Testo integrale con note e bibliografia

1. Introduzione sull’intelligenza artificiale.
Il mondo non sta cambiando, è già cambiato. Non ce ne siamo nemmeno accorti ma l’intelligenza artificiale è con noi – intendo proprio che ci accompagna – da decenni. Deep Blue, ha vinto la sua partita a scacchi contro Kasparov nel 1996; Watson sconfisse a Jeopardy! Rutter e Jennings nel 2011. Questi eventi, se non fosse per l’attenzione sempre maggiore per l’intelligenza artificiale, sarebbero episodi “da nerd”.
Siri, Google assistant, Cortana, ecc. sono intelligenze artificiali che ci “semplificano” la vita dal 2012; prima erano su telefoni e computer, ora sono al polso (ci si riferisce agli smartwatch). Google translate, è stato lanciato nel 2006, i software antispam sono in continua evoluzione dall’inizio del XXI secolo. Roomba è stato lanciato sul mercato nel 2002.
L’intelligenza artificiale non si trova solo nella cd. elettronica di consumo; è così trasversale da essere presente nel settore finanziario, bancario, di sicurezza, della salute, dell’educazione, professionale e di consumo.
L’intelligenza artificiale ha avuto la sua ribalta solo da qualche anno, e ciò è avvenuto più o meno da quando Elon Musk l’ha resa il pilota di una Tesla e da quando, purtroppo, una Tesla ha “ucciso” uno dei suoi più grandi fun .
Il fenomeno non è nuovo e ciclicamente torna sotto i riflettori. L’attenzione per l’intelligenza artificiale, per i suoi aspetti etici, politici, di tutela dei diritti umani ed economici, è tornata centrale nel 2017 con i cd. principi di Asilomar e centrale nel panorama europeo con la COM(2018) 237 della Commissione Europea, cui hanno fatto seguito, prima il Libro Bianco per l’Intelligenza Artificiale del 2020 (COM(2020) 65) e poi il cd. AI Act (proposta di Reg. UE sull’intelligenza artificiale) .
L’attenzione per l’intelligenza artificiale, anche tra i giuristi , oggi è tanta, ma perché? Che cos’è questa intelligenza artificiale?
Era il 1950 quando il matematico inglese A. M. Turing ipotizzò che una macchina potesse essere intelligente, ritenendo che se una persona, rivolgendo un quesito a un soggetto non identificabile (macchina o persona), ottiene una risposta comprensibile, e questa persona non è in grado di sapere se la risposta è stata data dalla macchina o dalla persona, allora vuol dire che la macchina è in grado di tenere un comportamento umano .
L’intelligenza artificiale (AI) è primariamente una disciplina di studio con approccio multidisciplinare, che si sviluppa con il contributo di vari rami della scienza tecnica e umana: matematica, statistica, informatica, robotica, psicologia, medicina.
Da un punto di vista definitorio, invece, l’AI è ancora oggetto di divisioni. Per definire l’AI, prima si dovrebbe definire l’intelligenza .
Quindi, nel parlare dell’AI si deve subito prendere atto che si sta trattando di un argomento in erba, ancora da definirsi e i cui perimetri non sono dati, che prende le mosse da discipline che ancora oggi stanno definendo il perimetro della loro indagine.
Oltre a ciò va precisato che l’AI viene solitamente distinta in due macro-nozioni: AI forte e AI debole. La distinzione fu introdotta dal filosofo inglese J.R. Searle, che nella prima – sogno/obiettivo di Turing – individua la macchina che riproduce (emula e anche supera) l’uomo nelle sue capacità (i robot di Asimov); nella seconda, individua la macchina che è in grado di replicare un determinato comportamento umano (es. Google assistant, Siri, Alexa, Cortana...) .
In breve, l’AI simula comportamenti umani e lo fa interagendo con l’ambiente circostante . Detto altrimenti «l’intelligenza artificiale (IA) è l’abilità di una macchina di mostrare capacità umane quali il ragionamento, l’apprendimento, la pianificazione e la creatività [permettendo] ai sistemi di capire il proprio ambiente, mettersi in relazione con quello che percepisce e risolvere problemi, e agire verso un obiettivo specifico» .
