di lavoro ibrido, il confine tra lavoro e vita privata è diventato sempre più sfumato. Il rischio di una reperibilità continua rende quindi il diritto alla disconnessione un elemento centrale delle politiche di welfare e della compliance HR.

Perché il tema è diventato strategico

La diffusione del lavoro ibrido e dell'intelligenza artificiale ha trasformato i processi HR e il modo in cui le aziende organizzano il lavoro.

Oggi numerose organizzazioni impiegano sistemi di IA per:

• Selezionare candidature; 

• analizzare curriculum; 

• pianificare turni e attività; 

• monitorare produttività e performance; 

• individuare fabbisogni formativi; 

• supportare valutazioni organizzative. 

Queste tecnologie possono migliorare l'efficienza dei processi, ma richiedono il rispetto di specifici obblighi normativi. Una gestione poco trasparente della reperibilità o dei sistemi di monitoraggio può infatti esporre l'azienda a sanzioni, contenziosi e danni reputazionali. Per questo motivo il diritto alla disconnessione e la governance dell'intelligenza artificiale sono oggi strettamente collegati.

Il quadro normativo di riferimento

Il diritto alla disconnessione e l'utilizzo dell'intelligenza artificiale nei processi HR sono disciplinati da norme nazionali ed europee. Le aziende devono quindi rispettare sia la normativa sul lavoro sia quella in materia di protezione dei dati personali e di intelligenza artificiale.

Smart working e diritto alla disconnessione

In Italia il diritto alla disconnessione trova il suo principale riferimento nella Legge 22 maggio 2017, n. 81, che disciplina il lavoro agile. L'articolo 19 prevede che l'accordo individuale definisca anche i tempi di riposo e le misure tecniche e organizzative necessarie a garantire la disconnessione dagli strumenti tecnologici di lavoro.

Molte aziende disciplinano inoltre reperibilità e utilizzo degli strumenti digitali attraverso policy interne.

GDPR e tutela dei dati personali

Ogni sistema utilizzato per raccogliere informazioni sull'attività lavorativa comporta un trattamento di dati personali e deve quindi rispettare il Regolamento (UE) 2016/679 (GDPR). In particolare, l'articolo 5 stabilisce i principi di liceità, correttezza, trasparenza, minimizzazione dei dati e limitazione delle finalità, mentre gli articoli 13 e 14 disciplinano gli obblighi informativi nei confronti delle persone interessate.

Il trattamento deve essere lecito, trasparente, proporzionato e limitato ai dati strettamente necessari per le finalità dichiarate.

Quando il trattamento presenta un rischio elevato per i diritti e le libertà delle persone, l'azienda può essere tenuta a svolgere una Valutazione d'Impatto sulla Protezione dei Dati (DPIA) prevista dall'articolo 35 del GDPR. La DPIA consente di individuare i rischi e definire le misure necessarie per ridurli.

Statuto dei Lavoratori

Anche l'articolo 4 della Legge 20 maggio 1970, n. 300 (Statuto dei Lavoratori) rappresenta un riferimento fondamentale. La norma disciplina l'utilizzo degli strumenti dai quali possa derivare anche la possibilità di controllo a distanza dell'attività lavorativa e stabilisce le condizioni per il loro impiego.

Quando ricorrono i presupposti previsti dalla legge, l'azienda deve valutare il coinvolgimento delle rappresentanze sindacali oppure richiedere l'autorizzazione all'Ispettorato Nazionale del Lavoro.

AI Act: cosa cambia per i processi HR

L'AI Act, ossia il Regolamento (UE) 2024/1689, disciplina l'utilizzo dei sistemi di intelligenza artificiale nell'Unione Europea. Il regolamento adotta un approccio basato sul rischio e considera ad alto rischio, tra gli altri, alcuni sistemi di IA utilizzati nei processi HR, come previsto dall'Allegato III.

Per queste applicazioni le aziende devono rispettare requisiti specifici, tra cui:

• Gestione e valutazione dei rischi; 

• utilizzo di dati di qualità; 

• supervisione umana delle decisioni; 

• documentazione tecnica e tracciabilità del sistema; 

• monitoraggio continuo della conformità. 

Per le funzioni HR ciò significa verificare che gli strumenti adottati rispettino gli obblighi previsti dall'AI Act e tutelino i diritti delle persone.

Monitoraggio delle performance con l'IA: quali rischi

L'intelligenza artificiale può supportare le funzioni HR, ma il suo utilizzo richiede particolare attenzione quando viene impiegata per monitorare le attività lavorative o supportare decisioni che incidono sulle persone.

Uno dei principali rischi riguarda la raccolta eccessiva di dati. Alcuni software possono registrare tempi di utilizzo, attività svolte o altre informazioni che, se non adeguatamente giustificate, risultano sproporzionate rispetto alle finalità perseguite.

Un'altra criticità riguarda le decisioni automatizzate. Affidare esclusivamente a un algoritmo valutazioni che incidono sulla carriera o sulle opportunità professionali può generare errori, discriminazioni o decisioni poco trasparenti.

Per questo le aziende devono garantire che il monitoraggio sia proporzionato, trasparente e conforme alla normativa in materia di lavoro, protezione dei dati personali e utilizzo dell'intelligenza artificiale.

Come redigere un regolamento aziendale sul diritto alla disconnessione

Predisporre una policy sul diritto alla disconnessione significa tradurre gli obblighi normativi in regole operative. Un regolamento chiaro uniforma i comportamenti e tutela il benessere delle persone.

