L’AI Act ha un elenco di pratiche vietate — non «ad alto rischio»: vietate. Fra queste ce n’è una che tocca l’azienda in un punto sensibile: i sistemi che inferiscono le emozioni delle persone sul luogo di lavoro.
È l’art. 5, par. 1, lett. f) del Regolamento (UE) 2024/1689, applicabile dal 2 febbraio 2025. Chi usa un software di monitoraggio che «legge l’umore», o valuta uno strumento di selezione che analizza le espressioni facciali nei colloqui video, non ha davanti un adempimento da pianificare ma un divieto già in vigore.
In sintesi
- Inferire emozioni sul luogo di lavoro da dati biometrici non è alto rischio: è vietato, e ricade anche su chi lo usa.
- Per le linee guida della Commissione «luogo di lavoro» si legge in senso ampio: spazi virtuali, collaboratori, candidati in selezione.
- L’eccezione «medica o di sicurezza» è strettissima: benessere, stress e burnout ne restano fuori.
Che cosa vieta la norma
Il testo italiano ufficiale vieta «l’immissione sul mercato, la messa in servizio per tale finalità specifica o l’uso di sistemi di IA per inferire le emozioni di una persona fisica nell’ambito del luogo di lavoro e degli istituti di istruzione, tranne laddove l’uso del sistema di IA sia destinato a essere messo in funzione o immesso sul mercato per motivi medici o di sicurezza».
Il perimetro tecnico viene dall’art. 3, punto 39): «sistema di riconoscimento delle emozioni» è «un sistema di IA finalizzato all’identificazione o all’inferenza di emozioni o intenzioni di persone fisiche sulla base dei loro dati biometrici».
Il 29 luglio 2025 la Commissione ha pubblicato le linee guida C(2025) 5052 sulle pratiche vietate, il cui capitolo 7 cala il divieto su casi reali. Sono la fonte di quanto segue, e non sono vincolanti.
Vale anche per chi usa il software
Le tre condotte non ricadono sullo stesso soggetto: «immissione sul mercato» e «messa in servizio per tale finalità specifica» sono del fornitore, l’«uso» è del deployer, l’azienda che attiva lo strumento. E il par. 243 non lascia margini: il divieto «si applica pertanto sia ai fornitori sia ai deployer di sistemi di IA, ciascuno nell’ambito delle rispettive responsabilità». Per una PMI la condotta rilevante è quasi sempre l’uso: la responsabilità è propria e non è trasferibile al vendor.
Il corollario si tende a saltarlo: diverse condizioni di liceità descritte nelle linee guida non sono caratteristiche del prodotto ma scelte organizzative del deployer — chi vede i risultati, se incidono su valutazioni e promozioni, se i dati vengono riusati. Nessuna dichiarazione o certificazione del fornitore può coprirle, perché non dipendono dal software. Il par. 242 aggiunge quattro condizioni cumulative: uso o immissione sul mercato di un sistema di IA, inferenza di emozioni, ambito del lavoro o dell’istruzione, assenza dell’esclusione medica o di sicurezza. Basta che ne manchi una.
«Luogo di lavoro»: la nozione che allarga tutto
È il passaggio più importante del capitolo per una PMI. Il par. 254 stabilisce che la nozione «deve essere interpretata in senso ampio» e riguarda «qualsiasi spazio specifico, fisico o virtuale, in cui persone fisiche svolgono compiti e responsabilità assegnati dal loro datore di lavoro […]».
Tre conseguenze operative:
- Lo spazio virtuale conta: una videochiamata di lavoro è luogo di lavoro, e un modulo di «sentiment analytics» sulle riunioni online ricade qui.
- Lo status non conta: la nozione è «indipendente dallo status di dipendente, appaltatore, tirocinante, volontario, ecc.», e comprende il lavoro autonomo.
- I candidati sono coperti, per le linee guida. La nozione «deve essere intesa come applicabile anche ai candidati durante il processo di selezione e assunzione», perché sussiste uno squilibrio di poteri e «la natura intrusiva del riconoscimento delle emozioni può già applicarsi in fase di reclutamento».
