La linea sottile che separa la difesa dell'impresa e il controllo di chi ci lavora
La trasformazione digitale delle imprese sta facendo emergere un paradosso destinato a diventare sempre più evidente. Per proteggere reti, dati e continuità operativa, le organizzazioni devono osservare ciò che accade nei propri sistemi: registrare accessi, raccogliere log, correlare eventi, individuare anomalie e ricostruire incidenti. Ma più questa capacità di osservazione diventa potente, più aumenta il rischio che l'infrastruttura progettata per difendere l'impresa possa trasformarsi, anche involontariamente, in un'infrastruttura di controllo delle persone.
La questione, dunque, non può essere ridotta alla consueta contrapposizione tra sicurezza e privacy. La sicurezza informatica tutela interessi essenziali: il patrimonio informativo, la continuità dei servizi, la riservatezza delle comunicazioni e gli stessi dati personali dei lavoratori e dei clienti. Non è un interesse esterno ai diritti fondamentali. Ne costituisce, sempre più spesso, una condizione di effettività.
Il problema nasce quando la sicurezza diventa una finalità sufficientemente ampia da giustificare qualsiasi raccolta, conservazione o utilizzo successivo dei dati. Nel mondo digitale, infatti, la possibilità tecnica tende facilmente a trasformarsi in possibilità organizzativa e, infine, in prassi ordinaria. Ciò che inizialmente viene raccolto per individuare un attacco può essere successivamente utilizzato per ricostruire tempi, relazioni, comportamenti e modalità di lavoro.
È qui che si misura la qualità della governance digitale. Non nella quantità delle policy adottate, ma nella capacità di stabilire preventivamente chi possa accedere ai dati, per quali ragioni, secondo quali procedure e sotto il controllo di quali soggetti. La domanda non è più soltanto quanto l'impresa possa vedere, ma chi controlli chi vede e chi controlli, a sua volta, il controllore.
I metadati sono il terreno sul quale questa tensione emerge con particolare chiarezza. Non coincidono con il contenuto di una comunicazione, ma possono descriverne gli elementi esterni: chi comunica con chi, quando, da quale dispositivo, attraverso quale applicazione e con quale frequenza. Considerati singolarmente possono apparire innocui. Aggregati e analizzati nel tempo, possono invece restituire una rappresentazione molto precisa dell'attività e delle relazioni di una persona.
L'accordo sottoscritto il 31 luglio 2026 dal Gruppo Generali e dalle rappresentanze sindacali aziendali assume, in questa prospettiva, un valore che supera il singolo caso. Si tratta di un accordo senza precedenti nel settore assicurativo che introduce una disciplina specifica dell'utilizzo di un sistema destinato alla centralizzazione e all'analisi dei log per finalità di sicurezza informatica. L'intesa delimita le finalità, esclude il controllo della prestazione e della produttività, disciplina gli accessi nominativi, prevede tracciamento, minimizzazione, tempi di conservazione differenziati, aggiornamento dell'informativa e formazione del personale.
L'aspetto più significativo non è però il semplice consenso sindacale all'adozione di uno strumento tecnologico. È la costruzione di un meccanismo permanente di verifica. L'azienda dovrà fornire periodicamente una rendicontazione aggregata sugli accessi effettuati nell'ambito delle verifiche di sicurezza non ordinarie, mentre le parti dovranno incontrarsi almeno annualmente per esaminare l'applicazione dell'accordo, le eventuali criticità e le modifiche tecnologiche o normative. La governance, quindi, non viene cristallizzata nel momento della firma, ma concepita come processo continuo.
È questo il punto che rende l'esperienza una best practice potenzialmente rilevante anche oltre il settore assicurativo. Troppo spesso le imprese attendono una nuova legge, un decreto attuativo o una linea guida prima di affrontare le conseguenze organizzative delle tecnologie che hanno già introdotto. Ma il diritto del digitale non può funzionare soltanto per interventi successivi. Quando la regolazione arriva dopo che sistemi, procedure e architetture sono stati consolidati, il rischio è che i diritti possano soltanto correggere marginalmente scelte ormai irreversibili.
Esiste invece uno spazio di regolazione preventiva nel quale imprese e rappresentanze dei lavoratori possono tradurre principi generali – necessità, proporzionalità, minimizzazione, trasparenza e responsabilità – in regole operative. Non per sostituirsi al legislatore o alle autorità indipendenti, ma per portare il confronto sui diritti nel luogo esatto in cui il potere tecnologico prende forma.
La contrattazione collettiva può così diventare una delle infrastrutture della governance digitale. Essa conosce il contesto aziendale, può verificare concretamente la distanza tra finalità dichiarate e utilizzi effettivi e può adattare le garanzie all'evoluzione dei sistemi. In questa prospettiva, il sindacato non interviene soltanto per proteggere il lavoratore dalle conseguenze della tecnologia, ma partecipa alla definizione delle condizioni alle quali quella tecnologia può essere legittimamente utilizzata.
Lo stesso problema si ripropone, con intensità ancora maggiore, nell'utilizzo dell'intelligenza artificiale nei luoghi di lavoro. Sistemi introdotti per migliorare l'efficienza, distribuire attività, valutare rischi o prevenire anomalie possono progressivamente trasformarsi in strumenti di profilazione e valutazione delle persone. Per questo la governance non può limitarsi alla conformità formale o alla compilazione di una valutazione d'impatto. Deve prevedere controlli successivi, responsabilità chiare, possibilità di contestazione e verifiche indipendenti.
La vera innovazione responsabile non consiste allora nel rallentare la tecnologia, ma nell'impedire che la sua velocità renda invisibile il potere che essa produce. Una tecnologia può essere efficiente, sicura e perfettamente funzionante e, nello stesso tempo, alterare profondamente gli equilibri tra chi osserva e chi è osservato.
La lezione più generale è che la sicurezza non deve essere considerata soltanto una funzione tecnica. È una funzione organizzativa e, sempre più spesso, costituzionale. Stabilire quali dati raccogliere, per quanto tempo conservarli e quando rendere identificabile un lavoratore significa distribuire potere dentro l'impresa. Per questo il firewall più importante non è soltanto quello che separa la rete aziendale dalle minacce esterne. È l'insieme di regole, procedure e contropoteri che impedisce alla protezione dei sistemi di trasformarsi silenziosamente in sorveglianza delle persone. (riproduzione riservata)
Oreste Pollicino
ordinario di Diritto Costituzionale
e Regolamentazione dell'AI
e founder di Pollicino Advisory
