Gestione algoritmica sul lavoro: l'intelligenza artificiale può valutare le tue prestazioni?

Nei Paesi Bassi è consentita la gestione algoritmica, ovvero l'utilizzo di software e intelligenza artificiale per monitorare, valutare e guidare i dipendenti, ma un algoritmo non può essere l'unica base per una decisione che incide significativamente su una persona, come il licenziamento, la retrocessione o il rifiuto di un bonus. L'articolo 22 del GDPR riserva tali decisioni a una persona che le esamini effettivamente, l'EU AI Act considera i sistemi di intelligenza artificiale per la valutazione dei lavoratori ad alto rischio e vieta l'IA che deduce le emozioni dei dipendenti, e ai sensi dell'articolo 7:669 del Codice civile olandese (BW) un punteggio di valutazione da solo non costituisce mai un motivo di licenziamento.

Questa pagina spiega come funzionano questi sistemi, cosa prevedono il GDPR, la legge sull'intelligenza artificiale, la legge sui consigli di fabbrica e la legislazione olandese in materia di licenziamento, cosa hanno deciso i tribunali e come dipendenti e datori di lavoro dovrebbero comportarsi.

Che cos'è la gestione algoritmica?

La gestione algoritmica implica che un software, anziché un supervisore, osservi, misuri e spesso giudichi il lavoro. È una pratica comune nei magazzini, nei call center e nelle piattaforme digitali, e sempre più diffusa anche negli uffici grazie agli strumenti di produttività; una dashboard che valuta il personale in base a dati raccolti automaticamente è già di per sé sufficiente a sollevare questioni legali.

Tali sistemi sono precisi nel calcolare: attività completate, tempi di gestione, tempi di risposta, aderenza agli script, ore registrate. Non sono in grado di spiegare perché un dato sia cambiato, ad esempio perché un dipendente ha dedicato tre settimane alla formazione di un collega o ha gestito il cliente più complesso. La misurazione delle prestazioni è legale; il GDPR e la legislazione olandese in materia di lavoro stabiliscono le condizioni su come viene misurata e, soprattutto, su come vengono utilizzati i risultati.

Come valutano le prestazioni questi sistemi?

Tre fasi sono fondamentali: la raccolta dei dati, la trasformazione dei dati in un punteggio tramite un modello e l'intervento di qualcuno o qualcosa. I tuoi diritti sono legati a ciascuna fase.

Ogni dato è un dato personale e, ai sensi del GDPR, deve essere necessario e proporzionato allo scopo per cui è stato raccolto. La registrazione della digitazione sulla tastiera o gli screenshot periodici per verificare chi lavora di più sono difficili da giustificare, e l'Autorità olandese per la protezione dei dati (Autoriteit Persoonsgegevens, AP) ha criticato questo tipo di monitoraggio indiscriminato.

Un sistema basato su regole (ad esempio: segnalare un dipendente il cui tempo di gestione supera una determinata soglia tre volte a settimana) è rigido ma leggibile. Un modello di apprendimento automatico addestrato su dati storici è più potente ma opaco. Un datore di lavoro che non è in grado di spiegare come è stato calcolato un punteggio non può fornire informazioni significative sulla logica, non può difendere la valutazione e non può dimostrare che sia priva di discriminazioni; in pratica, se non si può spiegare, non ci si può fidare.

Cosa richiede il GDPR?

Il GDPR è lo strumento più pratico, perché si applica a ogni datore di lavoro che tratta i dati dei dipendenti. Quattro regole svolgono la maggior parte del lavoro: il divieto di decisioni significative basate esclusivamente su processi automatizzati, la trasparenza, una base giuridica con una valutazione d'impatto sulla protezione dei dati (DPIA) e i limiti al monitoraggio.

