Può un’impresa mettere a disposizione dei propri dipendenti uno strumento di IA capace di analizzare il livello di stress attraverso le conversazioni su Teams o Slack? E, soprattutto, quali verifiche deve svolgere prima di adottare una tecnologia di questo tipo? Il provvedimento del Garante Privacy del 14 maggio 2026 offre una prima risposta a queste domande. Pur riguardando il caso di Myndoor S.r.l. ("Myndoor" o la "Società"), la decisione contiene indicazioni che interessano tutte le organizzazioni che intendano introdurre strumenti di IA destinati al benessere organizzativo, alla gestione delle risorse umane o, più in generale, al contesto lavorativo. L’aspetto più significativo del provvedimento, infatti, non riguarda tanto la liceità del singolo applicativo: il Garante concentra l’attenzione sui possibili effetti che il suo utilizzo potrebbe produrre nell’organizzazione aziendale e sui rischi che potrebbero derivarne per i diritti dei lavoratori. Il caso Myndoor Con il proprio provvedimento, il Garante Privacy ha rivolto un ammonimento a Myndoor, start-up italiana che ha sviluppato un plug-in integrabile in Microsoft Teams e Slack, destinato ad analizzare, mediante tecniche di IA e analisi semantica, il livello di stress psicologico dei lavoratori che decidano volontariamente di utilizzarlo. L’istruttoria è stata avviata d’ufficio a seguito di alcune notizie di stampa che riferivano dell’utilizzo del sistema presso enti pubblici. Nel corso degli accertamenti, tuttavia, la Società ha chiarito che l’ente inizialmente indicato non aveva acquistato il servizio, non avendo quindi trattato i dati dei propri dipendenti in qualità di datore di lavoro. Venuto meno tale presupposto, il Garante ha progressivamente spostato il proprio esame dal caso concreto alle modalità con cui il sistema potrebbe essere utilizzato, in futuro, da imprese ed enti che decidessero di adottarlo. Proprio questo passaggio rende il provvedimento particolarmente interessante: pur in assenza di un utilizzo effettivo da parte di un datore di lavoro, il Garante individua alcuni profili di rischio che, secondo l’Autorità, dovrebbero essere affrontati già nella progettazione del servizio e prima della sua diffusione sul mercato. Come funziona il plug-in Myndoor? Il lavoratore che lo desideri può attivare il plug-in affinché i contenuti testuali dei messaggi scambiati su Teams o Slack vengano analizzati da un modello di IA che ne stima i parametri di stress, restituendo all’interessato suggerimenti e indicazioni per il benessere personale. Il datore di lavoro non può accedere né ai contenuti delle conversazioni né ai risultati delle analisi riferibili ai singoli dipendenti. Tuttavia, è prevista la possibilità che il datore richieda un report settimanale contenente dati aggregati sul livello di stress della popolazione aziendale, purché vi siano almeno dieci utenti attivi. La qualificazione dei ruoli privacy Il Garante osserva che il rapporto relativo al trattamento dei dati si instaura esclusivamente tra Myndoor e i lavoratori che abbiano scelto di utilizzare il servizio. In tale relazione la Società opera quale titolare del trattamento. La conclusione è significativa perché il servizio viene comunque acquistato dal datore di lavoro. L’impostazione richiama quella già seguita per altri servizi messi a disposizione dei dipendenti nell’ambito delle politiche di welfare aziendale, come le assicurazioni sanitarie o altre prestazioni erogate da soggetti terzi. Anche in tali ipotesi il datore sostiene economicamente il servizio senza entrare nella disponibilità dei dati personali trattati dal fornitore. Il rischio di re-identificazione Il principale profilo di attenzione individuato dal Garante riguarda la possibilità per il datore di lavoro di richiedere un report aggregato contenente informazioni sul livello di stress dei dipendenti che utilizzano il servizio. In astratto, il report non contiene dati riferibili ai singoli lavoratori. Tuttavia, il provvedimento evidenzia come l’aggregazione dei dati non rappresenti, di per sé, una garanzia sufficiente. In determinati contesti organizzativi – soprattutto nelle realtà di