L’evoluzione normativa sull’intelligenza artificiale compie un ulteriore passo avanti. Tra i nuovi schemi di decreto legislativo approvati dal Governo per dare attuazione alla Legge n. 132/2025 sull’IA, emerge una novità di particolare rilievo per imprese, enti pubblici e professionisti: l’introduzione di una specifica responsabilità penale per chi omette di adottare adeguate misure di sicurezza nei sistemi di intelligenza artificiale ad alto rischio.

Il nuovo reato: articolo 437-bis del Codice Penale

La bozza di decreto introduce il nuovo articolo 437-bis del Codice Penale, che punisce chi:

• omette di adottare le necessarie misure di sicurezza;
• altera o compromette le misure di protezione già implementate;
• espone persone o collettività a un pericolo concreto derivante dal funzionamento di sistemi di IA ad alto rischio.

La norma si applica quando la condotta genera un rischio effettivo per:

• la vita e l’incolumità delle persone;
• la sicurezza pubblica;
• la sicurezza dello Stato.

L’obiettivo del legislatore è evitare che l’utilizzo di sistemi basati sull’intelligenza artificiale possa produrre danni rilevanti a causa di carenze organizzative, controlli insufficienti o mancate verifiche di sicurezza.

Quali sistemi sono coinvolti

Il riferimento è ai sistemi di IA classificati come “ad alto rischio”, categoria già individuata dall’AI Act europeo.

Tra gli esempi più significativi rientrano:

• sistemi utilizzati in ambito sanitario;
• infrastrutture critiche;
• sistemi per la gestione del personale;
• applicazioni utilizzate da pubbliche amministrazioni;
• strumenti di identificazione biometrica e riconoscimento facciale;
• sistemi impiegati in attività di sicurezza pubblica.

Per tali applicazioni, la normativa richiederà un livello di controllo e presidio particolarmente elevato.

Non serve il danno: basta il pericolo concreto

Uno degli aspetti più rilevanti della nuova fattispecie è che il reato non richiede necessariamente il verificarsi di un danno.

È sufficiente che:

• le misure di sicurezza siano assenti o inadeguate;
• la situazione generi un pericolo concreto e attuale;
• il rischio sia riconducibile all’utilizzo del sistema di IA.

In altre parole, la responsabilità può sorgere anche prima che si verifichi un incidente, un errore o una lesione effettiva.

Impatti per le imprese e per il D.Lgs. 231/2001

La novità assume particolare rilevanza sotto il profilo della responsabilità degli enti.

Qualora il nuovo reato venga inserito tra quelli presupposto del D.Lgs. 231/2001, le aziende potrebbero essere chiamate a rispondere direttamente delle omissioni organizzative relative ai sistemi di intelligenza artificiale.

Ciò significa che le organizzazioni dovranno valutare:

• aggiornamento del risk assessment;
• mappatura dei sistemi IA utilizzati;
• definizione di procedure di controllo dedicate;
• monitoraggio continuo dei rischi tecnologici;
• formazione del personale coinvolto;
• verifica dei fornitori e dei partner tecnologici.

Il ruolo dell’Organismo di Vigilanza

Per gli Organismi di Vigilanza si apre un nuovo fronte di verifica.

Tra le attività che potrebbero diventare necessarie figurano:

• censimento delle applicazioni di IA presenti in azienda;
• verifica delle misure di sicurezza adottate;
• controllo dei processi decisionali automatizzati;
• monitoraggio della conformità rispetto all’AI Act;
• integrazione dei flussi informativi verso l’OdV.

L’adozione dell’intelligenza artificiale non potrà più essere considerata esclusivamente una questione tecnologica, ma dovrà entrare a pieno titolo nei sistemi di controllo interno e nei Modelli Organizzativi 231.

Una nuova area di rischio compliance

L’intervento normativo conferma una tendenza ormai evidente: l’intelligenza artificiale sta diventando un tema centrale per la compliance aziendale.

Le imprese che utilizzano sistemi IA ad alto rischio dovranno dimostrare non solo la conformità tecnica delle soluzioni adottate, ma anche l’esistenza di adeguati presidi organizzativi e di governance.

L’omessa adozione di tali misure potrebbe infatti trasformarsi da semplice criticità gestionale a vera e propria responsabilità penale, con possibili conseguenze sia per le persone fisiche sia per gli enti ai sensi del D.Lgs. 231/2001.

Per consulenti 231, OdV, DPO e responsabili compliance, il momento di avviare una valutazione strutturata dei rischi connessi all’intelligenza artificiale è già arrivato.