Nessuna decisione significativa presa esclusivamente dalla macchina

L'articolo 22 del GDPR ti conferisce il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato che produca effetti giuridici o che incida in modo analogo significativamente sulla tua persona. Il licenziamento, il mancato rinnovo del contratto, la retrocessione, il mancato pagamento di un bonus o il rifiuto di una promozione rientrano tutti in questa categoria, così come il punteggio che determina i turni di lavoro che ti vengono offerti.

Un essere umano che si limita a confermare la proposta del sistema non prende una decisione al di fuori dell'ambito di applicazione dell'articolo 22. Un coinvolgimento significativo richiede un revisore con l'autorità di decidere diversamente, la competenza per giudicare e il tempo per farlo. Laddove si applichi l'articolo 22, hai il diritto all'intervento umano, di esprimere il tuo punto di vista e di contestare la decisione.

Trasparenza e accesso

I dipendenti devono essere informati in anticipo dell'esistenza del sistema e del suo funzionamento. Qualora si ricorra a processi decisionali automatizzati, il datore di lavoro deve fornire informazioni significative sulla logica sottostante e sulle conseguenze, e voi potete richiederle, unitamente a una copia dei vostri dati, punteggi e categorie, tramite una richiesta di accesso ai sensi dell'articolo 15 del GDPR.

Significativo significa sostanziale: quali fattori sono stati utilizzati e come sono stati ponderati, in termini comprensibili e applicabili. Il datore di lavoro deve rispondere entro un mese, termine che può essere prorogato in casi complessi.

Base giuridica e DPIA

Il consenso del dipendente è raramente valido a causa della dipendenza che caratterizza il rapporto di lavoro. I datori di lavoro si basano quindi sulla necessità del contratto, su un obbligo legale o su un interesse legittimo, quest'ultimo richiedendo una valutazione comparativa documentata.

La valutazione sistematica ed estesa delle persone attraverso processi automatizzati richiede una DPIA prima che il sistema entri in funzione. Tale valutazione deve descrivere il trattamento, giustificarne la necessità e la proporzionalità, identificare i rischi per i dipendenti e definire le misure per affrontarli.

Fino a che punto può spingersi il monitoraggio?

Nella sentenza Bărbulescu contro Romania, la Corte europea dei diritti dell'uomo ha stabilito che il monitoraggio delle comunicazioni di un dipendente viola il diritto alla vita privata e alla corrispondenza sancito dall'articolo 8 della CEDU. Il datore di lavoro deve informare preventivamente i dipendenti sulla natura e l'entità del monitoraggio, perseguire uno scopo legittimo e utilizzare i mezzi meno invasivi; il monitoraggio occulto richiede un sospetto concreto, una durata limitata e motivazioni documentate.

Per ogni flusso di dati, il datore di lavoro deve essere in grado di spiegare perché è necessario, perché una misura meno rigorosa non sarebbe sufficiente e se i dipendenti sono stati informati. La registrazione continua dello schermo, il monitoraggio della digitazione e il tracciamento della posizione al di fuori dell'orario di lavoro in genere non superano questa prova.

Dati sanitari e congedo protetto

I dati sanitari sono dati di categoria speciale. Un datore di lavoro può registrare l'assenza di un dipendente e la sua durata, ma la diagnosi e le limitazioni spettano al medico aziendale. Un sistema che deduce uno stato di salute dai modelli di assenza, dalla velocità di digitazione o dal tono della voce elabora i dati sanitari per inferenza.

Un modello che considera la gravidanza, il congedo parentale o il congedo per assistenza familiare come una prestazione insufficiente trasforma un diritto sancito dalla legge in uno svantaggio. Le violazioni dei principi fondamentali del GDPR e dei diritti degli interessati rientrano nella fascia di sanzioni più elevata prevista dal GDPR, e una valutazione prodotta in violazione di tali norme è difficilmente utilizzabile in una controversia di lavoro.

Quali novità introduce l'AI Act?

