Algoritmi e diritti: la fragile tutela del lavoratore digitale

Entro il 2 dicembre 2026, il legislatore italiano recepirà la direttiva (UE) 2024/2831 del 24 ottobre 2024 relativa al miglioramento delle condizioni di lavoro nel lavoro mediante piattaforme digitali.

Regolamentazione della gestione algoritmica

Il legislatore è dunque chiamato al non facile compito di:

• individuare procedure che consentano di verificare e garantire la corretta situazione occupazionale delle persone che svolgono la propria attività di lavoro tramite una piattaforma digitale, prevedendo un meccanismo di presunzione legale – confutabile – dell’esistenza di un rapporto contrattuale con la piattaforma digitale e individuando misure di sostegno che assicurino l’effettività del meccanismo di presunzione legale;
• disciplinare un ambito caratterizzato da elementi di novità che incidono, oltre che sul piano giuridico, anche sulla struttura organizzativa di una piattaforma digitale. I processi di digitalizzazione e le nuove forme d’interazione digitale esercitano un’influenza decisiva sul modello organizzativo di un’impresa, presentando al contempo rischi inediti: da qui la necessità di una regolamentazione della ‘gestione algoritmica’ (algorithmic management) e l’introduzione di norme che, limitato il trattamento mediante sistemi automatizzati di taluni dati personali, disciplinino la valutazione d’impatto sulla protezione dei dati e assicurino la trasparenza dei sistemi automatizzati in uso, effettuando l’attività di ‘supervisione umana’ e consentendo l’esercizio del diritto al ‘riesame umano’ di decisioni assunte dal sistema decisionale automatizzato o da esso proposte;
• considerare l’opportunità di un organico raccordo con il regolamento (UE) 2024/1689 del 13 giugno 2024, AI Act, recante regole armonizzate sull’intelligenza artificiale. Se, per definizione (art. 2, par. 1, lett. a)), una piattaforma digitale di lavoro è la persona – fisica o giuridica – che fornisce un servizio, almeno in parte, a distanza tramite strumenti elettronici, ricorrendo a sistemi di monitoraggio e/o decisionali automatizzati, è evidente come gli ambiti di sovrapposizione tra la direttiva in esame e il testé richiamato regolamento, entrato in vigore il 1° agosto 2024, assumono un rilievo cruciale, tale da condizionare, come meglio esemplificato in seguito, la struttura organizzativa di una piattaforma digitale e il suo funzionamento nonché le strategie imprenditoriali.

Ambito di applicazione della direttiva

L’impianto delineato dalla direttiva (UE) 2024/2831 trova applicazione con riferimento alle piattaforme digitali di lavoro – persone fisiche o giuridiche – che, su richiesta di un destinatario, forniscano un servizio che, almeno in parte, è offerto a distanza per mezzo di strumenti elettronici (sito web o applicazione mobile). Perché sia compresa nell’ambito di applicazione della citata direttiva, la piattaforma digitale deve essersi dotata di una propria organizzazione del lavoro nonché di sistemi di monitoraggio e/o decisionali automatizzati, intendendosi per tali rispettivamente:

• il sistema utilizzato per effettuare o agevolare, mediante l’impiego di strumenti elettronici, le attività di monitoraggio, di supervisione e valutazione i) dell’esecuzione del lavoro delle persone che svolgono la propria attività mediante la piattaforma digitale o ii) delle attività svolte nell’ambiente di lavoro, anche raccogliendo dati personali (art. 2, par. 1, lett. h));
• il sistema al quale la piattaforma digitale ricorre per prendere o sostenere, tramite strumenti elettronici, decisioni che incidono significativamente sulle persone che svolgono un lavoro mediante piattaforme digitali con riguardo alle condizioni di lavoro, all’assunzione, all’accesso ad incarichi di lavoro, ai meccanismi di remunerazione, la salute e sicurezza, l’orario di lavoro, l’accesso alla formazione, la promozione e, più in generale, la situazione contrattuale (art. 2, par. 1, lett. i)).

Elementi essenziali della gestione algoritmica

Gli artt. 7-12 costituiscono il nucleo normativo che regola l’attività di gestione algoritmica, delineando un sistema di protezione di coloro che svolgono un lavoro mediante una piattaforma digitale con riguardo sia al trattamento dei dati personali che al funzionamento dei sistemi di monitoraggio e/o decisionali di cui la piattaforma è dotata, affinché siano garantite i) trasparenza, ii) equità, iii) supervisione e revisione umane e iv) assicurata la tutela della salute e sicurezza.

