Due verifiche nuove nel piano dell'Organismo di vigilanza: l'IA nel DVR e la decisione umana sul lavoratore

Due verifiche nuove nel piano dell'Organismo di vigilanza: l'IA nel DVR e la decisione umana sul lavoratore

Sommario. Il d.lgs. 179/2026, in vigore dal 23 ottobre 2026, chiede che i sistemi di intelligenza artificiale siano considerati nella valutazione dei rischi e che le decisioni sul lavoratore restino in capo a una persona con un potere reale. Per l'Organismo di vigilanza ne nascono due verifiche documentali da aggiungere al piano annuale, con un legame diretto con l'area dei reati di omicidio e lesioni colpose in materia di sicurezza.

1. Perché la questione riguarda l'Organismo di vigilanza

Il d.lgs. 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale n. 234 dell'8 ottobre 2026 e in vigore dal 23 ottobre, adegua l'ordinamento italiano al Regolamento (UE) 2024/1689 sull'intelligenza artificiale ed è uno dei decreti attuativi della legge 132/2025 [1]. Due suoi articoli toccano da vicino il rapporto di lavoro: l'art. 42, su IA e salute e sicurezza, e l'art. 41, sulle decisioni che riguardano il lavoratore.

Si potrebbe pensare che siano materie del datore di lavoro, dell'RSPP e dell'ufficio del personale, non dell'OdV. In parte è vero: l'Organismo non valuta i rischi e non decide sui dipendenti. Ma vigila sul funzionamento e sull'osservanza del modello e ne cura l'aggiornamento. Quando il modello copre l'area dei reati dell'art. 25-septies d.lgs. 231/2001, cioè omicidio colposo e lesioni gravi commessi con violazione delle norme antinfortunistiche [2], il presidio principale è proprio il modello di organizzazione e gestione della sicurezza dell'art. 30 d.lgs. 81/2008 [3]. Un modello di questo tipo, per come lo intendo nel mio lavoro di OdV, non vale per ciò che dice sulla carta ma per la sua attuazione nel tempo, ed è su questa che l'Organismo deve poter guardare.

Se un'azienda usa un software che pianifica i turni, assegna i carichi o detta i ritmi di una linea, e il DVR non ne parla, il modello ha una lacuna proprio nel punto in cui l'OdV dovrebbe guardare. Allo stesso modo, se una valutazione delle prestazioni o una sanzione disciplinare nasce da un punteggio prodotto da un sistema e nessuno sa dire chi l'abbia davvero decisa, il problema tocca i protocolli sulla gestione del personale e il codice etico.

Nelle aziende che seguo come componente di OdV capita spesso che questi strumenti siano entrati da un acquisto dell'area IT o della logistica, senza passare dal servizio di prevenzione e protezione. Il punto non è vietarli. Il punto è che qualcuno li abbia guardati, che lo abbia scritto e che l'Organismo possa verificarlo.

2. Prima verifica: il DVR considera davvero i sistemi di IA?

L'art. 42, comma 2, del d.lgs. 179/2026 stabilisce che i sistemi di IA che incidono sull'organizzazione del lavoro, sui ritmi produttivi, sulle modalità di esecuzione della prestazione o sui processi decisionali rilevanti per la sicurezza vanno considerati nella valutazione dei rischi prevista dall'art. 28 d.lgs. 81/2008 [4]. Il testo del d.lgs. 81/2008 non viene modificato: viene richiamato. L'art. 42 non prevede sanzioni proprie; restano quelle del d.lgs. 81/2008 sulla valutazione dei rischi. Il comma 3 aggiunge l'informazione e la formazione dei lavoratori sui rischi specifici legati all'IA e sulle misure adottate.

Ricordo che la valutazione dei rischi è un obbligo non delegabile del datore di lavoro (art. 17 d.lgs. 81/2008) e che va rielaborata in occasione di modifiche significative del processo produttivo o dell'organizzazione del lavoro (art. 29, comma 3) [5]. A mio avviso l'introduzione di un sistema che governa turni o ritmi è, con buona probabilità, una di queste modifiche.

