Sempre più decisioni sul lavoro iniziano con un software. Uno strumento ordina i CV prima che un selezionatore li legga. Un'app assegna turni e compiti. Un filtro antifrode o un sistema di valutazione decide chi resta attivo su una piattaforma. Spesso le persone coinvolte non sanno mai chi, ammesso che qualcuno lo abbia fatto, abbia dato il via libera.
I regolatori europei stanno ora dando un prezzo a questi errori. Nell'agosto 2026 l'autorità olandese per la protezione dei dati ha multato Uber per 824.990.000 € per aver lasciato che un software disattivasse gli account degli autisti senza alcun intervento umano. A settembre il garante spagnolo ha avvertito un'azienda riguardo allo strumento di IA che intendeva usare per selezionare i candidati. E entro il 2 dicembre 2026 i paesi dell'UE devono aver recepito la direttiva sul lavoro tramite piattaforme digitali, secondo cui è una persona, e non un algoritmo, a dover decidere di sospendere o chiudere l'account di qualcuno.
Questo articolo ha solo scopo informativo e non costituisce consulenza legale. È una guida pratica per imprenditori, responsabili HR e team di prodotto. La decisione su Uber in sé l'abbiamo trattata nel nostro articolo precedente sulla decisione Uber; qui vediamo cosa significa per chiunque gestisca persone con il software.
Perché la gestione algoritmica è sotto i riflettori
- La decisione su Uber è arrivata in tutta Europa. L'Autoriteit Persoonsgegevens (AP) ha annunciato la multa il 21 agosto 2026, la CNIL francese ha seguito il 24 agosto e il Comitato europeo per la protezione dei dati (EDPB) ha pubblicato una sintesi l'8 ottobre 2026.
- La Spagna si è mossa due volte. Il 23 settembre l'AEPD ha pubblicato un ammonimento formale su uno strumento di IA per il reclutamento. Il 7 ottobre ha emanato orientamenti sui sistemi algoritmici sul lavoro, due giorni dopo l'entrata in vigore di un nuovo decreto spagnolo sull'informazione dei lavoratori in merito agli algoritmi.
- Una scadenza è vicina. La direttiva (UE) 2024/2831 sul lavoro tramite piattaforme digitali deve essere recepita entro il 2 dicembre 2026.
- Potrebbero seguire altre misure. Il 6 ottobre 2026 2EU ha riferito che la vicepresidente esecutiva della Commissione, Roxana Mînzatu, aveva detto al Parlamento europeo che la gestione algoritmica rientra tra i temi in esame per la futura legge sui posti di lavoro di qualità (Quality Jobs Act). Non è stato pubblicato alcun testo, e un tema in esame non garantisce una misura specifica.
Cosa ha fatto Uber e perché il regolatore ha detto no
Secondo l'AP, tra il 2018 e il 2022 Uber ha usato un software per monitorare il comportamento degli autisti e tracciare le valutazioni dei clienti. In caso di sospetta frode, o quando le valutazioni erano troppo basse, l'account dell'autista veniva disattivato automaticamente: temporaneamente o, per valutazioni costantemente basse, in modo definitivo. Non c'è stata alcuna valutazione umana e gli autisti perdevano i guadagni di Uber mentre erano disattivati.
L'AP ha riscontrato due violazioni del GDPR:
- L'articolo 22, che dà alle persone il diritto di non essere sottoposte a una decisione basata unicamente sul trattamento automatizzato che produca effetti giuridici o incida in modo analogo significativamente su di esse. La CNIL spiega che le disattivazioni erano decisioni automatizzate «per la completa assenza di intervento umano», con un effetto significativo su autisti che non potevano più guadagnare.
- L'articolo 13, perché gli autisti non erano stati informati correttamente. L'articolo 13, paragrafo 2, lettera f), richiede «informazioni significative sulla logica utilizzata» e sulle conseguenze per la persona.
Contano anche altri tre dettagli:
- È partito da un reclamo. 171 autisti francesi si sono rivolti alla Ligue des droits de l'Homme, che ha presentato reclamo alla CNIL. Poiché la sede europea di Uber è nei Paesi Bassi, l'AP ha guidato il caso in base al meccanismo dello sportello unico del GDPR.
