{"id":20839,"date":"2026-09-25T10:13:33","date_gmt":"2026-09-25T08:13:33","guid":{"rendered":"https:\/\/www.albeeassociati.it\/?p=20839"},"modified":"2026-09-29T09:04:11","modified_gmt":"2026-09-29T07:04:11","slug":"lintelligenza-artificiale-entra-nei-modelli-231-nuovi-reati-e-nuove-sfide-per-la-compliance","status":"publish","type":"post","link":"https:\/\/www.albeeassociati.it\/en\/lintelligenza-artificiale-entra-nei-modelli-231-nuovi-reati-e-nuove-sfide-per-la-compliance\/","title":{"rendered":"L\u2019Intelligenza Artificiale entra nei Modelli 231: nuovi reati e nuove sfide per la compliance"},"content":{"rendered":"\n<p>Il 15 settembre 2026 \u00e8 stato pubblicato in Gazzetta Ufficiale il <strong>D. Lgs. 160\/2026<\/strong> (che entrer\u00e0 in vigore il prossimo 30 settembre) recante l\u2019adeguamento della normativa nazionale al <strong>Regolamento (UE) 2024\/1689 (AI Act)<\/strong>.<\/p>\n\n\n\n<p>Tra le novit\u00e0 di maggiore interesse \u00e8 l\u2019ampliamento dei <strong>reati presupposto<\/strong> con l\u2019introduzione di fattispecie penali specificamente costruite intorno all\u2019utilizzo e alla sicurezza dei sistemi di IA.<\/p>\n\n\n\n<p>Il nuovo <strong>art. 25 <em>vicies<\/em> del D. Lgs. 231\/2001<\/strong> titolato \u201c<em>Reati commessi con l\u2019uso di sistemi di intelligenza artificiale<\/em>\u201d include nello specifico:<\/p>\n\n\n\n<ul>\n<li>l\u2019<strong>art. 437 <em>bis<\/em> c.p. <\/strong>\u2013 <em>Omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi<\/em> che punisce chi nella progettazione, addestramento, produzione, immissione sul mercato, di sistemi di IA ad alto rischio omette di adottare le misure tecniche di sicurezza idonee a prevenire malfunzionamenti o alterazioni del funzionamento del sistema ovvero omette le necessarie misure di sorveglianza umana, qualora dal fatto derivi un pericolo per la vita o l\u2019incolumit\u00e0 pubblica o individuale o per la sicurezza dello Stato. Il secondo comma dell\u2019articolo sanziona, inoltre, la condotta di chi altera illecitamente i sistemi di IA. Il quarto comma punisce, inoltre, l\u2019utilizzatore professionale di sistemi di IA ad alto rischio che omette intenzionalmente di adottare misure di sorveglianza umana qualora da tale omissione derivi pericolo per la vita o per l\u2019incolumit\u00e0 pubblica o individuale oppure pericolo per la sicurezza dello Stato;<\/li>\n\n\n\n<li>l\u2019<strong>art. 612 <em>quater<\/em> c.p. <\/strong>\u2013 <em>Illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale<\/em> che punisce con la reclusione da uno a cinque anni chi cagiona un danno ingiusto a una persona cedendo, pubblicando o altrimenti diffondendo, senza il consenso della persona interessata, immagini, video o voci falsificati o alterati mediante l\u2019impiego di sistemi di IA, idonei a indurre in inganno sulla loro genuinit\u00e0. La fattispecie riguarda il fenomeno dei cosiddetti <strong><em>deepfake<\/em><\/strong>.<\/li>\n<\/ul>\n\n\n\n<p>Il nuovo art. 25 <em>vicies<\/em> prevede per l\u2019art. 437 <em>bis<\/em> c.p. una <strong>sanzione pecuniaria da 600 a 1.000 quote <\/strong>e per l\u2019art. 612 <em>quater<\/em> c.p., una sanzione pecuniaria da 200 a 700 quote. Per entrambe le fattispecie sono, inoltre, previste <strong>sanzioni interdittive<\/strong>, tra cui la sospensione o revoca di autorizzazioni, licenze o concessioni funzionali alla commissione dell&#8217;illecito, il divieto di contrattare con la Pubblica Amministrazione, l\u2019esclusione da agevolazioni, finanziamenti, contributi o sussidi e il divieto di pubblicizzare beni o servizi.<\/p>\n\n\n\n<p>La rilevanza penale della condotta prevista nell\u2019art. 437 <em>bis<\/em> c.p. riguarda i sistemi di <strong>IA ad alto rischio<\/strong>, per identificare i quali occorre fare riferimento all\u2019art. 6 del Regolamento (UE) 2024\/1689 (AI Act) e agli Allegati ivi richiamati. La fattispecie prevista dall\u2019art. 612 <em>quater <\/em>c.p. invece non \u00e8 cos\u00ec circoscritta.