Di Stefano Barlini, MBA, Advanced in AI Audit, Certified CAIO, CIA, CISA, Certified 31000 Trainer, CCSA, QAR | Internal Audit & GRC Expert presso Compet-e
I Rischi AI derivanti dall’introduzione e rapidissima diffusione dei modelli di Artificial Intelligence in tutte le aziende sono già dentro il Perimetro 231. Lo abbiamo affermato e dimostrato negli ultimi articoli di questa rubrica ancor prima e indipendentemente dalla diffusione in bozza di uno dei decreti legislativi che – sulla base della Legge 132 del 2025 sull’AI – a breve introdurrà un nuovo e aggiuntivo articolo 25-vicies (“Reati commessi con l’uso di sistemi di intelligenza artificiale”) nel testo del Decreto 231. Tale articolo, secondo l’usuale schema, richiamerà a sua volta delle nuove fattispecie di reato-presupposto 231 che si aggiungeranno al già lunghissimo elenco dei reati 231 (il c.d. “Catalogo 231”):
Senza entrare qui nel merito di queste due nuove fattispecie di reato che saranno a breve ricondotte dal legislatore delegato nel perimetro 231, abbiamo constatato che l’AI costituisce già da tempo un rischio di rilievo 231 – o più correttamente una sua causa/fonte – in quanto strumento sempre più importante e diffuso in qualsiasi processo di business e di supporto al business, per svolgere un’attività o un insieme di attività o uno o più processi aziendali. Stiamo facendo riferimento ad uno degli elementi essenziali dei Modelli 231 che gli stessi giudici in più occasioni hanno ribadito essere uno dei profili principali che tra le altre cose distingue:
I Rischi AI derivanti dall’introduzione e rapidissima diffusione dei modelli di Artificial Intelligence in tutte le aziende sono già dentro il Perimetro 231. Lo abbiamo affermato e dimostrato negli ultimi articoli di questa rubrica ancor prima e indipendentemente dalla diffusione in bozza di uno dei decreti legislativi che – sulla base della Legge 132 del 2025 sull’AI – a breve introdurrà un nuovo e aggiuntivo articolo 25-vicies (“Reati commessi con l’uso di sistemi di intelligenza artificiale”) nel testo del Decreto 231. Tale articolo, secondo l’usuale schema, richiamerà a sua volta delle nuove fattispecie di reato-presupposto 231 che si aggiungeranno al già lunghissimo elenco dei reati 231 (il c.d. “Catalogo 231”):
- Omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi (art. 437-bis c.p.)
- Illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale (art. 612-quater c.p.)
Senza entrare qui nel merito di queste due nuove fattispecie di reato che saranno a breve ricondotte dal legislatore delegato nel perimetro 231, abbiamo constatato che l’AI costituisce già da tempo un rischio di rilievo 231 – o più correttamente una sua causa/fonte – in quanto strumento sempre più importante e diffuso in qualsiasi processo di business e di supporto al business, per svolgere un’attività o un insieme di attività o uno o più processi aziendali. Stiamo facendo riferimento ad uno degli elementi essenziali dei Modelli 231 che gli stessi giudici in più occasioni hanno ribadito essere uno dei profili principali che tra le altre cose distingue:
- un Modello 231 sulla carta, del tutto inutile (anzi controproducente) a difendere un’azienda dalle pesanti sanzioni previste dal Decreto 231
- da un Modello 231 reale ed adeguato nel suo disegno astratto e, soprattutto, nella sua efficacia operativa, sulla base del quale l’azienda – pur nel caso di coinvolgimento in un procedimento penale – ha maggiori probabilità di vedere riconosciuta la propria diligenza organizzativa.
👉 Si tratta dell’elemento della Modalità Realizzativa ossia il modo concreto attraverso cui un’azienda potrebbe commettere nel proprio interesse e/o vantaggio uno o più reati inclusi in astratto nel catalogo 231.
Partendo dall’analisi di alcuni importanti provvedimenti giudiziari, abbiamo avuto occasione di dimostrare che la “Modalità Realizzativa” rappresenta, infatti, l’elemento essenziale che caratterizza l’identificazione e quindi la comprensione e con essa la prevenzione di ciascun rischio-reato incluso nel catalogo 231: il modo concreto, o meglio, le modalità con cui il singolo reato 231 può essere concretamente realizzato nello specifico contesto (interno ed esterno) dell’azienda e naturalmente nel suo interesse e/o vantaggio.
Abbiamo così evidenziato che è proprio nell’identificazione delle specifiche modalità realizzative che si passa:
Si può quindi già intuire che:
Abbiamo così evidenziato che è proprio nell’identificazione delle specifiche modalità realizzative che si passa:
- da un elenco di reati 231 necessariamente astratti nelle loro descrizioni e relative ipotesi esemplificative (sostanzialmente una “libreria standard” o, se volete, lo stesso “catalogo 231” impiegato nel risk assessment 231)
- ad una vera e propria Mappa delle Attività Sensibili 231 in cui i rischi-reato 231, attraverso la concreta identificazione delle modalità realizzative, sono ricondotti alle specifiche attività di business e/o di supporto al business di una singola azienda e all’interesse e/o vantaggio che ne potrebbe derivare.
