L’intelligenza artificiale sta trasformando il modo in cui le aziende prendono decisioni, gestiscono processi e analizzano informazioni. Se fino a pochi anni fa il tema riguardava prevalentemente l’innovazione tecnologica, oggi assume una rilevanza anche sotto il profilo della responsabilità amministrativa degli enti prevista dal D.Lgs. 231/2001.

L’utilizzo di sistemi AI in funzioni come acquisti, risorse umane, controllo di gestione, marketing o sicurezza informatica impone infatti una riflessione: i Modelli di organizzazione, gestione e controllo sono ancora adeguati a prevenire i rischi derivanti da decisioni supportate da algoritmi?

L’intelligenza artificiale non introduce nuovi reati, ma modifica il rischio 231

Un equivoco da evitare è pensare che l’adozione dell’IA determini automaticamente nuove responsabilità ai sensi del D.Lgs. 231/2001.

In realtà, i reati presupposto rimangono gli stessi. Ciò che cambia è il modo in cui possono essere commessi.

Quando una decisione aziendale è influenzata o generata da un sistema di intelligenza artificiale, diventa essenziale verificare se l’azienda abbia predisposto procedure, controlli e sistemi di vigilanza idonei a prevenire utilizzi impropri, errori o alterazioni dell’algoritmo. In altre parole, il tema centrale continua ad essere la colpa di organizzazione, principio cardine della responsabilità dell’ente.

Le aree aziendali maggiormente esposte

L’impiego dell’intelligenza artificiale può amplificare il rischio di commissione dei reati in numerosi processi aziendali.

Tra quelli maggiormente rilevanti vi sono:

• Procurement e gare pubbliche, dove algoritmi non adeguatamente governati potrebbero incidere su procedure di affidamento o favorire condotte corruttive.
• Cybersecurity e gestione dei dati, con un aumento dell’esposizione ai reati informatici quando enormi quantità di dati vengono elaborate senza adeguati controlli.
• Amministrazione, finanza e controllo, dove sistemi predittivi potrebbero influenzare valutazioni contabili o informazioni societarie.
• Salute e sicurezza sul lavoro, qualora le decisioni elaborate dall’IA vengano recepite automaticamente senza una reale supervisione umana.

AI Act e Modello 231: due percorsi che possono integrarsi

L’entrata in vigore del Regolamento (UE) 2024/1689 (AI Act) rappresenta un’importante occasione per ripensare la governance aziendale.

Molti degli obblighi previsti dall’AI Act coincidono infatti con i principi già propri dei Modelli 231:

• gestione del rischio;
• qualità dei dati;
• documentazione e trasparenza;
• supervisione umana.

Piuttosto che affrontare separatamente gli adempimenti, le imprese possono sviluppare un sistema integrato di governance dell’intelligenza artificiale e di prevenzione dei reati, evitando duplicazioni organizzative e rafforzando l’efficacia complessiva dei controlli.

Il possibile nuovo art. 25-vicies

Particolare attenzione merita lo schema di decreto approvato in via preliminare dal Consiglio dei Ministri il 10 giugno 2026, che prevede l’introduzione del nuovo art. 25-vicies del D.Lgs. 231/2001 dedicato ai reati commessi mediante sistemi di intelligenza artificiale.

Il provvedimento non è ancora entrato in vigore e il testo potrà essere modificato nel corso dell’iter parlamentare. Lo schema richiama, tra le nuove fattispecie, l’omessa adozione di misure tecniche per prevenire malfunzionamenti dei sistemi AI ad alto rischio e la diffusione illecita di contenuti generati mediante deepfake.

Come dovrebbe essere aggiornato il Modello 231

L’adeguamento del Modello organizzativo non dovrebbe limitarsi ad inserire un semplice riferimento all’intelligenza artificiale.

Occorre invece intervenire su diversi elementi del sistema di controllo.

In primo luogo è necessario effettuare una mappatura completa dei sistemi AI utilizzati dall’organizzazione, individuandone la funzione, il livello di rischio e il ruolo ricoperto dall’impresa (fornitore o utilizzatore).

Successivamente occorre rafforzare la governance interna, definendo responsabilità, procedure di gestione dei rischi, modalità di monitoraggio e flussi di reporting.

Infine il Modello 231 deve essere aggiornato introducendo:

• uno specifico risk assessment dedicato ai sistemi AI;
• protocolli che garantiscano un’effettiva supervisione umana;
• meccanismi di tracciabilità delle decisioni algoritmiche;
• clausole contrattuali dedicate ai fornitori di tecnologie AI;
• percorsi formativi per il personale;
• aggiornamento del Codice Etico;
• revisione dei flussi informativi destinati all’Organismo di Vigilanza.

Il nuovo ruolo dell’Organismo di Vigilanza

L’Organismo di Vigilanza sarà chiamato ad ampliare il proprio raggio di controllo.

Oltre ai tradizionali flussi informativi, sarà opportuno ricevere periodicamente informazioni riguardanti:

• i sistemi AI utilizzati dall’azienda;
• la loro classificazione ai sensi dell’AI Act;
• gli audit svolti;
• le anomalie riscontrate;
• gli incidenti;
• gli aggiornamenti software;
• la formazione del personale;
• le verifiche effettuate sulla supervisione umana delle decisioni automatizzate.

L’intelligenza artificiale non rende superato il D.Lgs. 231/2001. Al contrario, rende ancora più importante disporre di un Modello organizzativo realmente efficace.

L’adozione dell’AI obbliga le imprese a ripensare il proprio sistema dei controlli interni, integrando gli obblighi previsti dall’AI Act con i principi della responsabilità amministrativa degli enti.

Per consulenti, Organismi di Vigilanza e compliance officer si apre quindi una nuova fase: non quella della creazione di un “Modello 231 per l’IA”, ma quella dell’evoluzione del Modello 231 affinché sia in grado di governare anche i rischi derivanti dall’utilizzo dei sistemi di intelligenza artificiale