Il D.Lgs. 9 settembre 2026, n. 160, pubblicato nella Gazzetta Ufficiale n. 214 del 15 settembre 2026, introduce nel D.Lgs. 231/2001 il nuovo art. 25-vicies, efficace dal 30 settembre. Per la prima volta l’intelligenza artificiale entra nel catalogo dei reati presupposto, e ogni ente che sviluppa o utilizza sistemi di IA deve verificare se il proprio Modello di organizzazione è ancora adeguato.

La norma richiama due fattispecie. L’art. 437-bis c.p. riguarda i sistemi di IA ad alto rischio e punisce l’omessa adozione delle misure di sicurezza e di sorveglianza umana, oltre all’alterazione dei sistemi; per l’ente la sanzione va da 600 a 1.000 quote. L’art. 612-quater c.p. riguarda il deepfake, cioè la diffusione senza consenso di immagini, video o voci falsificati con IA e idonei a ingannare; per l’ente la sanzione va da 200 a 700 quote. Ogni quota vale da 258 a 1.549 euro, e si aggiungono le sanzioni interdittive.

Non si tratta però di una responsabilità automatica. Un sistema qualificato “ad alto rischio” non integra da solo il reato: servono una condotta tipizzata e il pericolo richiesto dalla norma. Per l’ente resta il meccanismo ordinario degli artt. 5, 6 e 7: reato commesso da apicale o subordinato, nell’interesse o a vantaggio dell’ente, reso possibile da una carenza organizzativa. Il punto decisivo è quindi l’organizzazione, ed è lì che il Modello deve intervenire.

Il percorso di aggiornamento si articola in cinque passi: censire i sistemi di IA, classificarli secondo l’AI Act, valutare i rischi nei processi, aggiornare il Modello e rafforzare la vigilanza dell’OdV. Nella parte riservata agli abbonati trovi come svolgere concretamente ciascun passo, con gli errori più frequenti e la scheda di gap analysis iniziale del Modello.