La legge europea sull'intelligenza artificiale si applica gradualmente e si articola in due livelli rilevanti per il mondo del lavoro. Il divieto di utilizzare sistemi di intelligenza artificiale in grado di dedurre le emozioni delle persone sul luogo di lavoro è già in vigore, a meno che il sistema non sia destinato a scopi medici o di sicurezza.

Pertanto, è vietato il software che valuta l'umore, lo stress, il coinvolgimento o la sincerità dei dipendenti a partire dalla voce, dal viso o dalla scrittura; la gestione della produttività non rientra nell'eccezione per motivi medici o di sicurezza. L'analisi del sentiment di ciò che dice un cliente è una questione diversa dall'inferenza delle emozioni del dipendente.

Il secondo livello è quello dei sistemi ad alto rischio. I sistemi di intelligenza artificiale utilizzati per decisioni in materia di promozione o licenziamento, per l'assegnazione di compiti in base al comportamento o a tratti personali, o per il monitoraggio e la valutazione delle prestazioni e del comportamento dei lavoratori sono classificati come ad alto rischio. Ai sensi del regolamento omnibus sull'IA (UE) 2026/1744, in vigore dal 27 luglio 2026, le date di applicazione di tali obblighi relativi ai sistemi ad alto rischio sono state posticipate; i divieti sono già in vigore. I datori di lavoro che implementano un sistema ad alto rischio sul luogo di lavoro devono informare i rappresentanti dei lavoratori e i lavoratori interessati prima di metterlo in funzione. Si veda il nostro articolo sugli aspetti legali dell'intelligenza artificiale e sull'EU AI Act.

Di chi è la responsabilità: del fornitore o del datore di lavoro?

Il datore di lavoro. Ai sensi del GDPR, il datore di lavoro decide perché e come vengono trattati i dati dei dipendenti ed è il titolare del trattamento; il fornitore è solitamente un responsabile del trattamento vincolato da un accordo sul trattamento dei dati.

Ai sensi dell'AI Act, un datore di lavoro che utilizza uno strumento acquistato è normalmente considerato un implementatore: deve utilizzare il sistema secondo le istruzioni, garantire la supervisione umana da parte di personale competente, monitorarne il funzionamento e informare i lavoratori. Un datore di lavoro che rinomina il sistema, lo modifica sostanzialmente o ne cambia lo scopo può diventare un fornitore, con obblighi ben più gravosi. È importante leggere i contratti di appalto tenendo presenti questi ruoli ed essere scettici nei confronti di qualsiasi prodotto che non sia in grado di spiegare i propri risultati.

Cosa si applica al lavoro su piattaforma?

La Direttiva UE sul lavoro su piattaforme (Direttiva (UE) 2024/2831) contiene un capitolo sulla gestione algoritmica. Essa impone alle piattaforme di informare i lavoratori sul monitoraggio e sui processi decisionali automatizzati, limita il trattamento di dati quali lo stato emotivo e le conversazioni private, richiede la supervisione umana e garantisce il diritto a una spiegazione e a una revisione umana delle decisioni significative, come la sospensione dell'account, in parte indipendentemente dallo status del dipendente.

Fino all'entrata in vigore della legislazione olandese di attuazione, il GDPR e l'AI Act rimangono le norme operative per i lavoratori delle piattaforme digitali.

Un algoritmo può rescindere il tuo contratto di lavoro?

No. Ai sensi dell'articolo 7:669 BW, il licenziamento richiede un motivo valido da un elenco chiuso e la preventiva autorizzazione dell'UWV o una decisione del tribunale distrettuale (kantonrechter), a seconda del motivo.

Per quanto riguarda l'inadeguatezza (articolo 7:669(3)(d) BW), il datore di lavoro deve dimostrare di aver informato il dipendente delle carenze in tempo utile e di avergli offerto sufficienti opportunità di miglioramento, e che l'inadeguatezza non è dovuta a una scarsa attenzione alla formazione o alle condizioni di lavoro. Una semplice lettura del cruscotto non costituisce un processo di miglioramento; il tribunale chiederà cosa è stato discusso, quando e con quale supporto. Consultate la nostra guida al diritto del lavoro olandese.

