AI e lavoro: perché misurare stress ed emozioni dei dipendenti è un tema di governance, non solo di tecnologia
L'intelligenza artificiale sta entrando negli ambienti di lavoro in forme sempre più sottili: assistenti integrati nelle piattaforme collaborative, strumenti di analisi dei messaggi, sistemi di produttività, dashboard HR, applicazioni per il benessere organizzativo. Alcuni strumenti promettono di misurare clima interno, stress, tono comunicativo o segnali di disagio. Il problema è che, quando questi strumenti riguardano persone che lavorano, la domanda non può essere solo "funziona?".
La domanda corretta è più impegnativa: chi tratta i dati, per quale finalità, con quale base giuridica, con quali garanzie, con quale rischio di controllo indiretto e con quale reale libertà per il lavoratore?
Un provvedimento del Garante per la protezione dei dati personali del 14 maggio 2026 aiuta a mettere a fuoco il tema. L'Autorità ha esaminato un plug-in basato su intelligenza artificiale, utilizzabile in Slack e Teams, pensato per analizzare il linguaggio dei messaggi e restituire valutazioni legate allo stress psicologico. Il punto centrale non è solo il singolo caso, ma il principio generale: quando l'AI entra nelle comunicazioni lavorative e produce indicatori sulla sfera emotiva o psicologica, il progetto deve essere trattato come materia di privacy, dignità, organizzazione del lavoro e AI governance.
Il caso esaminato dal Garante
Il provvedimento riguarda un servizio che poteva essere acquistato da enti e imprese per mettere a disposizione dei dipendenti uno strumento di analisi del linguaggio usato nelle chat aziendali. Secondo la ricostruzione dell'Autorità, il plug-in era destinato a persone che decidevano di utilizzarlo per verificare il proprio livello di stress alla luce dell'analisi semantica dei messaggi scambiati su Slack e Teams.
La società fornitrice aveva rappresentato che il datore di lavoro non accedeva ai dati personali del singolo lavoratore e che l'eventuale report per l'organizzazione era aggregato. Tuttavia, il Garante ha richiamato un rischio decisivo: in contesti concreti, anche un report aggregato può diventare problematico se non si può escludere che l'organizzazione riesca, direttamente o indirettamente, a risalire all'identità dei dipendenti coinvolti.
Non è un dettaglio tecnico. Nei luoghi di lavoro esistono reparti piccoli, ruoli riconoscibili, turni, mansioni, team ristretti, eventi aziendali e dinamiche interne che possono rendere una statistica meno anonima di quanto sembri. Una soglia numerica, da sola, non sempre basta a proteggere le persone.
Per questo il Garante ha avvertito la società che i trattamenti previsti potevano verosimilmente violare il quadro normativo in materia di protezione dei dati personali e tutela della dignità della persona che lavora, richiamando in particolare principi e obblighi del GDPR e del Codice privacy.
Perché lo stress non è un dato qualsiasi
Un indicatore di stress, benessere psicologico o stato emotivo non è equivalente a una metrica di utilizzo di un software. Anche quando viene presentato come dato aggregato, nasce da un'analisi che riguarda linguaggio, comportamenti comunicativi, contesto di lavoro e dimensione personale.
Questo comporta almeno tre rischi.
Il primo è il rischio di finalità. Uno strumento introdotto come supporto al benessere può essere percepito, o diventare nel tempo, uno strumento di monitoraggio. La differenza tra tutela della persona e controllo organizzativo deve essere chiara, documentata e tecnicamente presidiata.
Il secondo è il rischio di identificabilità. In molte aziende non serve il nome per capire chi sia il soggetto a cui si riferisce un'informazione. Un dato apparentemente anonimo può diventare riconducibile a una persona se incrociato con reparto, ruolo, orario, progetto o evento noto.
Il terzo è il rischio di asimmetria. Nel rapporto di lavoro la libertà di scelta del dipendente deve essere valutata con particolare cautela. Anche un servizio formalmente facoltativo può essere vissuto come una pressione implicita, soprattutto se promosso dal datore di lavoro o collegato a iniziative HR.
Il collegamento con l'AI Act
Il tema non vive solo nel GDPR. L'AI Act ha introdotto un approccio basato sul rischio e include divieti specifici per alcune pratiche di intelligenza artificiale. Tra queste, il quadro europeo presta particolare attenzione ai sistemi di riconoscimento delle emozioni nei luoghi di lavoro e negli istituti di istruzione, salvo eccezioni limitate legate a finalità mediche o di sicurezza.
Questo non significa che ogni strumento di benessere aziendale sia automaticamente vietato. Significa però che l'organizzazione non può liquidare questi progetti come semplici strumenti digitali. Quando un sistema elabora segnali riconducibili a emozioni, stress, salute psicologica o comportamento comunicativo dei lavoratori, occorre una valutazione preventiva seria: natura del sistema, dati trattati, output generati, destinatari, possibili effetti sulle persone e compatibilità con il quadro normativo.
