Intelligenza artificiale e responsabilità 231: nuovi reati, sanzioni e modelli da aggiornare

Il decreto legislativo 160/2026 estende la responsabilità degli enti: centrali sicurezza, controllo umano e prevenzione.

Dal 30 settembre 2026 la gestione dell’intelligenza artificiale assume un rilievo anche nella responsabilità amministrativa degli enti. L’articolo 15 del decreto legislativo 9 settembre 2026, n. 160, ha introdotto l’articolo 25-vicies nel decreto legislativo 8 giugno 2001, n. 231. I nuovi reati presupposto riguardano la sicurezza dei sistemi ad alto rischio e la diffusione illecita di contenuti manipolati. Per le imprese interessate diventa quindi necessario verificare l’adeguatezza dei modelli organizzativi.

Il primo riferimento è l’articolo 437-bis del codice penale, introdotto dall’articolo 12 del medesimo decreto. La norma punisce l’omissione delle misure tecniche di sicurezza previste per progettazione, addestramento, produzione e immissione sul mercato di sistemi di IA ad alto rischio, oppure delle misure di sorveglianza umana, quando ne derivi pericolo per la vita o l’incolumità pubblica o individuale. Disciplina inoltre l’alterazione illecita dei sistemi e l’omissione intenzionale della sorveglianza da parte dell’utilizzatore professionale. La mera irregolarità tecnica non basta: devono ricorrere gli elementi della specifica ipotesi incriminatrice.

Il secondo reato presupposto è quello dell’articolo 612-quater del codice penale, inserito dalla legge 23 settembre 2025, n. 132. Rileva la cessione, pubblicazione o diffusione, senza consenso, di immagini, video o voci falsificati o alterati mediante IA, idonei a ingannare sulla loro genuinità e produttivi di un danno ingiusto alla persona. L’impiego aziendale di contenuti sintetici richiede controlli mirati, tenendo presente che il solo utilizzo dell’IA non integra il reato.

La responsabilità dell’ente non discende automaticamente dal reato della persona fisica. Ai sensi dell’articolo 5 del decreto legislativo n. 231/2001, occorre che l’autore appartenga alla struttura organizzativa come soggetto apicale o persona sottoposta alla direzione o vigilanza altrui e che abbia agito nell’interesse o a vantaggio dell’ente. È esclusa la responsabilità quando l’azione risponda all’interesse esclusivo dell’autore o di terzi. A questi presupposti si affianca la colpa di organizzazione, distinta dalla colpevolezza individuale: il deficit dei presidi destinati a prevenire reati della specie verificatasi.

Interesse e vantaggio operano come criteri alternativi, valutati rispettivamente al momento della condotta e in base agli effetti conseguiti. Nel contesto dell’IA possono rilevare il risparmio ottenuto omettendo controlli o manutenzioni e l’incremento produttivo favorito dalla rinuncia alle cautele. Occorre però collegare il beneficio alla condotta illecita: la maggiore efficienza tecnologica non dimostra, di per sé, la responsabilità dell’impresa. Anche in ambito sanitario, la rapidità delle elaborazioni non giustifica l’eliminazione delle verifiche e della sorveglianza richieste.

Il trattamento sanzionatorio distingue le due fattispecie. Per il delitto dell’articolo 437-bis sono previste da seicento a mille quote; per quello dell’articolo 612-quater, da duecento a settecento quote. Alle condizioni generali previste per le sanzioni interdittive, in entrambi i casi l’articolo 25-vicies richiama le interdizioni dell’articolo 9, comma 2, lettere b), c), d) ed e): sospensione o revoca di autorizzazioni funzionali all’illecito, divieto di contrattare con la pubblica amministrazione, esclusione da agevolazioni e finanziamenti, anche con revoca di quelli concessi, e divieto di pubblicizzare beni o servizi. Non è richiamata l’interdizione dall’esercizio dell’attività.

L’aggiornamento del modello deve tradursi in una prevenzione effettiva, calibrata sulle attività esposte. Sul piano operativo, ciò suggerisce di censire i sistemi, individuare le attività rilevanti e attribuire responsabilità per sicurezza e supervisione. Per i contenuti audiovisivi sintetici, l’analisi dovrebbe riguardare anche autorizzazioni alla diffusione e controlli prima della pubblicazione. Queste indicazioni organizzative vanno adattate ai processi aziendali.

Gli articoli 6 e 7 del decreto legislativo n. 231/2001 differenziano l’esonero secondo la posizione dell’autore. Per gli apicali, l’adozione e l’efficace attuazione preventiva del modello si accompagnano agli ulteriori requisiti legali, tra cui elusione fraudolenta e assenza di omessa o insufficiente vigilanza. Per i sottoposti rileva l’inosservanza degli obblighi di direzione o vigilanza, esclusa quando sia stato preventivamente adottato e attuato un modello idoneo. Il semplice aggiornamento documentale non garantisce l’esonero.

L’organismo di vigilanza deve poter ricevere informazioni sulle attività a rischio e verificare il funzionamento dei presidi. Protocolli decisionali, risorse, formazione e sistema disciplinare rendono controllabile l’attuazione del modello. L’introduzione di nuovi sistemi o la modifica delle modalità di impiego richiedono una nuova valutazione dei rischi, così che le procedure seguano l’evoluzione dell’organizzazione.