3,136 subscribersSubscribed

Shadow AI e Controlli Aziendali: Perché la Sicurezza Informatica non Rende Esenti da Statuto dei Lavoratori e GDPR

Antonio Ieranò

Information & Cybersecurity Strategist | Digital Sovereignty • AI Governance • Complex Systems | Author, Researcher & Occasional Philosopher | Views stubbornly my own. 🧠

October 9, 2026

L’esplosione dell’Intelligenza Artificiale Generativa nel contesto aziendale ha trasformato radicalmente il panorama dei rischi per la sicurezza delle informazioni. Dipendenti e collaboratori utilizzano quotidianamente assistenti AI, estensioni browser, chatbot web e applicazioni desktop per riassumere documenti, generare codice o analizzare report.

Questo fenomeno, noto come Shadow AI, pone le organizzazioni di fronte a minacce concrete: data leakage di informazioni riservate, violazione del segreto industriale e mancato rispetto dei requisiti di conformità normativa (come la direttiva NIS2).

Per arginare questo rischio, molte direzioni IT e Cyber Security stanno implementando strumenti di visibilità e controllo: sistemi CASB (Cloud Access Security Broker), agent DLP sul browser, estensioni di sicurezza e proxy di ispezione del traffico applicativo.

La domanda che molti CISO, IT Director e responsabili HR si pongono è: questi sistemi di monitoraggio e blocco della Shadow AI sono esenti dalle rigide procedure sui controlli a distanza?

La risposta breve è no. La novità tecnologica dell’AI non crea una “zona franca” giuridica. L’adozione di tali strumenti deve bilanciare la tutela del patrimonio aziendale con i diritti costituzionali e la riservatezza dei lavoratori.

1. L’Inquadramento sotto l’Articolo 4 dello Statuto dei Lavoratori (L. 300/1970)

Il punto di partenza imprescindibile del nostro ordinamento è l’Articolo 4 della Legge 300/1970, come riformulato dal D.Lgs. 151/2015. La norma disciplina l’uso degli impianti audiovisivi e degli altri strumenti dai quali derivi la possibilità di controllo a distanza dell’attività dei lavoratori.

A. La distinzione fondamentale tra “Strumento di Lavoro” e “Strumento di Controllo”

Una delle incomprensioni più frequenti riguarda la portata del comma 2 dell’art. 4, che esenta dalle procedure autorizzative gli “strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa”.

Cosa Rientra nello Strumento di Lavoro: Il PC, il browser web, la suite di produttività o un account aziendale a una piattaforma AI ufficiale (es. Microsoft Copilot per Enterprise).
Cosa Rientra nello Strumento di Controllo: Il software di DLP, la soluzione di monitoraggio delle estensioni del browser, l’agent che analizza i prompt inviati a servizi AI non autorizzati o il proxy che esegue l’ispezione del traffico.

Trattandosi di soluzioni installate con la finalità primaria di tutela del patrimonio aziendale e prevenzione del rischio cyber, esse rientrano pienamente nell’ambito del comma 1 dell’art. 4.

B. Il Percorso Procedurale Obbligatorio

L’attivazione di tali sistemi richiede preventivamente, a pena di sanzioni penali e amministrative:

La stipula di un Accordo Sindacale con le Rappresentanze Sindacali Aziendali (RSU/RSA).
In mancanza di rappresentanze o in caso di mancato accordo, l’ottenimento di un’Autorizzazione dall’Ispettorato Territoriale del Lavoro (ITL) (o del Ministero del Lavoro per aziende multilocalizzate).

Senza questo passaggio, l’architettura di controllo – per quanto tecnologicamente avanzata o giustificata da esigenze di sicurezza – risulta illegittima.

2. Il Nodo dei “Controlli Difensivi”

In ambito giurisprudenziale si fa spesso riferimento ai cosiddetti controlli difensivi. La Cassazione ha chiarito che i controlli mirati ad accertare comportamenti illeciti gravi del dipendente sono ammessi anche al di fuori delle garanzie dell’art. 4, ma solo a determinate condizioni:

Ex-post e Mirati: Il controllo difensivo in senso stretto scatta in presenza di un concreto e fondato sospetto di un illecito già commesso o in corso (es. un’anomala ed enorme esfiltrazione di dati).
Non Preventivi né Massivi: Un sistema di controllo sulle app e sul browser per l’AI che lavora in background in modo continuo e indistinto su tutti i lavoratori non è un controllo difensivo ex-post, ma un monitoraggio preventivo. Di conseguenza, necessita comunque del rispetto dell’iter dell’art. 4, comma 1.

3. La Dimensione Privacy: GDPR e Indicazioni del Garante

Anche in presenza di un accordo sindacale o autorizzazione ITL, l’utilizzo di strumenti di monitoraggio dell’AI deve soddisfare pienamente le prescrizioni del Regolamento UE 2016/679 (GDPR).

