I nuovi reati introdotti dal D.Lgs. 160/2026 impongono alle imprese di ripensare i presidi organizzativi sull’utilizzo dell’IA
L’intelligenza artificiale entra a pieno titolo nel sistema della responsabilità degli enti ex D.Lgs. 231/2001. Il D.Lgs. 9 settembre 2026, n. 160, pubblicato nella Gazzetta Ufficiale n. 214 del 15 settembre 2026 e destinato a entrare in vigore il 30 settembre 2026, introduce infatti nuove fattispecie penali connesse alla realizzazione e all’utilizzo illecito dei sistemi di intelligenza artificiale e le inserisce nel catalogo dei reati-presupposto della responsabilità degli enti.
La novità assume particolare rilievo non soltanto per l’ampliamento formale del perimetro del D.Lgs. 231/2001, ma soprattutto per il collegamento tra la disciplina della sicurezza dei sistemi di IA e il tema, centrale nel sistema 231, della colpa di organizzazione.
Il nuovo articolo 25-vicies
Il decreto introduce nel D.Lgs. 231/2001 l’art. 25-vicies, rubricato «Reati commessi con l’uso di sistemi di intelligenza artificiale».
La nuova disposizione richiama, in particolare, due fattispecie penali: l’omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e l’alterazione illecita dei sistemi, disciplinata dal nuovo art. 437-bis c.p., e l’illecita diffusione di contenuti generati o alterati mediante sistemi di IA, prevista dall’art. 612-quater c.p.
Per il delitto di cui all’art. 437-bis c.p. è prevista nei confronti dell’ente una sanzione pecuniaria da 600 a 1.000 quote, mentre per il delitto di cui all’art. 612-quater c.p. la sanzione è compresa tra 200 e 700 quote. In entrambi i casi sono inoltre applicabili alcune delle sanzioni interdittive previste dall’art. 9, comma 2, del D.Lgs. 231/2001.
La scelta legislativa è significativa: l’impiego illecito dell’intelligenza artificiale non viene quindi considerato soltanto come un problema individuale, riconducibile alla condotta della persona fisica, ma può diventare anche un rischio direttamente rilevante per l’organizzazione aziendale.
L’omessa sicurezza dei sistemi di IA
Particolarmente interessante è il nuovo art. 437-bis c.p., collocato sistematicamente accanto all’art. 437 c.p., che già disciplina l’omessa collocazione o rimozione di impianti destinati a prevenire infortuni sul lavoro.
La nuova fattispecie riguarda i sistemi di IA ad alto rischio e prende in considerazione l’omessa adozione delle misure tecniche di sicurezza previste per la progettazione, l’addestramento, la produzione e l’immissione sul mercato dei sistemi, quando tali misure siano idonee a prevenire malfunzionamenti o alterazioni del loro funzionamento.
La norma considera inoltre l’omessa adozione di misure di sorveglianza umana. La responsabilità penale viene collegata al verificarsi di un pericolo per la vita o per l’incolumità pubblica o individuale e prevede un trattamento più severo quando il pericolo riguarda la sicurezza dello Stato. È prevista anche una specifica disciplina per le ipotesi commesse per colpa grave.
Il dato di maggiore interesse, sotto il profilo organizzativo, è dunque che la sicurezza dell’IA viene costruita dalla norma come un insieme di presidi tecnici e organizzativi che devono accompagnare il sistema nelle diverse fasi del suo ciclo di vita.
Dalla condotta individuale alla colpa di organizzazione
È proprio su questo terreno che emerge il collegamento con la responsabilità 231.
La domanda non sarà infatti soltanto se un soggetto abbia concretamente omesso una misura di sicurezza, ma anche se tale omissione sia stata resa possibile da un’insufficienza dell’organizzazione aziendale.
In altri termini, occorrerà verificare se l’impresa abbia predisposto un sistema adeguato per governare i rischi derivanti dall’impiego dell’intelligenza artificiale.
Il problema può assumere diverse forme: una società potrebbe utilizzare un sistema di IA ad alto rischio senza averne correttamente valutato le caratteristiche; potrebbe non avere definito chi sia responsabile della supervisione; potrebbe affidarsi a un fornitore esterno senza adeguati controlli; oppure potrebbe avere procedure formalmente esistenti ma non effettivamente applicate.
In tutte queste situazioni il tema della condotta della singola persona si intreccia con quello dell’assetto organizzativo complessivo.