Ogni organizzazione dovrebbe adattare la policy alle proprie esigenze, tenendo conto del modello organizzativo, delle modalità di lavoro e delle eventuali esigenze di reperibilità.

Definire orari e modalità di reperibilità

Uno degli aspetti più importanti riguarda la definizione degli orari in cui è richiesta la disponibilità del personale.

La policy dovrebbe indicare con chiarezza:

• le fasce ordinarie di contattabilità; 

• i periodi in cui non è richiesta la risposta a comunicazioni aziendali; 

• le modalità di gestione delle situazioni realmente urgenti; 

• le eventuali eccezioni previste per specifiche funzioni. 

Regole chiare favoriscono comportamenti coerenti e una gestione più uniforme della reperibilità.

Regolare l'utilizzo degli strumenti digitali

E-mail, chat aziendali, piattaforme collaborative e applicazioni mobili sono ormai strumenti indispensabili, ma il loro utilizzo dovrebbe essere disciplinato da indicazioni condivise.

Ad esempio, il regolamento può prevedere l'invio programmato delle e-mail fuori orario, limitare l'utilizzo delle notifiche non urgenti oppure distinguere chiaramente le comunicazioni ordinarie da quelle che richiedono un intervento immediato.

In questo modo si favorisce una cultura organizzativa che rispetta il tempo di riposo senza compromettere la continuità operativa.

Coinvolgere manager e responsabili

L'efficacia della policy dipende anche dal comportamento di manager e responsabili.

Queste figure dovrebbero ricevere una formazione specifica sul diritto alla disconnessione e sulle corrette modalità di utilizzo degli strumenti digitali, così da evitare prassi che possano incentivare una reperibilità costante o comunicazioni fuori orario non strettamente necessarie.

Come verificare la compliance aziendale

Prima di introdurre sistemi di monitoraggio basati sull'IA o aggiornare le modalità di lavoro, è utile verificare che l'organizzazione abbia predisposto:

• Una policy sul diritto alla disconnessione aggiornata; 

• informative privacy conformi al GDPR; 

• procedure per la gestione dei controlli a distanza; 

• effettuato, quando necessario, una DPIA; 

• definito il ruolo della supervisione umana nei processi automatizzati; 

• verificato la conformità dei sistemi di IA utilizzati; 

• formato manager, responsabili HR e personale sull'utilizzo corretto degli strumenti digitali; 

• previsto controlli periodici sull'efficacia delle misure adottate. 

Una verifica periodica aiuta a mantenere la conformità e a prevenire possibili criticità.

Quali rischi corre un'azienda non conforme?

Una gestione non corretta del diritto alla disconnessione o dei sistemi di monitoraggio basati sull'intelligenza artificiale può comportare conseguenze sia normative sia organizzative.

Dal punto di vista normativo, le aziende possono essere esposte a sanzioni previste dalla disciplina sulla protezione dei dati personali, ai provvedimenti del Garante Privacy e a contestazioni relative all'utilizzo di strumenti di controllo non conformi alla normativa sul lavoro.

A questi rischi si aggiungono possibili ripercussioni sul clima aziendale. Una percezione di controllo eccessivo o poco trasparente può infatti alimentare conflitti, aumentare il contenzioso e compromettere il rapporto di fiducia con il personale.

Anche la reputazione può risentirne. Una gestione poco trasparente di dati personali, sistemi di IA e diritto alla disconnessione può incidere sull'employer branding e sulla capacità di attrarre nuovi talenti.

Perché investire nella compliance

L'evoluzione dell'intelligenza artificiale e della normativa europea rende sempre più importante un approccio integrato alla compliance HR. Definire regole chiare sul diritto alla disconnessione, utilizzare in modo trasparente i sistemi di IA e verificare periodicamente la conformità delle procedure consente alle aziende di ridurre i rischi normativi, tutelare le persone e costruire modelli organizzativi più sostenibili nel tempo.

FAQ

Il diritto alla disconnessione deve essere previsto in un regolamento aziendale?

Non esiste un obbligo generalizzato di adottare una policy dedicata, ma predisporre un regolamento interno rappresenta una buona pratica per definire regole chiare sulla reperibilità, uniformare i comportamenti e dimostrare l'attenzione dell'azienda verso la compliance e il benessere organizzativo.

Quando è necessaria una Valutazione d'Impatto sulla Protezione dei Dati (DPIA)?

La DPIA può essere necessaria quando un trattamento, come l'utilizzo di sistemi di monitoraggio o di intelligenza artificiale nei processi HR, presenta un rischio elevato per i diritti e le libertà delle persone. La valutazione consente di identificare preventivamente i rischi e le misure necessarie per ridurli.

Come possono le aziende dimostrare un utilizzo responsabile dell'intelligenza artificiale?

Oltre a scegliere strumenti conformi alla normativa, è importante documentare le valutazioni effettuate, garantire la supervisione umana, aggiornare periodicamente le procedure e fornire informazioni chiare alle persone coinvolte.

Con quale frequenza è opportuno aggiornare le policy sul diritto alla disconnessione?

È consigliabile riesaminarle periodicamente e ogni volta che cambiano l'organizzazione del lavoro, gli strumenti digitali utilizzati o il quadro normativo, così da mantenere le procedure sempre coerenti con l'evoluzione tecnologica e legislativa.

Perché la compliance HR rappresenta anche un vantaggio competitivo?

Una gestione trasparente dell'intelligenza artificiale, della privacy e del diritto alla disconnessione contribuisce a rafforzare la fiducia delle persone, migliorare la reputazione aziendale, ridurre il rischio di contenziosi e rendere l'organizzazione più attrattiva per talenti, clienti e stakeholder.