Quando la prassi sostituisce la procedura: la lezione per le imprese

Il caso

Nel caso in questione, la lavoratrice comunica il protrarsi della propria assenza tramite messaggi vocali e documentazione inviata via WhatsApp a un referente aziendale che riceve le informazioni, interagisce con lei, organizza le sostituzioni e mantiene operativo il flusso comunicativo.

Solo successivamente l’organizzazione richiama l’esistenza di procedure che avrebbero richiesto l’utilizzo della posta elettronica e della comunicazione telefonica.

Il Tribunale, però, osserva che presso l’impresa tali indicazioni non avevano carattere realmente prescrittivo e che la concreta fisiologia organizzativa aveva ormai incorporato modalità differenti.

È precisamente qui che la sentenza assume rilievo per privacy, cyber security e governance organizzativa.

Il problema non è il singolo utilizzo di WhatsApp. Il problema è che l’organizzazione continua formalmente a rappresentarsi attraverso un modello procedurale che non coincide più con il proprio funzionamento reale.

La decisione del Tribunale di Udine mostra infatti una dinamica sempre più frequente nelle organizzazioni contemporanee: l’ente continua a produrre policy, regolamenti, linee guida e istruzioni operative, ma la concreta operatività quotidiana tende progressivamente a svilupparsi attraverso relazioni organizzative differenti, costruite sulla rapidità decisionale, sulle necessità funzionali, sulle consuetudini operative e sulle tolleranze manageriali.

Il punto centrale, allora, non riguarda la singola deviazione dalla regola formale. Riguarda piuttosto la progressiva separazione tra normazione dichiarata e normazione effettivamente operante dentro l’organizzazione.

Privacy come governo dei processi organizzativi

La questione privacy, in questa prospettiva, non può essere ridotta alla presenza di dati sanitari o all’utilizzo di una piattaforma consumer per trasmettere informazioni sensibili.

Una simile lettura resterebbe ancora ancorata a una concezione prevalentemente documentale della protezione dei dati personali.

Il punto centrale che emerge dalla sentenza è molto più radicale: il GDPR ha progressivamente trasformato la privacy in una disciplina di governo organizzativo dei processi informativi.

La protezione dei dati non riguarda più soltanto la tutela del singolo dato considerato isolatamente.

Riguarda la capacità dell’organizzazione di conoscere, presidiare e controllare l’intera architettura attraverso cui le informazioni circolano, vengono condivise, utilizzate, trasformate in decisioni operative e incorporate nei processi dell’ente.

È questo il significato più profondo del principio di accountability: GDPR\Art. 24.
Il regolamento europeo non impone semplicemente l’adozione formale di policy o procedure.

Richiede al titolare del trattamento la costruzione di assetti organizzativi concretamente idonei a governare i processi reali.

Dove la sentenza del Tribunale di Udine diventa paradigmatica

Ed è precisamente qui che la sentenza del Tribunale di Udine diventa paradigmatica.

Infatti il caso mostra il momento in cui il processo operativo reale si emancipa dalla struttura organizzativa formalmente dichiarata. WhatsApp non è semplicemente un mezzo di comunicazione utilizzato in modo improprio. Diventa il luogo effettivo nel quale si esercitano funzioni organizzative, si coordinano attività, si gestiscono sostituzioni, si prendono decisioni operative e si realizza concretamente il trattamento delle informazioni.

La piattaforma, in altri termini, smette di essere un semplice strumento tecnologico e diventa parte integrante dell’architettura organizzativa reale.

Qui emerge la vera criticità privacy

Il problema non è soltanto che determinati dati transitino su un canale non formalmente autorizzato.

Il problema è che il trattamento finisca per svilupparsi dentro processi organizzativi che l’ente non sembra più pienamente in grado di descrivere, presidiare e ricondurre entro un’architettura procedurale coerente.

La vera vulnerabilità emerge nel momento in cui il titolare perde la capacità di rappresentare in maniera unitaria i processi effettivi attraverso cui il trattamento viene concretamente realizzato.

Quando i flussi informativi si sviluppano dentro ecosistemi relazionali paralleli, tollerati ma non realmente governati, l’organizzazione perde progressivamente il controllo non soltanto sui dati, ma sul funzionamento stesso dei processi attraverso cui quei dati vengono utilizzati.