Per una definizione giuridica si può invece fare riferimento all’AI Act, che definisce il sistema d’intelligenza artificiale come: «un software sviluppato con una o più delle tecniche e degli approcci elencati nell'allegato I, che può, per una determinata serie di obiettivi definiti dall'uomo, generare output quali contenuti, previsioni, raccomandazioni o decisioni che influenzano gli ambienti con cui interagiscono» (art. 3), precisando che gli approcci di cui all’allegato I sono il deep learning, quelli basati sulla logica e sulla conoscenza, compresi la rappresentazione della conoscenza, la programmazione induttiva (logica), le basi di conoscenze, i motori inferenziali e deduttivi, il ragionamento (simbolico) e i sistemi esperti, nonché quelli statistici, stima bayesiana, metodi di ricerca e ottimizzazione.
In questa sede non ci si soffermerà oltre su cosa sia un’AI, ma si prenderà in esame uno specifico aspetto della stessa, cioè l’impatto dell’AI nell’organizzazione del lavoro ; tuttavia, dell’argomento – eccessivamente ampio – si prenderà in considerazione uno specifico aspetto, quello del rapporto tra AI e informazioni del lavoratore.

2. Il problema delle falle di sistema (i biases).
Per procedere nell’analisi del rapporto tra informazioni del lavoratore e AI, si deve partire dalla seguente definizione di AI: «abilità di un sistema di interpretare correttamente dati esterni, di apprendere da questi dati e di adattarsi flessibilmente per raggiungere obiettivi specifici» .
I dati sono l’oggetto dell’azione dell’AI. I dati sono informazioni. Le informazioni, quindi, sono l’oggetto (ciò di cui si nutre) l’AI.
Ebbene, in quest’ottica appare del tutto evidente come l’interesse per l’AI debba essere, primariamente, interesse per i dati, per le informazioni.
Informazioni e dati sono parole che rimandano il giurista alla disciplina del trattamento dei dati personali, o, in modo più ampio, al diritto alla privacy.
La disciplina del trattamento dei dati personali può ritenersi relativamente giovane, in quanto regolata solo negli anni ’80 del secolo scorso ; tuttavia, va notato che proprio nella disciplina lavoristica si rinviene la prima normativa (italiana) della tutela della riservatezza , sia contro l’uso di mezzi automatici (art. 4, l. 300/1970), sia contro le indagini sulla persona (art. 8, l. 300/1970).
Oggi il punto di riferimento della materia è necessariamente il Reg. UE 679/2016 e, per l’Italia, il d.lgs. 196/2003 ss.mm.ii. (rispettivamente, GDPR e Codice Privacy).
Delineato l’oggetto dell’indagine (l’informazione elaborata dalla macchina) e il suo riferimento normativo (in primis, il GDPR), possiamo ulteriormente circoscrivere l’oggetto dell’indagine.
La macchina elabora informazioni personali (rectius, delle persone). Dall’elaborazione delle informazioni dipendono determinati output. Questi output incidono sulla persona cui le informazioni sono riferite.
Ecco il caso. Un’impresa impiega un sistema AI per la selezione del personale. L’AI “scarta” tutti i curricula che non ritiene conformi al profilo desiderato. Ad essere scartate sono prevalentemente le donne. Perché? Anche le macchine discriminano?
No, la macchina non discrimina, semplicemente fa quello che le viene chiesto, perché così è stata programmata o addestrata.
Come detto, il problema della tecnologia è un problema d’informazione; precisamente, della qualità dell’informazione. Se a una macchina vengono fornite informazioni di un certo tipo, è pressoché inevitabile che quelle informazioni saranno alla base dell’output della macchina.
Il problema dell’AI dell’esempio (invero uno dei tanti) era il tipo di profilo ricercato, quello di un uomo. Questa ricerca era data dal fatto che in quell’impresa il profilo ricercato è stato ricoperto, storicamente, prevalentemente da uomini.
Il problema è allora di tipo “storico”: la macchina produce output conformi a quella che è la storia dell’impresa che ha fornito i dati. Anche se l’intento non era discriminatorio, l’effetto lo è stato, a causa – volutamente o meno – di un passato poco coerente con la parità di genere .
È stato dimostrato che le macchine riproducono quello che le persone fanno, anche se le stesse persone lo fanno non intenzionalmente . Del resto, ciò dovrebbe essere chiaro già solo pensando alla funzione dell’AI: imitare il comportamento umano.
