Sentiment analysis in azienda: i limiti del Garante tra privacy, lavoro e AI Act

Il Garante per la protezione dei dati personali, con provvedimento n. 342 del 14 maggio 2026, ha rivolto un avvertimento a Myndoor S.r.l. in relazione a un plug-in destinato alle chat aziendali Slack e Teams, progettato per effettuare sentiment analysis sui messaggi dei lavoratori e restituire indicazioni sul loro livello di stress. L’istruttoria ha chiarito che il servizio è offerto ai dipendenti su base volontaria e che il datore di lavoro, secondo l’assetto dichiarato dalla società, non accede ai contenuti dei messaggi né agli esiti individuali, ma soltanto, in alcuni casi, a report aggregati.

Il punto centrale del provvedimento riguarda la natura dei dati trattati e il contesto nel quale il trattamento si inserisce. Dalle verifiche è emerso che i messaggi analizzati possono contenere anche categorie particolari di dati ai sensi dell’art. 9 del Regolamento (UE) 2016/679 (GDPR), inclusi dati idonei a rivelare aspetti della salute o comunque informazioni particolarmente sensibili. La società ha rappresentato di avere progressivamente ridotto l’impatto del trattamento, fino a prevedere l’attivazione del servizio mediante un identificativo univoco, in coerenza con il principio di minimizzazione.

Ciò non ha però escluso i profili di rischio. Il Garante ha rilevato che, anche in presenza di output aggregati, non può essere esclusa in via assoluta la possibilità che il datore di lavoro risalga indirettamente ai dipendenti che abbiano utilizzato il sistema, con potenziali ricadute sulla dignità del lavoratore e sulla liceità del trattamento. In questa prospettiva, l’Autorità richiama non solo il GDPR, ma anche l’art. 5 della legge 20 maggio 1970, n. 300, che vieta al datore di lavoro accertamenti sanitari autonomi, nonché il sistema prevenzionistico del d.lgs. n. 81/2008, che riserva al medico competente specifiche funzioni in materia di tutela della salute.

Assume rilievo anche il coordinamento con il Regolamento (UE) 2024/1689 (AI Act). L’art. 5, par. 1, lett. f) vieta infatti l’immissione sul mercato, la messa in servizio o l’uso di sistemi di IA per inferire le emozioni di una persona nel luogo di lavoro, salvo limitate eccezioni. Per questa ragione il Garante ha chiesto l’adozione di misure tecniche e organizzative idonee a impedire qualsiasi messa a disposizione di informazioni sui lavoratori e sui loro stati emotivi, direttamente o indirettamente, ai rispettivi datori di lavoro.