L’intelligenza artificiale entra sempre più profondamente nei processi aziendali. E, insieme alle opportunità offerte dalle nuove tecnologie, iniziano a diventare molto più concrete anche le responsabilità connesse al loro utilizzo.
È questo uno degli aspetti più rilevanti del Decreto legislativo n. 160 del 9 settembre 2026, pubblicato in Gazzetta Ufficiale il 15 settembre e destinato a entrare in vigore il 30 settembre 2026, con il quale l’ordinamento italiano viene ulteriormente adeguato al quadro europeo definito dal Regolamento (UE) 2024/1689, meglio conosciuto come AI Act.
Il Decreto interviene su numerosi profili legati alla progettazione, allo sviluppo e all’impiego dei sistemi di intelligenza artificiale, affrontando anche il loro utilizzo nell’attività delle Forze di Polizia e i relativi profili di responsabilità civile e penale.
Per le imprese, tuttavia, una delle novità che merita maggiore attenzione riguarda il D.Lgs. 231/2001.
Il legislatore ha infatti ampliato il catalogo dei reati che possono determinare la responsabilità amministrativa degli enti, introducendo specifiche fattispecie collegate all’utilizzo dei sistemi di intelligenza artificiale.
Non si tratta quindi più soltanto di chiedersi come e dove utilizzare l’AI in azienda. Diventa necessario domandarsi anche chi la utilizza, con quali controlli, all’interno di quali processi e con quali conseguenze in termini di governance e responsabilità.
L’intelligenza artificiale entra nel sistema 231
L’articolo 15 del D.Lgs. 160/2026 introduce nel D.Lgs. 231/2001 il nuovo articolo 25-vicies, dedicato ai “Reati commessi con l’uso di sistemi di intelligenza artificiale”.
La modifica è particolarmente significativa perché determina l’ingresso nel sistema della responsabilità degli enti di specifiche condotte realizzate attraverso, o comunque connesse a, sistemi di AI.
Tra queste assume particolare rilievo il nuovo articolo 437-bis del Codice penale, relativo all’omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alla loro alterazione illecita.
La disposizione interessa le fasi di progettazione, addestramento, produzione e immissione sul mercato dei sistemi di AI ad alto rischio e si estende anche alle ipotesi di loro utilizzo professionale.
La norma colpisce, in particolare, l’omessa adozione delle misure tecniche di sicurezza necessarie a prevenire malfunzionamenti o alterazioni del sistema e l’omessa predisposizione delle necessarie misure di sorveglianza umana, quando da tali omissioni derivi un pericolo per la vita, per l’incolumità pubblica o individuale oppure per la sicurezza dello Stato.
La stessa disposizione interviene inoltre sull’alterazione illecita dei sistemi di intelligenza artificiale ad alto rischio.
È un passaggio importante perché porta nel diritto penale un principio che accompagna l’intera disciplina europea dell’intelligenza artificiale: l’utilizzo di un sistema tecnologico non elimina la necessità di un controllo umano e di adeguate misure di sicurezza.
Anche i contenuti artificialmente generati entrano nel perimetro della responsabilità dell’ente
Il nuovo articolo 25-vicies richiama inoltre l’articolo 612-quater del Codice penale, relativo all’illecita diffusione di contenuti generati o alterati mediante sistemi di intelligenza artificiale.
La fattispecie, già introdotta nell’ordinamento dalla legge n. 132/2025, riguarda la diffusione, senza il consenso dell’interessato, di immagini, video o voci falsificati o alterati attraverso sistemi di AI, quando siano idonei a indurre in errore sulla loro genuinità e dalla loro diffusione derivi un danno ingiusto alla persona.
Il tema dei cosiddetti deepfake assume quindi rilevanza non soltanto rispetto alla responsabilità individuale dell’autore della condotta, ma anche nell’ambito della disciplina della responsabilità amministrativa degli enti quando ricorrano i presupposti previsti dal D.Lgs. 231/2001.
Ed è proprio questa estensione che dovrebbe attirare l’attenzione delle imprese.
L’intelligenza artificiale viene ormai utilizzata in attività di comunicazione, marketing, produzione di contenuti, analisi, automazione dei processi e gestione delle informazioni. La sua crescente diffusione rende quindi sempre meno efficace una governance basata esclusivamente sull’utilizzo spontaneo degli strumenti da parte delle singole funzioni aziendali.
Le sanzioni previste dal nuovo articolo 25-vicies
Le conseguenze per gli enti possono essere rilevanti.
Per il reato previsto dall’articolo 437-bis del Codice penale, il nuovo articolo 25-vicies prevede una sanzione pecuniaria compresa tra 600 e 1.000 quote, mentre per la fattispecie prevista dall’articolo 612-quater la sanzione pecuniaria è stabilita tra 200 e 700 quote.
