Il Digital Omnibus ha spostato al 2 dicembre 2027 gli obblighi europei sui sistemi di IA ad alto rischio impiegati nel lavoro. L’obbligo di sicurezza dell’art. 2087 c.c., però, non conosce periodi transitori: si applica già oggi a ogni sistema di IA introdotto in azienda. Il rinvio riguarda gli obblighi di conformità del regolamento europeo, non il debito di sicurezza del datore di lavoro. Quello nasce altrove.
L’art. 2087 c.c. impone all’imprenditore di adottare le misure che, secondo la particolarità del lavoro, l’esperienza e la tecnica, sono necessarie a tutelare l’integrità fisica e la personalità morale dei prestatori di lavoro. È il riferimento alla tecnica a rendere la norma auto-adattiva: quando una tecnologia nuova entra in azienda, l’obbligo di aggiornamento scatta immediatamente, senza attendere una regola cautelare scritta.
Le conseguenze pratiche sono due. 1) Onere della prova. La responsabilità è di natura contrattuale: al lavoratore basta provare il danno e il nesso con l’attività lavorativa; è il datore a dover dimostrare di aver adottato tutte le misure idonee. 2) Rischi “nuovi” ma già valutabili. Monitoraggio algoritmico e percezione di sorveglianza costante, ritmi imposti dal sistema, tecnostress, automation bias (l’adesione acritica all’output della macchina), opacità del processo decisionale, interazione fisica con cobot ed esoscheletri. Nessuno di questi richiede una norma nuova per entrare nella valutazione dei rischi.
Lo schema di decreto legislativo di adeguamento all’AI Act approvato in esame preliminare dal Consiglio dei ministri il 10 giugno 2026 (AG 421) conteneva un art. 42, Intelligenza artificiale, salute e sicurezza nei luoghi di lavoro, che affidava al Ministero del lavoro il coordinamento delle misure, prevedeva la valutazione dell’impiego dell’IA nell’ambito dell’art. 28 d.lgs. 81/2008 e obblighi di informazione e formazione sui rischi specifici. Nel testo trasmesso alle Camere a luglio quella disposizione non compare più.
La scomparsa dell’art. 42, in ogni caso, non produce un vuoto: l’art. 28 d.lgs. 81/2008 impone già la valutazione di tutti i rischi, e l’introduzione di un sistema di IA che incide su organizzazione, ritmi e modalità della prestazione è una modifica sostanziale che obbliga all’aggiornamento del DVR.
Il decreto gemello (AG 418) introduce il nuovo art. 437-bis c.p. sull’omessa adozione o alterazione delle misure di sicurezza nei sistemi di IA ad alto rischio, ancorato al pericolo concreto, e lo inserisce — insieme all’art. 612-quater c.p. sui contenuti generati artificialmente, già introdotto dalla legge 23 settembre 2025, n. 132 — tra i reati presupposto della responsabilità degli enti ex d.lgs. 231/2001. I Modelli organizzativi andranno aggiornati di conseguenza.
Gli obblighi del datore di lavoro in concreto:
- Censire i sistemi di IA già in uso e qualificare il ruolo dell’azienda (nella gran parte dei casi: deployer).
- Portare l’IA nel DVR, valutando gli impatti su organizzazione del lavoro, ritmi, carico cognitivo e salute psicofisica, non solo i rischi meccanici.
- Garantire una sorveglianza umana effettiva, affidata a persone con competenza, formazione e autorità sufficienti a discostarsi dall’output del sistema (art. 26 AI Act).
- Informare e formare: alfabetizzazione IA (art. 4 AI Act) e formazione ex art. 37 d.lgs. 81/2008 sui rischi specifici; informativa preventiva a lavoratori e rappresentanti sindacali, coordinata con l’art. 4 Stat. lav., l’art. 1-bis d.lgs. 152/1997 e l’art. 22 GDPR.
- Aggiornare il Modello 231 e le procedure di gestione degli incidenti.
