In breve
- Il D.Lgs. 7 ottobre 2026, n. 179, in vigore dal 23 ottobre 2026, adegua la normativa italiana al regolamento europeo sull’intelligenza artificiale (Reg. UE 2024/1689, AI Act) e attua la delega della L. n. 132/2025.
- DVR: i sistemi di IA che incidono su organizzazione del lavoro, ritmi produttivi, modalità della prestazione o processi decisionali rilevanti per la sicurezza vanno valutati nella valutazione dei rischi dell’art. 28 del D.Lgs. n. 81/2008 (art. 42).
- I datori di lavoro devono assicurare informazione e formazione sui rischi specifici dell’IA e sulle misure adottate.
- Personale: le decisioni finali su assunzione, modifica e cessazione del rapporto, provvedimenti disciplinari e valutazioni delle prestazioni non possono basarsi solo su un trattamento automatizzato. Decide una persona con potere effettivo e autonomo e il consenso del lavoratore non basta (art. 41).
- Prima del trattamento serve l’informativa dell’art. 1-bis del D.Lgs. n. 152/1997 e il lavoratore può chiedere una motivazione intelligibile della decisione. Il licenziamento adottato in violazione è nullo.
- AI Act: il riconoscimento delle emozioni sul luogo di lavoro è vietato dal 2 febbraio 2025, salvo motivi medici o di sicurezza; gli obblighi per i sistemi ad alto rischio in ambito HR partono dal 2 dicembre 2027. Per le pratiche vietate, sanzioni fino a 35 milioni di euro o al 7% del fatturato, se superiore.
Dal 23 ottobre 2026 l’intelligenza artificiale entra a pieno titolo nelle regole su sicurezza e rapporto di lavoro. Il D.Lgs. n. 179/2026, che adegua l’ordinamento italiano all’AI Act, fissa due principi: i sistemi di IA che cambiano il modo di lavorare si valutano nel documento di valutazione dei rischi, e le decisioni che incidono sul rapporto di lavoro restano a una persona, non a un algoritmo.
Per le aziende la novità è soprattutto di metodo: sapere quali sistemi di IA si usano, cosa fanno e chi decide. Molti sono già dentro software di uso comune, come i gestionali del personale, la pianificazione dei turni, le piattaforme di selezione e i sistemi di magazzino. In questa guida trovate le norme del decreto che riguardano il lavoro, come aggiornare il DVR, le regole per le decisioni sul personale, gli obblighi dell’AI Act per i datori di lavoro, le sanzioni, una verifica guidata e un percorso in tre fasi.
Le date da conoscere
Le fonti
Il decreto in sintesi
Il D.Lgs. n. 179/2026 adegua la normativa nazionale al regolamento (UE) 2024/1689 «in materia di poteri delle Autorità nazionali e di utilizzo dell’intelligenza artificiale nella formazione». Il titolo è riduttivo: nei suoi 54 articoli il decreto disciplina anche lavoro, professioni, sanità e pubblica amministrazione. Per le aziende le norme da conoscere sono poche, ma immediatamente operative.
| Art. | Tema | Cosa prevede per le aziende |
|---|---|---|
| 5 | Autorità di vigilanza | L’Agenzia per la cybersicurezza nazionale (ACN) vigila sul mercato dei sistemi di IA; Banca d’Italia, CONSOB e IVASS sui sistemi ad alto rischio dei rispettivi settori; il Garante per la protezione dei dati personali nei limiti dell’art. 74, par. 8, del regolamento. |
| 23 | Sanzioni | Sanzioni amministrative fino a 35 milioni di euro o al 7% del fatturato mondiale annuo, con limiti più favorevoli per PMI e start-up innovative; per le violazioni di scarsa offensività l’art. 22 prevede misure non pecuniarie. |
| 41 | Decisioni sul personale | Decisione finale riservata a una persona, informativa preventiva, diritto alla motivazione, nullità del licenziamento adottato in violazione. |
| 42 | Salute e sicurezza | Sistemi di IA nella valutazione dei rischi, informazione e formazione dei lavoratori sui rischi specifici. |
| 52 | Segreto industriale | Dati, algoritmi e metodi matematici usati per addestrare i sistemi di IA possono essere tutelati come informazioni aziendali riservate, se ne ricorrono i requisiti. |
Il decreto si innesta sull’art. 11 della L. n. 132/2025, in vigore dal 10 ottobre 2025. Secondo quella norma l’uso dell’IA nel lavoro deve essere sicuro, affidabile e trasparente, non può svolgersi in contrasto con la dignità umana né violare la riservatezza dei dati personali, e va comunicato al lavoratore nei casi e con le modalità dell’art. 1-bis del D.Lgs. n. 152/1997. Il D.Lgs. n. 179/2026 trasforma questi principi in regole precise per due ambiti: sicurezza e decisioni sul personale.
