L'evoluzione dell'intelligenza artificiale sta introducendo nuove opportunità per le imprese, ma anche nuovi profili di rischio che richiedono di essere integrati nei sistemi di governance e controllo. In questo contesto si inserisce il provvedimento approvato definitivamente dal Consiglio dei Ministri il 4 agosto 2026 e definito nel D.Lgs. 9 settembre 2026, n.160 con cui il legislatore italiano compie un ulteriore passo nell'attuazione del quadro europeo delineato dal Regolamento (UE) 2024/1689: il cosiddetto AI Act.
Il provvedimento interviene principalmente sulla disciplina dell'utilizzo dell'intelligenza artificiale nelle attività di polizia e sulle responsabilità civili e penali connesse all'impiego dei sistemi di IA. Presentare anche una novità di interesse diretto per le imprese: il nuovo a rt. 25-vicies del D.Lgs. 231/2001 , che amplia il catalogo dei reati presupposto della responsabilità degli enti.
La novità non significa che ogni violazione delle regole sull'intelligenza artificiale determina automaticamente una responsabilità 231. Il legislatore ha individuato, invece, due specifiche fattispecie penali che possono determinare la responsabilità dell'ente.
I due reati nel nuovo art. 25-vicies
1. Omessa adozione di misure di sicurezza e alterazione illecita dei sistemi di IA – art. 437-bis cp
Il primo e più innovativo presidio riguarda i sistemi di intelligenza artificiale ad alto rischio.
L'art. 437-bis cp sanziona l'omessa adozione delle misure tecniche di sicurezza necessarie a prevenire malfunzionamenti o alterazioni del sistema, nonché, nei casi previsti dalla norma, l'omessa predisposizione di adeguate misure di sorveglianza umana.
La fattispecie può riguardare diverse fasi della vita del sistema: dalla progettazione e dall'addestramento alla produzione, immissione sul mercato e utilizzazione professionale.
La responsabilità penale non deriva però dalla semplice osservanza di un obbligo tecnico: è necessario che dalla condotta derivi un pericolo concreto per la vita, l'incolumità individuale o pubblica o, nei casi più gravi, per la sicurezza dello Stato.
La norma disciplina inoltre l’alterazione illecita del funzionamento di un sistema di IA ad alto rischio, con un autonomo e più severo quadro sanzionatorio.
2. Illecita diffusione di contenuti generati o alterati con IA – art. 612-quater c.p.
Il secondo reato incluso nel nuovo art. 25-vicies riguarda la diffusione illecita di contenuti generati o alterati mediante sistemi di intelligenza artificiale, una fattispecie che si inserisce nel più ampio fenomeno dei cosiddetti deepfake.
Si tratta dell’art. 612-quater c.p., già introdotto nell’ordinamento italiano dalla L. 132/2025 e ora ricompreso tra i reati che possono determinare la responsabilità dell’ente ai sensi del D.Lgs. 231/2001.
La norma sanziona la condotta di chi, senza il consenso della persona interessata, cede, pubblica o diffonde immagini, video o voci falsificati o alterati attraverso sistemi di IA, quando tali contenuti siano idonei a trarre in inganno sulla loro autenticità e dalla loro diffusione derivi un danno ingiusto alla persona.
La pena prevista per la persona fisica è la reclusione da uno a cinque anni.
Per le imprese, il rischio non riguarda quindi soltanto lo sviluppo di tecnologie avanzate: può coinvolgere anche processi ordinari di comunicazione, marketing, produzione di contenuti e gestione dei canali digitali, qualora l’utilizzo dell’IA sfoci nella condotta penalmente rilevante.
Quali sanzioni rischia l’ente?
Il nuovo art. 25-vicies prevede un sistema sanzionatorio significativo.
Per l’art. 437-bis c.p.:
sanzione pecuniaria da 600 a 1.000 quote.
Per l’art. 612-quater c.p.:
sanzione pecuniaria da 200 a 700 quote.
A queste si aggiungono, nei casi previsti dalla norma, le sanzioni interdittive previste dall’art. 9, comma 2, del D.Lgs. 231/2001:
La rilevanza della novità quindi non è soltanto economica, infatti l’esposizione può incidere anche sulla continuità di determinati rapporti commerciali, sull’accesso a risorse pubbliche e sulla capacità dell’impresa di operare in specifici ambiti.
Cosa cambia per il Modello 231?
L’introduzione dell’art. 25-vicies porta il rischio legato all’utilizzo dell’intelligenza artificiale all’interno del più ampio sistema di governance e controllo dell’impresa, rendendo opportuno interrogarsi sull’adeguatezza dei presidi già esistenti.
Non si tratta necessariamente di riscrivere da zero il Modello 231, quanto piuttosto di verificare se la valutazione dei rischi, le procedure e i controlli adottati siano ancora in grado di prevenire e gestire i nuovi reati presupposto. In questa prospettiva, emergono cinque principali aree di intervento che le aziende dovrebbero prendere in considerazione.
