Introduzione del Decreto Legislativo

Il 4 agosto 2026 il Consiglio dei Ministri ha approvato in esame definitivo il decreto legislativo che introduce l'articolo 437-bis del Codice penale.

Non è un reato che riguarda tutti; è stato creato per l’intelligenza artificiale. La nuova norma punisce chi omette misure di sicurezza sui sistemi di intelligenza artificiale ad alto rischio e chi li altera illecitamente.

In altri termini, la disciplina introdotta diventa reato presupposto del D.Lgs. 231/2001. Poche righe di Gazzetta Ufficiale destinate a cambiare il modo in cui le imprese devono pensare i propri modelli organizzativi.

Rischi e Opportunità per le Imprese

La tentazione, per molti studi e molte funzioni compliance, sarà quella di trattare la novità come un aggiornamento formale. Si aggiunge una voce all'elenco dei reati presupposto, si modifica una tabella, si allega un paragrafo sull'IA al modello esistente. Operazione rapida, indolore, rassicurante.

Ed è esattamente l'errore che l'articolo 437-bis rende pericoloso commettere.

Un modello 231 costruito per coprire corruzione, reati societari o sicurezza sul lavoro non intercetta i rischi propri dell'intelligenza artificiale. Non li può intercettare, perché parte da presupposti diversi.

I reati tradizionali nascono da una condotta umana identificabile, un atto, un'omissione, un soggetto che decide.

Il rischio nei sistemi ad alto rischio nasce invece da un processo che apprende, che si aggiorna, che produce output non sempre prevedibili nemmeno da chi lo ha progettato. Un protocollo pensato per prevenire la firma di una tangente non intercetta la deriva silenziosa di un algoritmo che smette di funzionare come previsto, o che viene alterato senza che nessuno se ne accorga per settimane.

Per questo lo schema generico non basta. Serve una mappatura specifica dei sistemi ad alto rischio utilizzati dall'impresa, con l'indicazione di chi ne è responsabile, di come vengono monitorati, di quali controlli tecnici esistono per rilevare alterazioni o carenze di sicurezza.

Serve un flusso informativo verso l'Organismo di Vigilanza che sia continuo e non episodico, perché il rischio IA non si manifesta in un momento preciso come una tangente pagata, ma si accumula nel tempo.

Serve soprattutto competenza tecnica reale all'interno dell'OdV, o al suo fianco, perché nessun organismo può vigilare su ciò che non è in grado di comprendere.

C'è poi un secondo elemento che rafforza questa lettura. Lo stesso decreto introduce, in sede civile, una presunzione relativa del nesso causale a favore del danneggiato da un sistema di intelligenza artificiale.

Chi subisce un danno non dovrà più dimostrare con precisione tecnica come il sistema abbia causato il pregiudizio. Sarà l'impresa a dover provare il contrario.

È un rovesciamento dell'onere della prova che avvicina la responsabilità da IA a quella da prodotto difettoso, e che rende ancora più fragile un modello organizzativo costruito per il minimo sindacale.

Le imprese che oggi si limitano ad aggiornare la lista dei reati presupposto stanno risolvendo un problema di forma. Il problema vero è di sostanza, ed è di governance.

Non basta scrivere che l'intelligenza artificiale è vietata per certi usi o consentita per altri, ma bisogna costruire un sistema di controllo che sappia effettivamente vigilare su una tecnologia che cambia comportamento nel tempo, che richiede audit periodici, competenze aggiornate, e una responsabilità chiaramente attribuita, non diluita tra funzioni che si scambiano la palla a vicenda.

La delega della legge 132/2025 scade il 10 ottobre 2026. Le imprese hanno poche settimane per capire se il loro modello 231 è pronto per l'intelligenza artificiale o se è soltanto pronto per l'ispettore che verrà a controllarlo. La differenza, come spesso accade in questa materia, si vedrà solo quando sarà troppo tardi per rimediare.