A oltre un mese dall’entrata in vigore del D. Lgs. 160/2026 (30 settembre 2026), le imprese sono chiamate a verificare l’adeguatezza dei propri presidi organizzativi rispetto ai nuovi rischi connessi all’intelligenza artificiale.
L’introduzione dell’art. 25-vicies nel D. Lgs. 231/2001, con riferimento ai reati di cui agli artt. 437-bis e 612-quater c.p., estende infatti la responsabilità dell’ente sia ai rischi legati alla sicurezza e all’alterazione illecita dei sistemi di IA, sia a quelli derivanti dalla diffusione illecita di contenuti generati o modificati artificialmente.
Occorre precisare che, con l’inserimento di tali nuove fattispecie nel catalogo 231, il legislatore non ha trasformato ogni violazione tecnica dell’AI Act in illecito 231, ma ha voluto spostare l’attenzione sulla capacità dell’impresa di presidiare processi nei quali la tecnologia non è più neutra, perché incide su sicurezza, persone, reputazione, comunicazione e decisioni.
1. Il vero spartiacque: dall’adozione dell’IA alla prova della sua gestione effettiva
L’AI Act disciplina i sistemi di intelligenza artificiale secondo una logica di classificazione del rischio, mentre il D. Lgs. 231/2001 si concentra sulla responsabilità dell’ente e sull’adeguatezza della sua organizzazione. Per le imprese, quindi, non è sufficiente verificare la conformità tecnica dei sistemi utilizzati: occorre anche garantire una chiara attribuzione delle responsabilità, definendo chi approva, controlla e può intervenire sul loro funzionamento.
In questo quadro, i due reati introdotti dal nuovo art. 25-vicies individuano ambiti di rischio distinti, ma accomunati dalla necessità di un effettivo presidio organizzativo.
L’art. 437-bis c.p. riguarda le carenze nelle misure di sicurezza e l’alterazione illecita dei sistemi di IA ad alto rischio, quando ne derivi un pericolo per la vita, l’incolumità o la sicurezza dello Stato.
L’art. 612-quater c.p. concerne invece la diffusione non consensuale di contenuti generati o alterati artificialmente, idonei a ingannare sulla loro autenticità e produttivi di un danno ingiusto. Quest’ultima fattispecie assume particolare rilevanza nei processi aziendali di comunicazione, marketing e gestione delle risorse umane.
In entrambi i casi, il cuore della questione è lo stesso: non la mera esistenza dello strumento, ma la perdita di controllo sul suo impiego.
2. Il rischio 231 nasce dove il controllo è solo apparente
La supervisione umana (human oversight) non può ridursi a un adempimento formale, ma deve tradursi in un controllo effettivo sui processi e sui risultati dell’IA.
Il profilo assume particolare rilievo rispetto agli artt. 437-bis e 612-quater c.p.: nel primo caso, le carenze gravi nella gestione della sicurezza, nella verifica delle anomalie e nella rivalidazione delle modifiche tecniche possono esporre l’ente a responsabilità; nel secondo, la diffusione di contenuti sintetici senza adeguati controlli sul consenso, sulla loro capacità ingannatoria e sulle conseguenze lesive, può generare rischi anche per l’impresa.
Ne consegue che la prevenzione non può limitarsi a procedure e autorizzazioni formali, ma deve assicurare controlli sostanziali, processi autorizzativi efficaci e costante monitoraggio dei fornitori e degli altri soggetti esterni coinvolti nelle attività aziendali.
3. La vera compliance non è una policy in più, ma un processo che lascia traccia
In prospettiva 231, la sfida non consiste nell’aggiungere nuove policy o moltiplicare i documenti, ma nel rendere effettivi e verificabili i presidi adottati per governare i rischi legati all’intelligenza artificiale. L’aggiornamento del Modello deve quindi partire dai sistemi realmente utilizzati e dai processi aziendali sui quali incidono, individuando i rischi specifici, definendo responsabilità e controlli e disciplinando la gestione delle anomalie e dei rapporti con i fornitori.
Procedure, autorizzazioni, log e flussi informativi diventano così strumenti per dimostrare non solo l’esistenza, ma anche il concreto funzionamento del sistema di prevenzione.
La compliance in materia di IA deve, pertanto, integrarsi nei normali processi di controllo interno, procurement e audit, nonché nei flussi verso l’Organismo di Vigilanza, secondo un approccio mirato e coerente con il quadro normativo nazionale ed europeo.
4. Il primo mese consegna già una lezione di metodo
Dopo un mese dall’entrata in vigore dei nuovi reati, la lezione più chiara è che il problema non sarà la “macchina” in sé. Sarà, come spesso accade nel sistema 231, ciò che l’impresa avrà saputo costruire attorno alla macchina: responsabilità, regole, limiti, controlli, evidenze.
La riforma non impone alle imprese di rinunciare all’intelligenza artificiale, ma di governarla come un concreto fattore di rischio organizzativo.
Alla luce di ciò, per verificare la tenuta del proprio Modello 231 rispetto al nuovo art. 25-vicies, è opportuno effettuare i passaggi di seguito elencati.
Mappatura dell’uso reale: censimento dei sistemi IA effettivamente utilizzati (inclusa la shadow AI) e qualificazione del rischio nei processi sensibili.
Catena delle responsabilità: individuazione formale dei process owner e dei soggetti incaricati della supervisione umana.
Effettività della human oversight: verifica che i supervisori abbiano competenze, informazioni e poteri reali di intervento e arresto.
Contratti con i fornitori: verifica e aggiornamento dei contratti con i fornitori di sistemi di IA, tracciabilità delle modifiche apportate ai software, adeguate garanzie di sicurezza, procedure di segnalazione e gestione degli incidenti.
Presidio sui contenuti sintetici: adozione di procedure di verifica dei consensi e approvazione preventiva per i materiali generati con IA.
Flussi informativi e segnalazioni: aggiornamento dei flussi verso l’OdV (registri di anomalie e modifiche) e allineamento delle procedure di whistleblowing.
La vera sfida, dunque, non consiste nell’adottare l’innovazione, ma nel dimostrare di saperla governare attraverso un sistema organizzativo efficace, verificabile e coerente con i nuovi rischi.