Si può quindi già intuire che:
📌Non sarà certamente sufficiente (come peraltro non lo era più ormai da tempo) l’aggiornamento formale della mappa delle attività sensibili e/o la predisposizione di un nuovo protocollo 231 del Modello.
Con i prossimi articoli spiegheremo, infatti, come l’Artificial Intelligence abbia fatto “esplodere”, annichilendolo, uno degli assiomi – accettato convenzionalmente come punto di partenza, ancorché non vero – su cui poggiano ancora oggi la gran parte dei Modelli 231 in circolazione:
❌ la relazione lineare tra rischi e controlli, secondo cui sarebbe sufficiente (ogni tanto) aggiornare un elenco di rischi o attività sensibili (da un lato) e i corrispondenti controlli o protocolli di controllo dall’altra parte, per ritenere il proprio Modello 231 idoneo ad evitare le pesanti sanzioni previste dal Decreto 231.
Analizzando un buon numero di cattive pratiche 231 censurate dai giudici, abbiamo, infatti, dimostrato la straordinaria complessità che un Modello 231 deve (o meglio dovrebbe) gestire per raggiungere il suo vero obiettivo: prevenire la commissione di uno o più reati nell’interesse o vantaggio dell’azienda e da cui possa derivare una o più sanzioni previste dal Decreto 231/01 con eventuali ulteriori conseguenze sfavorevoli per l’azienda stessa. Nel fare ciò abbiamo definito “straordinaria” la complessità di un Modello 231 perché non esiste un qualsiasi altro compliance program che sia chiamato a gestire così tanti e pesanti elementi di complessità, tra cui:
nonché appunto:
- il vasto numero di rischi (oggi +200 reati) e conseguentemente delle relative modalità realizzative e quindi attività sensibili da governare con i protocolli di controllo via, via crescenti in numero e ambito di applicazione
- l’estrema dinamicità dei rischi 231 derivante sia dai frequenti ampliamenti del catalogo dei rischi-reato con peggioramento dell’elemento di sopra, sia dal continuo modificarsi delle circostanze interne di una qualsiasi organizzazione che vive e modifica su base continua i propri obiettivi, la propria organizzazione, i propri processi e le modalità e corrispondenti rischi con cui persegue tali obiettivi
- la notevole eterogeneità dei rischi 231 (+25 classi di rischio diverse, ciascuna poi con una rilevante diversità al suo interno) che caratterizza e differenzia nettamente il compliance program 231 rispetto a qualsiasi altro compliance program (es. GDPR, NIS2, AML, SOX/262, etc.) ciascuno dei quali generalmente ne conta appena una
nonché appunto:
- le interconnessioni tra rischi-reato, attività sensibili, modalità realizzative, contromisure ed ulteriori elementi componenti del Modello che sono molto fitte e tutt’altro che visibili “ad occhio nudo” e certamente non governabili con una o più tabelle su Excel® basate su una presunzione falsa (e pericolosa) che esista una relazione lineare tra rischi-reato 231 / attività sensibili e protocolli di controllo / controlli interni.
📌 Poiché i modelli di AI sono già diffusi in tutti i processi di business e di supporto al business, è evidente che non solo i Rischi AI, ma anche quelli “tradizionali” con modalità realizzativa AI-related, sono già ben dentro il perimetro 231.
Vedremo quindi come la velocità con cui nell’era AI i rischi (non solo quelli AI) si muovono, ha già reso obsolete e prive di reale valore molte metodologie e strumenti di tipo tradizionale ancora oggi molto diffusi.
🤔 Ma c’è davvero qualcuno che crede che sia sufficiente per gestire i Rischi AI, aggiornare dei Modelli 231 basati su un foglio di Excel® con già oltre 100 righe e 75 colonne?
Lascio che siate voi a dare a voi stessi la risposta più sincera e vi ringrazio di nuovo per avermi letto fin qui, invitandovi caldamente a non perdere il nostro prossimo articolo in cui avrete occasione di scoprire:
📢 un nostro regalo speciale pensato per voi tutti che siete già chiamati a gestire i Rischi AI in ambito 231 (e non solo).
In attesa di questo speciale regalo per voi, non mi stancherò mai di ricordarvi che l’idoneità di un Modello 231 richiede sempre più una tecnologia adeguata e, soprattutto, tempo per farla realmente funzionare. Se desiderate scoprire come CORA 231 possa semplificare le vostre attività di compliance ed alzare definitivamente il livello di difesa del Vostro Modello 231, il momento di pianificarlo è adesso.