- È elevata, ma non è il massimo. Le sanzioni GDPR possono arrivare al 4 % del fatturato mondiale. L'AP ha stimato il fatturato 2025 di Uber in circa 44,5 miliardi di €, quindi la multa è pari a circa l'1,9 %.
- Non è definitiva. Uber ha posto fine alla pratica ma impugna la multa. È la quarta sanzione dell'AP contro Uber, dopo i 600.000 € del 2018, i 10 milioni di € del 2023 e i 290 milioni di € del 2024; anche le ultime due sono contestate.
Un «essere umano nel ciclo» deve essere reale
Poche aziende costruiscono macchine per licenziare completamente automatiche. Il rischio più comune è più silenzioso: uno strumento assegna punteggi o classifica le persone, e un essere umano approva solo di facciata. L'AEPD spagnola ha appena affrontato proprio questo punto.
Il suo ammonimento (AI-00009-2026) riguardava uno strumento, non ancora in uso, che avrebbe analizzato i CV, assegnato punteggi ai candidati e li avrebbe prioritizzati per assunzioni e mobilità interna. L'azienda sosteneva che una persona avrebbe sempre preso la decisione finale, che lo strumento ignorava gli attributi sensibili e che veniva sottoposto ad audit periodici. L'ammonimento dell'AEPD e la sua nota di orientamento del 7 ottobre stabiliscono comunque un elenco esigente:
- La revisione umana deve essere sostanziale. Chi decide deve poter valutare criticamente il punteggio e discostarsene. Se l'essere umano c'è solo sulla carta, l'articolo 22 può comunque applicarsi.
- Tracciare i disaccordi. Registrate quando i revisori si discostano dalla raccomandazione automatizzata. Un'assenza sistematica di disaccordi può indicare che le persone si affidano semplicemente al punteggio.
- Verificare i proxy. Dire che uno strumento non usa dati sensibili non basta; occorre verificare se altre variabili fanno da proxy.
- Gli strumenti di gruppo non spostano la responsabilità. Se uno strumento è sviluppato a livello centrale da un gruppo societario, l'entità locale che lo usa resta responsabile della propria valutazione.
- Gli audit devono essere verificabili. Documentate l'ambito, la versione del sistema testata, i tassi di errore, gli impatti differenziali, l'efficacia della supervisione umana e le misure correttive adottate. Dichiarare che i sistemi sono «riesaminati periodicamente» non basta.
- Valutare prima. Valutate i rischi prima dell'uso e, quando il rischio è probabilmente elevato, effettuate una valutazione d'impatto sulla protezione dei dati (DPIA). L'articolo 35, paragrafo 3, lettera a), del GDPR la richiede per la valutazione sistematica e globale di persone basata su un trattamento automatizzato e su cui si fondano decisioni significative. Il nostro articolo su perché i chatbot di IA sono un problema di DPIA mostra cosa deve coprire una DPIA.
Un ammonimento non è una multa. Ma l'AEPD ha sottolineato che pone sull'azienda l'onere di adeguarsi e di dimostrare la conformità.
La Spagna ha aggiunto anche uno strato di diritto del lavoro. Il Regio Decreto 723/2026, in vigore dal 5 ottobre 2026, obbliga i datori di lavoro a informare per iscritto ogni lavoratore dei sistemi algoritmici o di decisione automatizzata e, quando questi determinano le condizioni di lavoro, dei loro criteri e delle regole di funzionamento. I nuovi assunti devono essere informati prima di iniziare; i dipendenti già in servizio possono chiederlo e il datore di lavoro deve rispondere entro 30 giorni lavorativi. L'AEPD osserva che ciò non sostituisce la trasparenza prevista dal GDPR; gli obblighi si sovrappongono.
Rispondete ad alcune domande nel nostro albero decisionale GDPR per vedere quali obblighi si applicano a un uso specifico di dati personali o di IA.
Lavoro tramite piattaforme: dal 2 dicembre deve decidere una persona
La direttiva sul lavoro tramite piattaforme digitali è la prima legge dell'UE scritta specificamente per la gestione algoritmica. Riguarda le piattaforme di lavoro digitali che organizzano lavoro svolto nell'UE, ovunque siano stabilite, e le sue norme sulla gestione algoritmica tutelano chiunque svolga lavoro tramite piattaforme, comprese le persone senza contratto di lavoro. Tra le regole principali:
- Dati vietati (articolo 7). I sistemi automatizzati non possono trattare dati sullo stato emotivo o psicologico o su conversazioni private, raccogliere dati mentre la persona non sta lavorando, prevedere l'esercizio di diritti come l'attività sindacale né dedurre caratteristiche come l'origine etnica, la salute o l'orientamento sessuale. Questi limiti si applicano già dal reclutamento.