IA e DVR: l’art. 42
L’art. 42 non modifica il testo del D.Lgs. n. 81/2008, ma chiarisce come si applica all’intelligenza artificiale. Il comma 2 riguarda i sistemi di IA che incidono «sull’organizzazione del lavoro, sui ritmi produttivi, sulle modalità di esecuzione della prestazione o sui processi decisionali rilevanti ai fini della sicurezza»: il loro utilizzo «è valutato nell’ambito della valutazione dei rischi di cui all’articolo 28 del decreto legislativo n. 81 del 2008».
Il comma 3 aggiunge che i datori di lavoro «assicurano un’adeguata informazione e formazione dei lavoratori» sui rischi specifici connessi all’uso dell’IA e sulle misure di prevenzione e protezione adottate. Gli altri due commi affidano al Ministero del lavoro il coordinamento delle misure e la promozione dell’IA come strumento di prevenzione di infortuni e malattie professionali, in raccordo con l’Ispettorato nazionale del lavoro.
Non nasce un nuovo documento. L’art. 28 imponeva già di valutare tutti i rischi, compresi quelli da stress lavoro-correlato: il decreto rende esplicito che l’IA è un fattore di rischio da analizzare quando cambia il modo in cui il lavoro è organizzato e svolto.
I quattro casi in cui l’IA entra nel DVR
Va nel DVR
Quando il sistema cambia come si lavora
- Software che pianifica turni e assegna compiti
- Algoritmi che fissano tempi e ritmi
- Robot collaborativi e macchine con funzioni di IA
- Sistemi di sicurezza basati su visione artificiale
- Indicatori individuali di produttività usati per organizzare il lavoro
Di norma basta la verifica
Quando l’IA è uno strumento d’ufficio
- Assistenti di scrittura, sintesi e traduzione
- Ricerca nei documenti aziendali
- Analisi di dati senza effetti su carichi e ritmi
- Restano i rischi già valutati, come quelli da videoterminale
La linea di confine non è la tecnologia ma l’effetto: lo stesso assistente diventa rilevante se l’azienda lo usa per fissare obiettivi di produttività o per distribuire il lavoro. Conviene documentare la verifica anche quando si conclude che il DVR non va modificato.
Come aggiornare la valutazione dei rischi
Le regole sono quelle del D.Lgs. n. 81/2008, che ora si applicano espressamente ai sistemi di IA. La valutazione resta un obbligo non delegabile del datore di lavoro (art. 17), da svolgere con il responsabile del servizio di prevenzione e protezione e con il medico competente, nei casi in cui è previsto, e previa consultazione del rappresentante dei lavoratori per la sicurezza (art. 29, commi 1 e 2).
- CensimentoElenco dei sistemi di IA in uso e in arrivo: fornitore, finalità, reparti e lavoratori coinvolti.
- AnalisiPer ogni sistema: incide su organizzazione, ritmi, modalità della prestazione o sicurezza?
- ConsultazioneL’RLS va consultato preventivamente e tempestivamente sulla valutazione dei rischi, come prevede l’art. 50.
- ValutazioneCon RSPP e medico competente: rischi organizzativi, psicosociali, ergonomici e di interazione con le macchine.
- MisureSupervisione umana, possibilità di correggere o fermare il sistema, limiti ai ritmi, procedure in caso di errore.
- FormazioneInformazione e formazione sui rischi specifici dell’IA e sulle misure adottate (art. 42, comma 3).
I tempi: subito la valutazione, 30 giorni per il documento
Quando l’introduzione di un sistema di IA comporta modifiche del processo produttivo o dell’organizzazione del lavoro significative ai fini della salute e sicurezza, la valutazione dei rischi va rielaborata immediatamente e il DVR va rielaborato entro 30 giorni. In ogni caso il datore di lavoro deve dare immediata evidenza, con idonea documentazione, dell’aggiornamento delle misure di prevenzione e comunicarlo subito all’RLS (art. 29, comma 3).