<\/p>\n\n\n\n<p>L\u2019introduzione delle nuove fattispecie di reato nel novero dei reati presupposto da cui potrebbe scaturire la <strong>responsabilit\u00e0 amministrativa degli enti<\/strong>, rende necessario procedere ad una rivalutazione del complessivo sistema di <em>compliance<\/em> 231.<\/p>\n\n\n\n<p>Considerato la sempre maggiore integrazione dei sistemi di IA nei processi aziendali, sar\u00e0 opportuno adottare un approccio \u201cintegrato\u201d e dinamico, cos\u00ec che l&#8217;IA non entri nel Modello 231 come una voce aggiuntiva del catalogo dei rischi, ma come un <strong>fattore trasversale<\/strong> che incide su processi aziendali, persone, dati e decisioni.<\/p>\n\n\n\n<p>L\u2019adeguamento del Modello 231 non dovrebbe, quindi, esaurirsi in un intervento meramente formale, ma richiede una <strong>verifica complessiva dell\u2019organizzazione<\/strong>, dei processi aziendali nei quali l\u2019IA viene utilizzata e dei presidi adottati per prevenire condotte illecite.<\/p>\n\n\n\n<p>In quest\u2019ottica, il percorso di adeguamento potrebbe articolarsi in sei principali direttrici.<\/p>\n\n\n\n<h3 class=\"wp-block-heading has-text-align-center\"><strong>Mappatura e risk assesment: capire dove e come sono utilizzati i sistemi di IA e individuare i possibili scenari di illecito<\/strong><\/h3>\n\n\n\n<p>Il primo passaggio consiste nella <strong>mappatura dei sistemi e degli strumenti di IA<\/strong> utilizzati nelle varie aree aziendali (acquisti, vendite, gestione del personale, marketing ecc).<\/p>\n\n\n\n<p>Tale attivit\u00e0 non dovrebbe essere limitata ai soli sistemi qualificabili come \u201cad alto rischio\u201d, ma comprendere anche gli strumenti di IA integrati in software e applicativi aziendali e quelli utilizzati nei processi e nelle attivit\u00e0 gi\u00e0 considerati \u201csensibili\u201d ai fini del D.Lgs. 231\/2001.<\/p>\n\n\n\n<p>La mappatura dovrebbe articolarsi su due livelli: da un lato, un inventario generale degli strumenti di IA presenti e utilizzati dall&#8217;ente; dall&#8217;altro, una successiva <strong>classificazione e valutazione del rischio 231<\/strong>, volta a individuare i sistemi e i relativi utilizzi concretamente rilevanti rispetto ai reati-presupposto.<\/p>\n\n\n\n<p>In particolare, per l&#8217;art. 437-bis c.p. assume rilievo la presenza di sistemi di IA ad alto rischio, mentre, con riferimento all&#8217;art. 612-quater c.p., l&#8217;attenzione deve concentrarsi soprattutto sul concreto utilizzo degli strumenti di IA generativa e sulla produzione, alterazione e diffusione dei relativi contenuti, senza che la qualificazione del sistema come \u201chigh-risk\u201d costituisca l&#8217;unico criterio di selezione.<\/p>\n\n\n\n<p>Ne consegue che la mappatura dovrebbe collegare, per ciascun sistema, tecnologia utilizzata, finalit\u00e0, processo aziendale interessato, attivit\u00e0 sensibile 231, possibile rischio-reato e <strong>presidi di controllo<\/strong>. L&#8217;obiettivo non \u00e8 quindi costruire un semplice registro degli strumenti di IA, ma integrare l&#8217;inventario tecnologico con la tradizionale metodologia di risk assesment 231, al fine anche di verificare se l&#8217;impiego dell&#8217;intelligenza artificiale abbia modificato il profilo di rischio di attivit\u00e0 gi\u00e0 \u201csensibili\u201d ovvero abbia introdotto nuove modalit\u00e0 operative suscettibili di incidere sui rischi-reato e di conseguenza individuare i casi nei quali siano necessari specifici protocolli, controlli, responsabilit\u00e0, attivit\u00e0 di supervisione e flussi informativi verso l&#8217;Organismo di Vigilanza.