L’introduzione dell’intelligenza artificiale nel sistema della responsabilità degli enti rappresenta uno degli sviluppi più recenti del processo di adeguamento dell’ordinamento italiano all’AI Act. La legge 23 settembre 2025, n. 132 ha posto le basi per un intervento legislativo nazionale e, in attuazione alla delega, il Consiglio dei ministri ha approvato in via definitiva, il 4 agosto 2026, lo schema di decreto legislativo destinato a incidere anche sul sistema penale e sul catalogo dei reati presupposto della responsabilità ex D.Lgs. n. 231/2001.
Una delle novità è rappresentata dall’introduzione dell’art. 437 bis del codice penale e parallelamente dell’art. 25 vicies del D.Lgs. n. 231/2001.
L’articolo 437 bis del codice penale sanziona l’omessa adozione di misure di sicurezza e l’alterazione illecita nei sistemi di intelligenza artificiale ad alto rischio. Punisce le omissioni di misure tecniche o di sorveglianza e le alterazioni illecite nei sistemi di IA ad alto rischio lungo l’intero ciclo di vita (progettazione, addestramento, uso), qualora ne derivi un pericolo concreto per la vita o l’incolumità. Si collega, pertanto, alle tutele di sicurezza e alla responsabilità amministrativa degli enti. Ciò avviene per due fattispecie di reato che rispondono a logiche differenti: da un lato, il nuovo delitto di cui all’art. 437 bis c.p. concernente la violazione degli obblighi di sicurezza relativi ai sistemi di IA ad alto rischio; dall’altro, il delitto di diffusione illecita di contenuti generati o modificati mediante sistemi di intelligenza artificiale, previsto dall’art. 612 quater c.p.
La distinzione tra le due fattispecie incide, dal punto di vista della responsabilità amministrativa, sulle modalità con cui l’impresa è chiamata a organizzarsi per prevenire il rischio di reato. L’art. 437 bis c.p. si colloca nell’area della sicurezza dei sistemi di IA ad alto rischio e costruisce la rilevanza penale intorno alla violazione di specifici obblighi e alla conseguente esposizione a un pericolo concreto di beni giuridici di particolare rilievo. Non ogni inosservanza delle regole di sicurezza, dunque, è destinata a tradursi in un illecito penale.
La scelta di subordinare la rilevanza della condotta alla presenza di un pericolo concreto e di circoscrivere la responsabilità colposa alle ipotesi caratterizzate da colpa grave consente di evitare che il sistema penale venga utilizzato per sanzionare indiscriminatamente ogni disfunzione connessa all’impiego di tecnologie avanzate.
Differente la natura della fattispecie prevista dall’art. 612 quater c.p., che interviene sul fenomeno della diffusione di contenuti generati o manipolati attraverso strumenti di intelligenza artificiale, con particolare riferimento alle pratiche comunemente ricondotte al fenomeno dei deepfake. Qui il baricentro della tutela si sposta dalla sicurezza del sistema alla condotta di chi utilizza l’IA per realizzare e diffondere determinati contenuti illeciti. La struttura della fattispecie, si distingue da quella propria dell’art. 437 bis c.p., costruita intorno a una situazione di pericolo concreto.
Mentre l’art. 612 quater presenta un ambito di applicazione più ampio, l’art. 437 bis è più limitato, tanto è vero che nel risk assessment aziendale si deve ricostruire il rapporto tra tecnologia, processo aziendale e rischio di commissione del reato.
L’uso dell’intelligenza artificiale agevola i processi e diventa parte integrante dei controlli, delle procedure interne, dell’attribuzione delle responsabilità, delle misure di sicurezza, dei sistemi di tracciamento e conservazione delle informazioni e formazione degli utilizzatori, ma deve essere usata con consapevolezza e supervisione da parte dell’uomo che deve sempre essere l’ultima catena di controllo.
Il rischio può emergere anche in contesti nei quali l’impresa utilizza strumenti di IA generativa per finalità come, ad esempio, la produzione di materiali pubblicitari, la gestione della comunicazione aziendale, la realizzazione di contenuti destinati ai social media o altre attività di marketing.
Il sistema 231 non deve essere usato come rilevatore immediato di rischi, non quale necessità di procedere a un aggiornamento generalizzato e indistinto dei Modelli organizzativi, ma anzi verificare quale sia il ruolo concretamente svolto dall’intelligenza artificiale all’interno dell’impresa e successivamente procedere a valutare rischi e adottare misure e presidi di controllo.
In tal modo l’intelligenza artificiale si pone come notevole aiuto, ma sempre attraverso la supervisione umana che porti le aziende a gestire e a governare l’utilizzo della IA nel modo corretto.
avv. Maria Antonella Mascaro