Il vostro Modello 231 non conosce ancora l’intelligenza artificiale

Il vostro Modello 231 elenca i reati che l’azienda può commettere. Se è stato aggiornato di recente arriva fino ai reati informatici e a quelli tributari, e per ciascuno indica il processo esposto, il protocollo che lo presidia e chi risponde. Quasi certamente non contiene una riga sul sistema che da otto mesi assegna i turni in magazzino, o su quello che scarta i pezzi difettosi sulla linea. Dal 30 settembre quella mappatura va riesaminata alla luce del nuovo articolo 25-vicies, senza presumere che ogni uso dell’IA comporti un nuovo reato.

Che cosa è stato deciso il 4 agosto

Il 4 agosto 2026 il Consiglio dei Ministri ha approvato in esame definitivo due decreti legislativi che adeguano la normativa italiana al regolamento (UE) 2024/1689, l’AI Act, in attuazione delle deleghe contenute nella legge 23 settembre 2025, n. 132. Il primo dei due riguarda l’impiego dell’intelligenza artificiale nelle attività di polizia e contiene le disposizioni penali; il secondo definisce l’assetto della vigilanza nazionale, affidata all’Agenzia per l’Italia digitale e all’Agenzia per la cybersicurezza nazionale.

Il decreto che qui interessa è il primo, perché introduce nel codice penale l’articolo 437-bis, che punisce l’omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale ad alto rischio e la loro alterazione illecita, con pena graduata in funzione del bene giuridico esposto a pericolo. Lo stesso decreto rafforza la posizione di chi subisce un danno da un sistema di IA: accesso alla documentazione tecnica, presunzione del nesso di causalità, un foro vicino alla residenza del danneggiato e azione diretta verso l’assicurazione del convenuto.

Il testo definitivo è stato emanato il 9 settembre 2026 e pubblicato nella Gazzetta Ufficiale n. 214 del 15 settembre: è il decreto legislativo n. 160, in vigore dal 30 settembre 2026, senza clausole particolari. Da quella data il 437-bis del codice penale è diritto vigente, e con esso l’articolo 25-vicies del decreto legislativo 231/2001. Lo schema approvato in esame preliminare il 10 giugno 2026 resta utile per una cosa sola: leggere le differenze, perché su tre punti il testo pubblicato non coincide con quello che si conosceva ad agosto.

Le due fattispecie che entrano nel catalogo

Nel testo definitivo, la nuova famiglia di reati presupposto entra nel decreto legislativo 8 giugno 2001, n. 231 attraverso un articolo 25-vicies, rubricato «Reati commessi con l’uso di sistemi di intelligenza artificiale», che richiama due fattispecie: quella nuova del codice penale e una che è già in vigore da quasi un anno.

La seconda riga di quella tabella è la più facile da sottovalutare. Il reato esiste da mesi e nessuno ha dovuto aspettare un decreto attuativo: il collegamento con la responsabilità dell’ente è efficace dal 30 settembre 2026. Un video promozionale in cui la voce di un dirigente è stata ricostruita, un volto di testimonial generato a partire da una persona reale, una comunicazione interna confezionata con un clone vocale: sono usi che in azienda passano dal marketing, non dalla funzione compliance, e che nessuno oggi qualifica come rischio 231.

Alle sanzioni pecuniarie della tabella il decreto aggiunge, per entrambe le fattispecie, le sanzioni interdittive dell’articolo 9, comma 2, lettere b), c), d) ed e) del decreto legislativo 231/2001: sospensione o revoca delle autorizzazioni funzionali all’illecito, divieto di contrattare con la pubblica amministrazione, esclusione da agevolazioni e finanziamenti, divieto di pubblicizzare beni o servizi. L’interdizione dall’esercizio dell’attività — la lettera a), quella che ferma l’azienda — è esclusa per scelta: la relazione illustrativa la dice sproporzionata e preferisce le misure che incidono sui settori connessi all’illecito. Per chi lavora con committenti pubblici, la voce che pesa non è la sanzione pecuniaria: è il divieto di contrattare.

Perché riguarda chi l’IA la usa e basta

C’è una convinzione diffusa, e comoda, secondo cui le regole sull’intelligenza artificiale riguardano chi la costruisce. Il decreto dice altro, ma non nel modo che si leggeva nello schema. Nel testo pubblicato l’«utilizzo professionale» non compare più fra le condotte del primo comma: l’utilizzatore professionale ha un comma tutto suo, il quarto, che punisce chi omette intenzionalmente di adottare le misure di sorveglianza umana, con le pene del primo comma. Il legislatore ha guardato proprio all’azienda che compra il sistema e lo mette in produzione, e le ha riservato una fattispecie più stretta.

