Dai nuovi reati-presupposto alla revisione del Modello 231: il nuovo quadro italiano sull’utilizzo dell’intelligenza artificiale
L’utilizzo dell’intelligenza artificiale all’interno delle organizzazioni sta assumendo una rilevanza sempre maggiore anche dal punto di vista della responsabilità degli enti.
Negli ultimi anni il dibattito si è concentrato soprattutto sugli obblighi introdotti dal Regolamento (UE) 2024/1689, l’AI Act: classificazione dei sistemi, gestione del rischio, trasparenza, supervisione umana, documentazione e responsabilità dei diversi soggetti coinvolti nella catena del valore dell’intelligenza artificiale.
Il quadro italiano aggiunge oggi un ulteriore livello di attenzione.
La Legge 23 settembre 2025, n. 132, recante Disposizioni e deleghe al Governo in materia di intelligenza artificiale, ha introdotto specifiche disposizioni penali connesse all’impiego dell’AI. A questo intervento si affianca il decreto legislativo di adeguamento dell’ordinamento nazionale all’AI Act, che interviene anche sulla responsabilità amministrativa degli enti disciplinata dal D.Lgs. 231/2001.
Il risultato è particolarmente significativo per le imprese dotate di un Modello di Organizzazione, Gestione e Controllo: l’utilizzo dell’intelligenza artificiale deve essere considerato anche nella mappatura dei rischi-reato, nella definizione dei protocolli, nei controlli e nei flussi informativi verso l’Organismo di Vigilanza.
Dall’AI Act alla disciplina italiana sull’intelligenza artificiale
Il punto di partenza rimane il Regolamento (UE) 2024/1689.
L’AI Act introduce un modello basato sul rischio e distingue gli obblighi applicabili in funzione delle caratteristiche e delle finalità dei sistemi di intelligenza artificiale. Particolare attenzione viene dedicata ai sistemi ad alto rischio, per i quali il Regolamento prevede requisiti relativi, tra gli altri, alla gestione del rischio, alla qualità dei dati, alla documentazione tecnica, alla registrazione degli eventi, alla trasparenza, alla supervisione umana, all’accuratezza, alla robustezza e alla cybersicurezza.
Accanto al quadro europeo è intervenuta la Legge n. 132/2025, che ha definito principi e disposizioni nazionali sull’utilizzo dell’intelligenza artificiale e ha introdotto importanti modifiche anche in materia penale.
Il legislatore italiano ha quindi iniziato a considerare l’AI anche come elemento capace di incidere sulle modalità di commissione di determinati illeciti e sulla gravità delle relative conseguenze.
La Legge 132/2025 e l’utilizzo dell’AI nella commissione dei reati
Una delle modifiche più rilevanti introdotte dalla Legge 132/2025 riguarda l’articolo 61 del Codice penale.
La legge ha previsto una nuova circostanza aggravante quando il fatto viene commesso attraverso sistemi di intelligenza artificiale e il loro impiego, per natura o modalità di utilizzo, costituisce un mezzo insidioso, ostacola la pubblica o privata difesa oppure aggrava le conseguenze del reato.
A seguito della rettifica pubblicata in Gazzetta Ufficiale, la disposizione è correttamente identificata come art. 61, n. 11-undecies c.p.
È un passaggio importante perché riconosce formalmente che l’intelligenza artificiale può modificare le caratteristiche con cui viene realizzata una condotta illecita: può aumentarne la capacità di persuasione, automatizzarne alcune fasi, ampliarne la portata oppure rendere più difficile l’individuazione dell’inganno.
La stessa legge ha inoltre introdotto nel Codice penale l’art. 612-quater, dedicato all’illecita diffusione di contenuti generati o alterati mediante sistemi di intelligenza artificiale.
La fattispecie riguarda la diffusione, senza consenso, di immagini, video o voci falsificati o alterati mediante AI, idonei a indurre in inganno sulla loro genuinità, quando dalla condotta derivi un danno ingiusto alla persona interessata.
Il fenomeno dei cosiddetti deepfake acquisisce così una specifica rilevanza penale.
Il nuovo collegamento tra intelligenza artificiale e responsabilità 231
Il passaggio particolarmente rilevante per le organizzazioni arriva con il decreto legislativo dedicato all’adeguamento dell’ordinamento nazionale all’AI Act.
Il nuovo quadro delineato dal decreto prevede un intervento diretto sul D.Lgs. 231/2001 attraverso l’introduzione dell’articolo 25-vicies, ampliando il catalogo dei reati-presupposto rilevanti ai fini della responsabilità amministrativa degli enti.
Le fattispecie individuate sono due: il nuovo art. 437-bis c.p., relativo all’omessa adozione delle misure di sicurezza nei sistemi di intelligenza artificiale e alla loro alterazione illecita, e l’art. 612-quater c.p., relativo all’illecita diffusione di contenuti generati o alterati mediante sistemi AI.
Si crea quindi un collegamento diretto tra la disciplina dell’intelligenza artificiale e il sistema della responsabilità degli enti.
Per le organizzazioni dotate di Modello 231 questo significa dover considerare l’AI anche nell’ambito del proprio sistema di prevenzione dei reati.
