Dal 30 settembre 2026 l’intelligenza artificiale entra espressamente nel sistema della responsabilità amministrativa degli enti. Il D.Lgs. 9 settembre 2026, n. 160, pubblicato nella Gazzetta Ufficiale n. 214 del 15 settembre 2026 in attuazione della delega contenuta nella Legge 23 settembre 2025, n. 132, ha inserito nel D.Lgs. 231/2001 il nuovo art. 25-vicies, rubricato «Reati commessi con l’uso di sistemi di intelligenza artificiale».
I due nuovi reati presupposto
Art. 437-bis c.p. – introdotto dallo stesso decreto, punisce l’omessa adozione delle misure tecniche di sicurezza o di sorveglianza umana previste per i sistemi di IA ad alto rischio, quando ne derivi un pericolo per la vita o per l’incolumità pubblica o individuale. È punita anche l’alterazione illecita di tali sistemi, e le stesse pene si estendono all’utilizzatore professionale che ometta intenzionalmente la sorveglianza umana. Se il fatto è commesso per colpa grave la pena è ridotta.
Art. 612-quater c.p. – l’illecita diffusione di contenuti generati o alterati con sistemi di IA (i cosiddetti deepfake), già introdotta dalla Legge 132/2025 e in vigore dal 10 ottobre 2025, diventa ora anch’essa reato presupposto.
Le sanzioni per l’ente
- da 600 a 1.000 quote per il delitto di cui all’art. 437-bis c.p.;
- da 200 a 700 quote per il delitto di cui all’art. 612-quater c.p.;
- le sanzioni interdittive dell’art. 9, comma 2, lett. b)–e): sospensione o revoca di autorizzazioni e licenze, divieto di contrattare con la P.A., esclusione da agevolazioni e finanziamenti, divieto di pubblicizzare beni o servizi.
La responsabilità non è automatica: restano necessari l’interesse o il vantaggio dell’ente e la valutazione dell’idoneità del modello organizzativo. Si pensi, ad esempio, a un contenuto alterato con l’IA diffuso nell’ambito di una campagna promozionale, o a un sistema ad alto rischio impiegato in produzione senza i presidi di sorveglianza richiesti.
Va considerato che la nozione di «sistema ad alto rischio» rinvia al Regolamento (UE) 2024/1689 (AI Act), i cui obblighi per tali sistemi sono stati in parte differiti a livello europeo: un elemento che rende ancora più importante documentare le valutazioni compiute dall’impresa.
Cosa fare adesso
- Censire i sistemi di IA effettivamente utilizzati, comprese le funzioni integrate nei software già in uso;
- classificarli per livello di rischio con una valutazione scritta, datata e motivata;
- assegnare la sorveglianza umana a persone individuate, formate e dotate dei poteri necessari;
- adottare una policy sui contenuti generati con l’IA, in particolare per comunicazione e marketing;
- prevedere flussi informativi verso l’OdV e clausole contrattuali con i fornitori dei sistemi;
- aggiornare il Modello 231, con una parte speciale dedicata e la relativa formazione.
Un elenco di nuove fattispecie allegato al modello non basta: occorre che i presidi riflettano il modo in cui l’azienda utilizza davvero l’intelligenza artificiale. Contattaci per una verifica del tuo Modello 231 alla luce delle nuove norme.
Rispondi