Conviene sapere dove la norma si ferma, prima di mettersi a scrivere protocolli. Il pericolo che fa scattare il reato non è un pericolo qualsiasi: se riguarda la vita o l’incolumità pubblica o individuale, la pena è della reclusione da uno a cinque anni; se riguarda la sicurezza dello Stato, la pena è della reclusione da due a otto anni. Le condizioni sono due e vanno soddisfatte entrambe: il sistema dev’essere ad alto rischio ai sensi dell’articolo 6 del regolamento (UE) 2024/1689, e dalla mancata sorveglianza dev’essere derivato un pericolo per l’incolumità di qualcuno. Un software che filtra i curricula è ad alto rischio; che dalla sua mancata sorveglianza derivi un pericolo per la vita o per l’incolumità di una persona è un’altra affermazione, e va dimostrata.

Quali sistemi, allora. I candidati più naturali sono quelli che fungono da componenti di sicurezza di prodotti già soggetti ad armonizzazione europea — macchine, dispositivi medici, ascensori — e quelli impiegati nella gestione delle infrastrutture critiche: lì il pericolo per l’incolumità sta nella natura stessa di ciò che il sistema governa. L’Allegato III del regolamento classifica come ad alto rischio anche i sistemi usati per la selezione del personale, per l’assegnazione dei compiti, per la valutazione delle prestazioni di chi lavora, per il merito creditizio e per l’accesso a servizi essenziali: restano ad alto rischio a tutti gli effetti, con gli obblighi che ne derivano, ma perché scatti il reato occorre anche il secondo requisito. È uno scarto che cambia l’ordine dell’inventario: si comincia dalla linea di produzione, non dall’ufficio del personale.

C’è poi un punto che cambia il calcolo per chi l’IA la usa soltanto, e va nella direzione opposta rispetto a quello che si leggeva ad agosto. Il terzo comma dell’articolo 437-bis del codice penale riduce la pena da un terzo a un sesto quando i fatti del primo comma sono commessi per colpa grave; la relazione illustrativa dello schema spiegava la scelta richiamando l’articolo 590-sexies del codice penale, quello della responsabilità sanitaria. Nel testo pubblicato, però, il primo comma non contempla più l’utilizzo professionale: per l’utilizzatore professionale vale il quarto comma, che richiede l’omissione intenzionale. Per l’utilizzatore professionale la differenza è sostanziale: la sola disorganizzazione non basta a integrare questa fattispecie, che richiede anche il pericolo previsto dalla norma. Resta però l’articolo 25-vicies del decreto legislativo 231/2001, che nel richiamare il delitto dell’articolo 437-bis non distingue fra le sue forme. È probabile che la responsabilità dell’ente possa riguardare anche la forma colposa del terzo comma, che si riferisce però ai fatti del primo comma, non alla fattispecie dell’utilizzatore professionale del quarto comma.

Qui sta il punto che riguarda l’Organismo di Vigilanza. La responsabilità dell’ente ai sensi del decreto legislativo 231/2001 presuppone che il reato sia commesso nel suo interesse o a suo vantaggio da chi vi ricopre una posizione apicale o da chi è sottoposto all’altrui direzione, e la difesa dell’ente è il modello di organizzazione idoneo, efficacemente attuato e vigilato. Quando il reato consiste in un’omissione — non aver previsto chi controlla l’output del sistema, o non averlo previsto in modo che ne resti traccia — la carenza organizzativa merita una verifica puntuale. Non coincide però, da sola, con gli elementi del reato: occorrono l’omissione intenzionale e il pericolo richiesto dal quarto comma.

Lo scarto fra il reato e le scadenze europee

L’obiezione ragionevole è che gli obblighi europei sui sistemi ad alto rischio sono stati rinviati. È vero: il regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026, ha spostato al 2 dicembre 2027 gli obblighi per i sistemi dell’Allegato III e al 2 agosto 2028 quelli per i sistemi che sono componenti di sicurezza di prodotti regolati.

Il rinvio però ha spostato in avanti gli obblighi, non la classificazione: l’Allegato III elenca già oggi quali sistemi sono ad alto rischio, e nessuna azienda potrà sostenere nel 2028 di non aver saputo prima in quale categoria ricadeva il software che aveva in produzione.