I rischi da considerare
- Stress lavoro-correlato e tecnostress, anche da obiettivi e valutazioni continue.
- Ritmi imposti dal sistema, carichi di lavoro e pause.
- Rischi ergonomici e di interazione con macchine e robot collaborativi.
- Eccessivo affidamento sulle indicazioni del sistema, anche quando sbaglia.
- Riduzione dell’autonomia, isolamento e percezione di una sorveglianza continua.
- Effetti diversi per genere, età, provenienza da altri Paesi e tipologia contrattuale, che l’art. 28 impone di considerare.
Formazione: tre regole che si sommano
L’art. 42, comma 3, chiede informazione e formazione sui rischi specifici dell’IA e sulle misure adottate. Si aggiunge all’art. 37 del D.Lgs. n. 81/2008, che impone la formazione anche quando si introducono nuove attrezzature di lavoro o nuove tecnologie, e all’art. 4 dell’AI Act, che dopo il Reg. (UE) 2026/1744 chiede a fornitori e utilizzatori di adottare misure per sostenere lo sviluppo dell’alfabetizzazione in materia di IA, senza imporre un livello specifico.
Decisioni sul personale: l’art. 41
L’art. 41 riguarda il datore di lavoro che si avvale di sistemi di IA nei processi decisionali sul rapporto di lavoro. Fermi restando l’art. 22 del regolamento (UE) 2016/679 (GDPR) e l’art. 11 della L. n. 132/2025, le decisioni finali relative alla costituzione, alla modificazione o alla risoluzione del rapporto, compresi i provvedimenti disciplinari e le valutazioni delle prestazioni, non possono essere adottate unicamente sulla base di un trattamento automatizzato. «Il consenso del lavoratore non costituisce un’eccezione al divieto». Il comma 2 aggiunge che l’uso di questi sistemi deve rispettare la dignità e la riservatezza del lavoratore e il principio di non discriminazione.
«La decisione definitiva è in ogni caso riservata a una persona fisica, che eserciti un potere effettivo e autonomo.»
Art. 41, comma 1, D.Lgs. n. 179/2026
| Decisione | Regola dell’art. 41 | Attenzione |
|---|---|---|
| Assunzione | La decisione finale spetta a una persona. | Ricerca e selezione delle candidature non sono decisioni finali, anche se escludono un candidato dalle fasi successive. |
| Modifica del rapporto | Per esempio mansioni, livello, orario o sede: decide una persona. | Vale anche quando il sistema propone il cambiamento in automatico. |
| Cessazione | Il licenziamento resta una decisione umana. | Se adottato in violazione è nullo. |
| Provvedimenti disciplinari | Il sistema può segnalare, non sanzionare. | Restano la contestazione e le difese dell’art. 7 della L. n. 300/1970. |
| Valutazioni delle prestazioni | Rientrano espressamente nel divieto. | Il punteggio del sistema è un elemento della valutazione, non la valutazione. |
Cosa significa, in pratica, potere effettivo e autonomo
La sanzione è la nullità
Il licenziamento intimato in violazione del comma 1 è nullo, come le altre decisioni adottate in violazione dello stesso comma (art. 41, comma 4). Per il licenziamento nullo si applica la tutela reintegratoria piena, con reintegrazione nel posto di lavoro e risarcimento: l’art. 18, comma 1, della L. n. 300/1970 per gli assunti prima del 7 marzo 2015 e l’art. 2 del D.Lgs. n. 23/2015 per gli assunti a tempo indeterminato da quella data, a prescindere dalle dimensioni dell’azienda.
