Lo schema di decreto legislativo del 10 giugno

La diffusione dell’utilizzo dei sistemi di AI sta trasformando profondamente i processi aziendali, offrendo opportunità straordinarie di sviluppo. Parallelamente, l’impiego di sistemi di AI comporta la genesi di nuovi rischi che le imprese devono necessariamente valutare e governare all’interno dei propri sistemi di governance e compliance.

Non di meno, lo scorso 10 giugno, il Consiglio dei Ministri ha approvato uno schema di decreto legislativo che introduce nuovi reati presupposto della responsabilità amministrativa degli enti prevista dal d.lgs. 231/2001: “Il pacchetto attuativo in materia di intelligenza artificiale” – si legge nel comunicato stampa diffuso dal Consiglio dei Ministri – “costruisce una risposta normativa organica alla trasformazione tecnologica in corso. La scelta di fondo è promuovere l’innovazione, ma governarla dentro una cornice antropocentrica: l’IA può sostenere decisioni, servizi, formazione e competitività, ma non sostituire la responsabilità umana né comprimere i diritti fondamentali”.

Nello scenario in questione, il Modello 231, adottato dalle imprese per prevenire la commissione al suo interno dei reati previsti dal d.lgs. 231/2001, assume un ruolo fondamentale per la gestione dei nuovi rischi che dovranno essere individuati ed adeguatamente valutati affinché il Modello 231 possa essere aggiornato. 

Dovranno quindi essere non solo recepite le modifiche legislative che entreranno in vigore, laddove lo schema di decreto venga recepito dal legislatore; ma dovranno anche, sin da ora, essere previste tutte le regole necessarie e sufficienti ad assicurare che i sistemi di AI siano usati in modo corretto, trasparente e responsabile, in una dimensione antropocentrica, secondo quanto richiesto nella l. 132/2026.

I nuovi reati presupposto ed i sistemi di AI

Laddove lo schema di decreto legge venga effettivamente fatto proprio dal legislatore, verranno introdotti nel d.lgs. 231/2001 nuovi reati presupposto della responsabilità amministrativa dell’ente.  
Nel dettaglio, il Consiglio dei Ministri ha previsto l’inserimento:

• del reato di omessa adozione di misure di sicurezza nei sistemi di AI e di alterazione illecita dei sistemi di AI, che punisce chi ometta l’adozione o l’adeguamento di misure di sicurezza per la produzione, la messa in circolazione e l’utilizzo professionale di sistemi di intelligenza artificiale, quando da tali omissioni derivi un pericolo concreto per la vita o per l’incolumità pubblica o individuale o per la sicurezza dello Stato;
  
  
• il reato di “deep fake” (“Illecita diffusione di contenuti generati o manipolati artificialmente”), già previsto oggi dall’art. 612-quater c.p., a seguito dell’entrata in vigore della l. 132/2025.

Al di là degli aggiornamenti dei Modelli 231 che si renderanno necessari in caso di approvazione del contenuto dello schema di decreto legislativo, è necessario che sin da ora le imprese intervengano sul documento per dare atto dei presidi preventivi adottati per un corretto e lecito utilizzo dell’AI.

Tale attività, che tenga in debito conto la diffusione dell’utilizzo dei sistemi di AI, è un passaggio, allo stato, essenziale, tenuto conto che mediante un errato utilizzo possono essere commessi svariati illeciti che costituiscono già oggi reati presupposto della responsabilità amministrativa dell’ente, ai sensi del d.lgs. 231/2001.

A mezzo di un non corretto uso dell’AI possono essere integrati, infatti, non solo i reati informatici, previsti dall’art. 24-bis del d.lgs. 231/2001; ma possono essere commessi pressoché tutti i reati in cui l’utilizzo di sistemi di AI si pone come mezzo strumentale per l’integrazione della fattispecie illecita.

Ne sono solo alcuni esempi, il reato di truffa ai danni dello Stato, che potrà essere commesso con artifizi o raggiri resi più efficaci mediante l’uso di sistemi di AI; il reato di riciclaggio di denaro, la cui provenienza illecita potrà essere più agevolmente occultata mediante l’utilizzo di sistemi di AI... Di qui, l’esemplificazione potrebbe essere estesa a pressoché qualsiasi reato presupposto.