- DPIA come regola (articolo 8). Il trattamento tramite questi sistemi si presume probabilmente ad alto rischio e le piattaforme devono raccogliere il parere dei lavoratori e dei loro rappresentanti.
- Trasparenza (articolo 9). I lavoratori devono essere informati sui sistemi che li riguardano, compresi i parametri principali e i motivi della sospensione o della chiusura di un account, al più tardi entro il primo giorno di lavoro.
- Supervisione umana (articolo 10). Le piattaforme devono valutare l'impatto delle decisioni automatizzate almeno ogni due anni, con personale abilitato a ribaltarle. Articolo 10, paragrafo 5: qualsiasi decisione di limitare, sospendere o chiudere un account «è presa da un essere umano».
- Spiegazione e riesame (articolo 11). Le persone ricevono una motivazione scritta per decisioni come una sospensione e possono chiedere un riesame, al quale si deve rispondere entro due settimane.
Le autorità per la protezione dei dati faranno rispettare gli articoli da 7 a 11, con il massimale di sanzione più alto del GDPR. Restano alcune domande: il servizio di compliance LexLint si chiede se una sospensione automatizzata immediata per sospetta frode, riesaminata poi da un essere umano, soddisfi l'articolo 10, paragrafo 5. Le leggi nazionali potrebbero rispondere.
Il Regolamento sull'IA: cosa si applica già e cosa arriva
Il Regolamento sull'IA (Regolamento (UE) 2024/1689) aggiunge un ulteriore livello:
- Già vietato. Dal 2 febbraio 2025 l'articolo 5, paragrafo 1, lettera f), vieta l'IA che deduce le emozioni delle persone sul posto di lavoro o nell'istruzione, salvo per motivi medici o di sicurezza.
- Alto rischio dal 2 dicembre 2027. L'allegato III elenca l'IA usata per reclutare e selezionare persone e quella usata per decisioni su promozioni, licenziamenti, assegnazione dei compiti e monitoraggio delle prestazioni. Dopo l'Omnibus digitale sull'IA (Regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026), queste norme ad alto rischio si applicano dal 2 dicembre 2027. Consultate il nostro calendario di conformità del Regolamento sull'IA per il quadro completo delle scadenze.
- Informate il vostro personale. In base all'articolo 26, paragrafo 7, i datori di lavoro che impiegano un sistema di IA ad alto rischio sul lavoro devono informare i rappresentanti dei lavoratori e i lavoratori interessati prima della messa in servizio. L'articolo 26, paragrafo 11, aggiunge che le persone soggette a decisioni prese o assistite da tali sistemi devono essere informate.
In materia di protezione dei dati nulla di tutto ciò aspetta il 2027. Il GDPR, compreso l'articolo 22, si applica oggi a questi strumenti, e l'articolo 88 consente agli Stati membri di stabilire norme più specifiche sui dati dei dipendenti.
Checklist pratica per le aziende che usano l'IA per gestire le persone
- ☐ Fate l'inventario dei vostri sistemi decisionali: filtri antifrode, soglie di valutazione, scoring dei CV, assegnazione dei turni e dashboard delle prestazioni, compresi gli strumenti di terzi.
- ☐ Individuate le decisioni «unicamente automatizzate» che bloccano, respingono, disattivano o classificano persone con effetti significativi.
- ☐ Rendete reale la revisione umana: date ai revisori tempo, i dati sottostanti, formazione e autorità per ribaltare il sistema.
- ☐ Registrate le deroghe. Se i revisori non contraddicono mai lo strumento, scoprite perché.
- ☐ Eseguite una DPIA prima del lancio e aggiornatela quando cambiano modello, dati o finalità.
- ☐ Spiegate in linguaggio semplice cosa fa scattare un'azione e come le persone possono ottenere che un essere umano riesamini il loro caso.
- ☐ Testate bias e proxy e conservate registri di audit che qualcun altro possa verificare.