Informativa e motivazione
Prima dell’avvio del trattamento il datore di lavoro deve adempiere agli obblighi informativi dell’art. 1-bis del D.Lgs. n. 152/1997 (art. 41, comma 3). L’art. 1-bis, dopo il D.L. n. 48/2023, riguarda i sistemi decisionali o di monitoraggio integralmente automatizzati che forniscono indicazioni rilevanti per assunzione, gestione e cessazione del rapporto, assegnazione di compiti e mansioni, sorveglianza, valutazione e prestazioni. Che la decisione finale resti a una persona non esclude l’obbligo, perché conta come il sistema elabora le indicazioni. Nel dubbio, la scelta prudente è informare per ogni sistema di IA usato nei processi decisionali sul personale.
| Obbligo | Cosa prevede | Fonte |
|---|---|---|
| Informativa preventiva | Aspetti del rapporto su cui incide il sistema, scopi, logica e funzionamento, categorie di dati e parametri principali, misure di controllo e correzione, livelli di accuratezza, robustezza e cybersicurezza, possibili impatti discriminatori. | Art. 1-bis D.Lgs. n. 152/1997; art. 41, comma 3, D.Lgs. n. 179/2026 |
| Comunicazione ai sindacati | Le stesse informazioni vanno comunicate alle RSA o alla RSU e, in mancanza, alle sedi territoriali delle associazioni sindacali comparativamente più rappresentative sul piano nazionale. | Art. 1-bis D.Lgs. n. 152/1997 |
| Richieste di chiarimenti | Il lavoratore, direttamente o tramite le rappresentanze, può accedere ai dati e chiedere ulteriori informazioni: risposta scritta entro 30 giorni. | Art. 1-bis D.Lgs. n. 152/1997 |
| Modifiche | Le modifiche che cambiano le condizioni di svolgimento del lavoro vanno comunicate per iscritto almeno 24 ore prima. | Art. 1-bis D.Lgs. n. 152/1997 |
| Motivazione della decisione | Su richiesta, con l’intervento di una persona, il lavoratore ottiene «una motivazione intelligibile della decisione che lo riguarda», con l’incidenza dell’IA e i principali parametri considerati. | Art. 41, comma 3, D.Lgs. n. 179/2026 |
| Diritti privacy | Restano fermi informativa, accesso ai dati e garanzie sulle decisioni automatizzate. | Artt. 13, 15 e 22 GDPR |
Il D.L. n. 48/2023 ha escluso gli obblighi informativi dell’art. 1-bis per i sistemi protetti da segreto industriale e commerciale, e l’art. 52 del D.Lgs. n. 179/2026 chiarisce che dati, algoritmi e metodi usati per addestrare l’IA possono essere tutelati come segreto. L’esclusione riguarda l’informativa dell’art. 1-bis: non tocca il diritto alla motivazione della singola decisione previsto dall’art. 41, comma 3, né gli obblighi del GDPR.
Controllo a distanza e privacy
Molti sistemi di IA raccolgono dati sull’attività dei singoli: posizione, tempi, errori, produttività. Il decreto non cambia le regole, ma le rende più attuali. L’art. 1-bis del D.Lgs. n. 152/1997 fa salvo l’art. 4 della L. n. 300/1970, che resta il primo filtro per qualunque strumento da cui derivi la possibilità di controllare a distanza l’attività dei lavoratori.
Statuto dei lavoratori, art. 4
Se il sistema consente di controllare a distanza l’attività
- Solo per esigenze organizzative e produttive, per la sicurezza del lavoro o per la tutela del patrimonio aziendale
- Accordo con RSU o RSA oppure autorizzazione dell’Ispettorato nazionale del lavoro
- Non servono per gli strumenti usati per rendere la prestazione e per registrare accessi e presenze
- Dati utilizzabili a tutti i fini del rapporto solo con adeguata informazione su modalità d’uso e controlli e nel rispetto della normativa privacy
GDPR
Per ogni trattamento di dati dei lavoratori
- Base giuridica, minimizzazione e limiti di conservazione
- Informativa agli interessati (artt. 13 e 14)
- Valutazione d’impatto quando il trattamento presenta rischi elevati, come il monitoraggio sistematico con tecnologie innovative (art. 35)
- Aggiornamento del registro dei trattamenti (art. 30)
La violazione dell’art. 4, comma 1, dello Statuto è punita con le sanzioni penali dell’art. 38 della L. n. 300/1970, richiamate dall’art. 171 del Codice privacy (D.Lgs. n. 196/2003).