E, precisamente, è in questa perdita di governo del processo che privacy e cyber security finiscono inevitabilmente per sovrapporsi.

La progressiva separazione tra organizzazione dichiarata e organizzazione reale

La sentenza mostra una dinamica che caratterizza sempre più frequentemente le organizzazioni contemporanee: le procedure continuano formalmente a esistere, ma smettono progressivamente di esercitare una reale funzione ordinante.

Questo non significa semplicemente che le regole vengano violate. Significa qualcosa di più complesso: le organizzazioni iniziano progressivamente a produrre una normatività operativa parallela che si sviluppa accanto all’architettura formale e che finisce, nella pratica quotidiana, per sostituirla.

In tali contesti, la separazione tra architettura formale e funzionamento reale non rileva soltanto sotto il profilo della conformità, ma può tradursi in un indebolimento dei presidi di controllo interno e in una crescente esposizione a rischio operativo, nella misura in cui l’organizzazione perde la capacità di identificare, presidiare e governare i processi effettivamente utilizzati.

Nel caso esaminato dal Tribunale, il referente aziendale riceve le comunicazioni via WhatsApp, interagisce con la lavoratrice e organizza le sostituzioni.

Questo significa che il processo organizzativo reale si è già spostato fuori dall’architettura procedurale formalmente dichiarata.

La questione, allora, non riguarda più la singola violazione della procedura. Riguarda la progressiva perdita della capacità dell’organizzazione di produrre normatività effettiva attraverso i propri apparati procedurali.

Ed è qui che la compliance contemporanea mostra la propria trasformazione più radicale.

La conformità normativa non coincide più con la mera esistenza di regole astratte o documenti formalmente corretti. Coincide con la capacità dell’organizzazione di incorporare concretamente le regole nei propri processi operativi reali.

Quando questo allineamento si rompe, la vulnerabilità non è più soltanto normativa o tecnica. Diventa strutturalmente organizzativa.

Compliance sostanziale e responsabilità di contesto

Questo passaggio modifica radicalmente anche il modo in cui deve essere letto il rapporto tra compliance e responsabilità individuale.

Nel caso deciso dal Tribunale, la lavoratrice si muove all’interno di un ecosistema comunicativo già strutturato dall’organizzazione.

Non sceglie arbitrariamente un canale alternativo contro la volontà datoriale; utilizza uno strumento che il sistema relazionale dell’ente aveva già reso funzionalmente legittimo.

Pretendere, in una situazione simile, che sia il singolo lavoratore a percepire autonomamente l’inadeguatezza normativa della prassi organizzativa significa trasferire sull’individuo il costo del deficit di governance dell’organizzazione.

Ed è precisamente ciò che il modello europeo di protezione dei dati cerca di evitare.

Nei contesti tecnologicamente complessi, il rispetto della normativa non può dipendere dalla capacità dei singoli soggetti di orientarsi autonomamente all’interno di ambienti organizzativi opachi o contraddittori.

Per questa ragione, il GDPR attribuisce centralità alle misure organizzative,
alla progettazione dei processi, alla costruzione di assetti prevedibili e alla riduzione dell’ambiguità sistemica.

La compliance, allora, non coincide più con l’esistenza di una regola astratta. Coincide con la capacità dell’organizzazione di produrre condizioni operative tali da rendere fisiologico il comportamento conforme.

Quando un’organizzazione tollera canali paralleli, utilizza prassi difformi, lascia che i referenti operino fuori dalle procedure formalizzate o costruisce relazioni operative su strumenti non governati, non sta semplicemente violando una policy interna.

Sta progressivamente perdendo capacità di governo sui propri processi.

Shadow IT, pressione operativa e organizzazioni parallele

È qui che il tema incontra direttamente la cyber security contemporanea.

Perché oggi la sicurezza non riguarda più soltanto la protezione dell’infrastruttura tecnologica.

Riguarda la capacità dell’organizzazione di mantenere allineati processi, comportamenti, responsabilità, architetture decisionali, canali comunicativi e modelli normativi interni.

Quando questo allineamento si rompe, la vulnerabilità non è più soltanto tecnica. Diventa epistemica e organizzativa.

