Il problema non è utilizzare l’Intelligenza Artificiale.
Il problema è utilizzarla senza averne governato i rischi.
L’AI sta entrando nei processi aziendali con una velocità che spesso supera quella con cui le organizzazioni aggiornano procedure, responsabilità e sistemi di controllo.
E oggi c’è una novità che merita particolare attenzione da parte di CDA, imprenditori, management, compliance manager e Organismi di Vigilanza.
Il 4 agosto 2026 il Consiglio dei Ministri ha approvato in via definitiva i decreti legislativi di adeguamento dell’ordinamento nazionale al Regolamento europeo AI Act.
Tra le novità previste, assume particolare rilievo l’introduzione di una nuova autonoma categoria di reati presupposto nel D.Lgs. 231/2001.
ARRIVA IL NUOVO ART. 25-VICIES
La nuova disposizione è rubricata:
“Delitti commessi mediante l’impiego di sistemi di intelligenza artificiale”.
Un passaggio tutt’altro che formale.
Perché significa che l’Intelligenza Artificiale entra espressamente nel perimetro della responsabilità amministrativa degli enti.
Tra le fattispecie richiamate figurano il nuovo art. 437-bis c.p., relativo alle misure di sicurezza nei sistemi di IA e all’alterazione illecita dei sistemi, e l’art. 612-quater c.p., relativo alla diffusione illecita di contenuti generati o alterati mediante AI.
E le sanzioni possono essere significative, arrivando fino a 1.000 quote, oltre alle possibili sanzioni interdittive nei casi previsti.
E QUI ARRIVA LA PARTE INTERESSANTE PER LE IMPRESE
Non è necessario essere una software company per essere coinvolti.
Pensiamo a un’impresa industriale che utilizza l’AI per:
manutenzione predittiva;
controllo qualità;
gestione di impianti e macchinari;
sistemi automatizzati;
sicurezza;
processi produttivi;
controllo e supervisione;
infrastrutture o sistemi che possono incidere sulla sicurezza dei lavoratori.
In questi casi l’AI non è più soltanto una questione tecnologica.
Diventa una questione di:
GOVERNANCE.
SICUREZZA.
RESPONSABILITÀ.
CONTROLLO.
COMPLIANCE.
COSA DOVREBBE FARE UN’AZIENDA?
Non significa necessariamente riscrivere oggi il proprio Modello 231.
Significa, però, iniziare a verificarne l’adeguatezza.
Almeno partendo da queste domande:
- Dove utilizziamo l’AI?
- Quali processi aziendali sono interessati?
- Quali rischi possono derivare dal suo utilizzo?
- Chi controlla gli output e le decisioni del sistema?
- È garantita un’effettiva supervisione umana?
- Le responsabilità sono chiaramente definite?
- Le procedure e i protocolli 231 sono adeguati?
- L’OdV riceve flussi informativi sufficienti?
LA DOMANDA DA PORRE AL CDA È UNA SOLA
Non:
“Abbiamo introdotto l’AI?”
Ma:
“Abbiamo introdotto anche un sistema adeguato per governare i rischi derivanti dall’AI?”
Perché il Modello 231 non dovrebbe fotografare semplicemente come eravamo.
Deve essere in grado di confrontarsi con come siamo diventati.
E se l’organizzazione cambia, anche il sistema di controllo deve cambiare.
L’AI corre veloce.
La compliance deve correre almeno altrettanto.
DA TENERE A MENTE
L’entrata in vigore delle nuove disposizioni sarà il momento formale.
La verifica dei rischi, invece, può iniziare prima.
Ed è probabilmente questa la vera sfida per le imprese:
non rincorrere la norma, ma anticipare il rischio.
