AI e dati di dipendenti e aziende: GDPR e riservatezza nello studio

Titolare e responsabile: un ruolo da chiarire

Nel trattamento dei dati dei dipendenti, l’azienda cliente è di norma il titolare del trattamento e lo studio di consulenza del lavoro agisce come responsabile del trattamento (art. 28 GDPR), sulla base di un apposito accordo. Questo significa che lo studio tratta quei dati per conto dell’azienda e deve dare garanzie adeguate — comprese le garanzie sugli strumenti che usa, inclusi quelli di AI.

A questo si aggiunge il dovere di riservatezza del professionista: il consulente del lavoro è vincolato al segreto professionale, che esiste indipendentemente dal GDPR e non viene meno solo perché un trattamento è «conforme» sulla carta. Ogni strumento che tratta dati di dipendenti — un assistente vocale, un sistema di gestione, un copilota per i documenti — va scelto e configurato tenendo conto di entrambi i piani.

Attenzione ai dati particolari

Alcuni dati che passano ogni mese per lo studio sono «particolari» ai sensi dell’art. 9 GDPR e richiedono cautele maggiori:

• Dati sulla salute: certificati di malattia, infortuni, idoneità, invalidità.
• Adesione sindacale: desumibile dalle trattenute per quote associative in busta paga.
• Dati su maternità, permessi per assistenza (es. L. 104) e congedi.
• Più in generale, ogni informazione da cui si possano dedurre condizioni personali del lavoratore.

Le domande da porsi prima di adottare uno strumento

Prima di far entrare un tool AI nel flusso dello studio, vale la pena rispondere a poche domande concrete:

• Ruolo e accordo: il fornitore firma un accordo come responsabile (o sub-responsabile) ex art. 28 GDPR?
• Dove risiedono i dati: sono conservati nell’UE o trasferiti fuori? Con quali garanzie?
• Addestramento: i dati e i documenti caricati vengono usati per addestrare i modelli del fornitore? Per dati di dipendenti la risposta accettabile è «no».
• Minimizzazione: lo strumento tratta solo i dati necessari alla finalità, e per il tempo necessario?
• Riservatezza: lo strumento espone dati a personale del fornitore o a terzi non autorizzati?

Una nota onesta

Questa guida ha scopo informativo e non sostituisce il parere di un consulente privacy, di un DPO o la valutazione del singolo caso. La conformità dipende dallo specifico strumento, dalla configurazione, dall’accordo con l’azienda cliente e dal tipo di dato. Il messaggio di fondo, però, è incoraggiante: usare l’AI nello studio in modo conforme è possibile — a patto di sceglierla con criterio e di non caricare mai dati di dipendenti in strumenti consumer non pensati per questo.