In questa prospettiva, anche il fenomeno dello shadow IT deve essere letto in maniera meno semplicistica rispetto alla tradizionale rappresentazione della “tecnologia non autorizzata”: parliamo di strumenti e pratiche parallele che possono essere adottati perché percepiti come più rapidi, immediati ed efficienti rispetto ai canali ufficiali.

Ed è precisamente questo il punto che merita attenzione.

Nella gran parte dei casi, infatti, lo shadow IT non nasce da una volontà elusiva o antagonistica rispetto all’organizzazione.

Nasce piuttosto dall’esigenza di mantenere tempestività decisionale,
continuità operativa e rapidità comunicativa dentro contesti organizzativi che spesso non riescono più a sostenere la velocità dei processi reali.

Le piattaforme di messaggistica istantanea vengono utilizzate perché consentono di coordinare sostituzioni in tempo reale, condividere informazioni operative immediate, gestire criticità improvvise, accelerare flussi autorizzativi o mantenere continuità nelle relazioni organizzative.

Il problema, allora, non è la “devianza” del singolo operatore, ma il fatto che l’infrastruttura procedurale ufficiale non riesca più, da sola, a sostenere la pressione operativa dell’organizzazione contemporanea.

E, quindi, il fenomeno smette di essere soltanto tecnologico perché quando i processi operativi reali trovano stabilmente la propria efficienza fuori dai canali formalmente previsti, significa che l’organizzazione sta progressivamente producendo una normatività parallela fondata sulla funzionalità concreta piuttosto che sulla governance formalmente dichiarata.

Una nuova questione all’orizzonte: la shadow AI

Una dinamica per certi versi analoga può essere osservata oggi anche nel fenomeno della shadow AI.

La shadow AI presenta una caratteristica che la distingue da molte delle tradizionali manifestazioni dello shadow IT.

Se quest’ultimo riguarda prevalentemente l’utilizzo di infrastrutture, applicazioni o canali comunicativi non formalmente autorizzati, la Shadow AI può incidere direttamente sui processi attraverso i quali vengono elaborate informazioni, formulate valutazioni e supportate decisioni operative.

Quando un lavoratore utilizza autonomamente strumenti di intelligenza artificiale generativa per redigere documenti, sintetizzare informazioni, predisporre report, elaborare analisi preliminari o supportare attività decisionali, l’organizzazione può continuare a vedere il risultato finale, senza avere piena consapevolezza del percorso che ha condotto alla sua formazione.

In questo senso, la shadow AI non genera soltanto processi tecnologici paralleli, ma può contribuire alla formazione di processi cognitivi paralleli. Determinate attività che formalmente dovrebbero svilupparsi attraverso procedure, controlli, verifiche e flussi organizzativi conosciuti possono progressivamente incorporare passaggi intermedi svolti attraverso sistemi di intelligenza artificiale che rimangono esterni alla rappresentazione ufficiale dei processi.

Il punto non riguarda necessariamente la qualità o l’utilità degli strumenti utilizzati.

Il problema emerge quando l’organizzazione non è più in grado di descrivere con sufficiente accuratezza come determinate informazioni vengano raccolte, elaborate, sintetizzate e trasformate in decisioni operative.

Shadow AI e governance organizzativa

Ed è proprio qui che il fenomeno della shadow AI incontra il tema centrale della governance organizzativa.

Così come nel caso esaminato dal Tribunale di Udine il processo reale di
comunicazione e gestione delle assenze si era progressivamente spostato fuori dai canali formalmente previsti, anche l’utilizzo diffuso e non governato di strumenti di intelligenza artificiale può determinare uno scostamento tra il processo formalmente rappresentato e quello concretamente esercitato.

La questione, dunque, non riguarda soltanto i rischi tradizionalmente associati alla protezione dei dati personali, alla riservatezza delle informazioni o alla sicurezza informatica.

Riguarda la capacità dell’organizzazione di mantenere visibilità sui processi effettivamente utilizzati per produrre conoscenza, formulare valutazioni e assumere decisioni.

In questa prospettiva, la Shadow AI può essere letta come una nuova manifestazione di quella più generale dinamica che caratterizza molte organizzazioni contemporanee: la progressiva separazione tra organizzazione dichiarata e organizzazione reale.

