Dall’analisi dei dati alla gestione dei clienti, dalla cybersecurity alla produzione di contenuti, le imprese ricorrono con crescente frequenza a sistemi intelligenti per supportare o automatizzare attività tradizionalmente affidate all’uomo.
Questa evoluzione comporta indubbi vantaggi in termini di efficienza, rapidità e capacità predittiva, ma introduce anche nuove aree di rischio che impongono una riflessione sull’adeguatezza degli attuali modelli di governance e controllo.
In tale scenario, il tema del rapporto tra intelligenza artificiale e responsabilità amministrativa degli enti ai sensi del D.Lgs. 231/2001 assume una rilevanza strategica. Se è vero che un algoritmo non può essere considerato soggetto di diritto e non può quindi rispondere penalmente delle proprie “decisioni”, è altrettanto vero che l’utilizzo di sistemi di IA può incidere profondamente sulle modalità attraverso cui si realizzano comportamenti illeciti all’interno dell’organizzazione.
La questione centrale non è quindi stabilire se l’intelligenza artificiale possa commettere un reato, bensì verificare se l’organizzazione abbia predisposto adeguati presidi per prevenirne un utilizzo improprio.
Indice degli argomenti
Modello 231 e intelligenza artificiale nella prevenzione del rischio
L’aspetto più interessante del rapporto tra AI Act e D.Lgs. 231/2001 è rappresentato dalla comune impostazione preventiva e predittiva che caratterizza entrambe le discipline: la prevenzione del rischio attraverso l’organizzazione aziendale.
Il Modello 231 mira a prevenire la commissione di reati attraverso procedure, controlli e sistemi di vigilanza. Analogamente, l’AI Act impone ai soggetti coinvolti nello sviluppo e nell’utilizzo dei sistemi di intelligenza artificiale l’adozione di misure tecniche e organizzative idonee a gestire i rischi derivanti dalla tecnologia.
Entrambi gli strumenti normativi si fondano sulla medesima idea: il rischio non può essere eliminato, ma deve essere individuato, valutato e governato mediante adeguati assetti organizzativi. Insomma, va gestito.
In questa prospettiva, l’intelligenza artificiale non può essere considerata una questione esclusivamente tecnologica, ma diviene a pieno titolo un tema di compliance e governance aziendale. L’AI Act, infatti, non si limita a disciplinare gli aspetti tecnologici dei sistemi di IA, ma introduce un vero e proprio sistema di governance fondato sulla gestione del rischio.
I rischi dell’IA per la responsabilità degli enti
L’impiego di sistemi di IA può incidere su diverse aree di rischio già rilevanti ai fini del D.Lgs. 231/2001.
Un primo ambito riguarda la protezione dei dati personali. Molti sistemi di IA richiedono l’elaborazione di ingenti quantitativi di dati, con possibili criticità in termini di liceità del trattamento, trasparenza e minimizzazione.
Ulteriori rischi possono emergere nell’ambito dei reati informatici. L’utilizzo improprio dell’intelligenza artificiale può agevolare attività di accesso abusivo a sistemi informatici, manipolazione di dati, falsificazione di documenti digitali o realizzazione di attacchi cyber particolarmente sofisticati a vantaggio dell’ente.
Particolare attenzione merita inoltre l’impiego di strumenti di IA generativa per la produzione di contenuti, documentazione o materiale informativo. Errori, alterazioni, informazioni ingannevoli o utilizzi non autorizzati di contenuti protetti potrebbero determinare rilevanti conseguenze giuridiche e reputazionali per l’impresa.
L’intelligenza artificiale, pertanto, non introduce soltanto nuovi rischi, ma modifica profondamente le modalità attraverso cui possono essere commessi reati già conosciuti dal sistema 231.
Nuovi reati presupposto per il Modello 231
La novità più significativa è rappresentata dall’ingresso dell’intelligenza artificiale nel catalogo dei reati presupposto della responsabilità degli enti.
In attuazione della legge delega n. 132/2025 e nel quadro dell’adeguamento nazionale all’AI Act, lo scorso 10 giugno il Consiglio dei Ministri ha approvato uno schema di decreto legislativo che introduce nuovi reati presupposto della responsabilità amministrativa degli enti dettata dal D.Lgs. 231/2001. Nello specifico il legislatore ha previsto l’introduzione del nuovo art. 25-vicies del D.Lgs. 231/2001, dedicato ai reati commessi con l’utilizzo di sistemi di intelligenza artificiale.
La disposizione ricomprende due fattispecie particolarmente rilevanti che presentano una struttura e una ratio profondamente differenti, con conseguenti ricadute eterogenee sul piano della compliance aziendale e dell’adeguamento dei modelli di organizzazione, gestione e controllo.
