Legge italiana sull’AI, tutti i profili penali: ecco cosa cambia

Dopo l’introduzione da parte del legislatore europeo dell’AI ACT (Regolamento UE 2024/1689), l’Italia, tramite la Legge sull’AI numero 132/2025, pubblicata sulla Gazzetta Ufficiale il 25 settembre 2025 e in vigore il 10 ottobre 2025, si è imposta di disciplinare le implicazioni penalistiche di queste tecnologie attraverso l’introduzione di nuovi reati e aggravanti specifiche (come il nuovo reato di deepfake, ndr).

Chiaramente ci troviamo di fronte al primo tentativo dal parte del nostro legislatore di inquadrare un fenomeno giuridico in completa evoluzione in cui i dogmi ed i principi sui quali si basa il nostro sistema penale vengono messi a dura prova dall’avvento dell’IA, i cui sistemi ed il loro modus operandi non sono di certo qualificabili alla stessa stregua dell’agire di un essere umano.

Sotto questo profilo, la predetta legge, ha cercato di correre ai ripari introducendo con l’articolo 26 nuove fattispecie di reato con l’AI e nuove circostanze aggravanti che saranno oggetto di disamina nei paragrafi successivi.

Legge AI, i profili penali del deepfake

Il legislatore nazionale con la L. n °132/2025 ha, in primis, introdotto il reato di illecita diffusione di contenuti generati o manipolati con sistemi di intelligenza artificiale (art.612 quater c.p.). Tale norma punisce la diffusione di contenuti falsificati (immagini, video e voci) idonei a causare un danno ingiusto, tramite sistemi di IA, che siano, ex eis, idonei a indurre in inganno sulla loro genuinità.

Il legislatore ha previsto che il delitto de quo di norma è procedibile a querela della persona offesa, vale a dire che è la vittima stessa a dover valutare l’opportunità di azionare la pretesa punitiva di cui all’art 612 quater c.p.

Il reato è invece procedibile d’ufficio solo in due casi:

1. qualora il fatto sia connesso con un altro delitto procedibile d’ufficio;
2. se commesso nei confronti di persona incapace per età o infermità o di una pubblica autorità a causa delle funzioni esercitate.

La predetta norma così come formulata, presenta tuttavia una lacuna oggettivamente evidente giacché la stessa, in determinate situazioni, potrebbe non essere in grado di garantire una tutela efficace della persona offesa.

Ciò si verifica nel caso in cui la vittima, pur non essendo inferma o minorenne, si trovi in una posizione di debolezza o soggezione tali da non essere in condizione di poter azionare la tutela normativa.

Il nodo del dolo specifico

Altro punto critico da porre in risalto afferisce al profilo riguardante l’elemento soggettivo del reato, ossia il dolo specifico.

La norma con l’incipit “chiunque cagiona un danno ingiusto” prevede infatti che chi compie il reato debba perseguire uno scopo ulteriore vale a dire creare uno specifico e diretto nocumento alla persona offesa.

Tale scelta se da un lato vorrebbe tendere a circoscrivere l’ambito di applicazione della norma, da un punto di vista meramente pratico solleva una qualche perplessità in quanto la previsione di un dolo specifico potrebbe non consentire un’agevole interpretazione di quali condotte potrebbero essere punibili o meno.

Un ulteriore elemento di criticità è rappresentato dal concetto di “idoneità” dei sistemi di IA allo scopo di trarre in inganno la persona offesa. Attualmente non esiste, infatti, una definizione chiara ed esplicita di tale nozione.

In ultimo ritengo di evidenziare un altro punto delicato, ossia che allo stato dei fatti il reato di cui all’art. 612-quater c.p. non risulterebbe essere incluso nel novero dei reati presupposto della responsabilità degli Enti ai sensi del D.Lgs 231/2001; il che comporterebbe un vuoto normativo evidente dato che potrebbero verificarsi situazioni di sabotaggio in cui potrebbero essere coinvolte delle imprese.