Nell’esempio (si conceda la semplificazione) il problema è di dati: se i dati elaborati dalla macchina fossero stati “puliti”, cioè privi di biases (di falle), è possibile che la discriminazione di genere non sarebbe avvenuta.
Ebbene, in termini giuridici la questione va letta sotto un duplice aspetto: quello della progettazione e quello dell’esattezza dei dati.

3. Privacy by design e principio di esattezza dei dati.
Dal punto di vista tecnico la questione dei biases è centrale e di difficile soluzione . Dal punto di vista giuridico, invece, la questione può dirsi risolta dallo stesso GDPR.
L’art. 25, par. 1, GDPR stabilisce «tenendo conto […] della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche costituiti dal trattamento, sia al momento di determinare i mezzi del trattamento sia all'atto del trattamento stesso il titolare del trattamento mette in atto misure tecniche e organizzative adeguate, quali la pseudonimizzazione, volte ad attuare in modo efficace i principi di protezione dei dati, quali la minimizzazione, e a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del presente regolamento e tutelare i diritti degli interessati».
La disposizione impone la cd. privacy by design, che nell’ambito del presente studio, si ritiene lo strumento migliore affinché l’AI non tratti dati “fallati”, dai quali possa dipendere un trattamento iniquo o, peggio, discriminatorio.
La privacy by design impone di adeguare il trattamento secondo la specifica finalità di tutela dei diritti della persona.
Nello specifico contesto in esame, il diritto sul quale ci si deve concentrare è quello di esattezza dei dati, di cui all’art. 5, par. 1, lett. d), a norma del quale: «i dati personali sono […] esatti e, se necessario, aggiornati; devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati («esattezza»)».
Il principio è contestualizzato nei considerando 39 e 71, per i quali devono essere adottate misure organizzative e tecniche ragionevoli al fine di evitare che i dati siano inesatti.
Di particolare interesse è proprio il considerando 71, secondo il quale: «[…] è opportuno […] che siano rettificati i fattori che comportano inesattezze dei dati e sia minimizzato il rischio di errori e al fine di garantire la sicurezza dei dati personali secondo una modalità che tenga conto dei potenziali rischi esistenti per gli interessi e i diritti dell'interessato e che impedisca tra l'altro effetti discriminatori nei confronti di persone fisiche sulla base della razza o dell'origine etnica, delle opinioni politiche, della religione o delle convinzioni personali, dell'appartenenza sindacale, dello status genetico, dello stato di salute o dell'orientamento sessuale, ovvero che comportano misure aventi tali effetti».
Ebbene non v’è dubbio che il principio di esattezza vada inteso nel senso che i dati personali dell’interessato siano esatti; tuttavia, questo principio è riferito ai dati propri dell’interessato e non già ai dati in generale .
Questo specifico aspetto è oggetto di una futura regolamentazione europea, attualmente ancora in fase di proposta, contenuta nel cd. data act ; tuttavia, il principio di esattezza è già di per sé indicativo di un aspetto fondamentale riguardo al trattamento dei dati: i dati impiegati nel trattamento devono essere corretti.
Questo principio, se letto in combinato con il principio di finalità e necessità, di cui all’art. 5, GDPR, permette di porre a fondamento del trattamento dei dati solo informazioni coerenti con il fine specifico posto a base del trattamento stesso, escludendo ogni altro dato non conferente e pretendendo che quei dati siano corretti.
A fronte di quanto sopra, se si combinano i principi di esattezza e la privacy by design si ottiene un sistema che impone di trattare i dati personali del lavoratore in modo che il trattamento non ne pregiudichi, anche mediante discriminazione, l’interesse.
Ebbene, affinché ciò non accada è necessario che i dati acquisiti siano corretti e che siano conferenti alla finalità specifica del trattamento.
Si ritiene che ciò possa avvenire, ricorrendo agli istituti classici del diritto del lavoro, ponendo come base del trattamento l’art. 8, l. 300/1970.

4. L’art. 8, l. 300/1970 come fattispecie tipica ex art. 113 d.lgs. 196/2003 e 88 GDPR.
L’art. 8, l. 300/1970 stabilisce che: «è fatto divieto al datore di lavoro, ai fini dell'assunzione, come nel corso dello svolgimento del rapporto di lavoro, di effettuare indagini, anche a mezzo di terzi, sulle opinioni politiche, religiose o sindacali del lavoratore, nonché su fatti non rilevanti ai fini della valutazione dell'attitudine professionale del lavoratore».