È il terzo punto a cambiare una decisione d’acquisto: secondo le linee guida il divieto scatta prima che esista un rapporto di lavoro — è la lettura della Commissione, non il testo della norma. Uno studio di selezione di dodici persone a Padova che adotta un video-interview con analisi delle espressioni facciali usa un sistema vietato.
Gli esempi che una PMI riconosce
| Situazione | Esito secondo le linee guida |
|---|---|
| Call center che traccia con webcam e voce le emozioni dei propri dipendenti | Vietato |
| Call center che traccia rabbia o impazienza dei clienti | Non vietato dall’art. 5(1)(f) |
| Monitoraggio del tono emotivo dei team ibridi dalle videochiamate | Vietato |
| Riconoscimento delle emozioni durante il reclutamento | Vietato |
| Riconoscimento delle emozioni durante il periodo di prova | Vietato |
Nel caso del team ibrido la finalità dichiarata è benevola — «favorire la consapevolezza sociale, la gestione delle dinamiche emotive e la prevenzione dei conflitti» — e non salva. La sola finestra sul dipendente sono i sistemi attivati «unicamente a fini di formazione personale», con risultati non condivisi con HR e nessun impatto sul rapporto di lavoro: condizioni di governance interna, e le linee guida non dicono chi le verifica.
Dove passa il confine
Il primo confine è favorevole all’impresa. Il testo dell’art. 5(1)(f) non nomina i dati biometrici; il par. 245 argomenta che «per ragioni di coerenza» il divieto va limitato alle inferenze basate sui dati biometrici, secondo la definizione dell’art. 3, punto 39). Il par. 251 lo traduce in due esempi: un sistema che inferisce emozioni da testo scritto resta fuori; uno che le inferisce dalla battitura sui tasti, dalle espressioni facciali, dalle posture o dai movimenti del corpo vi rientra. Il secondo coglie di sorpresa: la keystroke dynamics è un dato biometrico comportamentale, quindi un software di produttività che dal ritmo di digitazione deduce lo stato emotivo del dipendente ricade nel divieto. Quel requisito, però, è letto in via interpretativa, non scritto nella norma.
Il secondo confine separa il rilevare dall’inferire. Il par. 249 richiama il considerando 18, che secondo le linee guida esclude gli stati fisici come dolore o affaticamento — restano leciti i rilevatori di affaticamento di piloti e conducenti — e la mera rilevazione di espressioni, gesti o movimenti immediatamente evidenti, a meno che non servano a inferire emozioni. Osservare che una persona sorride non è riconoscimento delle emozioni; concludere che è felice lo è, come lo è inferire che un dipendente sia infelice o adirato verso i clienti «da gesti del corpo, un’espressione corrucciata o l’assenza di un sorriso». Lo stesso hardware sta dentro o fuori a seconda della funzione attivata, nell’istruzione come sul lavoro: il secondo ambito comprende la formazione continua.
L’eccezione medica o di sicurezza
Il par. 256 impone di interpretarla restrittivamente; il par. 257 la stringe ancora, intendendo gli usi terapeutici come usi di dispositivi medici marcati CE, ed esclude gli «aspetti generali del benessere»: «il monitoraggio generale dei livelli di stress sul luogo di lavoro non è consentito sotto il profilo della salute o della sicurezza». Rilevare burnout o depressione resta vietato, e un’app HR non è un dispositivo medico marcato CE. Sul versante sicurezza il par. 258 è altrettanto secco: la nozione vale «solo in relazione alla protezione della vita e della salute», non «ad esempio il patrimonio contro furto o frode». Sicurezza non significa antifurto.
Quando l’eccezione funziona, funziona così: sarebbe vietato misurare l’ansia sulla base dei livelli di stress, o misurare la noia dei dipendenti — salvo che l’elevato stress o la mancanza di concentrazione pongano un pericolo specifico, per esempio con macchinari o sostanze chimiche pericolose. E in quel caso i dati non possono essere usati per altre finalità, come valutare la prestazione. Una PMI manifatturiera di sessanta persone a Brescia rientra nell’esempio per la linea produttiva, non se estende il monitoraggio agli uffici.
