L’intelligenza artificiale entra definitivamente nel perimetro della responsabilità amministrativa degli enti.
Con lo schema di decreto legislativo n. 418, recante disposizioni di adeguamento dell’ordinamento nazionale al Regolamento UE 2024/1689, il legislatore italiano compie un passaggio destinato a incidere profondamente sui Modelli organizzativi ex D.Lgs. 231/2001.
La novità più rilevante, in chiave 231, è contenuta nell’art. 15 dello schema, che introduce nel D.Lgs. 231/2001 il nuovo art. 25-vicies, rubricato “Reati commessi con l’uso di sistemi di intelligenza artificiale”.
Non si tratta di un semplice ampliamento del catalogo dei reati-presupposto. Si tratta, piuttosto, dell’ingresso dell’algoritmo nella logica della colpa di organizzazione.
Da questo momento, l’impresa che utilizza, sviluppa, integra o governa sistemi di intelligenza artificiale non potrà più limitarsi a valutarne l’efficienza, l’utilità commerciale o la conformità tecnologica. Dovrà dimostrare di avere costruito un sistema organizzativo capace di prevenire i rischi derivanti dall’uso dell’IA.
Nasce così una nuova categoria di rischio 231: la colpa di organizzazione algoritmica.
Indice degli argomenti
Il nuovo art. 25-vicies e l’IA come rischio 231
Lo schema di decreto legislativo n. 418 prevede l’inserimento nel D.Lgs. 231/2001 del nuovo art. 25-vicies, dedicato ai reati commessi con l’uso di sistemi di intelligenza artificiale.
La disposizione richiama due fattispecie penali.
La prima è il nuovo art. 437-bis c.p., relativo all’omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e all’alterazione illecita dei sistemi stessi.
La seconda è l’art. 612-quater c.p., relativo all’illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale, con particolare riferimento al fenomeno dei deepfake.
Il sistema sanzionatorio è particolarmente significativo. Per il delitto di cui all’art. 437-bis c.p. è prevista una sanzione pecuniaria da 600 a 1.000 quote. Per il delitto di cui all’art. 612-quater c.p. la sanzione va da 200 a 700 quote.
In entrambi i casi sono previste anche sanzioni interdittive, tra cui l’interdizione dall’esercizio dell’attività, la sospensione o revoca di autorizzazioni, il divieto di contrattare con la pubblica amministrazione, l’esclusione da agevolazioni e il divieto di pubblicizzare beni o servizi.
Il messaggio è chiaro: l’uso illecito, pericoloso o non governato dell’intelligenza artificiale può diventare fonte diretta di responsabilità per l’ente.
Dalla compliance digitale alla governance dell’algoritmo
La responsabilità 231 da IA non può essere letta come un semplice tema informatico.
Non basta aggiornare una policy cybersecurity, richiamare il GDPR o inserire un generico divieto di uso improprio degli strumenti digitali nel Codice Etico.
L’intelligenza artificiale introduce un rischio diverso, perché interviene nei processi decisionali, nella produzione di contenuti, nella classificazione delle informazioni, nella profilazione degli utenti, nella gestione dei dati, nella selezione dei fornitori, nella comunicazione commerciale, nell’attività di controllo, nella prevenzione delle frodi e, in alcuni casi, nella valutazione di persone fisiche.
Il Modello 231 dovrà quindi presidiare non solo lo strumento tecnologico, ma l’intero ciclo di vita organizzativo dell’IA.
Ciò significa mappare i sistemi utilizzati, classificare il rischio, individuare i responsabili interni, verificare i fornitori, documentare le finalità d’uso, controllare gli output, registrare gli incidenti, formare il personale, garantire la supervisione umana e assicurare flussi informativi adeguati verso l’Organismo di Vigilanza.
La nuova domanda non sarà più soltanto: l’impresa usa sistemi di intelligenza artificiale?
La domanda diventerà: l’impresa è in grado di dimostrare come li governa?
L’omessa sicurezza dei sistemi IA
Il nuovo art. 437-bis c.p., come previsto dallo schema, punisce l’omessa adozione di misure tecniche di sicurezza nella progettazione, addestramento, produzione, immissione sul mercato o utilizzo professionale di sistemi di intelligenza artificiale ad alto rischio, quando da tale omissione derivi un pericolo concreto per la vita o l’incolumità pubblica o individuale.
La norma punisce anche l’alterazione illecita dei sistemi di IA ad alto rischio.
In chiave 231, il punto decisivo è che la sicurezza dei sistemi di intelligenza artificiale diventa una responsabilità organizzativa.
L’ente dovrà dimostrare di avere adottato misure tecniche, ma anche procedure interne, controlli, autorizzazioni, verifiche e presidi documentali.
Non sarà sufficiente affermare che il sistema era fornito da un soggetto terzo o che la tecnologia era certificata. La governance dell’IA dovrà entrare nei processi aziendali sensibili e nei protocolli del Modello 231.
