IA e dipendenti: obblighi del datore dal 23 ottobre 2026

In breve:

Il D.Lgs. 7 ottobre 2026, n. 179 (Gazzetta Ufficiale n. 234 dell'8 ottobre 2026) entra in vigore il 23 ottobre 2026 e attua la delega dell'art. 24 della legge 132/2025;
L'art. 41 riserva a una persona fisica con potere effettivo la decisione finale su assunzione, modifiche, licenziamento, disciplinari e valutazioni: le decisioni solo automatizzate sono nulle;
Lo screening dei CV resta fuori dal divieto specifico, ma restano GDPR e divieto di discriminazione; per i sistemi classificati ad alto rischio gli obblighi europei decorrono in generale dal 2 dicembre 2027, con il transitorio dell'art. 111;
Serve l'informativa dell'art. 1-bis del D.Lgs. 152/1997 prima del trattamento, trasmessa anche alle rappresentanze; il lavoratore può chiedere una motivazione intelligibile;
L'art. 42 porta i sistemi di IA nella valutazione dei rischi e nella formazione; per le PMI le sanzioni dell'art. 23 seguono il criterio del minore tra importo e percentuale.

Aggiornato al 19 ottobre 2026.

Dal 23 ottobre 2026 il datore di lavoro che usa un software di intelligenza artificiale non può lasciare che sia il software a decidere assunzioni, licenziamenti, disciplinari o valutazioni delle prestazioni. La decisione finale spetta a una persona fisica con potere effettivo e autonomo; altrimenti è nulla. Restano obblighi di informativa, motivazione, aggiornamento del DVR e formazione.

Cosa cambia per chi ha dipendenti

Il D.Lgs. 179/2026 non è una legge sull'intelligenza artificiale in astratto: è una norma sul procedimento con cui si decide su una persona. Gli artt. 41 e 42 si applicano dal 23 ottobre 2026 senza periodo transitorio. Molti gestionali ordinano candidati, assegnano punteggi, propongono turni, suggeriscono chi premiare: da venerdì 23 ottobre vanno governati e documentati. La norma non vieta l'IA in azienda, vieta che l'IA chiuda la decisione.

Art. 41: quali decisioni non possono essere automatiche

L'art. 41, "Tutela del lavoratore nei processi decisionali assistiti da sistemi di intelligenza artificiale", si applica a chi usa sistemi di IA come definiti dall'art. 3, punto 1, del Regolamento (UE) 2024/1689.

Il comma 1 fissa tre regole. Le decisioni finali su costituzione, modificazione o risoluzione del rapporto non possono essere adottate unicamente su trattamento automatizzato; il testo elenca provvedimenti disciplinari e valutazioni delle prestazioni. La decisione definitiva spetta a una persona fisica con potere effettivo e autonomo: non basta un dirigente che recepisce l'output. Il consenso del lavoratore non è un'eccezione al divieto.

Il comma 2 impone il rispetto della dignità, della riservatezza e del principio di non discriminazione. Il comma 4 stabilisce la conseguenza: il licenziamento intimato in violazione è nullo, e sono nulle anche le altre decisioni assunte in violazione.

Cosa resta ammesso: screening dei CV e selezione

Il comma 1 delimita il perimetro: non rientrano tra le decisioni finali sulla costituzione del rapporto "le attività di ricerca e selezione delle candidature, anche quando comportino la mancata ammissione alle successive fasi della selezione". Lo screening automatico dei curricula non è quindi vietato, nemmeno quando scarta un candidato nelle prime fasi.

I confini sono due: la scelta finale di chi assumere resta una decisione sulla costituzione del rapporto e va riservata a una persona; la selezione resta soggetta al GDPR, compreso l'art. 22. Per i sistemi classificati ad alto rischio dell'Allegato III, punto 4, lettera a), gli obblighi europei decorrono in generale dal 2 dicembre 2027, salvo il transitorio dell'art. 111 illustrato sotto. Un ranking può ordinare le candidature, ma non può produrre discriminazioni.

Informativa, rappresentanze sindacali e motivazione

Il comma 3 richiama l'art. 1-bis del D.Lgs. 26 maggio 1997, n. 152, introdotto dal decreto Trasparenza. L'informativa va consegnata prima dell'avvio del trattamento, non dopo la prima contestazione, e riguarda i sistemi decisionali o di monitoraggio integralmente automatizzati che forniscono indicazioni rilevanti sul rapporto di lavoro.