L'AI Act e il GDPR non si sostituiscono. Si sommano. Il primo guarda alla sicurezza, ai diritti fondamentali e alla governance dei sistemi AI; il secondo disciplina liceità, correttezza, trasparenza, minimizzazione, sicurezza, responsabilizzazione e tutele per gli interessati. Nel lavoro, inoltre, entrano in gioco le norme nazionali sulla dignità e sul controllo a distanza.
Cosa deve fare un'azienda prima di adottare questi strumenti
La prima attività è definire la finalità reale. Se l'obiettivo è il benessere individuale, il datore di lavoro deve chiedersi perché dovrebbe ricevere qualsiasi report, anche aggregato. Se l'obiettivo è organizzativo, occorre chiarire quali decisioni saranno prese sulla base degli output e con quali garanzie.
La seconda attività è mappare i dati. Bisogna capire se il sistema analizza contenuti testuali, metadati, frequenza dei messaggi, canali, orari, interazioni, indicatori linguistici o altre informazioni. Dire "non conserviamo i messaggi" non basta se l'elaborazione produce comunque indicatori sensibili o inferenze rilevanti.
La terza attività è valutare i ruoli privacy. Il fornitore è titolare autonomo, responsabile del trattamento o contitolare? Il datore di lavoro decide finalità e mezzi? Chi riceve gli output? Chi risponde alle richieste degli interessati? La qualificazione dei ruoli deve derivare dal funzionamento concreto del servizio, non dalla sola formula contrattuale.
La quarta attività è verificare la base giuridica e la proporzionalità. Nel lavoro, il consenso del dipendente è spesso fragile perché può non essere realmente libero. Per questo servono basi e garanzie robuste, insieme a una valutazione della necessità dello strumento rispetto a alternative meno invasive.
La quinta attività è svolgere una valutazione d'impatto quando il rischio lo richiede. Un sistema che analizza comunicazioni lavorative e produce inferenze sullo stato psicologico delle persone merita una DPIA accurata: scenari di rischio, misure tecniche, segregazione dei dati, limitazione degli accessi, audit, tempi di conservazione, trasparenza e possibilità di esercitare i diritti.
La checklist operativa per manager, HR e IT
Prima di introdurre strumenti AI su chat aziendali, benessere o clima interno, conviene porsi alcune domande essenziali.
Il sistema analizza contenuti o solo dati tecnici? Gli output possono riguardare stress, emozioni, salute, performance o comportamento? Il lavoratore può scegliere liberamente senza conseguenze esplicite o implicite? Il datore di lavoro riceve dati, report, dashboard o alert? Il report aggregato è davvero non riconducibile a singoli o piccoli gruppi? Sono coinvolti DPO, IT, HR, legale e rappresentanze quando necessario? Esiste una DPIA? Il fornitore può dimostrare sicurezza, minimizzazione, separazione dei dati e cancellazione effettiva? Il progetto è compatibile con GDPR, Codice privacy, Statuto dei lavoratori e AI Act?
Se una di queste domande resta vaga, il progetto non è maturo. La tecnologia può essere promettente, ma la governance non può essere improvvisata dopo l'acquisto.
Il punto culturale: benessere non significa sorveglianza
Il benessere organizzativo è un obiettivo legittimo e importante. Ma proprio per questo deve essere costruito con strumenti rispettosi, trasparenti e proporzionati. Misurare lo stress attraverso l'AI può sembrare una scorciatoia elegante; in realtà può aprire un fronte delicato se le persone temono che le proprie comunicazioni diventino materia di valutazione indiretta.
Le aziende che vogliono usare l'intelligenza artificiale in modo responsabile dovrebbero partire da un principio semplice: più il sistema si avvicina alla sfera personale del lavoratore, più alta deve essere la qualità della governance.
Questo significa coinvolgere il DPO prima del pilota, non dopo. Significa chiedere ai fornitori documentazione tecnica e privacy verificabile. Significa separare nettamente supporto individuale e reportistica aziendale. Significa evitare dashboard che, pur dichiarandosi aggregate, possono diventare strumenti di pressione su team o persone riconoscibili.
Conclusione
Il provvedimento del Garante non va letto come un freno all'innovazione. Va letto come un promemoria di metodo. L'AI nei luoghi di lavoro può aiutare a migliorare processi, sicurezza, formazione e benessere, ma solo se rispetta il confine tra supporto alla persona e controllo della persona.
Per imprese, PA e professionisti, la lezione è chiara: ogni progetto AI che riguarda dipendenti, comunicazioni, emozioni o stress deve passare da una valutazione integrata di privacy, diritto del lavoro, sicurezza, trasparenza e governance. Non basta un'informativa ben scritta e non basta una promessa di anonimizzazione.
Serve una domanda più concreta: se fossimo il lavoratore osservato dal sistema, riterremmo il trattamento comprensibile, necessario, proporzionato e protetto? Se la risposta non è solida, è meglio fermarsi prima del go-live.