Le componenti della gestione algoritmica comprendono:

1. una specifica disciplina in tema di raccolta e trattamento dei dati personali tramite sistemi automatizzati, caratterizzata da limitazioni significative laddove trattasi, ad esempio, di dati biometrici, di dati riferiti allo stato emotivo o psicologico della persona o che consentano di prevedere l’esercizio di diritti fondamentali o, ancora, di desumere l’origine razziale o etnica, lo status di migrante, le opinioni politiche, le convinzioni religiose o filosofiche, la condizione di disabilità, lo stato di salute (malattie croniche o la sieropositività), l’adesione a un sindacato, la vita sessuale e/o l’orientamento sessuale;
2. la valutazione d’impatto sulla protezione dei dati personali, avendo in considerazione le limitazioni testé accennate e le relazioni (necessarie) con quanto disposto in materia anche dall’art. 35 del citato regolamento (UE) 2016/679 del 17 aprile 2016 (GDPR), del quale devono essere altresì osservate le disposizioni in tema di consenso dell’interessato;
3. gli obblighi informativi vòlti a garantire la trasparenza del funzionamento dei sistemi automatizzati, indicando le categorie di dati e azioni monitorate e le finalità del monitoraggio così come i dati e i principali parametri elaborati dal sistema decisionale automatizzato e le categorie di decisioni che il sistema prende o propone;
4. l’attività di supervisione (human oversight) dei sistemi di monitoraggio e/o decisionali automatizzati, che è espressamente previsto sia effettuata con la partecipazione dei rappresentanti dei lavoratori e per il cui svolgimento la piattaforma digitale è tenuta a garantire risorse umane sufficienti, con specifiche competenze e l’autorità necessaria perché la funzione attribuita possa essere esercitata, potendo altresì disporre che la decisione automatizzata non sia seguita. Inoltre, laddove l’attività di sorveglianza umana rilevi forme di discriminazione o di violazione dei diritti di coloro che prestano la propria attività per il tramite della piattaforma stessa, devono essere adottate le misure necessarie affinché sia opportunamente contrastato il rischio che dette violazioni si verifichino nuovamente;
5. il riesame umano (human review), cioè il diritto che la persona che svolge l’attività di lavoro mediante la piattaforma digitale può esercitare per ottenere, senza ritardo, una spiegazione – in forma orale o scritta – con riguardo ad una decisione assunta dal sistema automatizzato o da esso sostenuta;
6. la valutazione dei rischi a cui sono esposte le persone che svolgono l’attività di lavoro mediante la piattaforma digitale in ragione dell’utilizzo di sistemi di monitoraggio e/o decisionale automatizzati. Elaborata la valutazione dei rischi, la piattaforma digitale è tenuta ad adottare idonee misure di prevenzione e protezione. Fermo restando che la direttiva in esame dovrà essere recepita entro il 2 dicembre 2026, l’obbligo di tutela della salute e sicurezza di cui all’art. 12, par. 1, lett. a) della direttiva (UE) 2024/2831 deve essere in ogni caso interpretato alla luce di quanto già disposto in materia prevenzionistica dagli artt. 28, c. 1 e 29, c. 3 del D.Lgs. n. 81/ 2008 e dall’art. 2087 del codice civile, per effetto del quale ‘l’imprenditore è tenuto ad adottare nell’esercizio dell’impresa le misure che, secondo la particolarità del lavoro, l’esperienza e la tecnica, sono necessarie a tutelare l’integrità fisica e la personalità morale dei prestatori di lavoro’. È la stessa direttiva a precisare espressamente che l’impiego di sistemi automatizzati costituisce fonte di rischio per la salute dei lavoratori, precisando che ‘i sistemi di monitoraggio automatizzati e i sistemi decisionali automatizzati possono avere un impatto significativo sulla sicurezza e sulla salute fisica e mentale dei lavoratori delle piattaforme digitali’ e che ‘la direzione, la valutazione e la disciplina algoritmiche intensificano lo sforzo di lavoro aumentando il monitoraggio, accrescendo il ritmo richiesto ai lavoratori, riducendo al minimo le discontinuità nel flusso di lavoro ed estendendo l’attività lavorativa al di là del luogo e dell’orario di lavoro convenzionali’ (considerandum 50).

È pertanto ragionevole ritenere che le indicazioni offerte in materia prevenzionistica dalla direttiva stessa non possano che essere seguite sin d’ora e recepite senza ritardo dal sistema di prevenzione e protezione.

Le interazioni con l’AI Act

Sorprende che nella direttiva in esame non sia rinvenibile alcun espresso richiamo all’AI Act. Eppure è d’immediata evidenza che, unitamente al GDPR, il regolamento (UE) 2024/1689 è fonte imprescindibile, perché della direttiva (UE) 2024/2831 siano date una lettura e un’interpretazione equilibrate. Al riguardo, è sufficiente considerare come non sia affatto remota l’eventualità che il sistema automatizzato di cui è dotata la piattaforma digitale costituisca un sistema d’intelligenza artificiale (IA) ai sensi dell’art. 3, par. 1, lett. a)) dell’AI Act, trattandosi appunto di ‘un sistema automatizzato progettato per funzionare con livelli di autonomia variabili (…) e che, per obiettivi espliciti o impliciti, deduce dall’input che riceve come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtuali’.