Tale attività, che tenga in debito conto la diffusione dell’utilizzo dei sistemi di AI, è un passaggio, allo stato, essenziale, tenuto conto che mediante un errato utilizzo possono essere commessi svariati illeciti che costituiscono già oggi reati presupposto della responsabilità amministrativa dell’ente, ai sensi del d.lgs. 231/2001.
A mezzo di un non corretto uso dell’AI possono essere integrati, infatti, non solo i reati informatici, previsti dall’art. 24-bis del d.lgs. 231/2001; ma possono essere commessi pressoché tutti i reati in cui l’utilizzo di sistemi di AI si pone come mezzo strumentale per l’integrazione della fattispecie illecita.

Ne sono solo alcuni esempi, il reato di truffa ai danni dello Stato, che potrà essere commesso con artifizi o raggiri resi più efficaci mediante l’uso di sistemi di AI; il reato di riciclaggio di denaro, la cui provenienza illecita potrà essere più agevolmente occultata mediante l’utilizzo di sistemi di AI … Di qui, l’esemplificazione potrebbe essere estesa a pressocché qualsiasi reato presupposto.

La creazione di sistemi di governance dei nuovi rischi

Tenuto conto del quadro rappresentato, è fondamentale che le imprese effettuino una tempestiva attività di risk assessment per individuare i processi aziendali in cui esiste il rischio di un non corretto utilizzo della nuova tecnologia, tenuto presente che la valutazione dovrà essere inevitabilmente guidata dalla constatazione per cui pressoché tutti i processi aziendali non possono prescindere dall’utilizzo di strumenti informatici con conseguente possibilità di utilizzo, anche abusivo, di sistemi di AI.

Successivamente, dovranno essere previste specifiche regole che disciplinino l’uso delle nuove risorse per prevenire efficacemente la commissione di illeciti.

E’ in questo contesto che l’impresa dovrà, quindi, a titolo di esempio, provvedere a: 

• l’inserimento dei rischi connessi all’AI nell’ambito delle attività di risk assessment;
• la mappatura dei processi aziendali nei quali vengono impiegati sistemi algoritmici;
• la definizione di procedure di validazione, supervisione e monitoraggio dei sistemi AI;
• l’attribuzione di responsabilità chiare nella gestione degli strumenti tecnologici;
• la conservazione di adeguate evidenze documentali sulle decisioni supportate dall’AI.

La creazione di una struttura di gestione dei nuovi rischi non potrà prescindere dalla previsione di una adeguata attività di “alfabetizzazione” della popolazione aziendale volta a garantire una completa formazione finalizzata ad una corretta ed esaustiva conoscenza dei sistemi di AI, dei canoni di funzionamento, dei rischi connessi, con un’attenzione particolare per le regole di gestione dell’AI laddove la stessa sia integrata nei processi aziendali.

In conformità con la struttura di governance e di ripartizione dei poteri e delle responsabilità, per garantire un’organizzazione efficace ed efficiente a presidio della struttura preventiva creata dall’impresa per gestire i nuovi rischi, sarà altrettanto opportuna la nomina di soggetti responsabili del rispetto della normativa interna creata con il compito di verificarne l’applicazione in coordinamento con le varie figure di responsabilità all’interno dell’organizzazione imprenditoriale.

Nelle strutture maggiormente complesse, la nomina di un responsabile dei sistemi AI dovrà essere accompagnata dalla strutturazione di un comitato di governance dei sistemi di AI di stampo multidisciplinare, che includa i responsabili delle aree maggiormente rilevanti per la gestione della corretta applicazione della normativa vigente, ivi inclusa quella interna creata dall’impresa. 
Un ruolo chiave spetterà ai responsabili delle funzioni:

• legal e compliance, affinché provvedano ad un costante monitoraggio della normativa comunitaria e nazionale vigente per assicurarne il rispetto da parte dell’impresa;
• IT, affinché monitorino il funzionamento dei sistemi di AI, prevengano e gestiscano efficacemente eventuali anomalie e funzionamenti oltre che contribuiscano a stabilire i requisiti tecnici di selezione dei sistemi di AI da utilizzare nei processi aziendali;
• HR, affinché promuovano e monitorino la necessaria formazione nei confronti della popolazione aziendale in merito al corretto utilizzo dei sistemi di AI con programmi differenziati a seconda del ruolo nell’ambito dell’organizzazione societaria dei vari destinatari del programma di formazione.

L’obiettivo non è limitare l’innovazione, bensì assicurare che l’impiego dell’AI avvenga all’interno di un quadro di governance coerente con i principi di controllo, tracciabilità e accountability richiesti dalla normativa vigente.

Le imprese che sapranno coniugare innovazione tecnologica e robustezza dei controlli interni non solo ridurranno l’esposizione ai rischi normativi e reputazionali, ma potranno trasformare la compliance in un fattore di fiducia e competitività nel mercato.