Cosa chiede l’AI Act ai datori di lavoro
Per l’AI Act il datore di lavoro che usa un sistema di IA sotto la propria autorità è un deployer, cioè un utilizzatore professionale (art. 3, punto 4, del regolamento). Gli obblighi dipendono dalla categoria del sistema e hanno decorrenze diverse.
| Categoria | Cosa riguarda il lavoro | Da quando |
|---|---|---|
| Pratiche vietate (art. 5) | Sistemi che deducono le emozioni delle persone sul luogo di lavoro, salvo motivi medici o di sicurezza; categorizzazione biometrica per dedurre razza, opinioni politiche, appartenenza sindacale, convinzioni religiose o filosofiche, vita od orientamento sessuale. | 2 febbraio 2025 |
| Alfabetizzazione (art. 4) | Misure per sostenere lo sviluppo dell’alfabetizzazione in materia di IA del personale, nel testo riscritto dal Reg. (UE) 2026/1744. | 2 febbraio 2025; testo attuale dal 27 luglio 2026 |
| Alto rischio (Allegato III, punto 4) | Selezione del personale, annunci mirati, analisi e filtro delle candidature, valutazione dei candidati; decisioni su condizioni di lavoro, promozioni e cessazioni; assegnazione di compiti in base al comportamento o a caratteristiche personali; monitoraggio e valutazione di prestazioni e comportamenti. | 2 dicembre 2027 |
| Alto rischio (Allegato I) | Sistemi di IA che sono prodotti, o componenti di sicurezza di prodotti, regolati dalla normativa dell’Allegato I, come macchine e dispositivi di protezione individuale, soggetti a valutazione della conformità da parte di terzi. | 2 agosto 2028 |
Gli obblighi del deployer per i sistemi ad alto rischio (art. 26)
- Usare il sistema secondo le istruzioni del fornitore, con misure tecniche e organizzative adeguate.
- Affidare la sorveglianza umana a persone con la competenza, la formazione e l’autorità necessarie.
- Assicurare che i dati di input sotto il proprio controllo siano pertinenti e sufficientemente rappresentativi.
- Monitorare il funzionamento, informare il fornitore e sospendere l’uso se emergono rischi.
- Conservare i log generati automaticamente, se sotto il proprio controllo, per almeno sei mesi.
- Informare i rappresentanti dei lavoratori e i lavoratori interessati prima di mettere in servizio o usare il sistema sul luogo di lavoro (par. 7).
- Usare le informazioni del fornitore per la valutazione d’impatto privacy (par. 9).
- Informare le persone sottoposte a decisioni prese o assistite dal sistema (par. 11).
Un sistema dell’Allegato III può non essere ad alto rischio se non presenta un rischio significativo, per esempio perché svolge un compito procedurale limitato; è però sempre ad alto rischio quando effettua la profilazione di persone fisiche (art. 6, par. 3). La valutazione spetta al fornitore: chiedetela per iscritto.
Sanzioni e vigilanza
| Violazione | Conseguenza | Fonte |
|---|---|---|
| Pratiche vietate, come il riconoscimento delle emozioni sul lavoro | Fino a 35 milioni di euro o, se superiore, fino al 7% del fatturato mondiale annuo dell’esercizio precedente | Art. 23, comma 1, D.Lgs. n. 179/2026 |
| Obblighi del deployer e degli altri operatori, tra cui gli artt. 26 e 50 del regolamento | Fino a 15 milioni di euro o, se superiore, fino al 3% del fatturato | Art. 23, comma 2 |
| Informazioni inesatte, incomplete o fuorvianti alle autorità o agli organismi notificati | Fino a 7,5 milioni di euro o, se superiore, fino all’1% del fatturato | Art. 23, comma 3 |
| Decisione sul personale solo automatizzata | Nullità del licenziamento e delle altre decisioni | Art. 41, comma 4 |
| Valutazione dei rischi, DVR, informazione e formazione | Arresto o ammenda, oppure la sola ammenda, secondo la violazione | Art. 55 D.Lgs. n. 81/2008 |
| Controllo a distanza senza accordo o autorizzazione | Sanzioni penali | Art. 38 L. n. 300/1970 e art. 171 D.Lgs. n. 196/2003 |
Verifica guidata
Rispondete pensando a un singolo sistema di IA, per esempio il software dei turni o la piattaforma di selezione. La verifica indica gli obblighi che scattano secondo il D.Lgs. n. 179/2026, il D.Lgs. n. 81/2008, lo Statuto dei lavoratori e l’AI Act; con la data di introduzione calcola anche il termine per il DVR.
