È stato pubblicato nella Gazzetta Ufficiale n. 214 del 15 settembre 2026 il D.Lgs. 9 settembre 2026, n. 160, che adegua la normativa nazionale al Regolamento (UE) 2024/1689 – AI Act.
Il decreto, entrato in vigore il 30 settembre 2026, introduce disposizioni che riguardano, tra gli altri aspetti, la responsabilità penale e civile connessa all’impiego dei sistemi di intelligenza artificiale.
Per le imprese il tema assume particolare rilevanza perché l’utilizzo dell’intelligenza artificiale non deve più essere considerato esclusivamente sotto il profilo tecnologico o della protezione dei dati, ma anche nell’ambito dei sistemi di controllo e gestione dei rischi aziendali.
Nuove fattispecie penali legate all’IA
Tra le principali novità, l’articolo 12 del decreto interviene sul Codice penale introducendo nuove disposizioni relative alla realizzazione e all’impiego illecito dei sistemi di intelligenza artificiale.
Diventa quindi importante per le organizzazioni comprendere dove, come e da chi vengono utilizzati strumenti di IA, soprattutto quando tali strumenti intervengono in processi aziendali rilevanti o nella produzione, elaborazione e diffusione di informazioni.
Intelligenza artificiale e Modello 231
Un aspetto particolarmente significativo riguarda il D.Lgs. 231/2001.
L’articolo 15 del nuovo decreto modifica infatti la disciplina sulla responsabilità degli enti, facendo entrare il rischio connesso all’utilizzo dell’intelligenza artificiale nel perimetro da considerare nell’architettura dei controlli 231.
Per le aziende dotate di Modello Organizzativo 231 diventa quindi opportuno avviare una verifica dell’effettivo utilizzo dell’IA all’interno dell’organizzazione e valutare se i controlli già esistenti risultino adeguati.
In particolare, sarà utile:
- censire i sistemi e gli strumenti di IA utilizzati nelle diverse funzioni aziendali;
- individuare i processi nei quali l’IA può incidere su attività sensibili ai fini 231;
- definire responsabilità e autorizzazioni per l’utilizzo dei sistemi;
- introdurre regole per la verifica e validazione degli output prodotti dall’IA;
- valutare l’aggiornamento della mappatura dei rischi, dei protocolli 231 e dei flussi informativi verso l’Organismo di Vigilanza;
- garantire un adeguato livello di tracciabilità delle attività svolte mediante sistemi di intelligenza artificiale.
Responsabilità civile e risarcimento dei danni
Il decreto interviene anche sul fronte della responsabilità civile.
Gli articoli 16-20 prevedono specifici strumenti processuali relativi ai danni cagionati attraverso l’utilizzo di sistemi di IA, con riferimento, tra l’altro, all’accesso alle prove, alla presunzione del nesso di causalità, alla rilevanza della conformità all’AI Act e all’azione diretta nei confronti dell’impresa di assicurazione.
La conformità alle regole sull’intelligenza artificiale assume quindi sempre maggiore importanza anche come elemento del sistema complessivo di prevenzione e gestione della responsabilità aziendale.
Cosa dovrebbero fare le imprese?
Per le organizzazioni che già utilizzano strumenti di IA, il primo passo dovrebbe essere quello di evitare utilizzi non censiti o lasciati alla sola iniziativa dei singoli operatori.
È consigliabile predisporre una vera e propria governance aziendale dell’intelligenza artificiale, integrandola, ove necessario, con il sistema privacy, cybersecurity, compliance e con il Modello Organizzativo ex D.Lgs. 231/2001.
Particolare attenzione dovrebbe essere dedicata non soltanto ai sistemi sviluppati internamente o acquistati formalmente dall’azienda, ma anche agli strumenti di IA generativa utilizzati quotidianamente dal personale per redigere documenti, analizzare dati, elaborare offerte, predisporre comunicazioni o supportare decisioni aziendali.
MI.ZAR. può supportare le aziende nella valutazione degli impatti dell’intelligenza artificiale sul sistema 231, nella mappatura dei rischi IA e nella predisposizione delle procedure e dei controlli organizzativi necessari.
