IA in azienda: dal rischio tecnologico alla responsabilità penale
Diritto penale d’impresa · Compliance · Intelligenza artificiale Intelligenza artificiale e responsabilità 231: dal 30 settembre 2026 il rischio non è più solo tecnologico, è penale Per anni l’intelligenza artificiale in azienda è stata trattata come una questione di innovazione, privacy e cybersecurity. Dal 30 settembre 2026 diventa anche un tema di responsabilità penale d’impresa. Il decreto legislativo 9 settembre 2026, n. 160, pubblicato nella Gazzetta Ufficiale del 15 settembre 2026, porta infatti l’IA dentro il sistema della responsabilità amministrativa degli enti previsto dal d.lgs. 231/2001. Le imprese che sviluppano, producono o utilizzano sistemi di intelligenza artificiale devono quindi chiedersi se il loro impiego generi nuovi rischi di reato rilevanti ai fini della disciplina 231. Per capire la portata della novità occorre ricordare come funziona il sistema. L’ente risponde dei reati commessi, nel suo interesse o a suo vantaggio, da chi ricopre funzioni di rappresentanza, amministrazione o direzione, o da chi è sottoposto alla loro vigilanza. Il decreto non impone a tutte le imprese di adottare un Modello di organizzazione, gestione e controllo. Ma quando il Modello viene adottato, la sua efficacia preventiva ed eventualmente esimente dipende da due fattori: la concreta idoneità e l’effettiva attuazione. L’art. 6 richiede che individui le attività a rischio, preveda protocolli per la formazione e l’attuazione delle decisioni, disciplini la gestione delle risorse finanziarie, introduca obblighi informativi verso l’Organismo di Vigilanza e preveda un sistema disciplinare idoneo, oltre ai presidi in materia di whistleblowing. Il Modello non è quindi un documento statico. Presuppone un risk assessment calibrato sull’impresa reale e una verifica periodica della sua adeguatezza, affidata all’Organismo di Vigilanza. È su questo meccanismo che incide il nuovo art. 25-vicies, introdotto nel d.lgs. 231/2001 dall’art. 15 del d.lgs. 160/2026 e rubricato “Reati commessi con l’uso di sistemi di intelligenza artificiale”. La norma individua due reati-presupposto. Il primo è il nuovo art. 437-bis c.p., che riguarda l’omessa adozione delle misure di sicurezza nei sistemi di IA e la loro alterazione illecita, con sanzione pecuniaria per l’ente da 600 a 1.000 quote. Il secondo è l’art. 612-quater c.p., relativo all’illecita diffusione di contenuti generati o alterati con sistemi di IA, con sanzione da 200 a 700 quote. In entrambi i casi possono applicarsi anche le sanzioni interdittive di cui all’art. 9, comma 2, lettere b), c), d) ed e). Non nasce dunque una responsabilità generalizzata per qualsiasi illecito commesso con l’IA, ma due fattispecie specifiche, ora inserite nel catalogo 231. L’art. 437-bis c.p. è la disposizione più significativa per l’impresa. Riguarda i sistemi di IA ad alto rischio e punisce l’omissione delle misure tecniche di sicurezza relative a progettazione, addestramento, produzione o immissione sul mercato, quando l’omissione sia idonea a determinare il pericolo considerato dalla norma. Rilevano anche l’omessa sorveglianza umana e l’alterazione illecita dei sistemi. È prevista inoltre una fattispecie collegata alla colpa grave per le condotte omissive del primo comma, e una specifica previsione per l’utilizzatore professionale che ometta intenzionalmente la sorveglianza umana. Qui il rischio tecnologico incontra direttamente l’organizzazione aziendale. Una generica policy che autorizzi o vieti l’IA non basta più. Occorre sapere quali sistemi sono impiegati, per quali processi, da chi e con quali controlli. Chi autorizza l’introduzione di un sistema? Chi ne verifica la classificazione e il livello di rischio? Chi è responsabile della sorveglianza umana? Come si segnalano i malfunzionamenti? Le attività sono tracciabili? Quali informazioni devono arrivare all’Organismo di Vigilanza? Sono domande organizzative prima ancora che penali, e destinate a entrare nel risk assessment delle imprese più esposte. Il secondo fronte è quello dei deepfake. L’art. 612-quater c.p. non nasce con il decreto del 2026: è stato introdotto dalla legge 23 settembre 2025, n. 132. Punisce chi cagiona un danno ingiusto a una persona diffondendo, senza il suo consenso, immagini, video o voci falsificati o alterati con sistemi di IA e idonei a ingannare sulla loro genuinità. La novità del d.lgs. 160/2026 è averlo inserito tra i reati da cui può derivare la responsabilità dell’ente. Il tema riguarda soprattutto le realtà che usano l’IA generativa in comunicazione, marketing, pubblicità, social media e produzione audiovisiva. Anche qui l’uso di contenuti artificiali non determina di per sé la responsabilità dell’ente. Devono sussistere tutti gli elementi del reato e i criteri di imputazione previsti dal d.lgs. 231/2001. Ma la diffusione degli strumenti generativi rende prudente interrogarsi sulle procedure che governano produzione, approvazione e pubblicazione di questi contenuti. Occorre però evitare conclusioni troppo estensive. L’entrata in vigore dell’art. 25-vicies non obbliga ogni impresa a riscrivere il proprio Modello 231 dal 30 settembre. Il percorso corretto è verificare se, data l’attività svolta e le modalità concrete di impiego dell’IA, i nuovi reati-presupposto siano davvero pertinenti. Solo se il rischio emerge come concreto sarà necessario aggiornare la mappatura delle attività sensibili e valutare protocolli su acquisizione e utilizzo dei sistemi, sicurezza, soggetti autorizzati, sorveglianza umana, tracciabilità, gestione delle anomalie e flussi verso l’Organismo di Vigilanza. Potranno rilevare anche la formazione degli utilizzatori e l’adeguamento del sistema disciplinare. Non si tratta di adempimenti elencati dalla norma, ma della traduzione organizzativa dei principi già contenuti negli artt. 6 e seguenti del decreto. Per questo il primo passo non è aggiungere una nuova parte speciale al Modello, ma mappare l’uso reale dell’IA nei processi aziendali. Dal 30 settembre 2026 la domanda non sarà più se l’impresa usi l’intelligenza artificiale, ma come la usa, chi la controlla e quali presidi ha predisposto per prevenire un impiego o un funzionamento penalmente rilevante. Anche in questo ambito, l’effettività del sistema 231 dipenderà dalla capacità dell’ente di conoscere, governare e documentare il rischio. Avv. Giusy Costa Studio Legale TFC