dimensioni ridotte o caratterizzate da gruppi di lavoro facilmente individuabili – anche informazioni presentate in forma statistica potrebbero consentire di formulare inferenze sui singoli interessati. L’attenzione dell’Autorità si concentra, quindi, non tanto sul dato aggregato in sé, quanto sul rischio che quest’ultimo possa essere combinato con altre informazioni già nella disponibilità del datore di lavoro, rendendo possibile, anche indirettamente, l’identificazione dei lavoratori che abbiano aderito al servizio. Per tali ragioni, il Garante ha invitato Myndoor a adottare, nel rispetto dei principi di privacy by design e by default, misure e accorgimenti intesi a prevenire qualsiasi forma di messa a disposizione, anche mediante il report, dei dati dei dipendenti che decidano di fruire del plug-in. L’obiettivo è evitare che i datori di lavoro, anche in via indiretta, vengano a conoscenza delle informazioni trattate mediante tale sistema. Le implicazioni sul piano giuslavoristico Il Garante ribadisce che le informazioni relative allo stato emotivo, al livello di stress o, più in generale, al benessere psicologico del lavoratore appartengono a una sfera che l’ordinamento sottrae alla disponibilità del datore di lavoro (cfr. art. 113 del Codice Privacy, che rinvia alle disposizioni a tutela della dignità della persona e al divieto di raccolta di dati non pertinenti all’attività lavorativa di cui allo Statuto dei Lavoratori e alla Legge Biagi). Questa tipologia di informazioni non può infatti costituire oggetto di conoscibilità da parte del datore di lavoro, né direttamente né attraverso forme di aggregazione idonee a consentire inferenze individuali. L’Autorità attribuisce inoltre rilievo alla circostanza che, nell’informativa privacy predisposta da Myndoor, il servizio venga ricondotto a finalità di medicina preventiva, diagnosi e assistenza. Da tale qualificazione deriva un’ulteriore conseguenza: qualora il sistema svolga una funzione riconducibile all’accertamento dello stato di salute del lavoratore, ogni valutazione resta riservata al medico competente, senza che il datore possa acquisire direttamente le relative informazioni[1]. Il richiamo all’AI Act Tra i passaggi più interessanti della decisione vi è il richiamo all’art. 5, paragrafo 1, lettera f), dell’AI Act, che vieta, in linea generale, l’immissione sul mercato, la messa in servizio o l’uso di sistemi di intelligenza artificiale destinati a inferire le emozioni delle persone nei luoghi di lavoro, salvo le eccezioni previste dallo stesso Regolamento (i.e. finalità mediche o di sicurezza) [2]. Nel caso di specie, tuttavia, il sistema sviluppato da Myndoor opera attraverso l’analisi semantica di testi liberamente digitati dagli utenti e non mediante il trattamento di dati biometrici[3], ai quali il divieto dell’AI Act espressamente si riferisce. Il richiamo al divieto previsto dall’AI Act sembra assumere, in questo contesto, una funzione principalmente sistematica. Da un lato, esso rafforza le conclusioni raggiunte dal Garante in materia di protezione dei dati personali, nella misura in cui l’Autorità evidenzia l’esigenza di evitare che sistemi di questo tipo possano tradursi, anche indirettamente, nella messa a disposizione del datore di lavoro di informazioni inferite mediante tecniche di IA sullo stato psicologico dei dipendenti. Dall’altro lato, il riferimento all’AI Act consente di richiamare alcuni limiti strutturali delle tecnologie di intelligenza artificiale, tra cui la ridotta trasparenza e spiegabilità degli output, il rischio di bias e di risultati discriminatori e la necessità di garantire un controllo umano effettivo sull’utilizzo del sistema. Più che sul divieto in sé, l’attenzione si sposta quindi sulle concrete modalità di impiego del sistema all’interno dell’organizzazione. In particolare, occorre verificare se lo strumento possa essere utilizzato per monitorare, anche indirettamente, le prestazioni o il comportamento dei lavoratori, con la conseguenza di ricondurlo potenzialmente nell’ambito dei sistemi di IA ad alto rischio. Per tali sistemi, come richiamato dallo stesso provvedimento del Garante, l’AI Act