La prospettiva è particolarmente rilevante anche alla luce del percorso di revisione della disciplina 231 attualmente in corso, nel quale la colpa di organizzazione assume un ruolo centrale. Il nuovo ingresso dei reati connessi all’IA si colloca quindi in una fase nella quale il sistema 231 sembra orientarsi sempre più verso la verifica concreta dell’effettiva capacità preventiva dell’organizzazione.
Interesse o vantaggio e risparmio sui presidi
Anche per i nuovi reati occorrerà considerare il rapporto tra il reato-presupposto e il criterio dell’interesse o vantaggio dell’ente, elemento strutturale della responsabilità prevista dal D.Lgs. 231/2001.
Il profilo può essere particolarmente delicato proprio nel settore della sicurezza.
La mancata adozione di un presidio può infatti tradursi, almeno in astratto, in una riduzione dei costi aziendali. Il tema del risparmio di spesa quale possibile forma di vantaggio dell’ente è già stato affrontato dalla giurisprudenza 231 in materia di sicurezza; il nuovo quadro normativo rende quindi necessario interrogarsi anche sull’eventuale risparmio derivante dalla mancata implementazione dei necessari presidi tecnologici, organizzativi e di supervisione.
L’accertamento dovrà comunque essere condotto con riferimento alla concreta dinamica del fatto e al rapporto tra la condotta illecita e l’interesse o vantaggio dell’ente.
Modello 231 e governance dell’intelligenza artificiale
La nuova disciplina rende difficilmente sufficiente un semplice aggiornamento formale della parte speciale del Modello 231 attraverso l’inserimento dei nuovi articoli del codice penale.
Il vero intervento dovrà riguardare la mappatura e gestione del rischio IA.
Le imprese dovranno innanzitutto conoscere quali sistemi di intelligenza artificiale vengono effettivamente utilizzati al proprio interno, da quali funzioni aziendali, con quali finalità e con quale livello di rischio.
Da questa ricognizione dovrebbe discendere una chiara attribuzione delle responsabilità, accompagnata da procedure relative alla selezione e all’utilizzo dei sistemi, alla sicurezza, alla supervisione umana, alla gestione dei fornitori e al monitoraggio delle prestazioni.
Particolare attenzione dovrà essere riservata alla documentabilità dei controlli. In un sistema di responsabilità nel quale l’assetto organizzativo assume rilievo centrale, non è sufficiente poter dimostrare che un controllo era astrattamente previsto: diventa essenziale poter dimostrare che il controllo è stato effettivamente eseguito, da chi e con quali risultati.
Il ruolo dell’Organismo di Vigilanza
Il nuovo scenario coinvolge inevitabilmente anche gli Organismi di Vigilanza.
L’OdV dovrà confrontarsi con rischi che, in molti casi, non sono riconducibili alle tradizionali categorie utilizzate nelle precedenti risk assessment 231.
L’utilizzo dell’IA può infatti attraversare trasversalmente numerosi processi: dalle risorse umane alla sicurezza informatica, dal marketing alla gestione dei clienti, dalla produzione alla ricerca e sviluppo.
Ne consegue l’esigenza di integrare la vigilanza 231 con le altre funzioni aziendali coinvolte nella governance tecnologica, evitando che il rischio IA rimanga confinato alla sola funzione IT.
Il tema diventa quindi quello di una compliance integrata, nella quale il Modello 231 dialoghi con le procedure di cybersecurity, data protection, risk management, compliance normativa e governance dell’intelligenza artificiale.
Una nuova responsabilità organizzativa
L’impatto del D.Lgs. 160/2026 va dunque oltre l’introduzione di due nuovi reati-presupposto.
La vera novità consiste nell’avere portato all’interno del sistema 231 una questione destinata ad assumere crescente importanza: la capacità dell’organizzazione di governare tecnologie che possono produrre effetti rilevanti anche senza una completa e immediata prevedibilità del loro funzionamento.
Per le imprese, la sfida non sarà quindi soltanto quella di «mettere in sicurezza l’IA», ma di dimostrare di avere costruito un sistema organizzativo capace di conoscere, valutare, controllare e monitorare i rischi connessi al suo utilizzo.
In questa prospettiva, la disciplina dei nuovi reati IA rappresenta un ulteriore passaggio verso una concezione sostanziale della responsabilità 231: non tanto la verifica della mera esistenza di procedure, quanto la capacità concreta dell’organizzazione di prevenire il rischio-reato.
Ed è proprio qui che il tema dell’omessa adozione delle misure di sicurezza nei sistemi di intelligenza artificiale incontra quello, più generale, della colpa di organizzazione.