Lettera	Contenuto dell'informativa
a)	Aspetti del rapporto su cui incide il sistema
b)	Scopi e finalità
c)	Logica e funzionamento
d)	Categorie di dati e parametri principali usati per programmare o addestrare il sistema, inclusi i meccanismi di valutazione delle prestazioni
e)	Misure di controllo sulle decisioni automatizzate, processi di correzione, responsabile del sistema di gestione della qualità
f)	Accuratezza, robustezza e cybersicurezza, metriche usate e impatti potenzialmente discriminatori

L'informativa va comunicata in formato strutturato e leggibile da dispositivo automatico, e trasmessa alle rappresentanze sindacali aziendali o alla RSU; in assenza, alle sedi territoriali delle associazioni sindacali comparativamente più rappresentative sul piano nazionale. Il lavoratore, anche tramite le rappresentanze, può chiedere dati e informazioni e il datore risponde per iscritto entro 30 giorni. I lavoratori vanno informati per iscritto almeno 24 ore prima delle modifiche che incidono sulle informazioni del comma 2 e comportano variazioni delle condizioni di svolgimento del lavoro.

Lo stesso articolo precisa che resta fermo l'art. 4 della legge 300/1970 e che gli obblighi non si applicano ai sistemi protetti da segreto industriale e commerciale, esclusione che non copre l'esistenza del trattamento né i diritti del lavoratore. Dopo la decisione, il lavoratore può chiedere, con l'intervento di una persona fisica, una motivazione intelligibile, con l'incidenza dei sistemi di IA e i principali parametri considerati; restano fermi l'accesso ai dati e i diritti degli artt. 13, 15 e 22 del GDPR.

Controllo a distanza: l'art. 4 dello Statuto resta la bussola

L'art. 1-bis lo dice espressamente: resta fermo l'art. 4 della legge 20 maggio 1970, n. 300. Gli strumenti che consentono anche solo un controllo a distanza si usano esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale. Serve un accordo con RSU o rappresentanze sindacali aziendali; in mancanza, l'autorizzazione della sede territoriale dell'Ispettorato nazionale del lavoro. Il comma 2 esclude dall'accordo gli strumenti usati per rendere la prestazione e quelli di registrazione di accessi e presenze. Il comma 3 consente di usare le informazioni raccolte a tutti i fini connessi al rapporto solo se il lavoratore è stato adeguatamente informato delle modalità d'uso e dei controlli e se è rispettata la normativa sulla protezione dei dati.

DVR e formazione: cosa aggiunge l'art. 42

L'art. 42 stabilisce che l'uso di sistemi di IA che incidono su organizzazione, ritmi, modalità della prestazione o processi decisionali rilevanti per la sicurezza è valutato nella valutazione dei rischi dell'art. 28 del D.Lgs. 81/2008. Il comma 3 impone informazione e formazione sui rischi specifici e sulle misure di prevenzione.

In azienda: se un sistema di IA distribuisce carichi, comprime tempi, assegna turni o misura pause incidendo sui fattori indicati dall'art. 42, entra nella valutazione dei rischi. Sono esempi di rischi da esaminare l'intensificazione del ritmo, la riduzione dell'autonomia, l'errore indotto da un output sbagliato e l'affaticamento da monitoraggio, non un elenco tassativo imposto dal decreto.

Sanzioni e regime per le PMI

La sanzione principale dell'art. 41 è la nullità: è nullo il licenziamento deciso in violazione del comma 1 e sono nulle le altre decisioni. Il decreto non prevede per l'art. 41 una multa propria; le sanzioni dell'art. 23 riguardano le violazioni del Regolamento europeo.

Violazione	Massimale
Pratiche di IA vietate (art. 5 del Regolamento)	35 milioni di euro o 7% del fatturato mondiale annuo
Obblighi su fornitori, deployer, organismi notificati e trasparenza	15 milioni di euro o 3% del fatturato mondiale annuo
Informazioni inesatte o fuorvianti alle autorità	7,5 milioni di euro o 1% del fatturato mondiale annuo
Valutazione d'impatto sui diritti fondamentali e diritto alla spiegazione	1 milione di euro o 0,5% del fatturato mondiale annuo

Le percentuali si riferiscono al fatturato mondiale annuo dell'esercizio precedente. Per le imprese diverse dalle PMI opera il criterio del valore superiore; per le PMI vale la deroga del valore inferiore indicata sotto.