Per l'OdV la verifica è documentale e si può impostare con quattro domande.

Esiste un elenco dei sistemi di IA in uso? Senza un registro, anche semplice, non si può dire che cosa il DVR avrebbe dovuto valutare. Il registro va confrontato con ciò che l'Organismo sa da altre fonti: contratti con i fornitori, inventario informatico, verbali di riunione. Se l'OdV conosce un sistema che il registro non riporta, ha già trovato un rilievo.

Il DVR tratta i sistemi che rientrano nei quattro ambiti del comma 2? Non basta una frase generica sull'innovazione tecnologica. Occorre trovare, per ciascun sistema rilevante, il pericolo individuato, la valutazione e le misure. Un criterio utile è il grado di autonomia del sistema: un conto è uno strumento che informa, un altro è uno che decide da solo l'assegnazione di un compito.

La valutazione è stata aggiornata quando il sistema è entrato in uso? Si confrontano la data di avvio del sistema e la data della revisione del DVR, con le firme previste.

Lavoratori e RLS sono stati informati e formati? Si cercano i registri della formazione e le evidenze della consultazione del rappresentante dei lavoratori per la sicurezza (art. 50 d.lgs. 81/2008) [6].

Il compito dell'OdV non è rifare la valutazione, né giudicare il merito tecnico delle misure. È constatare se la valutazione c'è, se copre ciò che deve coprire e se è stata fatta nei tempi. Quando manca, l'Organismo lo segnala all'organo dirigente e chiede un piano con una scadenza.

3. Seconda verifica: chi ha deciso?

L'art. 41 del d.lgs. 179/2026 stabilisce, al comma 1, che le decisioni finali su assunzione, modifica e cessazione del rapporto, provvedimenti disciplinari e valutazione del lavoratore non possono fondarsi solo su un trattamento automatizzato: la decisione finale spetta a una persona fisica con un potere effettivo e autonomo. Dal comma 1 è esclusa l'attività di ricerca e selezione delle candidature. Il comma 2 richiama il rispetto della dignità, della riservatezza e del divieto di discriminazione. Il comma 3 prevede l'informativa al lavoratore prima dell'avvio del sistema, con richiamo all'art. 1-bis del d.lgs. 152/1997, e il diritto di ottenere, su richiesta, una motivazione resa da una persona fisica, che indichi quanto ha inciso il sistema e quali parametri sono stati considerati [7]. La violazione del comma 1 comporta la nullità della decisione, compreso il licenziamento; il consenso del lavoratore non rende lecita una decisione presa solo dalla macchina.

Questa norma non introduce, di per sé, un nuovo reato presupposto. Interessa però l'OdV per due ragioni. La prima: molti modelli contengono protocolli sulla gestione del personale e un codice etico che vieta le discriminazioni; una decisione "firmata" ma in realtà presa dal sistema svuota quei protocolli. La seconda: alcune decisioni sul lavoratore, come l'assegnazione a una mansione o la modifica dell'orario, hanno effetti sulla sicurezza e si saldano con la prima verifica.

La verifica si fa su un campione. L'Organismo chiede l'elenco delle decisioni del periodo per cui è stato usato un sistema di IA e ne esamina alcune. Per ciascuna controlla:

• chi ha firmato la decisione finale e se aveva il potere di farlo secondo le deleghe interne;
• se esiste una motivazione scritta della persona, distinta dall'output del sistema;
• se l'informativa al lavoratore è stata data prima dell'avvio del sistema;
• se, alla richiesta di un lavoratore, la motivazione è stata fornita da una persona e indica l'incidenza del sistema e i parametri.

