ChatGPT in azienda: quando l'allucinazione algoritmica genera danni. La responsabilità del dipendente.

L'adozione di strumenti di Intelligenza Artificiale Generativa (come ChatGPT) all'interno delle aziende sta rivoluzionando la produttività. Questi strumenti supportano attività critiche, dalla stesura di rapporti strategici alla preparazione di documenti contrattuali o l'analisi di mercato. Tuttavia, il fenomeno delle "allucinazioni" – l'output di informazioni false, statistiche inventate, o dati finanziari inesistenti presentati come veri – rappresenta una grave insidia.

Quando un dipendente, agendo in buona fede ma senza adeguato controllo, utilizza dati "allucinati" in documenti aziendali cruciali, il rischio non è solo un errore interno: è un danno potenziale che può tradursi in perdite economiche, violazioni contrattuali o grave danno reputazionale per l'azienda. A questo punto, la questione si sposta sul piano del diritto del lavoro: chi risponde, e cosa rischia il dipendente?

Leggi la guida che analizza dal punto di vista legale i termini di servizio di ChatGPT.

Il Framework legale: la catena di responsabilità

Nel contesto aziendale, la responsabilità segue una duplice direzione: esterna (verso terzi e il mercato) e interna (tra datore di lavoro e dipendente).

La responsabilità esterna: l'azienda come "deployer" 

Nei confronti di terzi (clienti, fornitori, Autorità), la responsabilità primaria per i danni causati da un output aziendale errato ricade sul datore di lavoro (l'Azienda).

Il Regolamento Europeo sull'Intelligenza Artificiale (AI Act), inquadra l'azienda come "Deployer" (o "Utilizzatore") del sistema di IA. Sebbene strumenti generativi come ChatGPT non rientrino generalmente tra i "sistemi ad alto rischio" che prevedono obblighi massimi, l'AI Act stabilisce un principio fondamentale: l'azienda è responsabile di un uso lecito, trasparente e sicuro dell'IA. L'azienda deve quindi dotarsi di procedure interne e garantire la sorveglianza umanasull'output, in particolare se quest'ultimo influenza decisioni critiche o riguarda dati sensibili.

La responsabilità interna: il dovere di diligenza del dipendente 

È nel rapporto interno di lavoro che si determina la responsabilità del dipendente.

Ai sensi dell’Articolo 2104 del Codice Civile, il prestatore di lavoro è tenuto a usare la diligenza richiesta dalla natura della prestazione e dall’interesse superiore dell’impresa. Questo dovere di diligenza oggi si estende implicitamente all'uso degli strumenti tecnologici messi a disposizione. Un dipendente che utilizza ChatGPT per estrarre informazioni cruciali senza verificarle – sapendo o dovendo sapere dei rischi di hallucination – contravviene al suo dovere di diligenza.

La negligenza del dipendente consiste nel mancato esercizio del giudizio critico umano e della necessaria verifica delle fonti, in un’epoca in cui la consapevolezza dei limiti dell'IA è ormai un requisito di base.

L'AI Act e il nuovo standard di diligenza tecnologica

Il Regolamento europeo sull'IA rafforza indirettamente il dovere di diligenza del dipendente attraverso due concetti chiave:

1. Obbligo di Alfabetizzazione AI (AI Literacy): L'AI Act (e le sue disposizioni di attuazione in Italia) impone all'azienda, in quanto Deployer, di assicurare un "livello sufficiente di alfabetizzazione in materia di IA" al suo personale. Ciò significa che l'azienda deve fornire formazione sui rischi (incluse le allucinazioni).
2. Il Peso della Formazione: Se il datore di lavoro ha adempiuto al suo obbligo di formazione, avvisando esplicitamente il dipendente del rischio di dati falsi e imponendo un protocollo di verifica, l'errore commesso diventa una violazione ancora più grave delle direttive aziendali e del dovere di diligenza individuale.

Le conseguenze per il dipendente: sanzioni e danno erariale 

Le conseguenze per il dipendente che, con la sua negligenza, provoca un danno all'azienda a causa di un'allucinazione di ChatGPT, sono disciplinari e potenzialmente economiche.

Sanzioni Disciplinari e Licenziamento

Secondo l’Articolo 2106 del Codice Civile, il datore di lavoro ha il potere di applicare sanzioni disciplinari proporzionate all'infrazione.

• Violazione Lieve: Se l'errore è isolato e il danno modesto, la sanzione può essere un richiamo o una multa.
• Violazione Grave: Se l'allucinazione conduce a un errore sostanziale in un contratto, a una perdita finanziaria rilevante o a un grave danno reputazionale, si configura un inadempimento grave dei doveri contrattuali. In questo caso, il dipendente può rischiare la sospensione o, nei casi più estremi, il licenziamento per giusta causa o giustificato motivo soggettivo per grave negligenza.

Azione di regresso e risarcimento del danno 

Il rischio più serio per il dipendente è l'azione di regresso (o rivalsa) da parte dell'azienda.

Se l'azienda è costretta a risarcire un terzo (cliente o fornitore) per un danno causato dall'output negligente del dipendente, o subisce una perdita economica diretta (es. un cattivo investimento basato su dati falsi), essa può rivalersi sul dipendente per recuperare tale danno. Questo è possibile se l'azienda riesce a dimostrare che l'errore è stato causato da dolo(intenzione) o colpa grave (negligenza estrema) del dipendente, ovvero che il dipendente ha completamente omesso la verifica che ci si aspettava da una persona della sua qualifica professionale.

L'obbligo di Istituire una "AI Policy" aziendale come scudo legale

L'introduzione del Regolamento UE sull'Intelligenza Artificiale (AI Act) e la crescente adozione di strumenti generativi rendono urgente, per ogni azienda, l'adozione di una "AI Policy" interna ufficiale. Questo documento non è solo una best practice, ma diventa un elemento cruciale per la gestione del rischio e per la difesa legale. La Policy deve stabilire chiaramente quali sistemi di IA possono essere usati, per quali scopi e, soprattutto, definire le "Regole di Ingegneria Prompt" e i "Protocolli di Verifica Umana (Human-in-the-Loop)". 

La Policy aziendale serve a tradurre il dovere di diligenza generico (Art. 2104 c.c.) in un obbligo specifico e misurabile per il dipendente: se la Policy impone di verificare i dati generati da ChatGPT con almeno due fonti primarie, la mancata verifica da parte del dipendente si configura immediatamente come una chiara e grave violazione disciplinare interna. In sede di contenzioso (ad esempio, per un licenziamento o un'azione di regresso), l'esistenza e la divulgazione di una Policy rigorosa rafforzano la posizione dell'azienda, dimostrando che il datore di lavoro ha adempiuto ai suoi obblighi di formazione e supervisione previsti indirettamente dall'AI Act (come l'obbligo di AI Literacy), e che la colpa è ascrivibile esclusivamente all'inosservanza da parte del dipendente.