Sul raccordo fra il reato e quelle scadenze va letto il decreto pubblicato, non lo schema trasmesso alle Camere. L’unica disposizione transitoria del testo, l’articolo 21, riguarda i sistemi già in uso per l’attività di polizia, e dà un anno alle Forze di polizia per metterli in regola. Per il titolo che contiene il reato e la responsabilità dell’ente non c’è nulla di simile: nessuna norma lega l’articolo 437-bis del codice penale o l’articolo 25-vicies del decreto legislativo 231/2001 al 2 dicembre 2027. Il regime delle sanzioni amministrative è disciplinato separatamente dagli articoli 19–25 del decreto legislativo 7 ottobre 2026, n. 179, che entrerà in vigore il 23 ottobre. Nel d.lgs. 160/2026 non c’è una clausola che rinvii il reato alle scadenze europee: l’articolo 437-bis del codice penale è in vigore dal 30 settembre 2026.

Resta aperta una questione che nessun testo chiude, e che è giusto dichiarare come tale: le misure tecniche di sicurezza «previste per» i sistemi ad alto rischio, la cui omissione integra il reato, sono in buona parte quelle di un regolamento che su quei sistemi diventerà applicabile solo nel 2027. È un’obiezione seria e chi la solleva non ha torto. Vale però per le misure tecniche, non per la sorveglianza umana, che è l’altra metà della condotta punita e che nessuna azienda ha bisogno di aspettare una scadenza per organizzare.

C’è poi una ragione più prosaica per non aspettare. Aggiornare un Modello 231 non è un adempimento di due settimane: richiede la mappatura dei processi esposti, la scrittura dei protocolli, la delibera dell’organo amministrativo, i flussi informativi verso l’Organismo di Vigilanza e la formazione di chi quei protocolli dovrà applicare. Chi comincia quando la norma è in vigore, comincia in ritardo di un anno.

Che cosa può fare l’Organismo di Vigilanza adesso

Il testo definitivo è in vigore. I passaggi seguenti vanno quindi calibrati sull’articolo 437-bis del codice penale e sull’articolo 25-vicies del decreto legislativo 8 giugno 2001, n. 231, introdotti rispettivamente dagli articoli 12 e 15 del decreto legislativo 9 settembre 2026, n. 160.

1. Chiedere l’inventario, non la rassicurazione. Non «usiamo l’intelligenza artificiale?», ma l’elenco dei sistemi in produzione con il processo su cui incidono, la data di introduzione e la funzione che li ha comprati. In buona parte delle aziende metà di quei sistemi non è mai passata dalla direzione dei sistemi informativi.
2. Separare quelli ad alto rischio. Confronto voce per voce con l’Allegato III del regolamento (UE) 2024/1689 e con i prodotti soggetti ad armonizzazione. È l’unico passaggio che richiede una lettura giuridica, ed è quello che decide la dimensione di tutto il resto.
3. Dare un nome alla sorveglianza umana. Per ciascun sistema ad alto rischio: chi controlla, che cosa deve poter fermare, con quale frequenza, e dove resta traccia del controllo. Una sorveglianza che non lascia traccia, in un procedimento, equivale a una sorveglianza che non c’è stata.
4. Portare i protocolli dentro il Modello. Parte speciale dedicata, flussi informativi verso l’Organismo di Vigilanza, e un obbligo di segnalazione quando un sistema nuovo entra in produzione — che è il momento in cui oggi nessuno avvisa nessuno.
5. Rileggere i contratti con i fornitori. La documentazione tecnica, i registri di funzionamento e le istruzioni per l’uso, senza i quali la sorveglianza non è dimostrabile, li ha il fornitore: se non sono scritti nel contratto, non li avrete quando serviranno. È il tema di una nota precedente.
6. Fissare e documentare il riesame. Il d.lgs. 160/2026 è in vigore dal 30 settembre: occorre verificare che mappatura e protocolli siano stati aggiornati rispetto al testo definitivo. Il decreto legislativo 7 ottobre 2026, n. 179, pubblicato l’8 ottobre e in vigore dal 23 ottobre, richiede inoltre di valutare, per i processi interessati, il coordinamento con le disposizioni sulle decisioni assistite dall’IA nel rapporto di lavoro e sulla valutazione dei rischi per salute e sicurezza (articoli 41 e 42 del medesimo decreto).

Un’ultima annotazione sull’ordine delle priorità. La tentazione, davanti a una norma penale nuova, è di aggiornare per prima cosa il documento: aggiungere la parte speciale, allegare l’elenco dei reati, mettere la delibera agli atti. Ma un Modello che elenca l’articolo 437-bis del codice penale senza sapere quali sistemi l’azienda usa davvero non è una difesa: è la prova scritta che il rischio era stato riconosciuto e non presidiato.