Intelligenza artificiale in azienda, dati biometrici e decisioni automatizzate (artt. 9, 22 e 35 GDPR e L. 132/2025): regole e limiti per le imprese

Avv. Renato Giuseppe Fiorentino, Foro di Napoli, Albo n. 27781 — Avvocato cassazionista — Aggiornato il 13 novembre 2026

Cosa fare subito (Checklist Operativa)

1. Non installare lettori di impronte digitali o riconoscimento facciale per rilevare le presenze dei dipendenti: in assenza di una norma di legge specifica, anche il consenso del lavoratore è invalido per asimmetria di potere.
2. Mappare tutti i software di intelligenza artificiale usati in azienda (selezione del personale, customer care, analisi del credito, generazione documenti) e vietare l’inserimento di dati personali dei clienti su piattaforme non contrattualizzate ex art. 28 GDPR.
3. Redigere la Valutazione d’Impatto (DPIA ex art. 35 GDPR) prima di avviare qualsiasi trattamento algoritmico o profilazione su larga scala.
4. Garantire sempre il diritto all’intervento umano (art. 22 GDPR): il cliente o il lavoratore ha diritto di contestare una decisione presa solo da un algoritmo e di ottenere il riesame da parte di una persona fisica.

1. Perché le impronte digitali e il riconoscimento facciale sul lavoro sono quasi sempre vietati (art. 9 GDPR)?

Ai sensi dell’art. 9, paragrafo 1, del Regolamento (UE) 2016/679 (GDPR), è vietato trattare dati biometrici intesi a identificare in modo univoco una persona fisica, salvo che ricorra una delle eccezioni tassative del paragrafo 2. Nel rapporto di lavoro, ai sensi dell’art. 9, par. 2, lett. b) GDPR e dell’art. 2-sexies del D.Lgs. 30 giugno 2003, n. 196, l’uso della biometria è ammesso solo se previsto da una specifica disposizione di legge per finalità di sicurezza nazionale o accesso a infrastrutture critiche. Per il controllo ordinario dell’orario di lavoro o degli ingressi aziendali, il principio di minimizzazione (art. 5, par. 1, lett. c, GDPR) impone strumenti meno invasivi come i badge elettronici.

2. Come funzionano il divieto di decisioni esclusivamente automatizzate (art. 22 GDPR) e la Legge n. 132/2025?

L’art. 22 del GDPR stabilisce che l’interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona.

Anche quando la decisione automatizzata è necessaria per la conclusione di un contratto (art. 22, par. 2, lett. a), il titolare deve:

• Informare preventivamente l’interessato dell’esistenza del processo automatizzato e della logica utilizzata (artt. 13, par. 2, lett. f, e 15, par. 1, lett. h, GDPR);
• Garantire il diritto di ottenere l’intervento umano, di esprimere la propria opinione e di contestare la decisione (art. 22, par. 3, GDPR);
• Rispettare gli obblighi di trasparenza e sorveglianza umana introdotti dal Regolamento (UE) 2024/1689 (AI Act) e dalla Legge 23 settembre 2025, n. 132.

Tabella Riepilogativa: Adempimenti per Sistemi IA e Trattamenti ad Alto Rischio

Domande Frequenti (FAQ)

Il consenso scritto di tutti i dipendenti rende legittimo il lettore di impronte digitali in azienda?

No. Nel rapporto di lavoro il consenso non è considerato libero per lo squilibrio contrattuale tra datore di lavoro e dipendente; inoltre, per i dati biometrici l’art. 9 GDPR e l’art. 2-sexies Codice Privacy richiedono una specifica previsione normativa e la stretta necessità rispetto a misure alternative.

Quando l’azienda è obbligata a redigere la Valutazione d’Impatto (DPIA ex art. 35 GDPR)?

La DPIA è obbligatoria prima di iniziare il trattamento ogni volta che si utilizzano nuove tecnologie (inclusi sistemi di intelligenza artificiale), si effettua una valutazione sistematica e automatizzata di persone fisiche (profilazione o scoring), si trattano su larga scala dati sensibili/biometrici o si sorvegliano sistematicamente aree accessibili al pubblico.

Un cittadino o un’impresa può contestare un punteggio di affidabilità creditizia calcolato da un algoritmo?

Sì. Ai sensi degli artt. 15 e 22 del GDPR, l’interessato ha diritto di conoscere la logica e i parametri applicati dall’algoritmo, far rettificare dati inesatti e pretendere che la decisione finale sia rivalutata da un operatore umano.

Leggi anche: Trasferimento di dati personali all’estero