SETTEMBRE 2026
L’intelligenza artificiale non è più soltanto una tecnologia da conoscere e utilizzare. Diventa anche un tema di responsabilità, controllo e organizzazione. È questa la direzione delle nuove norme approvate dal Consiglio dei ministri il 4 agosto 2026, in esame definitivo, nell’ambito dei provvedimenti di adeguamento dell’ordinamento italiano all’AI Act europeo, il Regolamento UE 2024/1689. Tra le novità più rilevanti vi è l’introduzione di nuove fattispecie penali connesse all’utilizzo dei sistemi di intelligenza artificiale e il loro inserimento, in alcuni casi, nel sistema della responsabilità amministrativa degli enti previsto dal D.Lgs. 231/2001.
Tra le principali novità figura il nuovo articolo 437-bis del Codice penale, dedicato alla mancata adozione di misure di sicurezza e all’alterazione illecita dei sistemi di intelligenza artificiale ad alto rischio. La norma, tuttavia, non trasforma in reato ogni violazione delle disposizioni sull’intelligenza artificiale. La tutela penale interviene nelle ipotesi più gravi, quando le condotte previste dalla legge determinano un concreto pericolo per beni di particolare rilevanza, come la vita e l’incolumità delle persone o la sicurezza dello Stato. È questo il punto centrale per comprendere la ratio della normativa. Il legislatore non intende criminalizzare l’intelligenza artificiale, ma rafforzare la prevenzione nei settori in cui il suo utilizzo può produrre conseguenze particolarmente gravi. La logica è quindi quella di intervenire prima che il danno si verifichi, imponendo che sistemi potenzialmente pericolosi siano accompagnati da adeguate misure tecniche, di sicurezza e, quando necessario, di sorveglianza umana. L’intelligenza artificiale, dunque, non viene considerata come qualcosa di autonomo e separato da chi la utilizza. Dietro il funzionamento di un sistema vi sono decisioni umane e organizzative: qualcuno sceglie la tecnologia, ne definisce le modalità di utilizzo e deve predisporre i controlli necessari.
La seconda grande novità riguarda le imprese e gli enti. Con l’introduzione del nuovo articolo 25-vicies nel D.Lgs. 231/2001, alcuni reati connessi all’utilizzo dell’intelligenza artificiale entrano nel catalogo dei reati presupposto della responsabilità amministrativa degli enti. Il significato della scelta è evidente. Quando l’intelligenza artificiale viene integrata stabilmente nei processi aziendali, eventuali carenze non possono essere valutate soltanto con riferimento alla condotta del singolo dipendente o dirigente.
L’utilizzo dell’IA è infatti il risultato di scelte organizzative che riguardano, ad esempio, la selezione dei sistemi, la gestione dei fornitori, la distribuzione delle responsabilità, la formazione del personale e la predisposizione dei controlli. La questione, quindi, non è soltanto chi abbia materialmente utilizzato un determinato sistema, ma anche se l’organizzazione abbia predisposto un assetto adeguato a governarne i rischi. È questa la vera ragione dell’ingresso dell’intelligenza artificiale nel sistema 231: spostare l’attenzione dal solo comportamento del singolo alla capacità dell’ente di prevenire e controllare i rischi connessi all’utilizzo della tecnologia.
È però necessario evitare un equivoco. Le nuove norme non significano che ogni impresa che utilizza strumenti di intelligenza artificiale sia automaticamente esposta a responsabilità penali o al rischio di sanzioni ai sensi del Decreto 231. Il sistema normativo distingue tra diverse tipologie di IA e attribuisce particolare rilievo alle applicazioni che presentano livelli di rischio più elevati. La nuova fattispecie penale è infatti collegata ai sistemi di intelligenza artificiale ad alto rischio e richiede la presenza dei presupposti previsti dalla norma. Questo non significa che le imprese possano ignorare il tema. Il primo passo dovrebbe essere comprendere quali sistemi di IA vengono utilizzati all’interno dell’organizzazione, in quali processi e con quali possibili conseguenze. Da questa valutazione può emergere la necessità di introdurre procedure interne, individuare responsabilità, definire forme di controllo e, nei casi più rilevanti, aggiornare la mappatura dei rischi e il Modello 231.
La vera novità è che l’intelligenza artificiale non può più essere considerata esclusivamente una materia tecnica. La sua adozione coinvolge anche gli amministratori, i responsabili della compliance, gli Organismi di Vigilanza e, più in generale, tutti coloro che partecipano ai sistemi di controllo interno. La domanda, per le imprese, non è più soltanto se una determinata tecnologia possa migliorare l’efficienza o ridurre i costi. Diventa necessario chiedersi anche se l’organizzazione sia in grado di governarne l’utilizzo e i relativi rischi.
L’obiettivo non è ostacolare l’innovazione, ma fare in modo che l’innovazione sia accompagnata da adeguati strumenti di controllo e responsabilità. L’intelligenza artificiale può essere utilizzata per svolgere attività sempre più complesse, ma la responsabilità delle scelte sulla sua adozione e sul suo controllo continua a essere umana e organizzativa. Infine, non va trascurato il profilo sanzionatorio. L’inserimento di questi reati nel sistema 231 espone l’ente, nei casi previsti dalla legge, a sanzioni pecuniarie e anche a sanzioni interdittive, che possono incidere concretamente sull’attività dell’impresa, arrivando fino al divieto di contrattare con la Pubblica amministrazione, all’esclusione da agevolazioni e finanziamenti e, nei casi più gravi, all’interdizione dall’esercizio dell’attività. Per le imprese il messaggio è chiaro: l’intelligenza artificiale non è più soltanto uno strumento tecnologico da adottare. Può diventare, in determinate circostanze, un fattore di rischio che deve essere conosciuto, valutato e governato.
Michele La Francesca
avvocato