Per PMI, microimprese e startup innovative si applica il valore più basso tra importo e percentuale: una SRL qualificata come PMI, con 2 milioni di fatturato mondiale nell'esercizio precedente, ha un massimale di 60.000 euro sul secondo livello, non 15 milioni. Il solo fatturato non basta a provare la qualifica di PMI. È proporzionalità, non esonero.

Per l'informativa, l'art. 19, comma 2, del D.Lgs. 276/2003 sanziona la violazione dell'art. 1-bis, commi 2, 3 e 5, con 100–750 euro per ciascun mese di riferimento; la fascia sale a 400–1.500 euro se la violazione riguarda da 6 a 10 lavoratori e a 1.000–5.000 euro oltre 10, senza pagamento in misura ridotta. L'omessa comunicazione alle rappresentanze del comma 6 è sanzionata a parte con 400–1.500 euro per mese. Restano le sanzioni su sicurezza e GDPR.

Il caso pratico: il software che propone chi escludere dal premio

Un'azienda di 40 dipendenti ha un premio di risultato da 1.400 euro a persona. Il gestionale assegna un punteggio mensile e propone chi non raggiunge la soglia: a ottobre sono sei nominativi, per 8.400 euro di premio non erogato. Il responsabile inoltra l'elenco e il premio va ai restanti 34.

Dal 23 ottobre questo modo di procedere è esposto: l'esclusione dal premio è una valutazione delle prestazioni, e la decisione spetta a una persona fisica con potere effettivo. Il responsabile apre i sei casi, verifica se il punteggio riflette il lavoro o un errore del sistema, sente il dipendente se contesta, decide e firma annotando le ragioni. Se due vengono reintegrati, il premio sale a 36 persone e 50.400 euro: 2.800 euro in più, il prezzo della tracciabilità. Servono informativa, aggiornamento del DVR e un referente che spieghi il peso del punteggio.

La scadenza del 2 dicembre 2027 e l'alfabetizzazione AI

L'art. 41 si applica dal 23 ottobre 2026; gli obblighi europei sui sistemi ad alto rischio arrivano dopo. L'Allegato III del Regolamento (UE) 2024/1689, punto 4, considera ad alto rischio i sistemi usati per assunzione e selezione, decisioni su condizioni di lavoro, promozioni e cessazioni, assegnazione di compiti e valutazione delle prestazioni, secondo la classificazione concreta prevista dal Regolamento. Il Regolamento (UE) 2026/1744 ha fissato al 2 dicembre 2027 l'applicazione del Capo III, sezioni 1, 2 e 3, ai sistemi dell'Allegato III, salvo l'art. 6, paragrafo 5, e il transitorio seguente.

Resta il regime transitorio dell'art. 111, paragrafo 2: per i sistemi già immessi sul mercato o messi in servizio prima di quella data gli obblighi scattano solo con modifiche significative della progettazione; per i sistemi destinati alle autorità pubbliche l'adeguamento è previsto entro il 2 agosto 2030. La disciplina europea non rinvia gli artt. 41 e 42.

Quando si applicano quegli obblighi, il datore deve usare il sistema secondo le istruzioni e affidare la sorveglianza umana a persone competenti e con autorità; conservare i log automaticamente generati sotto il proprio controllo per un periodo appropriato, almeno sei mesi salvo diversa normativa; informare prima della messa in servizio o dell'uso sia i rappresentanti dei lavoratori sia i lavoratori interessati. La valutazione d'impatto sui diritti fondamentali dell'art. 27 non è obbligatoria per una comune impresa privata per il solo fatto di usare un sistema HR ad alto rischio, ma lo è se il deployer è un organismo di diritto pubblico o un ente privato che eroga servizi pubblici, e per i sistemi dell'Allegato III, punto 5, lettere b) e c). Resta distinta la valutazione d'impatto privacy.

L'art. 4 dell'AI Act, riscritto dal Regolamento (UE) 2026/1744, non chiede più un livello specifico di alfabetizzazione: impone a fornitori e deployer misure per sostenere le competenze del personale. L'art. 23 del D.Lgs. 179/2026 non lo sanziona. La formazione resta obbligatoria per l'art. 42, comma 3.