Ogni impresa dovrà chiedersi:
- quali sistemi di IA utilizza;
- per quali finalità;
- con quali dati;
- con quali soggetti autorizzati;
- con quali livelli di controllo umano;
- con quali verifiche sui fornitori;
- con quali misure di sicurezza;
- con quali registrazioni;
- con quali procedure di gestione degli incidenti;
- con quali flussi informativi verso l’OdV.
Il rischio non è più solo tecnologico. È organizzativo.
Deepfake, contenuti sintetici e responsabilità dell’ente
Il secondo profilo riguarda l’art. 612-quater c.p., relativo alla diffusione illecita di immagini, video o voci falsificati o alterati mediante sistemi di intelligenza artificiale, idonei a indurre in inganno sulla loro genuinità.
In ambito aziendale, questo rischio è molto più ampio di quanto possa apparire.
Non riguarda soltanto l’uso patologico di deepfake in senso stretto. Può interessare l’area marketing, la comunicazione digitale, la gestione dei social media, la produzione di contenuti pubblicitari, l’utilizzo di avatar, immagini sintetiche, voci artificiali, video generati con IA, campagne commerciali automatizzate, contenuti reputazionali e strumenti di comunicazione aggressiva.
L’impresa potrebbe essere esposta a responsabilità 231 quando contenuti generati o alterati con IA vengano utilizzati nell’interesse o a vantaggio dell’ente, ledendo diritti di persone fisiche, clienti, concorrenti, dipendenti o soggetti terzi.
Il Modello 231 dovrà quindi prevedere specifici protocolli per l’uso dell’IA generativa.
Serviranno regole chiare su chi può utilizzare tali strumenti, per quali finalità, con quali approvazioni, con quali controlli preventivi, con quali obblighi di disclosure e con quali divieti.
La social media policy e la content policy non potranno più essere documenti separati dalla compliance 231. Dovranno diventare parte del sistema di prevenzione dei reati.
L’OdV davanti all’intelligenza artificiale
L’Organismo di Vigilanza non è chiamato a trasformarsi in un tecnico informatico, né a sostituirsi al responsabile IT, al DPO, al CISO, al compliance officer o ai responsabili di funzione.
Tuttavia, l’OdV dovrà pretendere dall’ente un sistema documentale verificabile.
La vigilanza sul Modello 231 richiederà una nuova attenzione ai processi IA. L’OdV dovrà verificare che l’impresa abbia mappato i sistemi utilizzati, individuato i rischi rilevanti, disciplinato le responsabilità interne, formato i soggetti autorizzati e previsto flussi informativi periodici.
I flussi verso l’OdV dovrebbero includere almeno:
- registro dei sistemi di IA utilizzati dall’ente;
- classificazione dei sistemi ad alto rischio;
- finalità di utilizzo;
- funzioni aziendali coinvolte;
- fornitori tecnologici;
- contratti e clausole di responsabilità;
- incidenti, anomalie e malfunzionamenti;
- audit sugli output critici;
- controlli sui contenuti sintetici;
- segnalazioni interne;
- reclami o contestazioni di terzi;
- attività formative;
- aggiornamenti normativi;
- misure correttive adottate.
- La chiave sarà la tracciabilità.
Un’impresa che non documenta come utilizza l’IA difficilmente potrà dimostrare di averla governata.
Sorveglianza umana e presidio 231
Uno dei principi più importanti del nuovo quadro normativo è la sorveglianza umana.
L’intelligenza artificiale non può diventare un decisore occulto, sottratto al controllo dell’organizzazione.
Nel settore pubblico e investigativo, lo schema richiama espressamente la necessità di una revisione umana qualificata e documentata degli output prima del loro impiego in atti incidenti sulla sfera giuridica degli interessati.
Questo principio, pur riferito a specifici ambiti, ha una portata culturale molto più ampia.
Anche nell’impresa privata, l’IA deve essere ausilio, non sostituzione cieca del giudizio umano.
La supervisione umana dovrà essere effettiva, competente e tracciata. Non basterà prevedere formalmente che un operatore possa intervenire. Occorrerà dimostrare che l’operatore è formato, che comprende il funzionamento essenziale del sistema, che può contestare l’output, che può bloccare il processo e che la sua decisione è documentata.
La sorveglianza umana diventa così un presidio organizzativo 231.
Dove l’algoritmo incide su decisioni rilevanti, deve esistere un responsabile umano identificabile.
La prova documentale nella governance dell’IA
Uno degli aspetti più innovativi dello schema riguarda la responsabilità civile da danno causato dall’intelligenza artificiale.
L’art. 17 prevede che il giudice, nelle azioni risarcitorie, possa ordinare l’esibizione di elementi di prova relativi al funzionamento del sistema di IA.
Tra questi rientrano registri, documentazione sul sistema di gestione dei rischi, documentazione tecnica, informazioni sui parametri e modalità di supervisione umana.
È un passaggio fondamentale anche per la compliance 231.
La documentazione sull’IA diventa prova difensiva.
L’impresa dovrà essere in grado di esibire non soltanto il contratto con il fornitore o la certificazione del sistema, ma anche le evidenze organizzative del proprio controllo.
Serviranno registri aggiornati, valutazioni preventive, verbali, audit, report, flussi informativi, formazione, tracciamento degli output, procedure di escalation, gestione degli incidenti, verifiche periodiche.