La struttura della norma può essere così schematizzata: a) trattasi di norma imperativa di divieto; b) volta a impedire di svolgere indagini su dati particolari del lavoratore o fatti non rilevanti rispetto alla performance del lavoratore; c) in sede preassuntiva, così come durante il rapporto.
Già dalla schematizzazione svolta si nota come chi scrive abbia impiegato il lessico della data protection nell’ambito della normativa lavoristica.
A fronte di ciò, una lettura unitaria dell’art. 8, l. 300/1970 e del combinato disposto con la disciplina della data protection (GDPR e Codice Privacy) permette di cogliere nel divieto d’indagine e nella disciplina generale sulla protezione dei dati: l’art. 8, l. 300/1970, detta un divieto e una facoltà d’indagine dell’imprenditore, che viene, però, limitata dalla disciplina della data protection.
In sostanza, la data protection detta una sorta di procedimentalizzazione di una facoltà d’indagine.
L’art. 8, l. 300/1970 vieta al datore di lavoro di svolgere indagini su determinate informazioni che attengono alla sfera più intima della persona del lavoratore (dati “supersensibili” ).
Il fatto che l’art. 8, l. 300/1970 ponga un divieto, impone di concludere che dalla violazione della norma non possa che derivare la nullità di ogni atto conseguente alla violazione .
Questa nullità può essere espressa in termini di data protection come inutilizzabilità del dato. L’inutilizzabilità in parola deriva, evidentemente, dalla violazione del principio di liceità di cui all’art. 5, GDPR.
Ne deriva che il trattamento dei dati relativi al pensiero politico, sindacale o religioso del lavoratore, nonché di ogni altro dato irrilevante ai fini della sua valutazione dell'attitudine professionale, deve ritenersi illegale e quindi i predetti dati (che nemmeno potevano essere acquisiti) saranno inutilizzabili.
La regola di cui sopra, però, non è assoluta (almeno non rispetto a tutti i dati), poiché il divieto opera solo rispetto a fini specifici, cioè se l’informazione è finalizzata a orientare l’assunzione del lavoratore ovvero se è finalizzata alla valutazione della sua prestazione.
Ancora una volta emerge l’anima di data protection dell’art. 8, l. 300/1970, che con straordinario anticipo poneva il principio di finalità del trattamento dei dati, oggi previsto espressamente dall’art. 5, GDPR.
All’imprenditore non è fatto divieto assoluto d’indagine: come potrebbe versare le quote associative al sindacato senza sapere che il lavoratore è sindacalizzato? come potrebbe imporre il giorno di riposo nel sabato senza sapere che il lavoratore è ebreo?
La norma pone un limite all’indagine solo per quanto attiene all’uso dell’informazione, cioè quello di non condizionare la scelta assuntiva od organizzativa in ragione di quel particolare dato .
In sostanza, l’art. 8, l. 300/1970 impone all’imprenditore di adottare by default un contegno disinteressato alla raccolta delle informazioni di carattere politico, sindacale o religioso o altre ancora non rilevanti ai fini della valutazione della performance.; tuttavia, se queste informazioni sono necessarie al fine di garantire il rispetto dei diritti del lavoratore, salva sua espressa richiesta e conferimento dei dati, le informazioni potranno essere impiegate, nei limiti di quanto strettamente necessario a garantire il diritto invocato dal lavoratore.
Non di meno, l’imprenditore connotato dal carattere dell’organizzazione di tendenza deve ritenersi vincolato in misura minore dalla norma in esame. Si pensi al caso, emblematico del professore di diritto assunto da un’Università dichiaratamente confessionale e orientata ai valori cattolici . In questo caso un’indagine sull’orientamento confessionale del candidato potrebbe essere ammissibile, poiché il potenziale lavoratore dev’essere inserito in un contesto lavorativo apertamente confessionale e la sua prestazione dev’essere orientata ai valori dell’organizzazione in cui è inserito (ciò se v’è connessione tra mansioni e il carattere confessionale dell’organizzazione) . Similmente si può dire per il lavoratore impiegato presso partiti e sindacati.
Alla luce di quanto detto emerge con chiarezza come l’art. 8, l. 300/1970 sia solo parzialmente una norma di limite. La disposizione stabilisce chiaramente che il divieto è limitato ai soli fatti non rilevanti ai fini della valutazione dell'attitudine professionale del lavoratore.