Checklist operativa per una PMI

La checklist combina obblighi e modalità organizzative consigliate. La mappatura, il formato della traccia e la cadenza annuale di revisione sono buone pratiche proposte, non modelli o scadenze autonome imposti dagli artt. 41 e 42.

Mappa i sistemi. Strumento, fornitore, finalità, dati, persone coinvolte, area di rischio, comprese le funzioni IA nei gestionali.
Individua la persona che decide. Per ogni decisione dell'art. 41 scrivi chi decide, che potere ha e chi lo sostituisce.
Chiedi al fornitore le informazioni necessarie. Istruzioni, logica, parametri, metriche, esportazione dei log.
Aggiorna l'informativa dell'art. 1-bis. Sei punti, formato strutturato, consegna prima dell'avvio, trasmissione a RSU o RSA o ai sindacati territoriali.
Costruisci la traccia delle motivazioni. Proposta del sistema, esame, decisione, ragioni; conserva anche il rigetto motivato.
Scrivi la procedura per le spiegazioni. Referente persona fisica, risposta scritta, peso del sistema e parametri; 30 giorni per l'art. 1-bis.
Aggiorna il DVR. Sistemi che incidono su organizzazione, ritmi, modalità o sicurezza, con rischi e misure.
Forma chi usa e chi decide. Rischi specifici, limiti, errori tipici, divieto di discriminazione, uso dei dati.
Verifica il confine con l'art. 4 dello Statuto. Lo strumento serve alla prestazione o al controllo?
Fissa una revisione annuale. Sistemi, decisioni, contestazioni, modifiche dei fornitori.

Per capire quante procedure servono in base all'organico, puoi usare il tool sugli obblighi del datore di lavoro per numero di dipendenti.

Errori comuni

Il click di approvazione. Confermare in blocco le proposte del sistema non è esercitare un potere effettivo.
Lo screening dei CV come zona franca. L'esclusione riguarda la selezione, non l'assunzione finale, e non sospende il GDPR.
Le rappresentanze informate a cose fatte. L'informativa precede l'avvio del trattamento.

Domande frequenti

Il licenziamento deciso da un algoritmo è sempre nullo?

È nullo il licenziamento intimato in violazione dell'art. 41, comma 1: quando la decisione finale è adottata unicamente su trattamento automatizzato o non è riservata a una persona fisica con potere effettivo e autonomo.

Basta che un dirigente firmi la decisione proposta dal software?

No, se la firma recepisce l'output senza esame. Servono l'esame del caso, la possibilità di discostarsi e una traccia delle ragioni.

Posso usare l'IA per scremare i curricula?

L'art. 41 esclude dal proprio divieto la ricerca e selezione delle candidature, anche quando comportano la mancata ammissione alle fasi successive. Restano GDPR e divieto di discriminazione. Per i sistemi classificati ad alto rischio gli obblighi europei decorrono in generale dal 2 dicembre 2027, fermo il transitorio dell'art. 111: non è un'autorizzazione indiscriminata di ogni uso dell'IA.

Devo informare i sindacati anche se non ho una RSU?

Sì. La comunicazione va alle rappresentanze aziendali o alla RSU e, in loro assenza, alle sedi territoriali delle associazioni sindacali comparativamente più rappresentative.

Un software che misura la produttività deve entrare nel DVR?

Sì, se incide su organizzazione, ritmi, modalità della prestazione o processi decisionali rilevanti per la sicurezza. L'art. 42 richiama l'art. 28 del D.Lgs. 81/2008 e impone formazione sui rischi specifici.

Cosa rischia una PMI che non si adegua?

Le decisioni adottate in violazione dell'art. 41, comma 1, sono nulle. Per gli obblighi informativi dell'art. 1-bis si applicano sanzioni mensili da 100 a 750 euro, elevate a 400–1.500 euro se la violazione riguarda da 6 a 10 lavoratori e a 1.000–5.000 euro oltre 10 lavoratori. L'omessa comunicazione sindacale è sanzionata separatamente con 400–1.500 euro per mese. Restano le eventuali sanzioni in materia di sicurezza e GDPR; quelle dell'art. 23 riguardano le violazioni del Regolamento europeo.