Peraltro, il sistema automatizzato utilizzato da una piattaforma digitale di lavoro sarebbe con ogni probabilità attratto nell’ambito di applicazione del Capo III dell’AI Act, recante disposizioni in materia di sistemi di IA ad alto rischio, in quanto è frequentissimo il ricorso da parte di una piattaforma digitale ad un sistema di IA perché questo operi nel settore ‘occupazione, gestione dei lavoratori e accesso al lavoro autonomo di cui all’Allegato III, pt. 4) dell’AI Act stesso.

L’applicazione del Capo III dell’AI Act infittisce ulteriormente il complesso di correlazioni esistenti con la direttiva (UE) 2024/2831, condizionando in modo incisivo il modello organizzativo di una piattaforma digitale e, in particolare, la gestione algoritmica.

L’assunzione della qualifica di ‘deployer’

Infatti, dall’utilizzazione di un sistema di IA ad alto rischio discende l’assunzione della qualifica di ‘deployer’ e, in particolare, l’assoggettamento alle norme contenute nell’art. 26 dell’AI Act in forza del quale questi è tenuto a:

• adottare idonee misure tecniche e organizzative per garantire di utilizzare i sistemi di IA ad alto rischio conformemente alle istruzioni per l’uso fornite;
• esercitare il controllo sui dati di input, assicurando che siano i) pertinenti e ii) sufficientemente rappresentativi in relazione alle finalità per il conseguimento delle quali il sistema è utilizzato. Tale disposto trova una non trascurabile correlazione con l’art. 7 della direttiva (UE) 2024/2831, che introduce specifiche limitazioni al trattamento dei dati personali di coloro che svolgono la propria attività per il tramite di una piattaforma, precludendo, ad esempio, i) il trattamento di dati biometrici ove sia finalizzato a stabilire l’identità di un soggetto operando un confronto con i dati biometrici conservati in una banca dati e ii) il trattamento di dati personali relativi allo stato emotivo o psicologico od ancora iii) il trattamento di dati personali al fine di prevedere l’esercizio di diritti fondamentali, quali la libertà di associazione, il diritto di negoziazione e di azioni collettive o il diritto all’informazione e alla consultazione;
• monitorare il funzionamento del sistema automatizzato, osservando le istruzioni per l’uso rese disponibili dal fornitore e, quando sia riscontrata un’incongruenza o una grave anomalia di funzionamento, informando senza ritardo il fornitore stesso;
• informare i lavoratori interessati e le loro rappresentanze prima di mettere in servizio o utilizzare un sistema di IA ad alto rischio. Tale obbligo informativo s’intreccia con gli obblighi stabiliti dagli artt. 8, par. 2 e 9, par. 1 della direttiva (UE) 2024/2831, in ragione dei quali la piattaforma digitale è tenuta rispettivamente a fornire la valutazione d’impatto sulla protezione dei dati personali ai rappresentanti dei lavoratori e a informare detti rappresentanti – e i lavoratori interessati – circa le logiche di funzionamento dei sistemi di monitoraggio e decisionali. A tal proposito, è opportuno rilevare come un obbligo informativo che, almeno in parte, già realizza gli obblighi di cui al testé citato art. 9, par. 1 della direttiva (UE) 2024/2831 può ricondursi all’art. 1-bis del D.Lgs. n. 152/1997, introdotto dall’art. 4, c. 1, lett. b) del D.Lgs. n. 104/2022 e in vigore dallo scorso 13 agosto 2022.

Obblighi informativi e sorveglianza umana

Di particolare rilievo risulta altresì la disciplina dettata in materia di sorveglianza umana che, quando afferisca a sistemi automatizzati qualificati come sistemi di IA ad alto rischio comporterà la necessità di una lettura e di un’attuazione integrate dell’art. 10 della direttiva (UE) 2024/2831 e dell’art. 14 del regolamento (UE) 2024/1689.

Non potendo qui svolgere in un’ottica comparativa un’analisi dettagliata delle testé citate disposizioni, è però opportuno dar seguito alle considerazioni più sopra svolte in materia di prevenzione dei rischi per la salute e sicurezza dei lavoratori della piattaforma (platform workers) e di coloro che svolgono la propria attività di lavoro per il tramite della piattaforma digitale; se, come detto, si ritiene che in forza del combinato disposto di cui agli artt. 28, c. 1 e 29, c. 3 del D.Lgs. n. 81/ 2008 e dell’art. 2087 del codice civile la valutazione dei rischi deve essere effettuata sin d’ora anche alla luce dell’art. 12 della Direttiva (UE) 2024/2831, ne viene che anche lo svolgimento dell’attività di sorveglianza umana deve essere assicurato, dal momento che ‘i sistemi di IA ad alto rischio sono progettati e sviluppati, anche con strumenti di interfaccia uomo-macchina adeguati, in modo tale da poter essere efficacemente supervisionati da persone fisiche durante il periodo in cui sono in uso’ e ‘la sorveglianza umana mira a prevenire o ridurre al minimo i rischi per la salute, la sicurezza o i diritti fondamentali che possono emergere quando un sistema di IA ad alto rischio è utilizzato conformemente alla sua finalità prevista o in condizioni di uso improprio ragionevolmente prevedibile’ (art. 14, par. 1 e 2 del regolamento (UE) 2024/1689).