1. Mappare dove e come viene utilizzata l’IA
Il primo passo è conoscere i sistemi effettivamente utilizzati dall’organizzazione.
L’IA può essere presente non soltanto nei sistemi sviluppati internamente, ma anche in software acquistati da fornitori, piattaforme SaaS, strumenti di marketing, HR, customer service, cybersecurity, analisi dati e applicazioni generative utilizzate direttamente dai dipendenti.
La mappatura dovrebbe quindi considerare anche gli strumenti adottati informalmente dai singoli utenti.
2. Identificare gli eventuali sistemi ad alto rischio
Per l’art. 437-bis assume particolare rilevanza la qualificazione del sistema come IA ad alto rischio secondo il quadro dell’AI Act.
L’impresa deve quindi comprendere quali sistemi rientrino effettivamente in tale categoria e quali obblighi tecnici e organizzativi ne derivino.
Questo passaggio deve essere integrato nella più ampia attività di risk assessment 231.
3. Definire responsabilità e supervisione umana
L’utilizzo di un sistema di IA non può essere considerato un processo privo di responsabilità.
Per i sistemi rilevanti occorre definire:
La supervisione umana, in questo contesto, non dovrebbe essere trattata come un principio astratto, ma come un vero e proprio processo aziendale documentato.
4. Rafforzare i controlli sull’utilizzo dell’IA generativa
Il secondo rischio introdotto nel perimetro 231 riguarda la diffusione illecita di contenuti generati o alterati con IA.
Per le aziende diventa quindi importante definire regole chiare sull'utilizzo di immagini, video, voci e altri contenuti artificialmente generati o modificati.
Particolare attenzione dovrebbe essere riservata ai processi di comunicazione e marketing, dove la velocità di produzione dei contenuti può aumentare il rischio di utilizzi non adeguatamente verificati.
Procedure di approvazione, controlli sui contenuti, autorizzazioni all'utilizzo dell'immagine e della voce e tracciabilità delle attività possono diventare presidi rilevanti.
5. Aggiornare il Modello 231 e il sistema dei controlli
Il nuovo art. 25-vicies rende opportuno verificare l'adeguatezza del Modello 231 e del sistema dei controlli interni, con particolare attenzione alla valutazione dei rischi, alle procedure aziendali legate all'utilizzo dell'IA e ai relativi flussi informativi verso l'Organismo di Vigilanza.
La revisione dovrebbe inoltre considerare i processi di audit e monitoraggio, la formazione del personale, la gestione di eventuali incidenti o anomalie ei rapporti con i fornitori di sistemi e servizi di IA.
L'obiettivo è assicurare che tecnologia, processi, responsabilità e controlli siano coerenti tra loro e adeguati ai nuovi profili di rischio.
Non solo IT: l'IA diventa un tema di governance
Uno degli aspetti più significativi della nuova disciplina è proprio questo.
La gestione del rischio AI non può essere affidata esclusivamente alla funzione IT.
Le responsabilità ei controlli coinvolgono, a seconda della struttura aziendale, Compliance, Legal, Risk Management, Internal Audit, HR, Procurement, Marketing, Security e Organismo di Vigilanza.
È necessario quindi un approccio trasversale, nel quale l'adozione di una tecnologia di IA venga valutata non soltanto per la sua utilità operativa, ma anche per i rischi che possono introdurre nei processi aziendali.
La stessa Commissione Innovazione del CSM, nel proprio parere sul provvedimento, ha evidenziato come l'estensione della responsabilità 231 comporta un rafforzamento dei modelli organizzativi, dei controlli interni e delle procedure di audit con riferimento all'uso dei sistemi di IA.
Una nuova area di rischio da integrare nella compliance aziendale
L'inclusione di queste fattispecie nel sistema 231 rappresenta un ulteriore passo nell'evoluzione dei sistemi di governance e controllo delle imprese. L'intelligenza artificiale infatti, non è più soltanto una tecnologia legata all'innovazione, alla cybersecurity o alla protezione dei dati, ma diventa anche un profilo di rischio rilevante ai fini della responsabilità dell'ente.
Per le aziende, questo significa andare oltre la semplice introduzione di regole per l'utilizzo dell'IA e interrogarsi sull'effettiva adeguatezza dei presidi già presenti.
Mappare i sistemi utilizzati, valutare i rischi, definire responsabilità e livelli di supervisione, rafforzare i controlli e aggiornare il Modello 231 diventano così parte di un percorso più ampio di governo consapevole della tecnologia.
In un contesto in cui l'intelligenza artificiale entra sempre più nei processi aziendali, la compliance è quindi chiamata ad accompagnarne l'adozione, contribuendo a trasformare l'innovazione in un processo governato, controllato e coerente con le responsabilità dell'impresa.