Sistemi di IA ad alto rischio e misure di sicurezza
La prima è rappresentata dal nuovo art. 437-bis c.p., relativo all’omessa adozione di misure di sicurezza nei sistemi di IA ad alto rischio e alla loro alterazione illecita. Si tratta di una fattispecie costruita quale reato di pericolo concreto, che limita la rilevanza penale ai casi in cui l’inosservanza delle misure di sicurezza sia idonea a porre in pericolo beni giuridici di primaria importanza.
Deepfake e contenuti generati o alterati
La seconda è l’art. 612-quater c.p., concernente la diffusione illecita di contenuti generati o alterati mediante sistemi di intelligenza artificiale, fenomeno comunemente associato ai cosiddetti deepfake.
Le due fattispecie presentano caratteristiche differenti. Mentre il nuovo art. 437-bis c.p. riguarda esclusivamente i sistemi di IA qualificati come “ad alto rischio”, l’art. 612-quater c.p. ha una portata potenzialmente più ampia e può coinvolgere numerose imprese che utilizzano strumenti di IA generativa nei processi di comunicazione, marketing o produzione di contenuti.
Come aggiornare la mappatura dei rischi 231 per l’IA
Alla luce di tali sviluppi, l’aggiornamento della mappatura dei rischi 231 appare ormai imprescindibile.
Molti modelli organizzativi attualmente in uso sono stati elaborati quando l’intelligenza artificiale non rivestiva ancora un ruolo centrale nei processi aziendali. Di conseguenza, le nuove aree di rischio potrebbero non risultare adeguatamente presidiate.
Processi, controlli e supervisione umana
Tra gli aspetti che le imprese dovrebbero considerare assumono particolare rilievo:
- l’identificazione dei processi che utilizzano sistemi di IA;
- l’individuazione dei rischi correlati all’impiego di tali strumenti;
- la definizione di procedure autorizzative e di controllo;
- la supervisione umana dei processi automatizzati;
- la tracciabilità delle attività svolte dagli algoritmi;
- la documentazione delle verifiche e degli interventi effettuati.
Tracciabilità e prova dell’efficacia dei presidi
Particolarmente rilevante e pilastro dell’AI Act è il principio della “human oversight”, espressamente valorizzato dall’AI Act. L’impresa non può delegare integralmente alle macchine decisioni che richiedono valutazioni umane, ma deve garantire un adeguato livello di controllo sulle attività svolte dai sistemi intelligenti.
La documentazione tecnica e la tracciabilità delle attività svolte da sistemi intelligenti assumono, inoltre, un ruolo fondamentale sotto il profilo probatorio, consentendo all’ente di dimostrare l’esistenza e l’effettiva attuazione dei presidi organizzativi adottati.
Dall’integrazione con il Modello 231 a un “AI Compliance Model”
L’esperienza con il D.Lgs. 231/2001 insegna che la compliance efficace non coincide con la mera produzione di documenti. Un modello organizzativo è realmente efficace solo quando riesce a permeare la cultura aziendale e a orientare i comportamenti quotidiani delle persone che operano all’interno di una determinata organizzazione.
Lo stesso principio vale oggi per l’intelligenza artificiale.
Le imprese più lungimiranti stanno progressivamente adottando policy dedicate all’utilizzo dell’IA, procedure di autorizzazione dei sistemi, registri degli strumenti utilizzati, audit periodici sugli algoritmi, programmi di formazione specifica e controlli periodici sulle applicazioni impiegate e relativi fornitori.
Si delinea così una nuova frontiera della compliance: l’integrazione tra Modello 231, governance dei dati, cybersecurity, privacy e regolamentazione dell’intelligenza artificiale.
Modello 231 e IA verso una governance aziendale verificabile
L’intelligenza artificiale non sostituisce la responsabilità dell’impresa. Al contrario, rende ancora più centrale il tema della governance organizzativa e della gestione del rischio.
L’evoluzione normativa dimostra come l’attenzione del legislatore si stia progressivamente spostando dalla mera tecnologia alle modalità con cui essa viene governata all’interno delle organizzazioni.
In questo contesto il Modello 231 si conferma uno strumento estremamente attuale, capace di integrare i nuovi rischi derivanti dall’utilizzo dell’intelligenza artificiale all’interno di un sistema strutturato di prevenzione e controllo.
La vera sfida per le imprese non sarà decidere se utilizzare l’IA, ma comprendere come governarla. Il punto determinante non sarà stabilire se l’IA possa essere responsabile di un illecito, bensì verificare se l’organizzazione abbia predisposto tutti i presidi necessari affinché l’intelligenza artificiale resti uno strumento sotto il controllo dell’uomo e non un fattore di amplificazione del rischio-reato. In questo senso, l’AI Act e il D.Lgs. 231/2001 appaiono destinati a convergere verso un unico obiettivo: la costruzione di una governance aziendale tecnologicamente consapevole, documentata e verificabile.
Partecipa alla community