Ebbene, se è chiaro che il limite di cui all’art. 8, l. 300/1970 non è assoluto, ciò che non è chiaro, invece, è la portata di questo limite. Un fatto quando può dirsi rilevante?
La dottrina più risalente, senza concedere eccessivi margini all’estensione della norma, ha ritenuto che nel concetto di fatto rilevante si possano includere quelle solo quelle informazioni relative alla capacità professionale a svolgere determinate mansioni .
Alcuni, invece, hanno ritenuto di concedere più margine all’indagine aziendale, così ammettendo che l’indagine possa estendersi a tutte quelle attitudini che qualificano la prontezza o l’idoneità all’adempimento .
Si deve ammettere che la prima soluzione non concede alcun adeguamento della norma all’evoluzione del mercato, della selezione del personale e alla modernità dei rapporti.
Una lettura formale e letterale della disposizione non lascia molti dubbi sull’interpretazione: i fatti devono essere rilevanti per la valutazione dell’attitudine professionale del lavoratore.
L’attitudine professionale può essere effettivamente valutata rispetto alle sole mansioni e in questo caso non v’è dubbio che l’indagine svolta dall’imprenditore dovrebbe essere limitata ai soli fatti che proprio rispetto alle mansioni siano rilevanti.
Questa interpretazione muove - o risente - di una lettura del rapporto di lavoro dal lato dell’oggetto della prestazione e nella quale la prestazione viene identificata con le sole mansioni.
Si ritiene, invece, di dover concedere di più alla norma, senza per questo uscire dai limiti obiettivi dell’oggetto della prestazione. Per giustificare questa dilatazione dell’indagine si deve considerare che l’oggetto della prestazione di lavoro subordinato non è solo l’espletamento delle mansioni, ma la collaborazione nell’impresa mediante l’espletamento delle mansioni.
Va precisato che la collaborazione non può essere intesa, come fece Persiani, nel senso il dipendente debba indirizzare la propria condotta in modo che l’adempimento sia utile ai fini del perseguimento dell’utilità desiderata dall’imprenditore (adesione all’altrui programma organizzativo); tuttavia, nemmeno può ignorarsi che nell’attuale economia un’indagine sull’attitudine professionale possa essere limitata ai soli fatti collegati alle mansioni.
Si deve allora condividere l’idea che all’indagine datoriale possa essere garantito un margine di flessibilità affinché possa essere verificata la tendenza all’adempimento.
In questo senso non dovrebbe ritenersi vietata un’indagine su fatti che permettano di valutare se il lavoratore sia adattivo o collaborativo ovvero se davanti a un problema nuovo sappia affrontarlo con intuizioni e propositività.
Chiaramente, l’indagine non deve tendere alla verifica dell’adempimento in senso lato ma dev’essere limitata ai soli fatti immediatamente rilevanti (es. l’indagine non dovrebbe essere tesa a verificare la morbilità, alla presenza, alla frequenza di richiesta di permessi del lavoratore).
Ciò detto, va ricordato come l’art. 8, l. 300/1970 venga espressamente richiamato dall’art. 113 d.lgs. 196/2003, come fonte di regolazione, nell’ambito dei rapporti di lavoro, della raccolta di dati e della loro pertinenza al trattamento specifico.
Ebbene, individuando nell’art. 8, l. 300/1970 la base giuridica del trattamento dei dati, nell’art. 25 GDPR il vincolo al trattamento di questi dati fin dal momento della progettazione dello stesso e considerando il problema dei biases si può concludere come segue.
Nell’adottare un sistema di AI per la gestione di dati propri del personale, tale per cui l’AI possa incidere su decisioni direttamente incidenti nella sfera giuridica di detto personale, è necessario che questo sistema venga programmato in modo tale che i dati impiegati per il trattamento siano solo quelli relativi alla prestazione che il lavoratore è chiamato a svolgere.
Detto altrimenti, i dati personali devono essere minimizzati a quanto strettamente necessario al fine del trattamento. Prima ancora, si dovrà programmare il sistema in modo tale che i dati posti alla base del trattamento siano corretti e finalisticamente utili al risultato perseguito; pertanto, in applicazione della privacy by design, sarà necessario fornire all’AI solo quei dati utili al fine di verificare se l’interessato – il lavoratore – è idoneo alla specifica prestazione richiesta.