Alcuni esempi atti a dimostrare la lacuna normativa de qua possono riguardare:

1. la diffusione di un video generato con l’IA in cui l’amministratore delegato di una società quotata annuncia un’inesistente situazione di profit warning,vale a dire comunica che i risultati finanziari della società saranno inferiori alle previsioni del mercato, al solo fine di provocare un crollo del titolo e consentire operazioni speculative al ribasso.
2. la diffusione da parte di un Ente al fine di sabotare la reputazione di un’impresa concorrente di un audio non vero generato con l’IA di una conversazione in cui i vertici della sua diretta concorrente sembrano commettere pratiche illegali.

Si auspica quindi che in breve tempo il legislatore provveda a chiarire meglio determinati concetti e a colmare le lacune ad oggi evidenziate.

L’aggravante dell’uso di un sistema di AI

Il legislatore con la Legge sull’AI ha altresì introdotto all’art. 61, n. 11-decies c.p. una circostanza aggravante comune, ossia un aumento di pena nel caso in cui l’uso di un sistema di IA costituisca un mezzo insidioso per facilitare il compimento di un reato, ostacolare la difesa o aggravare le sue conseguenze.

In poche parole ed in buona sostanza, con detta norma viene riconosciuta l’oggettiva pericolosità dell’intelligenza artificiale allorquando la medesima viene utilizzata come amplificatore d’offesa. Ne consegue che l’inasprimento della pena nei casi di impiego di sistemi di IA verrebbe subordinato alla valutazione dell’impatto che tali sistemi avrebbero nel compimento di un reato, ossia se possono essere considerati mezzi insidiosi, se sono idonei ad ostacolare la difesa o se hanno contribuito ad aggravare le conseguenze di un reato.

La predetta aggravante si estende anche ai reati commessi mediante i c.d. sistemi intelligenti, con effetti diretti sulla disciplina della responsabilità degli enti ai sensi del D.Lgs numero 231/2001 ed impone alle imprese un aggiornamento sostanziale dei propri Modelli di Organizzazione, Gestione e Controllo (MOG).

Cio significa che gli enti da ora in avanti dovranno individuare i processi automatizzati critici, documentare le logiche algoritmiche utilizzate, procedere all’implemento di adeguate misure di contenimento ed avranno anche l’obbligo di formare costantemente il proprio personale e di adottare standard certificabili per una gestione responsabile dell’intelligenza artificiale.

Tale compito dovrà essere affiancato da disposizioni legislative atte a fornire agli enti delle linee guida che attualmente mancano, solo così si può cercare di prevenire il compimento di certi reati e garantire un uso corretto dei sistemi di IA.

Diritto d’autore e legge italiana sull’AI

La L. numero 132/2025 interviene, altresì, anche in materia di diritto d’autore ed in primis rendendo esplicito ciò che la giurisprudenza aveva già delineato negli ultimi anni, ossia il riconoscimento della protezione di opere create con l’ausilio dell’IA purché queste ultime si configurino quale risultato del lavoro intellettualedell’autore.

L’art.25 della predetta legge riformula infatti l’art.1 della L.633/1941 disponendo che “Sono protette ai sensi di questa legge le opere dell’ingegno umano di carattere creativo che appartengono alla letteratura, alla musica, alle arti figurative, all’architettura, al teatro ed alla cinematografia, qualunque ne sia il modo o la forma di espressione, anche laddove create con l’ausilio di strumenti di intelligenza artificiale, purché costituenti risultato del lavoro intellettuale dell’autore.”

Una volta specificata l’apertura alla tutela di opere realizzate con l’ausilio dell’IA, il nostro legislatore con l’art.26 si occupa di introdurre all’art 171 L n° 633/1941 la lettera a-ter, con cui punisce la riproduzione o l’estrazione di testi o dati in violazione delle nuove norme sul text and data mining (TMD).

Ciò significa che i sistemi di IA non possono estrapolare indiscriminatamente dati protetti da copyright per il loro addestramento o per generare nuovi contenuti ma dovranno verificare la legittimità dell’accesso, nel rispetto delle eventuali scelte di opt-out espresse dai titolari dei diritti. Essi dovranno essere configurati per poter accedere solo a fonti con licenze che consentono il TDM, rispettando i termini e le condizioni d’uso dei siti web.