La legge antidiscriminazione si concentra sul risultato, non sull'intenzione. Un sistema che svantaggia i dipendenti per motivi quali sesso, razza, età, religione, disabilità o malattia cronica è illegale ai sensi della legge generale sulla parità di trattamento (Algemene wet gelijke behandeling) e delle leggi specifiche sull'età e sulla disabilità, a prescindere dalle intenzioni. I dati storici sulla formazione e le metriche grezze sulla disponibilità sono le cause più comuni, soprattutto per i lavoratori a tempo parziale e per i dipendenti in congedo o in malattia.

Il consiglio di fabbrica deve dare il suo consenso?

Sì. Ai sensi dell'articolo 27(1) della legge sui consigli di fabbrica (Wet op de ondernemingsraden), il consiglio di fabbrica deve dare il proprio consenso alle disposizioni in materia di valutazione del personale, di trattamento e protezione dei dati personali dei dipendenti e di strumenti volti o idonei al monitoraggio delle presenze, della condotta o delle prestazioni; un sistema di valutazione delle prestazioni basato sull'intelligenza artificiale di solito riguarda tutti e tre gli aspetti.

Una decisione presa senza il consenso necessario può essere dichiarata nulla dal consiglio di fabbrica. Per i dipendenti che ritengono che un sistema sia stato loro imposto, il consiglio di fabbrica rappresenta spesso la via più rapida per ottenere un cambiamento.

Cosa hanno deciso i tribunali?

Il 4 aprile 2023 il Amsterdam La Corte d'Appello si è pronunciata sulle richieste di accesso presentate dagli autisti di Uber e Ola. Nel caso Uber (ECLI:NL:GHAMS:2023:793), la Corte ha stabilito che la disattivazione degli account di tre autisti si basava esclusivamente su un processo automatizzato, non essendo stato dimostrato alcun coinvolgimento umano significativo, e ha ordinato a Uber di fornire informazioni sul processo decisionale; l'obiezione relativa al segreto commerciale non giustificava un rifiuto totale.

Nel caso Ola (ECLI:NL:GHAMS:2023:804), il tribunale ha stabilito che un punteggio di probabilità di frode incide significativamente sui conducenti, pertanto si applica il diritto all'informazione sui processi decisionali automatizzati. I datori di lavoro dovrebbero presumere che lo stesso principio si applichi a un algoritmo di valutazione delle prestazioni: "il modello ha deciso" non costituisce una spiegazione.

Nel caso SyRI (ECLI:NL:RBDHA:2020:865, 5 febbraio 2020), il Tribunale distrettuale dell'Aia ha stabilito che la legislazione alla base di un sistema governativo di indicazione del rischio di frode violava l'articolo 8 della CEDU perché insufficientemente trasparente e verificabile. Un sistema il cui funzionamento non può essere esaminato non può essere contestato. Il nostro articolo sull'intelligenza artificiale e il diritto penale approfondisce ulteriormente queste questioni.

Come si può contestare una valutazione automatizzata?

Documentate innanzitutto la vostra situazione: il lavoro che la valutazione non prende in considerazione, i periodi anomali e qualsiasi assenza, congedo o riassegnazione che incida negativamente sui dati. Le annotazioni prese al momento hanno un peso di gran lunga maggiore rispetto a una ricostruzione effettuata mesi dopo.