Il rischio di governance

Quando gli strumenti utilizzati quotidianamente per sostenere l’operatività non coincidono più con quelli rappresentati nei modelli organizzativi, nelle procedure e nei sistemi di controllo, il rischio non è soltanto tecnologico.

Diventa un rischio di governance, perché l’organizzazione perde progressivamente la capacità di rappresentare sé stessa attraverso i processi che dichiara di presidiare.

Il rischio, allora, non consiste semplicemente nell’utilizzo di strumenti non autorizzati. Consiste nel fatto che l’organizzazione continui formalmente a rappresentarsi attraverso un modello di controllo che non coincide più con le condizioni effettive attraverso cui i processi vengono realmente sostenuti.

Il ruolo delle funzioni di secondo e terzo livello

È precisamente qui che il ruolo delle funzioni di controllo assume una rilevanza decisiva.

Le funzioni di secondo livello – privacy office, compliance, risk management, cyber security governance e presidi analoghi – non possono limitarsi alla verifica astratta della conformità documentale.

Il loro compito reale consiste nel comprendere dove l’organizzazione abbia già iniziato a funzionare secondo logiche differenti rispetto a quelle formalmente dichiarate.

Pertanto, il punto non è verificare se una procedura esista, bensì è comprendere se quella procedura continui realmente a governare il processo oppure se il processo abbia ormai trovato altrove la propria fisiologia operativa.

Ed è qui che il rapporto tra secondo e terzo livello diventa particolarmente delicato.
Le funzioni di terzo livello non possono essere rappresentate come una sorta di presidio salvifico capace di correggere ex post ogni crisi organizzativa.

L’internal audit, infatti, arriva fisiologicamente dopo che determinati assetti operativi si sono già consolidati.

Il suo ruolo non consiste nel sostituirsi alla governance operativa o alle funzioni di controllo continuo, ma nel rendere osservabile ciò che l’organizzazione rischia progressivamente di non vedere più.

Nelle organizzazioni contemporanee, infatti, il problema non è soltanto la violazione della regola. È la progressiva perdita di coincidenza tra organizzazione dichiarata, organizzazione effettiva, rappresentazione del rischio e funzionamento reale dei processi.

Quando il terzo livello diventa importante

In questa prospettiva, il terzo livello diventa importante non perché “risolva” il problema, ma perché può produrre una lettura indipendente degli scostamenti tra modello formale e realtà operativa.

Tuttavia, questa lettura diventa realmente utile, solo se le funzioni di secondo livello riescono poi a trasformarla in revisione dei processi, riallineamento organizzativo e capacità concreta di riportare sotto governo le aree nelle quali la prassi ha progressivamente sostituito la procedura.

È precisamente questo il punto che emerge indirettamente anche dalla sentenza del Tribunale di Udine.

Se determinati strumenti informali vengono utilizzati quotidianamente dai referenti organizzativi, se i flussi operativi si sviluppano stabilmente fuori dai canali formalmente previsti e se tali modalità diventano parte ordinaria della fisiologia aziendale, il problema non può essere ridotto al comportamento del singolo operatore.

In questi casi, il vero tema diventa la capacità dell’organizzazione di riconoscere tempestivamente che il proprio modello operativo reale si è già spostato altrove rispetto alla rappresentazione formale che continua a fornire di sé stessa.

La centralità delle funzioni di secondo livello

Ed è proprio qui che le funzioni di secondo livello assumono un ruolo centrale: non soltanto nel presidio della compliance, ma nella capacità di impedire che la distanza tra organizzazione dichiarata e organizzazione reale diventi strutturalmente invisibile all’organizzazione stessa.

La “vera” lezione della sentenza

Ed è probabilmente proprio qui che si puòinterpretare la sentenza del Tribunale di Udine con valenza metagiuridica.

Non nella questione, importante, ma quasi secondaria per il nostro discorso, dell’utilizzo di WhatsApp, ma nell’aver mostrato come le organizzazioni contemporanee possano entrare in crisi nel momento in cui le loro procedure cessano di essere strutture effettivamente ordinanti e diventano invece semplici rappresentazioni formali di un ordine operativo ormai diverso.