Sei casi pratici
Una catena di negozi adotta un software che pianifica i turni e sposta il personale in base alle previsioni di affluenza. Il sistema incide sull’organizzazione del lavoro: va valutato nel DVR, con attenzione a stress, prevedibilità degli orari e carichi, dopo aver consultato l’RLS. Se l’introduzione modifica in modo significativo l’organizzazione, il documento va rielaborato entro 30 giorni e i lavoratori vanno informati e formati sul nuovo sistema.
In un magazzino un sistema assegna i prelievi, calcola i percorsi, fissa un obiettivo orario per ogni addetto e registra i tempi di ciascuno. Incide sui ritmi produttivi, quindi va nel DVR, con attenzione a movimentazione manuale dei carichi, pause e stress. Raccoglie inoltre dati individuali sull’attività: se le funzioni di monitoraggio vanno oltre quanto serve per rendere la prestazione, occorre l’accordo sindacale o l’autorizzazione dell’Ispettorato (art. 4 della L. n. 300/1970), oltre all’informativa dell’art. 1-bis. Se gli indicatori vengono usati per valutare o sanzionare, si applica anche l’art. 41.
Una società usa una piattaforma che ordina le candidature e scarta quelle con il punteggio più basso. Ricerca e selezione non sono decisioni finali ai sensi dell’art. 41, anche se escludono candidati: la scelta di assumere spetta però a una persona. Restano il GDPR, compreso l’art. 22 sulle decisioni basate unicamente su trattamenti automatizzati, le norme contro le discriminazioni e, dal 2 dicembre 2027, gli obblighi dell’AI Act per i sistemi ad alto rischio usati nella selezione.
Un’azienda di servizi licenzia per scarso rendimento l’addetto con il punteggio più basso calcolato dal sistema. Il responsabile del personale firma la lettera senza esaminare altri elementi e senza poter incidere sull’esito. La decisione è in sostanza automatizzata: il licenziamento è nullo e il lavoratore può ottenere la reintegrazione e il risarcimento.
Un call center valuta un software che analizza la voce degli operatori per misurare stress e soddisfazione durante le chiamate. Dedurre le emozioni dei lavoratori è una pratica vietata dall’AI Act dal 2 febbraio 2025, salvo motivi medici o di sicurezza: la finalità di migliorare il servizio non rientra nell’eccezione. La sanzione arriva a 35 milioni di euro o al 7% del fatturato mondiale annuo, se superiore; per PMI e start-up innovative vale il minore dei due importi.
Gli impiegati amministrativi usano un assistente generativo per scrivere e riassumere documenti. Il sistema non cambia organizzazione, ritmi o sicurezza: l’art. 42 non impone di modificare il DVR, ma conviene annotare la verifica. Restano le misure per l’alfabetizzazione del personale (art. 4 dell’AI Act) e conviene dare regole interne sull’uso, soprattutto per i dati personali e riservati.
Sei errori da evitare
Il percorso in tre fasi
Subito
Mappare
- Censite i sistemi di IA in uso e quelli in arrivo, anche dentro i software già adottati.
- Per ciascuno annotate fornitore, finalità, reparti e lavoratori coinvolti.
- Fermate i sistemi che deducono le emozioni dei lavoratori, salvo motivi medici o di sicurezza.
- Verificate informative, accordi e autorizzazioni già esistenti.
- Individuate chi decide, per ogni decisione sul personale supportata dall’IA.
Entro 30 giorni dalle modifiche
Valutare
- Consultate l’RLS e valutate i sistemi con RSPP e medico competente.
- Aggiornate il DVR e le misure di prevenzione.
- Informate e formate i lavoratori sui rischi specifici dell’IA.
- Consegnate l’informativa dell’art. 1-bis, anche a RSA o RSU.
- Scrivete la procedura per decidere e per motivare su richiesta.
Entro il 2 dicembre 2027
Governare
- Chiedete ai fornitori la classificazione dei sistemi secondo l’AI Act.
- Per i sistemi ad alto rischio organizzate sorveglianza umana e conservazione dei log.
- Pianificate l’informazione preventiva a rappresentanti e lavoratori.
- Aggiornate la valutazione d’impatto privacy e i contratti con i fornitori.
