La Autoridad Italiana de Protección de Datos (Garante per la Protezione dei Dati Personali) ha emitido una advertencia a la startup desarrolladora de Myndoor, una herramienta integrada en las plataformas de mensajería corporativa Slack y Microsoft Teams que utiliza inteligencia artificial y análisis semántico para evaluar el nivel de estrés psicológico de los trabajadores que deciden utilizarla voluntariamente. El sistema analiza el lenguaje empleado en las comunicaciones internas con el fin de ofrecer a los trabajadores recomendaciones personalizadas relacionadas con su bienestar emocional.
La autoridad italiana verificó que la startup actuaba como responsable del tratamiento, mientras que las empresas clientes se limitaban a contratar el servicio, sin acceso al contenido de los mensajes ni a los resultados individuales obtenidos por los trabajadores. No obstante, la aplicación sí contemplaba la elaboración de informes con datos agregados sobre los niveles de estrés cuando participan más de diez trabajadores.
En el curso de la investigación, el Garante constató que únicamente se había facilitado un informe agregado a una empresa y que este no permitía identificar ni reidentificar a los trabajadores afectados. Asimismo, no se acreditó que las empresas clientes hubieran tratado datos personales individuales de sus empleados. Por ello, la autoridad concluyó que, en el estado actual del procedimiento, no existían elementos suficientes para apreciar infracciones concretas de la normativa de protección de datos.
Sin embargo, la resolución pone de manifiesto los importantes riesgos asociados a este tipo de tratamientos. Entre ellos destacan la especial sensibilidad de los datos relativos al estado emocional y al bienestar psicológico de los trabajadores, la posibilidad de reidentificación indirecta, incluso a partir de datos agregados, y los riesgos inherentes a los sistemas de inteligencia artificial basados en modelos lingüísticos y análisis semántico, que pueden presentar limitaciones en términos de transparencia, explicabilidad y fiabilidad, así como generar sesgos o efectos discriminatorios.
La autoridad abordó el caso desde una triple perspectiva regulatoria, recordando que el tratamiento debe respetar simultáneamente las exigencias del Reglamento General de Protección de Datos (RGPD), la normativa laboral aplicable y el Reglamento (UE) 2024/1689 de Inteligencia Artificial. En este último ámbito, subrayó especialmente la relevancia del artículo 5.1.f, que prohíbe con carácter general el uso de sistemas de inteligencia artificial destinados a inferir emociones de las personas en el entorno laboral.
Desde la perspectiva laboral, el Garante recordó que la información relativa al estado emocional de los trabajadores goza de una protección reforzada en el ordenamiento italiano y forma parte de la esfera más personal del individuo, por lo que los empleadores no pueden acceder legítimamente a este tipo de información.
En definitiva, aunque el procedimiento no concluyó con la imposición de multa, el Garante consideró necesario advertir a la empresa sobre los riesgos derivados de la actividad desarrollada. En concreto, teniendo en cuenta la sensibilidad de los datos tratados y la posibilidad de proporcionar a las empresas informes agregados sobre el nivel de estrés de sus empleados, instó a la startup a reforzar las medidas de protección de datos desde el diseño y por defecto, garantizar que los empleadores no puedan acceder, ni directa ni indirectamente, a información emocional de los trabajadores y revisar aquellas funcionalidades que puedan resultar incompatibles con la normativa de protección de datos, laboral y de inteligencia artificial.