<\/p>\n\n\n\n<h3 class=\"wp-block-heading has-text-align-center\"><strong>Costruzione dei presidi di controllo: dall&#8217;analisi del rischio alle regole operative<\/strong><\/h3>\n\n\n\n<p>Il secondo passaggio consiste nella predisposizione dei <strong>presidi organizzativi, procedurali e tecnologici<\/strong> idonei a prevenire i rischi individuati, quali policy sull\u2019uso dell\u2019IA, definizione di ruoli e responsabilit\u00e0, controllo dei fornitori, verifica degli output, supervisione umana, gestione degli accessi e sicurezza dei dati.<\/p>\n\n\n\n<p>Il principio fondamentale \u00e8 la <strong>proporzionalit\u00e0<\/strong>: il livello dei controlli deve essere commisurato al rischio. Gli strumenti di IA utilizzati per attivit\u00e0 semplici richiedono presidi meno stringenti, mentre quelli che incidono su persone, dati sensibili, operazioni finanziarie o decisioni aziendali rilevanti necessitano di controlli pi\u00f9 rigorosi.<\/p>\n\n\n\n<h3 class=\"wp-block-heading has-text-align-center\"><strong>Tracciamento: rendere verificabile l&#8217;utilizzo dell&#8217;IA<\/strong><\/h3>\n\n\n\n<p>Un elemento particolarmente importante \u00e8 rappresentato dalla <strong>tracciabilit\u00e0<\/strong>.<\/p>\n\n\n\n<p>Un sistema di compliance efficace deve essere in grado, ove necessario, di ricostruire chi ha utilizzato un sistema di IA, quale sistema \u00e8 stato utilizzato, per quale finalit\u00e0, quali dati sono stati impiegati e quale output \u00e8 stato prodotto.<\/p>\n\n\n\n<p>Potranno assumere rilievo, ad esempio la registrazione degli accessi, i log delle attivit\u00e0, la conservazione delle versioni dei modelli o degli strumenti utilizzati, il tracciamento degli input e degli output nei processi maggiormente sensibili, la documentazione delle verifiche e delle validazioni effettuate dall&#8217;operatore umano, la conservazione della documentazione relativa alla gestione degli incidenti e delle anomalie.<\/p>\n\n\n\n<p>La tracciabilit\u00e0 assume una duplice funzione: da un lato costituisce un presidio preventivo, perch\u00e9 rende maggiormente controllabile l&#8217;utilizzo dello strumento; dall&#8217;altro consente, in caso di anomalia o illecito, di ricostruire a posteriori la catena decisionale e le responsabilit\u00e0.<\/p>\n\n\n\n<h3 class=\"wp-block-heading has-text-align-center\"><strong>Formazione: l&#8217;alfabetizzazione sull&#8217;IA come presidio di compliance<\/strong><\/h3>\n\n\n\n<p>La formazione deve diventare parte integrante del sistema di compliance, con contenuti differenziati in relazione ai ruoli aziendali. Nessun sistema di controllo pu\u00f2 essere, infatti, davvero efficace se coloro che utilizzano gli strumenti di IA non ne conoscono rischi, limiti e regole di utilizzo.<\/p>\n\n\n\n<p>Per la generalit\u00e0 dei dipendenti, la formazione dovrebbe concentrarsi sulle regole di utilizzo degli strumenti, sulla gestione dei dati e delle informazioni, sui rischi derivanti dagli output generati dall&#8217;IA e sulle condotte vietate. Per le funzioni maggiormente coinvolte nello sviluppo, nell&#8217;acquisto, nella gestione o nell&#8217;utilizzo di sistemi di IA a maggiore impatto, sar\u00e0 invece necessario prevedere una formazione pi\u00f9 specialistica, comprendente anche gli aspetti normativi, organizzativi, tecnologici e di sicurezza.<\/p>\n\n\n\n<p>La formazione dovrebbe inoltre essere <strong>periodica e documentata<\/strong>, cos\u00ec da consentire all&#8217;azienda di dimostrare non soltanto di aver adottato regole interne, ma anche di averle effettivamente portate a conoscenza dei destinatari.<\/p>\n\n\n\n<h3 class=\"wp-block-heading has-text-align-center\"><strong>Flussi informativi verso l&#8217;Organismo di Vigilanza<\/strong><\/h3>\n\n\n\n<p>L\u2019ultimo passaggio riguarda la <strong>riformulazione dei flussi informativi verso l\u2019Organismo di Vigilanza (OdV)<\/strong>, affinch\u00e9 quest\u2019ultimo possa verificare che l\u2019ente si sia adeguatamente organizzato per gestire i rischi connessi all\u2019utilizzo dell\u2019IA. In particolare, l\u2019OdV dovrebbe poter accertare che l\u2019ente abbia censito i sistemi di IA utilizzati, individuato e valutato i rischi rilevanti ai fini del D.Lgs. 231\/2001 e predisposto adeguati protocolli, procedure e presidi di controllo.