A. Valutazione di Impatto sulla Protezione dei Dati (DPIA)

L’art. 35 del GDPR impone la redazione di una DPIA quando il trattamento prevede un monitoraggio sistematico su larga scala delle attività dei dipendenti o l’uso di nuove tecnologie intrusive. Prima di distribuire agent di controllo o plugin di analisi del traffico AI, l’azienda deve formalizzare un’analisi dei rischi per i diritti e le libertà degli interessati.

B. Principio di Minimizzazione e No al Keylogging

Il Garante per la protezione dei dati personali è stato più volte perentorio nell’escludere la liceità di strumenti che effettuano:

Registrazione continua delle digitazioni sulla tastiera (keylogging).
Acquisizione sistematica di schermate del desktop (screenshot).
Ispezione e memorizzazione indiscriminata del contenuto integrale di tutte le comunicazioni private o dei prompt.

Le soluzioni di controllo devono essere configurate seguendo i principi di Privacy by Design e By Default: l’analisi dovrebbe concentrirsi sui metadati, sulla categoria del servizio e sul blocco preventivo dei domini/app non autorizzate, evitando l’acquisizione sistemica di dati personali non necessari.

C. Pseudonimizzazione e Tracciabilità degli Accessi

Per combinare le esigenze del SOC con quelle di tutela della privacy:

Gli alert e i log di prima linea generati dai sistemi di monitoraggio dell’AI dovrebbero mostrare dati pseudonimizzati (es. ID univoco e non nome.cognome).
La de-anonimizzazione del lavoratore deve avvenire solo in presenza di un effettivo incident di sicurezza e seguendo una procedura formalizzata che coinvolga ruoli distinti (es. DPO, CISO, Risorse Umane).

4. L’Inutilizzabilità delle Prove e le Conseguenze Sanzionatorie

L’art. 4, comma 3, dello Statuto stabilisce che i dati e le informazioni raccolte mediante gli strumenti di controllo sono utilizzabili a tutti i fini connessi al rapporto di lavoro (inclusi i provvedimenti disciplinari o le contestazioni) solo a due condizioni concorrenti:

Rispetto delle procedure autorizzative di cui al comma 1 (Accordo/ITL).
Erogazione al lavoratore dell’adeguata Informativa Privacy (ex Art. 13 GDPR) e del Disciplinare Interno (Acceptable Use Policy) sul corretto uso delle tecnologie aziendali e sulle modalità con cui i controlli vengono effettuati.

Se manca uno di questi elementi:

Le evidenze estratte dai log (es. la dimostrazione che un dipendente ha caricato il database clienti su un LLM pubblico) sono inutilizzabili in sede di procedimento disciplinare o di licenziamento.
L’azienda si espone a sanzioni amministrative del Garante Privacy (fino a 20 milioni di euro o al 4% del fatturato globale).
Sussistono profili di responsabilità penale previsti dall’art. 38 dello Statuto dei Lavoratori per l’installazione illegittima di apparecchiature di controllo.

Roadmap Operativa per il Management

Per le organizzazioni che intendo implementare visibilità e controlli sull’uso dell’AI via browser e app, il percorso corretto prevede i seguenti step consecutivi:

Policy e Policy Governance: Redigere o aggiornare la Corporate AI Policy e il Disciplinare d’Uso degli Strumenti IT, specificando quali strumenti AI sono autorizzati, quali sono vietati e l’esistenza di sistemi di sicurezza/filtraggio.
Data Protection Impact Assessment (DPIA): Coinvolgere il DPO per mappare i flussi di dati generati dal sistema di controllo dell’AI e valutare la proporzionalità dell’architettura scelta.
Procedura ex Art. 4 L. 300/1970: Coinvolgere la direzione HR e il legale del lavoro per avviare il confronto con le RSU/RSA o presentare l’istanza di autorizzazione all’ITL competente.
Informativa ai Lavoratori: Consegnare e far sottoscrivere ai dipendenti l’Informativa Privacy ex art. 13 aggiornata con le indicazioni dettagliate sul funzionamento del sistema di controllo.
Hardening & Fine-Tuning Tecnologico: Configurare il sistema di monitoraggio applicando il mascheramento dei dati identificativi, limiti definiti ai tempi di retention dei log e rigidi controlli di accesso per gli amministratori di sistema.

Conclusioni

Affrontare la Shadow AI è un imperativo strategico per la sicurezza delle informazioni, ma l’urgenza tecnologica non cancella i confini del diritto del lavoro. Un approccio corretto non blocca l’innovazione né compromette la posture di sicurezza: al contrario, la formalizzazione di regole chiare e l’adempimento dei passaggi di legge garantiscono che le difese attivate siano non solo efficaci, ma anche legalmente inattaccabili.