prevede che il fornitore metta a disposizione dei deployer informazioni adeguate sulle finalità previste, sul livello di accuratezza, robustezza e cybersicurezza, sui rischi per la salute e la sicurezza e per i diritti fondamentali, nonché sulle caratteristiche tecniche del sistema[4]. Si tratta di informazioni che le imprese dovrebbero esaminare già nella fase di selezione del fornitore, poiché costituiscono il presupposto per valutare se il sistema possa essere utilizzato in modo conforme all’interno della propria organizzazione. Conclusioni Alla luce delle indicazioni che emergono dal provvedimento, il tema centrale non riguarda soltanto la conformità del singolo sistema di IA, ma il momento in cui tale conformità viene effettivamente verificata. Il caso Myndoor mostra infatti come le principali criticità non emergano necessariamente dall’utilizzo in concreto dello strumento, quanto piuttosto dalla sua progettazione, dalla configurazione dei flussi di dati e dalle modalità con cui esso viene inserito nei processi aziendali. In questo senso, l’adozione di sistemi di IA nel contesto lavorativo richiede un passaggio preliminare: la valutazione del caso d’uso e del fornitore. Non si tratta soltanto di verificare se lo strumento sia formalmente conforme alla normativa applicabile, ma di comprendere quali dati vengano trattati, con quali logiche di elaborazione, quali informazioni possano essere inferite e quali effetti il suo utilizzo possa produrre sull’organizzazione del lavoro e sui lavoratori. Su questo piano, il provvedimento del Garante evidenzia alcuni profili che le imprese dovrebbero considerare con particolare attenzione prima dell’introduzione di strumenti analoghi: Ne deriva che la conformità dei sistemi di IA non può essere gestita come una fase successiva all’adozione dello strumento, ma deve essere integrata nel processo decisionale che conduce alla sua scelta. È in quel momento che l’impresa è chiamata a valutare se il sistema sia effettivamente compatibile con il proprio contesto organizzativo e con il quadro normativo applicabile, tenendo conto non solo delle funzionalità dichiarate dal fornitore, ma anche degli utilizzi ragionevolmente prevedibili. Per questo motivo, la selezione del fornitore e la valutazione preventiva del sistema assumono un ruolo centrale nella governance dell’IA in ambito lavorativo. Una decisione informata in questa fase consente non solo di ridurre il rischio giuridico, ma anche di evitare che strumenti pensati per finalità di supporto si traducano, nella pratica, in meccanismi di monitoraggio o di gestione del personale non coerenti con i limiti posti dall’ordinamento. [1] Cfr. Documento di indirizzo del Garante Privacy sul ruole del medico competente (Provvedimento del 13 maggio 2021, doc. web., 958536). [2] Tale eccezione, proprio perché incide su un divieto posto a presidio della dignità e dell’autodeterminazione della persona, deve tuttavia essere interpretata in modo rigoroso, documentata ex ante e circoscritta allo stretto necessario. Come specificato nelle Linee Guida della Commissione europea sulle pratiche vietate di intelligenza artificiale (4 febbraio 2025), tale eccezione deve essere intesa in modo restrittivo, essendo applicabile solo in relazione alla protezione della vita e della salute e non alla protezione di altri interessi (ad es., protezione dei beni da furti e truffe). [3] Si tratta, cioè, di dati ricavati da uno specifico trattamento tecnico relativi a caratteristiche fisiche, fisiologiche o comportamentali, come le immagini facciali o le impronte digitali. [4]L’Art. 13 dell’AI Act, in particolare, prevede che i sistemi di IA ad alto rischio devono essere progettati in modo sufficientemente trasparente da consentire ai deployer di comprendere e interpretare correttamente gli output prodotti. A tal fine, il fornitore deve fornire istruzioni d'uso chiare e complete contenenti, tra le altre, informazioni sulle finalità, le capacità e le caratteristiche tecniche del sistema, sui livelli di accuratezza, sui rischi prevedibili, sulle misure di sorveglianza umana e sui requisiti necessari al corretto funzionamento del sistema.