Scrivete quindi al vostro datore di lavoro informandolo che intendete esercitare i vostri diritti previsti dal GDPR: richiedete i dati utilizzati, una spiegazione della logica sottostante e una revisione da parte di una persona autorizzata a prendere decisioni diverse, nonché la correzione di eventuali dati inesatti. Il datore di lavoro deve rispondere entro un mese, termine prorogabile in casi complessi. Se la risposta è inadeguata, potete presentare un reclamo all'Autorità Garante per la protezione dei dati personali (AP) o adire le vie legali; qualora la valutazione giustifichi il licenziamento o una modifica delle condizioni contrattuali, la via legale in materia di diritto del lavoro è solitamente più efficace e prevede termini più brevi. Consultate il nostro articolo sulla privacy dei dati ai sensi del GDPR nell'era dell'IA e dei big data.

Che cosa dovresti controllare come dipendente?

• Ti è stato comunicato in anticipo che il tuo lavoro verrà valutato da un sistema automatizzato e quali parametri verranno utilizzati?
• Una qualsiasi decisione che abbia avuto un impatto significativo su di te è stata riesaminata da una persona che avrebbe potuto decidere diversamente?
• Hai richiesto i tuoi dati, i punteggi e una spiegazione della logica alla base del GDPR?
• Le cifre riflettono periodi di ferie, malattia, lavoro part-time o incarichi insoliti che riducono la tua produttività?
• Il consiglio di fabbrica ha dato il suo consenso al sistema?

Che cosa dovresti verificare in qualità di datore di lavoro?

• Lo scopo del sistema è stato messo per iscritto, specificando anche quali decisioni influenzerà?
• È stata effettuata una DPIA (Valutazione d'impatto sulla protezione dei dati) e la relativa base giuridica è stata documentata prima che il sistema entrasse in funzione?
• Il sistema deduce emozioni (cosa vietata) o rientra nella categoria ad alto rischio prevista dalla legge sull'intelligenza artificiale?
• Il consiglio di fabbrica ha dato il suo consenso ai sensi dell'articolo 27 della legge sui consigli di fabbrica e i lavoratori sono stati informati?
• I revisori possono annullare la decisione finale, avendo il contesto e il tempo per farlo?
• Effettuate verifiche sui risultati relativi ai lavoratori part-time e ai dipendenti che hanno usufruito di permessi o si sono ammalati?

Cosa possiamo fare per voi con la gestione algoritmica?

I nostri avvocati specializzati in diritto del lavoro offrono consulenza ai datori di lavoro che utilizzano l'intelligenza artificiale nella gestione delle prestazioni e ai dipendenti che si trovano ad affrontare una valutazione automatizzata:

• Prima di rendere operativo il sistema, lo esaminiamo in conformità al GDPR, alla legge sull'intelligenza artificiale e alla legislazione olandese in materia di lavoro.
• Prepariamo la richiesta di autorizzazione al consiglio di fabbrica e le informazioni per i lavoratori.
• Redigiamo la richiesta di accesso ai dati personali conforme al GDPR e la richiesta di revisione umana della valutazione.
• Valutiamo se un fascicolo di prestazione basato sui dati di sistema giustifichi il licenziamento ai sensi dell'articolo 7:669 BW.
• Esaminiamo gli accordi con i fornitori e i contratti di trattamento dei dati per l'attribuzione degli obblighi previsti dal GDPR e dall'AI Act.

Sintesi

• La gestione algoritmica è lecita, ma le decisioni significative non possono essere basate esclusivamente sul trattamento automatizzato (articolo 22 del GDPR).
• L'intelligenza artificiale che deduce le emozioni dei dipendenti è vietata; l'intelligenza artificiale utilizzata per valutare i lavoratori è considerata ad alto rischio ai sensi della legge sull'IA.
• I dipendenti possono ottenere i propri dati, i punteggi e una spiegazione della logica sottostante, e possono contestare le decisioni.
• Il consiglio di fabbrica deve dare il proprio consenso ai sistemi di valutazione e monitoraggio ai sensi dell'articolo 27 della legge sui consigli di fabbrica.
• Il punteggio ottenuto tramite il pannello di controllo da solo non costituisce un motivo di licenziamento ai sensi dell'articolo 7:669 BW.

Domande frequenti