Il par. 259 aggiunge i vincoli: uso strettamente necessario e proporzionato, con limiti di tempo, di applicazione personale e di scala, un parere esperto preventivo, scritto e motivato, e una necessità valutata su base oggettiva e non sulle «esigenze» del datore di lavoro. L’unico esempio positivo è di segno opposto rispetto al controllo: il riconoscimento delle emozioni è ammesso «per assistere dipendenti o studenti con autismo e migliorare l’accessibilità per chi è cieco o sordo».
Non è la categorizzazione biometrica
L’art. 5, par. 1, lett. g) vieta la categorizzazione biometrica: classificare le persone sui loro dati biometrici per dedurne razza, opinioni politiche, appartenenza sindacale, convinzioni religiose o filosofiche, vita sessuale o orientamento sessuale. I perimetri sono opposti — la lettera f) vale solo su lavoro e istruzione ma copre qualsiasi emozione, la lettera g) non ha limiti di contesto ma solo quelle caratteristiche — e un sistema HR che profila i dipendenti su dati biometrici può violarli entrambi.
Fuori dal divieto, non liberi
Il par. 239 chiarisce che i sistemi fuori dal divieto «sono considerati ad alto rischio» ai sensi dell’allegato III, punto 1, lettera c) — regime applicabile dal 2 dicembre 2027 — e restano soggetti agli obblighi di trasparenza dell’art. 50, par. 3, applicabili dal 2 agosto 2026 e in capo al deployer: i testi sono nella guida alle informative.
Le sanzioni, in proporzione
Le pratiche vietate stanno nella fascia più alta: l’art. 99, par. 3 prevede sanzioni «fino a 35 000 000 EUR o, se l’autore del reato è un’impresa, fino al 7 % del fatturato mondiale totale annuo dell’esercizio precedente, se superiore». Regime sanzionatorio ed enforcement partono dal 2 agosto 2026.
Qui va evitato l’errore che rende allarmistici quasi tutti gli articoli in circolazione. La regola generale è «il maggiore fra i due», ma il par. 6 la rovescia per le PMI — e il Regolamento (UE) 2026/1744 (Digital Omnibus on AI) non lo ha modificato: «ciascuna sanzione pecuniaria di cui al presente articolo è pari al massimo alle percentuali o all’importo di cui ai paragrafi 3, 4 e 5, se inferiore». Per una PMI il tetto è il minore dei due, quasi sempre la percentuale.
Il par. 1, invece, è stato riformulato: prevede ora che le sanzioni possano includere «avvertimenti e misure non pecuniarie» e impone di tenere conto degli interessi delle PMI, comprese le start-up, e delle piccole imprese a media capitalizzazione. Il par. 7 elenca fra i criteri «le dimensioni, il fatturato annuo e la quota di mercato dell’operatore», il dolo o la colpa e le misure organizzative attuate: documentare la governance dell’AI è un fattore attenuante scritto nel regolamento. Restano massimali. Sul divieto in sé, invece, nessuno sconto dimensionale: vale identico per l’impresa da tre persone e per la multinazionale.
Due avvertenze finali
Il regolamento è il pavimento, non il soffitto. Il par. 264 ricorda che l’art. 2, par. 11 consente agli Stati membri di introdurre «disposizioni legislative, regolamentari o amministrative più favorevoli ai lavoratori», e che possono essere incoraggiati contratti collettivi più favorevoli. La nota 167 aggiunge due adempimenti extra-AI Act: la consultazione dei lavoratori o dei loro rappresentanti secondo le procedure nazionali — senza la quale «tali sistemi non possono essere introdotti facendo riferimento all’AI Act» — e la protezione dei dati.