- ☐ Verificate che nessuno strumento deduca le emozioni sul lavoro.
- ☐ Coinvolgete presto i rappresentanti dei lavoratori.
- ☐ Piattaforme: seguite il recepimento nazionale della direttiva sul lavoro tramite piattaforme e assicuratevi che sospensioni e chiusure siano decise da una persona.
- ☐ Pianificate il 2 dicembre 2027, quando si applicano le norme ad alto rischio del Regolamento sull'IA ai sistemi per l'occupazione.
Una nota per i lettori brasiliani
I tribunali brasiliani hanno già applicato la normativa sulla protezione dei dati agli autisti di app. Nel REsp 2.135.783-DF, deciso il 18 giugno 2024, il Tribunale superiore di giustizia (STJ) ha stabilito che un autista rimosso da una piattaforma ha diritto, ai sensi dell'articolo 20 della LGPD (Legge 13.709/2018), al riesame delle decisioni automatizzate che definiscono il suo profilo professionale. I riassunti della sentenza aggiungono che la piattaforma può sospendere subito un account per condotta grave, ma deve indicare i motivi e consentire poi all'autista di rispondere. Una differenza: la LGPD garantisce un riesame ma, a differenza del GDPR, non richiede espressamente l'intervento umano. Anche le piattaforme brasiliane che organizzano lavoro svolto nell'UE rientreranno nella direttiva sul lavoro tramite piattaforme.
Conclusione
Il caso Uber riguarda gli autisti, ma la sua lezione vale per qualsiasi organizzazione che lascia decidere un software sulle persone. L'automazione in sé non è illegale. Lo sono le decisioni non spiegate e non riesaminabili che tolgono a qualcuno il reddito o la carriera. Il messaggio dei regolatori è coerente: dite alle persone quando sono coinvolti algoritmi, spiegate come funzionano e mettete una persona reale con un'autorità reale dietro le decisioni che contano. Le aziende che lo fanno ora saranno pronte per le norme sulle piattaforme di dicembre, la scadenza 2027 del Regolamento sull'IA e qualunque novità porterà la legge sui posti di lavoro di qualità.
Prenotate una consulenza gratuita con GDPRGard → e vi aiuteremo a verificare le decisioni automatizzate dei vostri strumenti HR e operativi.
Fonti
- Autoriteit Persoonsgegevens: Uber krijgt boete van bijna 825 miljoen euro (21 ago. 2026)
- EDPB: Dutch DPA fines Uber EUR 824 990 000 (8 ott. 2026)
- CNIL: Automated decisions, Uber fined nearly EUR 825 million (24 ago. 2026)
- Reuters: Dutch regulator fines Uber $966 million for automating driver suspensions (21 ago. 2026)
- AEPD: La Agencia recuerda las garantías para utilizar IA en el análisis de currículums (23 set. 2026)
- AEPD: Sistemas algorítmicos en el ámbito laboral (7 ott. 2026)
- A&O Shearman: Spain, AEPD warns on use of AI in recruitment (13 ott. 2026)
- EUR-Lex: direttiva (UE) 2024/2831 relativa al miglioramento delle condizioni di lavoro nel lavoro mediante piattaforme digitali
- EU-OSHA: direttiva 2024/2831/UE, lavoro tramite piattaforme
- LexLint: direttiva sul lavoro tramite piattaforme, articoli da 9 a 11
- LawPlayer: direttiva (UE) 2024/2831, articolo 10 (supervisione umana)
- AI Act Service Desk: articolo 26, obblighi dei deployer di sistemi di IA ad alto rischio
- AI Act Service Desk: allegato III, sistemi di IA ad alto rischio
- White & Case: EU AI Omnibus enters into force, amending the AI Act
- 2EU: Commission brings algorithmic management into Quality Jobs Act work (6 ott. 2026)
- GDPR, articoli 13, 22, 35 e 88 (gdpr-info.eu)
- Dizer o Direito: STJ, REsp 2.135.783-DF (ago. 2024)
- Brasile: LGPD, Legge n. 13.709/2018
Leggi anche:
- Sanzione Uber da 825 M€: quando «ha deciso l'algoritmo» diventa una responsabilità
- Il Regolamento sull'IA è stato rinviato, non cancellato: il tuo calendario di conformità 2026-2028
- Il tuo chatbot IA non anonimizza nulla