- Ripetete la verifica a ogni nuovo sistema o nuova funzione.
Domande frequenti
Da quando valgono le nuove regole?
Dal 23 ottobre 2026. Il D.Lgs. 7 ottobre 2026, n. 179, è stato pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre 2026.
Devo aggiornare il DVR per ogni strumento di IA?
No. L’art. 42 riguarda i sistemi che incidono su organizzazione del lavoro, ritmi produttivi, modalità della prestazione o processi decisionali rilevanti ai fini della sicurezza. Per gli altri conviene documentare la verifica e ripeterla se cambia l’uso.
Entro quando va aggiornato il DVR?
Se il sistema comporta modifiche del processo produttivo o dell’organizzazione del lavoro significative ai fini della salute e sicurezza, la valutazione va rielaborata subito e il DVR entro 30 giorni. Le misure di prevenzione aggiornate vanno documentate subito e comunicate all’RLS (art. 29, comma 3, del D.Lgs. n. 81/2008).
L’RLS va coinvolto?
Sì. La valutazione dei rischi si effettua previa consultazione dell’RLS, che va consultato preventivamente e tempestivamente (art. 29, comma 2, e art. 50, comma 1, lett. b), del D.Lgs. n. 81/2008).
Un algoritmo può decidere un licenziamento?
No. Può fornire elementi, ma la decisione definitiva spetta a una persona fisica che eserciti un potere effettivo e autonomo. Il licenziamento intimato in violazione è nullo, con diritto alla reintegrazione (art. 41, commi 1 e 4).
Il consenso del lavoratore permette decisioni automatizzate?
No. L’art. 41 esclude espressamente che il consenso del lavoratore consenta di derogare al divieto, a differenza di quanto l’art. 22 del GDPR prevede in generale.
Lo screening automatico dei curricula è vietato?
Non dall’art. 41: ricerca e selezione delle candidature non sono decisioni finali, anche se escludono candidati dalle fasi successive. Restano il GDPR, le norme antidiscriminatorie e, dal 2 dicembre 2027, gli obblighi dell’AI Act per i sistemi ad alto rischio. La decisione di assumere spetta comunque a una persona.
Cosa può chiedere il lavoratore?
L’informativa dell’art. 1-bis del D.Lgs. n. 152/1997 prima del trattamento, l’accesso ai dati e ulteriori informazioni, con risposta scritta entro 30 giorni, e per la singola decisione una motivazione intelligibile, con l’incidenza dell’IA e i principali parametri considerati. Restano i diritti degli artt. 13, 15 e 22 del GDPR.
Serve un accordo sindacale?
Per l’uso dell’IA in sé no. Serve se il sistema consente il controllo a distanza dell’attività dei lavoratori: l’art. 4 dello Statuto richiede l’accordo con RSU o RSA o l’autorizzazione dell’Ispettorato, salvo gli strumenti usati per rendere la prestazione e per registrare accessi e presenze. L’informativa dell’art. 1-bis va comunque comunicata anche a RSA o RSU.
Si possono usare sistemi che rilevano le emozioni dei dipendenti?
No, salvo motivi medici o di sicurezza: l’AI Act lo vieta dal 2 febbraio 2025 (art. 5, par. 1, lett. f), del regolamento). La sanzione arriva a 35 milioni di euro o al 7% del fatturato mondiale annuo, se superiore; per PMI e start-up innovative vale il minore dei due importi.
L’obbligo di alfabetizzazione sull’IA è stato eliminato?
No. Il Reg. (UE) 2026/1744 ha riscritto l’art. 4 dell’AI Act: fornitori e deployer adottano misure per sostenere lo sviluppo dell’alfabetizzazione in materia di IA, senza che sia imposto un livello specifico. In Italia l’art. 42, comma 3, impone comunque informazione e formazione sui rischi specifici dell’IA.
Serve la valutazione d’impatto sui diritti fondamentali?
Di norma no per il datore di lavoro privato: l’art. 27 dell’AI Act la richiede, per i sistemi ad alto rischio, agli organismi di diritto pubblico, ai privati che forniscono servizi pubblici e per alcuni sistemi di valutazione del credito e delle assicurazioni. Resta invece, quando ne ricorrono i presupposti, la valutazione d’impatto privacy dell’art. 35 del GDPR.
