Il rischio nascosto in un upload su Gemini durante l’uscita di un dipendente

Una sentenza di Amsterdam mostra perché servono confini chiari sui dati prima che venga meno la fiducia sul lavoro.

Immaginiamo la mattina di una difficile uscita dall’azienda. Le trattative sono in corso, la fiducia si sta incrinando e un dirigente ha ancora ampio accesso ai documenti aziendali. Prima di colazione, il sistema di sicurezza rileva un tentativo di trasferire su Gemini il contenuto di un computer di lavoro.

È questo lo scenario alla base di una sentenza del Tribunale di Amsterdam del 9 giugno 2026, pubblicata con il riferimento ECLI:NL:RBAMS:2026:8257. Il giudice ha ritenuto valido il licenziamento immediato di un alto dirigente. Durante le trattative per porre fine al rapporto di lavoro, l’uomo aveva inviato diversi file aziendali al proprio indirizzo e-mail privato e tentato di caricare su Gemini il contenuto del computer.

Il datore di lavoro aveva stabilito un confine preciso. Il contratto e il Codice di condotta aziendale vietavano quel comportamento. Il sistema di sicurezza aveva bloccato il trasferimento. Quando gli erano state chieste spiegazioni sull’invio dei file all’indirizzo privato, il dirigente non aveva riferito del tentativo di upload su Gemini. Per il tribunale, anche questa mancanza di trasparenza aveva contribuito alla perdita di fiducia.

L’AI cambia la via d’uscita

È facile definire questa una causa sull’intelligenza artificiale. Il punto più profondo, però, riguarda il controllo delle informazioni aziendali quando il rapporto di lavoro entra in una fase critica.

Dieci anni fa, la direzione avrebbe probabilmente cercato una chiavetta USB, elenchi di clienti stampati o e-mail inviate a un concorrente. Un servizio di AI esterno offre un’altra via. In pochi minuti, un utente può allegare, incollare o caricare grandi quantità di materiale. Il gesto potrebbe non essere percepito come una sottrazione di documenti aziendali, pur potendo produrre lo stesso effetto concreto.

Per una piccola impresa, la distinzione è importante. Un manager in uscita può considerare offerte, rubriche o appunti di lavoro come “i miei documenti”, perché li ha creati o utilizzati. L’azienda vi riconosce invece lo storico dei clienti, la logica dei prezzi, i contratti e la corrispondenza che devono rimanere in un ambiente controllato. La distanza tra queste due prospettive può diventare rapidamente costosa.

Nei Paesi Bassi, il licenziamento immediato è soggetto a requisiti rigorosi. Occorrono un motivo urgente, una reazione tempestiva del datore di lavoro e una comunicazione altrettanto rapida delle ragioni. Il dipendente può chiedere al kantonrechter, il giudice competente, di riesaminare il licenziamento e riconoscere un indennizzo. Ogni controversia dipende dai fatti specifici, tra cui la regola applicabile, il ruolo ricoperto, la condotta tenuta e la risposta dell’azienda.

Le regole devono funzionare nel lavoro reale

Merita attenzione anche il quadro più ampio. Secondo una ricerca di Alert Online citata dal governo olandese nel 2025, il 36 per cento dei dipendenti dichiarava di conoscere molto o moltissimo l’AI generativa. Solo il 26 per cento riteneva che la propria organizzazione disponesse di linee guida chiare per gestire rischi come la sicurezza dei dati.

È una distanza che si presenta spesso. I dipendenti sanno usare gli strumenti, mentre il datore di lavoro non ha spiegato quali informazioni possano esservi inserite. L’indicazione “usate l’AI in modo responsabile” offre ben poco aiuto a chi vuole riassumere un reclamo, tradurre un contratto o analizzare un foglio di calcolo con dati dei clienti.

Un confine applicabile nella pratica indica gli strumenti autorizzati e le informazioni che devono restarne fuori. Dati dei clienti, informazioni sul personale, prezzi, margini, corrispondenza legale e controversie interne richiedono particolare cautela. Il personale deve anche sapere chi può autorizzare un’eccezione. Senza questi dettagli, la vera policy coincide con ciò che ciascuno decide davanti alla tastiera.

La guida del governo olandese sull’AI generativa, destinata alle organizzazioni pubbliche, segue la stessa logica di controllo. Insiste sulla necessità di definire le responsabilità, stabilire regole per gli utenti finali e disporre di una solida base giuridica prima di inserire informazioni personali o sensibili in un sistema di AI generativa. Le aziende private operano in circostanze diverse, ma il principio è facilmente riconoscibile.