In materia di IA, la compliance non potrà essere raccontata ex post. Dovrà essere provata documentalmente.
La formula è semplice: chi non documenta, non si difende.
La conformità all’AI Act non basta
Un altro elemento rilevante è che la conformità al Regolamento UE 2024/1689, anche se certificata, non esclude automaticamente la responsabilità civile.
Questo principio ha un impatto importante anche sul piano 231.
L’ente non potrà limitarsi a sostenere che il sistema IA fosse conforme agli obblighi regolamentari. Dovrà dimostrare che, nel proprio contesto organizzativo, quel sistema era correttamente governato.
La conformità tecnica del prodotto non coincide con l’idoneità organizzativa del Modello 231.
Un sistema può essere astrattamente conforme, ma essere utilizzato male dall’impresa. Può essere introdotto senza formazione, senza controlli, senza sorveglianza umana, senza valutazione dei rischi, senza flussi informativi e senza procedure di gestione delle anomalie.
È qui che nasce la colpa di organizzazione algoritmica.
La responsabilità non deriva dall’esistenza dell’algoritmo, ma dall’incapacità dell’ente di governarne l’uso.
Il nuovo protocollo 231 per l’intelligenza artificiale
Le imprese dovranno introdurre una nuova Parte Speciale del Modello 231 dedicata ai reati commessi con l’uso di sistemi di intelligenza artificiale.
Questa Parte Speciale dovrà coordinarsi con privacy, cybersecurity, whistleblowing, sicurezza sul lavoro, comunicazione, marketing, gestione fornitori, contrattualistica, controlli interni e flussi OdV.
Il protocollo dovrebbe prevedere almeno:
- mappatura dei sistemi IA utilizzati;
- classificazione del rischio;
- individuazione dei sistemi ad alto rischio;
- valutazione preventiva di impatto organizzativo;
- verifica dei fornitori;
- clausole contrattuali su sicurezza, audit, responsabilità e tracciabilità;
- autorizzazione interna all’utilizzo dei sistemi;
- definizione dei ruoli aziendali;
- misure tecniche e organizzative di sicurezza;
- sorveglianza umana qualificata;
- tracciabilità degli output rilevanti;
- controlli sui contenuti generati o alterati con IA;
- divieto di deepfake e contenuti sintetici ingannevoli;
- formazione periodica;
- gestione di incidenti e anomalie;
- flussi informativi verso l’OdV;
- coordinamento con il sistema disciplinare;
- aggiornamento periodico del risk assessment.
Il Modello 231 dovrà quindi diventare anche Modello di governo dell’algoritmo.
Dalla colpa di organizzazione alla colpa di organizzazione algoritmica
Il D.Lgs. 231/2001 ha sempre avuto al centro un concetto fondamentale: l’ente non risponde automaticamente per il reato commesso dalla persona fisica, ma per il deficit organizzativo che ha reso possibile o non ha impedito quel reato.
Con l’intelligenza artificiale, questo schema si evolve.
Il deficit organizzativo potrà riguardare la mancata mappatura dei sistemi IA, l’assenza di controlli sugli output, la mancata formazione degli utilizzatori, l’omessa verifica dei fornitori, l’assenza di supervisione umana, l’utilizzo improprio di contenuti sintetici, la carenza di misure di sicurezza o la mancata gestione delle anomalie.
La colpa di organizzazione algoritmica è, dunque, la nuova forma della responsabilità dell’ente nell’economia digitale.
Non riguarda solo le grandi piattaforme tecnologiche. Riguarda tutte le imprese che integrano sistemi di IA nei propri processi: banche, assicurazioni, sanità, industria, energia, logistica, retail, consulenza, marketing, risorse umane, pubblica amministrazione, società partecipate, studi professionali e PMI evolute.
L’algoritmo entra nei processi aziendali. E dove entra l’algoritmo, deve entrare anche il controllo organizzativo.
Conclusioni: non basta usare l’IA, occorre dimostrare di governarla
Lo schema di decreto legislativo n. 418 segna un passaggio culturale prima ancora che normativo.
L’intelligenza artificiale non è più soltanto un tema di innovazione, competitività o trasformazione digitale. Diventa un tema di responsabilità dell’ente.
Il nuovo art. 25-vicies del D.Lgs. 231/2001 impone alle imprese di interrogarsi sulla qualità della propria governance algoritmica.
L’impresa che utilizza l’IA dovrà poter dimostrare di averla mappata, valutata, controllata, documentata e sottoposta a sorveglianza umana.
Il Modello 231 dovrà evolvere da sistema di prevenzione dei reati tradizionali a infrastruttura di governo dei rischi digitali.
La sfida non è impedire l’uso dell’intelligenza artificiale. Al contrario, è renderne l’utilizzo sicuro, tracciabile, trasparente, proporzionato e compatibile con la legalità d’impresa.
In questo nuovo scenario, la compliance non sarà un freno all’innovazione. Sarà la condizione per renderla sostenibile.
Perché il punto non è più solo adottare l’IA.
Il punto è dimostrare di saperla governare.
Partecipa alla community