A queste possono aggiungersi le sanzioni interdittive previste dal sistema 231, tra le quali rientrano la sospensione o la revoca di autorizzazioni, licenze o concessioni funzionali alla commissione dell’illecito, il divieto di contrattare con la Pubblica Amministrazione, l’esclusione da agevolazioni, finanziamenti, contributi o sussidi e il divieto di pubblicizzare beni o servizi.
Rimane invece esclusa, per queste fattispecie, l’interdizione dall’esercizio dell’attività.
Il punto, tuttavia, non è soltanto sanzionatorio.
L’inserimento di nuovi reati-presupposto determina inevitabilmente la necessità di interrogarsi sull’adeguatezza dei sistemi organizzativi già esistenti e, in particolare, dei Modelli di Organizzazione, Gestione e Controllo adottati ai sensi del D.Lgs. 231/2001.
Non basta sapere che in azienda viene utilizzata l’AI
La prima questione da affrontare è apparentemente semplice: quali sistemi di intelligenza artificiale vengono effettivamente utilizzati all’interno dell’organizzazione?
Nella pratica, la risposta può essere meno immediata di quanto sembri.
L’utilizzo dell’AI non passa necessariamente attraverso un unico software aziendale centralizzato. Sistemi e funzionalità basati sull’intelligenza artificiale possono essere incorporati in strumenti utilizzati quotidianamente da funzioni diverse e possono entrare progressivamente nei processi di produzione, controllo, comunicazione, analisi dei dati e supporto alle decisioni.
Per questo motivo la nuova disciplina dovrebbe indurre le imprese a effettuare innanzitutto una vera mappatura degli strumenti utilizzati e dei processi nei quali questi intervengono.
Solo dopo aver compreso dove viene utilizzata l’intelligenza artificiale diventa possibile valutarne il rischio.
Ed è qui che il tema AI incontra direttamente quello della compliance 231.
I Modelli 231 devono essere rivisti?
Per le società che hanno già adottato un Modello 231, l’entrata in vigore delle nuove disposizioni non dovrebbe tradursi semplicemente nell’inserimento formale di due nuove fattispecie all’interno del documento.
Una revisione realmente efficace dovrebbe partire dal risk assessment.
Occorre cioè verificare se e in quali processi aziendali vengano utilizzati sistemi di intelligenza artificiale, individuare le attività potenzialmente sensibili rispetto ai nuovi reati-presupposto e valutare se i controlli già esistenti siano sufficienti oppure debbano essere integrati.
La questione diventa ancora più rilevante quando l’azienda utilizza sistemi di AI classificabili come ad alto rischio oppure quando tali strumenti intervengono in processi nei quali un malfunzionamento, un’alterazione o l’assenza di adeguata supervisione umana potrebbero produrre conseguenze significative.
La revisione del Modello 231 dovrebbe quindi essere accompagnata da una riflessione più ampia sui presidi organizzativi, procedurali e tecnologici adottati dall’impresa.
Dalla “AI policy” a una vera governance dell’intelligenza artificiale
Il D.Lgs. 160/2026 evidenzia un cambiamento che va oltre la disciplina penalistica.
Fino a poco tempo fa, per molte aziende l’intelligenza artificiale rappresentava soprattutto uno strumento di innovazione e di efficientamento. Oggi sta diventando anche un tema di governance.
Questo significa definire responsabilità, autorizzazioni, livelli di controllo, sistemi di sorveglianza umana e procedure per la gestione dei rischi. Significa inoltre coordinare la disciplina dell’AI con sistemi di compliance già esistenti, evitando che privacy, cybersecurity, Modello 231, procedure interne e gestione dell’intelligenza artificiale procedano su binari separati.
Una semplice policy sull’utilizzo degli strumenti generativi può essere utile, ma difficilmente può essere considerata sufficiente quando l’intelligenza artificiale entra stabilmente nei processi aziendali.
La vera questione diventa costruire una governance capace di sapere quali sistemi vengono utilizzati, per quali finalità, con quali livelli di rischio e sotto la responsabilità di chi.
È anche il metodo che C-Trade privilegia quando affronta i processi di compliance con i propri clienti: non aggiungere semplicemente un nuovo documento a quelli già esistenti, ma comprendere come il nuovo rischio entra concretamente nell’organizzazione e come deve essere governato.
L’ingresso dei reati connessi all’intelligenza artificiale nel sistema 231 rende questo approccio ancora più attuale.
L’AI Act ha definito il quadro europeo. Il D.Lgs. 160/2026 porta ora alcune delle sue conseguenze direttamente all’interno del sistema italiano della responsabilità degli enti.
Per le imprese, quindi, il tema non è più soltanto decidere se utilizzare l’intelligenza artificiale.
È imparare a utilizzarla sapendo esattamente dove entra nei processi aziendali, quali rischi genera e chi ne mantiene il controllo.