Quando scatta l’allarme di sicurezza

Il momento più delicato comincia quando un sistema rileva un’attività anomala. La direzione può sentirsi tradita e pretendere una risposta immediata. Agire in fretta senza procedere con ordine, però, può indebolire la posizione dell’azienda.

Un allarme tecnico registra ciò che il sistema ha osservato. Il datore di lavoro deve comunque ricostruire con chiarezza che cosa sia accaduto, quale regola fosse applicabile, quali informazioni fossero coinvolte, chi conoscesse quella regola e come il dipendente abbia reagito alle domande. La documentazione legale, tecnica e manageriale deve descrivere lo stesso evento in modo coerente.

È questo che rende significativa la sentenza di Amsterdam. L’azienda poteva indicare un divieto esplicito, il ruolo senior del dipendente, le prove fornite dal sistema, il momento particolarmente sensibile e la risposta del dirigente. Il tribunale ha potuto individuare con chiarezza il confine e il modo in cui era stato oltrepassato.

Per chi guida un’impresa, il lavoro comincia molto prima dell’incidente. Condizioni di lavoro, manuale del personale, configurazione degli accessi e prassi quotidiana devono essere coerenti. Non si può affidare tutto il peso a una regola nascosta in una policy che nessuno legge. E nessun software può compensare una realtà aziendale in cui, per comodità, i dipendenti inviano abitualmente documenti ai propri indirizzi privati.

Proteggere l’impresa dietro i documenti

Torniamo a quella difficile mattina. Mentre l’attenzione si concentra sul computer, l’attività ordinaria continua. I clienti aspettano risposte. I progetti richiedono passaggi di consegne. Le fatture devono essere approvate. I fornitori attendono di essere pagati.

Quando un’unica persona con un ruolo senior concentra su di sé troppi accessi o troppe conoscenze, un incidente relativo ai dati può trasformarsi in un problema di continuità aziendale. La questione non riguarda più soltanto il file che potrebbe essere uscito. Il lavoro può fermarsi se cambiano gli accessi, se lo storico dei clienti è racchiuso in una sola casella di posta o se le attività finanziarie dipendono dalla memoria di una persona.

Una procedura di uscita, quindi, non si esaurisce nella restituzione delle apparecchiature. Coinvolge diritti di accesso, attività per i clienti, caselle di posta condivise, informazioni riservate e operazioni finanziarie ancora aperte. Rivedere gli accessi più ampi quando cambia un ruolo o iniziano le trattative è una misura ordinaria di prudenza, nell’interesse di entrambe le parti.

La stessa disciplina, calma e concreta, vale per l’AI. Un divieto assoluto può spingerne l’uso nell’ombra. Un accesso senza limiti affida troppo al giudizio individuale. La soluzione praticabile sta nel mezzo: strumenti approvati, dati esclusi, responsabilità definite e un referente a cui rivolgersi prima di caricare il materiale.

La causa di Amsterdam offre un avvertimento chiaro, senza giustificare allarmismi. La tecnologia ha cambiato il percorso, ma le domande centrali restano quelle di sempre. A chi appartengono le informazioni? Chi può trasferirle? Che cosa era stato concordato con chiarezza? Che cosa può dimostrare l’azienda quando la fiducia viene meno?

Una piccola impresa non ha bisogno di un grande programma sull’intelligenza artificiale per rispondere. Ha bisogno di regole comprensibili, controlli coerenti con il lavoro reale e una procedura di uscita che protegga clienti, personale e flusso di cassa. Il momento migliore per definire questi confini è quando la fiducia è ancora intatta.

I dati, le fonti e l’analisi di questo articolo sono stati curati da Paolo Maria Pavan. L’IA non è stata usata per individuare le fonti, costruire la base fattuale o produrre il giudizio analitico. L’IA è stata usata solo come aiuto di redazione. Il testo italiano finale è stato rivisto, corretto e approvato personalmente da Paolo Maria Pavan prima della pubblicazione.

Riferimenti

• Rechtbank Amsterdam / Rechtspraak — ECLI:NL:RBAMS:2026:8257
• Ontslag op staande voet voor werkbestanden sturen naar privémail en uploaden bestand zakelijke computer · Salaris Vanmorgen
• Rijksoverheid — Dutch framework for summary dismissal
• Rijksoverheid — Confidentiality breaches as an employment-law issue
• Rijksoverheid — Workplace use of generative AI and missing internal rules
• Rijksoverheid — Responsible handling of confidential information in generative-AI tools
• Rijksoverheid — Current AI regulatory setting