Le linee guida non sono vincolanti. Lo dichiarano di sé al par. 5: «i presenti orientamenti non sono vincolanti» e «qualsiasi interpretazione autorevole dell’AI Act può in ultima analisi essere data soltanto dalla Corte di giustizia dell’Unione europea». Taglia in due direzioni: è interpretazione sia il passaggio favorevole all’impresa (la limitazione alle inferenze biometriche) sia quello più severo (uso terapeutico uguale dispositivo medico CE), e un giudice può discostarsene. Il documento è inoltre anteriore al Regolamento (UE) 2026/1744 (Digital Omnibus on AI), pubblicato in GUUE il 24 luglio 2026 e in vigore dal 27 luglio 2026, che ha modificato l’art. 5 inserendo due nuove pratiche vietate: la lett. b bis) — immagini, video o audio realistici delle parti intime di una persona riconoscibile, o che la ritraggano mentre partecipa ad atti sessualmente espliciti, senza un consenso liberamente prestato, specifico, informato e inequivocabile — e la lett. b ter), sul materiale ai sensi della direttiva 2011/93/UE. Entrambe si applicano dal 2 dicembre 2026. La lett. f) sul riconoscimento delle emozioni non è stata modificata; le linee guida, essendo anteriori, non coprono le due nuove lettere.
Domande frequenti
Se il software me lo ha venduto un fornitore come conforme, la responsabilità è sua? No. Il par. 243 applica il divieto sia ai fornitori sia ai deployer, ciascuno nell’ambito delle rispettive responsabilità. Per una PMI la condotta rilevante è l’uso: la responsabilità non si trasferisce al vendor.
E se lo strumento serve a proteggere il benessere dei dipendenti? Non basta. Il par. 257 esclude dall’eccezione medica gli «aspetti generali del benessere» e il monitoraggio generale dei livelli di stress sul lavoro: rilevare burnout o depressione resta vietato.
Il divieto vale anche per i candidati che non abbiamo ancora assunto? Sì secondo le linee guida della Commissione: il par. 254 estende la nozione di «luogo di lavoro» ai candidati durante selezione e assunzione, e gli esempi indicano come vietato l’uso nel reclutamento e nella prova. È una lettura interpretativa, non il testo dell’art. 5(1)(f).
Che sanzione rischia concretamente una PMI? La fascia è la più alta dell’art. 99, par. 3 — 35 milioni di euro o il 7% del fatturato mondiale annuo — ma il par. 6 rovescia il criterio per le PMI: vale il minore fra i due, e sono massimali.
Un sistema installato prima del 2 febbraio 2025 ha un periodo transitorio? Le linee guida non prevedono alcun regime transitorio per i sistemi già installati, e il silenzio non va letto come tolleranza: il divieto è applicabile dal 2 febbraio 2025.
Come ti aiutiamo
Il lavoro utile qui non è produrre un documento: è guardare cosa c’è davvero acceso in azienda. Il caso che emerge più spesso non è la telecamera in reparto, è un modulo di uno strumento HR che nessuno ha letto fino in fondo — e due domande chiudono quasi sempre il perimetro: su quali dati opera l’inferenza, e chi viene misurato.
SynSphere affianca le aziende Microsoft-centriche su censimento, qualificazione del ruolo, policy e informative: è il perimetro dell’AI Act Starter Kit, con la formazione nell’AI Literacy Workshop. Per partire da soli sono gratuiti il registro dei sistemi AI e la policy d’uso AI; il percorso completo è nel piano di adeguamento, le date in cosa cambia dal 2 agosto 2026.
Parla con un nostro consulente: mezz’ora per capire se qualcosa di quello che avete in casa ci rientra.
Fonti: Regolamento (UE) 2024/1689 (AI Act), art. 2, par. 11, art. 3, punto 39), art. 5, par. 1, lett. f) e g), e art. 99, versione italiana ufficiale; Regolamento (UE) 2026/1744 (Digital Omnibus on AI), pubblicato in GUUE il 24 luglio 2026 e in vigore dal 27 luglio 2026, per le modifiche agli artt. 5 e 99; Commissione europea, linee guida C(2025) 5052 del 29 luglio 2025 sulle pratiche di IA vietate, capitoli 7 e 8, non vincolanti e anteriori al Regolamento (UE) 2026/1744 (citazioni in nostra traduzione). Articolo informativo, non consulenza legale.