C'è poi un indicatore semplice e molto eloquente: quante volte la persona che decide si discosta dalla proposta del sistema. Se in un anno il responsabile non si è mai discostato, la domanda è legittima: aveva il tempo, i dati e la libertà per dire di no, oppure la sua firma è soltanto un passaggio formale? L'OdV non deve rispondere al posto dell'azienda, ma deve porre la domanda e verbalizzarla.

4. Il collegamento con l'art. 25-septies

Le due verifiche non vanno tenute separate. Si pensi a un magazzino in cui un software assegna le missioni di prelievo e misura la produttività individuale. Il sistema incide sui ritmi (art. 42) e, se i suoi dati alimentano valutazioni o richiami, anche sulle decisioni sul lavoratore (art. 41). Se un giorno un addetto si infortuna per un carico di lavoro eccessivo, la domanda che verrà posta all'ente riguarderà proprio questo: il rischio era stato valutato? Chi aveva fissato quei ritmi, e su quali basi?

L'Organismo non può prevenire ogni infortunio. Può però fare in modo che l'ente abbia una risposta documentata. Per questo è utile inserire nel piano delle verifiche una voce specifica e aggiungere ai flussi informativi verso l'OdV due comunicazioni: l'introduzione di un nuovo sistema di IA che rientri nei quattro ambiti dell'art. 42, e un riepilogo periodico delle decisioni sul personale assistite da un sistema.

Il d.lgs. 160/2026, in vigore dal 30 settembre 2026, ha inoltre introdotto l'art. 437-bis c.p. e l'art. 25-vicies d.lgs. 231/2001 [8]: un motivo in più per riaprire la mappatura dei rischi del modello con l'IA come voce trasversale, anziché come appendice.

5. Come documentare le verifiche

Una verifica che non lascia traccia, per l'OdV, è come non fatta. Il verbale deve indicare il campione, i documenti esaminati, le persone sentite, l'esito e le eventuali richieste all'organo dirigente con una scadenza. Conviene che resti scritto anche chi ha controllato che cosa, perché le evidenze di queste verifiche sono spesso prodotte con strumenti digitali: un estratto dal gestionale dei turni, un report del software di valutazione.

Nel mio lavoro tengo un registro delle verifiche umane su ciò che producono i sistemi di IA: chi ha controllato, quando, su che cosa, con quale esito. Il registro serve all'azienda come prova della decisione umana e serve all'OdV come base documentale stabile. Lo strumento che uso, Controvisto, produce una prova in PDF da allegare al verbale; ma il principio vale con qualunque supporto, anche un semplice foglio condiviso, purché sia tenuto davvero.

Cosa fare lunedì mattina

1. Chiedere al datore di lavoro e all'RSPP l'elenco dei sistemi di IA in uso e la parte del DVR che li tratta.
2. Inserire nel piano annuale due verifiche: «IA nel DVR (art. 42 d.lgs. 179/2026)» e «decisioni sul lavoratore assistite dall'IA (art. 41)».
3. Aggiornare la procedura dei flussi informativi con le due comunicazioni descritte sopra.
4. Alla prima riunione utile, esaminare un campione di decisioni e verbalizzare il tasso di scostamento.
5. Proporre all'organo dirigente di riaprire la mappatura dei rischi del modello includendo l'uso dell'IA.

Note

[1] D.Lgs. 7 ottobre 2026, n. 179, in G.U. n. 234 dell'8 ottobre 2026; Reg. (UE) 2024/1689; L. 23 settembre 2025, n. 132. [2] Art. 25-septies d.lgs. 8 giugno 2001, n. 231. [3] Art. 30 d.lgs. 9 aprile 2008, n. 81. [4] Art. 42, comma 2, d.lgs. 179/2026; art. 28 d.lgs. 81/2008. [5] Artt. 17 e 29, comma 3, d.lgs. 81/2008. [6] Art. 42, comma 3, d.lgs. 179/2026; art. 50 d.lgs. 81/2008. [7] Art. 41 d.lgs. 179/2026; art. 1-bis d.lgs. n. 152/1997. [8] D.Lgs. 160/2026.