Strumenti come antivirus, filtri sulla navigazione, sistemi che bloccano la fuoriuscita di dati, registrazione delle telefonate del customer care, sono ormai presenti in moltissime aziende. Questi sono adottati per proteggere informazioni e patrimonio o per migliorare il servizio. Però oltre agli scopi per cui sono stati scelti, possono consentire di ricostruire cosa fa il dipendente, quando e come.  Lo Statuto dei lavoratori (art. 4 della legge 300/1970, nel testo riscritto dal D.Lgs. 151/2015) proibisce gli strumenti che servono soltanto a osservare l’attività dei dipendenti. Sono ammessi i sistemi introdotti per esigenze organizzative, produttive, di sicurezza o di tutela del patrimonio, anche se indirettamente permettono una qualche verifica sul lavoratore. In questo caso, però, serve l'accordo  preventivo con le rappresentanze sindacali aziendali oppure, se mancano, l’autorizzazione dell’Ispettorato del lavoro. Nessun lascia passare è richiesto solo per gli strumenti indispensabili a svolgere la mansione e per quelli che rilevano accessi e presenze (art. 4, comma 2). Giudici e Garante privacy trovano questa eccezione abbastanza restrittiva, ogni strumento va scomposto nelle sue parti (hardware, software, applicativi) per capire se consente un controllo (Tribunale di Venezia, sentenza n. 601 del 27 ottobre 2022). Non sono considerati strumenti di lavoro, ad esempio, i programmi che operano in background senza che il dipendente se ne accorga, né quelli che permettono all’azienda elaborazioni ulteriori che il lavoratore non può disattivare (Garante privacy, provvedimento n. 243 del 29 aprile 2025). Il datore di lavoro non può servirsi di sistemi che consentono un monitoraggio continuo e sistematico del personale. È anche escluso l’impiego di software che rilevano emozioni, stato d’animo o livello di stress dei dipendenti, come quelli che analizzano i messaggi scambiati sulle piattaforme aziendali. Si tratta di una funzione vietata dall’AI Act (Regolamento UE 2024/1689, art. 5) e già bocciata dal Garante privacy con il provvedimento n. 342 del 14 maggio 2026. La riservatezza della corrispondenza si avvale di una tutela particolarmente forte. Le email inviate da account personali, anche se conservate sui server aziendali, possono essere usate solo per finalità legittime, in modo proporzionato e dopo un’informazione dettagliata al dipendente sulle modalità di controllo (Cassazione, sezione lavoro, sentenza n. 24204 del 29 agosto 2025). Leggere le email del lavoratore è possibile nell’ambito dei cosiddetti controlli difensivi, solo se presenti sospetti concreti di comportamenti dannosi per l’azienda, e la verifica deve essere successiva, circoscritta e proporzionata. È stata ritenuta legittima, per citarne una, una ricerca limitata a parole chiave, condotta da poche persone autorizzate e basata su una policy conosciuta dal lavoratore (Tribunale di Pisa, sentenza n. 800 del 13 giugno 2026). Mai, invece, controlli generalizzati sull’intera casella. Un singolo software restituisce dati isolati, come: una segnalazione, un accesso, una chiamata. Uno strumento di intelligenza artificiale ora può metterli insieme e costruire veri e propri profili di comportamento, trasformando verifiche occasionali in un monitoraggio permanente. Per questo l’AI Act considera ad alto rischio i sistemi usati per monitorare e valutare i lavoratori, il decreto Trasparenza (D.Lgs. 104/2022) impone di informare i dipendenti sull’uso di sistemi automatizzati e nessuna decisione definitiva sul rapporto di lavoro può essere affidata alla sola macchina, senza intervento umano.