<\/p>\n\n\n\n<p>Tale attivit\u00e0 non comporta, tuttavia, che l\u2019OdV debba effettuare valutazioni di natura tecnica sui sistemi di IA, n\u00e9 che debba sovrintendere al loro funzionamento operativo. L\u2019OdV non \u00e8 chiamato, ad esempio, a verificare direttamente l\u2019affidabilit\u00e0 tecnica di un algoritmo, la correttezza del suo codice o le caratteristiche informatiche del sistema. La sua funzione rimane quella di verificare, sotto il profilo organizzativo e di compliance, che l\u2019ente abbia adottato un sistema idoneo a presidiare i rischi derivanti dall\u2019utilizzo dell\u2019IA, in coerenza con il <strong>Modello 231<\/strong>.<\/p>\n\n\n\n<p>In questa prospettiva, l\u2019OdV deve quindi poter verificare non tanto come tecnicamente funziona un sistema di IA, quanto se l\u2019ente abbia adottato le <strong>misure organizzative necessarie per governarne i rischi<\/strong>: dalla fase di individuazione e valutazione del rischio, alla definizione delle responsabilit\u00e0, fino alla predisposizione di procedure di controllo, monitoraggio e gestione delle eventuali anomalie.<\/p>\n\n\n\n<p>A titolo esemplificativo, i flussi informativi potrebbero riguardare l\u2019introduzione di nuovi sistemi di IA nei processi sensibili, le modifiche significative ai sistemi gi\u00e0 utilizzati, eventuali incidenti o violazioni delle policy interne, le segnalazioni relative all\u2019impiego dell\u2019IA, gli esiti delle attivit\u00e0 di monitoraggio e controllo, le verifiche effettuate sui fornitori e le attivit\u00e0 formative svolte.<\/p>\n\n\n\n<p>In tal modo, l\u2019OdV pu\u00f2 svolgere efficacemente la propria funzione di vigilanza senza trasformarsi in un organo tecnico, concentrando la propria attenzione sull\u2019<strong>adeguatezza<\/strong> <strong>dell\u2019assetto organizzativo e dei presidi adottati dall\u2019ente<\/strong> per prevenire e gestire i rischi 231 connessi all\u2019IA.<\/p>\n\n\n\n<p><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Il 15 settembre 2026 \u00e8 stato pubblicato in Gazzetta Ufficiale il D. Lgs. 160\/2026 (che entrer\u00e0 in vigore il prossimo 30 settembre) recante l\u2019adeguamento della normativa nazionale al Regolamento (UE) 2024\/1689 (AI Act). Tra le novit\u00e0 di maggiore interesse \u00e8 l\u2019ampliamento dei reati presupposto con l\u2019introduzione di fattispecie penali specificamente costruite intorno all\u2019utilizzo e alla [&hellip;]<\/p>\n","protected":false},"author":3,"featured_media":20840,"comment_status":"closed","ping_status":"0","sticky":false,"template":"","format":"standard","meta":[],"categories":[40,1,11],"tags":[],"acf":[],"_links":{"self":[{"href":"https:\/\/www.albeeassociati.it\/en\/wp-json\/wp\/v2\/posts\/20839"}],"collection":[{"href":"https:\/\/www.albeeassociati.it\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.albeeassociati.it\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.albeeassociati.it\/en\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/www.albeeassociati.it\/en\/wp-json\/wp\/v2\/comments?post=20839"}],"version-history":[{"count":9,"href":"https:\/\/www.albeeassociati.it\/en\/wp-json\/wp\/v2\/posts\/20839\/revisions"}],"predecessor-version":[{"id":20851,"href":"https:\/\/www.albeeassociati.it\/en\/wp-json\/wp\/v2\/posts\/20839\/revisions\/20851"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.albeeassociati.it\/en\/wp-json\/wp\/v2\/media\/20840"}],"wp:attachment":[{"href":"https:\/\/www.albeeassociati.it\/en\/wp-json\/wp\/v2\/media?parent=20839"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.albeeassociati.it\/en\/wp-json\/wp\/v2\/categories?post=20839"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.albeeassociati.it\/en\/wp-json\/wp\/v2\/tags?post=20839"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}