Le deleghe al Governo

Il legislatore con l’art. 24 della L. n°132/2025 conferisce un’ampia delega al Governo per “adeguare e specificare la disciplina dei casi di realizzazione e di impiego illeciti di sistemi di intelligenza artificiale”.

Quest’ultimo verrebbe delegato a mente dell’art. 24 comma 5 della prefata legge a:

1. prevedere strumenti anche di natura cautelare finalizzati a inibire la diffusione e a rimuovere contenuti generati illecitamente anche con sistemi di intelligenza artificiale, assistiti da un sistema di sanzioni effettive, proporzionate e dissuasive;
2. introdurre autonome fattispecie di reato, anche colpose, per l’omessa adozione di misure di sicurezza punite a titolo di dolo o di colpa, incentrate sull’omessa adozione o sull’omesso adeguamento di misure di sicurezza per la produzione, la messa in circolazione e l’utilizzo professionale di sistemi di intelligenza artificiale, quando da tali omissioni deriva pericolo concreto per la vita o l’incolumità pubblica o individuale o per la sicurezza dello Stato.
3. precisare i criteri di imputazione della responsabilità penale delle persone fisiche e amministrativa degli enti, tenendo conto del “livello effettivo di controllo dei sistemi” da parte dell’agente;
4. prevedere nei casi di responsabilità civile, strumenti di tutela del danneggiato, anche attraverso una specifica regolamentazione dei criteri di ripartizione dell’onere della prova, tenuto conto della classificazione dei sistemi di intelligenza artificiale e dei relativi obblighi così come individuati dal Regolamento (UE) 2024/1689;
5. regolare l’utilizzo dell’IA nelle indagini preliminari al rispetto del diritto di difesa e dei dati personali dei terzi, nonché dei principi di proporzionalità, di non discriminazione e trasparenza;
6. modificare la normativa sostanziale e processuale vigente a fini di coordinamento ai principi e ai criteri enunciati nelle lettere a), b), c), d) ed e).

La delega conferita al Governo dalla L. numero 132/2025 appare molto ampia e forse per certi versi anche oggettivamente eccessiva visto e considerato che quest’ultimo sarà chiamato ad affrontare e a dirimere nodi dogmatici centrali di un certo rilievo, per i quali occorrono senza ombra di dubbio approfondimenti continui ed analisi specifiche molto dettagliate.

Il futuro dei profili penali della legge sull’AI

A questo punto non resta che aspettare le prossime mosse del Governo per vedere se il medesimo sarà in grado di gestire con una certa sicurezza quest’arduo compito.

La Legge sull’Intelligenza Artificiale rappresenta il primo tentativo a livello nazionale di disciplinare un fenomeno tecnologico che produce oggettive ripercussioni anche sotto il profilo penalistico. L’intento del legislatore è stato infatti quello di stare al passo coi tempi, approntando delle novità normative all’interno del nostro sistema.

Tuttavia non deve essere considerata un punto d’arrivo, bensì un punto di partenza rispetto al quale in futuro andranno corretti profili di criticità come lo strumento della delega legislativa che rimette a un momento successivo la definizione di aspetti cruciali della materia bypassando l’iter legislativo ordinario, il che se da un alto riduce i tempi di intervento, dall’altro può portare ad interventi superficiali e poco approfonditi.

Alla luce di quanto sopra sarebbe infatti auspicabile un intervento più attento a qualificare la reale portata offensiva dei fenomeni scaturenti dall’impiego dell’IA, attraverso un’opera di tipizzazione delle fattispecie di reato molto più chiara e rigorosa. Tale compito è sicuramente arduo, dato che per poter procedere alla qualificazione di cosa rientri o meno nel novero delle condotte imputabili come reato e/o costituenti aggravanti occorre comprendere a fondo le implicazioni tecniche e operative dell’IA.

In un futuro molto ravvicinato il punto sul quale dovrà porre maggiore attenzione il legislatore è proprio un costante affinamento delle categorie normative e dogmatiche a fronte del moto perpetuo a cui è soggetto il progresso tecnologico.