Sistemi AI ad alto rischio e misure di sicurezza: l’art. 437-bis c.p
Particolarmente interessante è il nuovo art. 437-bis previsto dal decreto.
La disposizione riguarda l’omessa adozione delle misure di sicurezza nei sistemi di intelligenza artificiale ad alto rischio e l’alterazione illecita dei sistemi.
Il testo esaminato in sede parlamentare contempla, tra le condotte rilevanti, l’omissione delle misure tecniche di sicurezza o di sorveglianza umana relative ai sistemi AI ad alto rischio quando ricorrano le condizioni previste dalla fattispecie.
Il collegamento con l’AI Act diventa quindi particolarmente evidente.
Concetti come sicurezza del sistema, supervisione umana, corretta gestione e classificazione dei sistemi AI assumono una rilevanza che può estendersi oltre la compliance regolatoria e raggiungere anche il sistema penale e, attraverso il nuovo catalogo dei reati-presupposto, la responsabilità dell’ente.
Per un’organizzazione diventa quindi fondamentale conoscere quali sistemi AI siano utilizzati, comprenderne la classificazione e individuare i processi nei quali tali sistemi intervengono.
Dall’utilizzo dell’AI alla mappatura dei rischi 231
L’impatto sul Modello 231 deve essere letto in una prospettiva più ampia rispetto alla semplice introduzione di due nuove fattispecie nel catalogo dei reati-presupposto.
L’intelligenza artificiale sta infatti entrando progressivamente nei processi aziendali.
Può essere utilizzata nella selezione del personale, nell’analisi dei dati, nella produzione di documenti, nello sviluppo software, nelle attività commerciali, nella gestione dei clienti, nella sicurezza informatica o come supporto ai processi decisionali.
Ogni organizzazione presenta quindi un’esposizione differente.
L’aggiornamento del risk assessment 231 dovrebbe partire da una mappatura concreta dei sistemi AI effettivamente utilizzati e dei processi nei quali vengono impiegati.
Occorre comprendere quali attività sensibili possano essere interessate, quali condotte possano generare un rischio-reato e quali misure organizzative siano già presenti.
Il censimento dei sistemi AI diventa, in questa prospettiva, una fonte informativa importante anche per il sistema 231.
Protocolli, controlli e supervisione umana
Una volta individuate le aree maggiormente esposte, il Modello deve essere in grado di definire presidi coerenti con i rischi identificati.
Le misure possono riguardare, ad esempio, le modalità con cui vengono autorizzati e introdotti nuovi sistemi AI, la definizione delle responsabilità, le regole di utilizzo, i controlli sugli output, la gestione degli accessi, la protezione delle informazioni, la supervisione umana e la segnalazione di eventuali anomalie.
Anche la formazione assume un ruolo significativo.
Chi utilizza un sistema di intelligenza artificiale dovrebbe conoscere le regole aziendali applicabili, comprenderne i principali rischi e sapere in quali circostanze sia necessario coinvolgere altre funzioni o attivare specifici controlli.
Il tema si collega direttamente anche all’AI Literacy prevista dall’articolo 4 dell’AI Act.
Il ruolo dell’Organismo di Vigilanza
L’evoluzione normativa incide inevitabilmente anche sull’attività dell’Organismo di Vigilanza.
L’OdV deve disporre delle informazioni necessarie per verificare l’adeguatezza e l’effettiva attuazione del Modello rispetto alle aree di rischio rilevanti.
L’introduzione dell’AI nei processi aziendali rende quindi opportuno interrogarsi anche sui flussi informativi.
L’adozione di nuovi sistemi, l’utilizzo dell’AI in processi sensibili, eventuali incidenti, anomalie rilevanti, violazioni delle procedure interne o modifiche significative alle modalità di utilizzo possono costituire informazioni utili per l’attività di vigilanza.
Il punto centrale è costruire flussi realmente collegati al rischio 231, evitando sia l’assenza di informazioni sia una raccolta indiscriminata di dati poco significativi.
Un Modello 231 capace di seguire l’evoluzione tecnologica
L’intelligenza artificiale rende ancora più evidente una caratteristica fondamentale dei Modelli di Organizzazione, Gestione e Controllo: devono evolvere insieme all’organizzazione.
L’introduzione di una nuova tecnologia può modificare processi, responsabilità, modalità decisionali e profili di rischio. Di conseguenza, può rendere necessario aggiornare il risk assessment, verificare i protocolli esistenti e ridefinire alcuni flussi informativi.
Il nuovo quadro normativo italiano rafforza ulteriormente questa esigenza.
Per le imprese diventa quindi importante costruire un collegamento stabile tra governance dell’intelligenza artificiale e sistema 231, mantenendo una visione aggiornata dei sistemi utilizzati, dei processi interessati, dei rischi associati e dei controlli adottati.
L’AI entra progressivamente nell’organizzazione. Anche il Modello 231 deve essere in grado di seguirne l’evoluzione.
👉 Approfondiremo le novità normative e le loro conseguenze operative nel nostro prossimo webinar dedicato a Intelligenza Artificiale e D.Lgs. 231/2001, con particolare attenzione all’aggiornamento del Modello e al ruolo dell’Organismo di Vigilanza – https://meet.zoho.eu/zkkl-gbr-neo