Cosa cambia per la responsabilità 231 con il decreto sull'intelligenza artificiale?
Il decreto legislativo 160 del 2026 è uscito in Gazzetta Ufficiale a settembre ed è in vigore dal 30 settembre 2026. Adegua le norme italiane all'AI Act, il regolamento europeo sull'intelligenza artificiale. Per le imprese la novità principale è il nuovo articolo 25-vicies del decreto 231, che aggiunge al catalogo dei reati dell'ente due reati commessi con l'AI.
- L'omessa adozione di misure di sicurezza nei sistemi di AI ad alto rischio, nuovo articolo 437-bis del codice penale. Per l'ente la sanzione va da 600 a 1.000 quote.
- La diffusione illecita di immagini, video o voci falsificati con l'AI, articolo 612-quater, introdotto dalla legge 132. Per l'ente la sanzione va da 200 a 700 quote.
- In tutti e due i casi si aggiungono sanzioni interdittive, come il divieto di contrattare con la pubblica amministrazione e l'esclusione da contributi e finanziamenti.
Le regole generali della 231 non cambiano. L'azienda risponde se il reato è commesso nel suo interesse o a suo vantaggio, da chi la dirige o da chi lavora sotto la sua direzione. Il decreto 231 non obbliga ad adottare un Modello organizzativo. Dice però che l'ente non risponde se prova, tra le altre condizioni, di averlo adottato ed efficacemente attuato prima del fatto.
Cosa punisce il nuovo articolo 437-bis?
Il primo comma riguarda chi progetta, addestra, produce o mette sul mercato un sistema di AI ad alto rischio senza le misure di sicurezza previste, o senza misure di sorveglianza umana. È reato solo se ne deriva un pericolo per la vita o l'incolumità delle persone, o per la sicurezza dello Stato. Se il fatto è commesso per colpa grave, la pena si riduce.
L'ultimo comma riguarda chi usa il sistema nel lavoro, che la legge chiama utilizzatore professionale. È punito se omette di proposito la sorveglianza umana e ne deriva lo stesso pericolo. È il punto che conta di più per chi compra sistemi fatti da altri.
Quando un sistema di AI è ad alto rischio?
Lo stabilisce l'AI Act, all'articolo 6 e negli allegati I e III. Per esempio i componenti di sicurezza di macchine soggette a verifica esterna, e i sistemi usati per gestire infrastrutture critiche, selezionare il personale o valutare l'accesso a servizi essenziali.
La nostra lettura: per il reato serve anche il pericolo per la vita o la sicurezza. Un software che ordina i curriculum è ad alto rischio per l'AI Act, ma difficilmente mette in pericolo l'incolumità di qualcuno. Un sistema che controlla una pressa in reparto o una rete di distribuzione del gas sì. Sono i casi da guardare per primi, con il tuo legale.
Cosa sappiamo e cosa non ancora?
Sappiamo che i due reati valgono già. Gli obblighi europei per i sistemi ad alto rischio, compresa la sorveglianza umana, partono invece più tardi. Il regolamento europeo chiamato Digital Omnibus li ha spostati al 2 dicembre 2027 per i sistemi dell'allegato III, e ad agosto 2028 per quelli dell'allegato I.
Non sappiamo ancora quali siano, nel frattempo, le misure tecniche di sicurezza previste a cui rimanda il reato. Per l'analisi di Agenda Digitale va chiarito in via interpretativa. Sul fronte civile, il decreto prevede che in una causa per danni il giudice possa ordinare di mostrare i registri del sistema e la documentazione su rischi e sorveglianza umana. Essere conformi all'AI Act, anche con certificazione, non esclude da solo la responsabilità.
Da dove parti, in pratica?
- Fai l'inventario dei sistemi di AI che usi, anche quelli dentro i software che compri. Per ciascuno scrivi chi lo usa, per cosa e con quali dati.
- Per ogni sistema scrivi se è ad alto rischio e perché, con la data e il nome di chi l'ha valutato.
- Per quelli ad alto rischio nomina chi li sorveglia, cosa controlla e come può fermarli.
- Chiedi al fornitore istruzioni d'uso, registri e cosa fa in caso di incidente, e mettilo nel contratto.
- Porta l'elenco all'Organismo di Vigilanza e al tuo legale, per valutare se aggiornare la mappa dei rischi e il Modello 231.
L'analisi di Agenda Digitale ritiene necessario aggiornare subito valutazione dei rischi e Modello. È la lettura di un avvocato, non un obbligo scritto nella norma.
E il reato sui contenuti falsi?
Riguarda chi diffonde senza consenso contenuti falsificati con l'AI e capaci di ingannare, causando un danno ingiusto a una persona. In azienda il rischio tipico è nel marketing, per esempio un video promozionale con la voce di una persona reale ricreata con l'AI senza il suo consenso.
E noi?
Nella nostra pagina Sicurezza scriviamo che ogni chiamata di un agente è registrata con dati in ingresso ed esito, che le azioni sensibili aspettano una persona e che ogni modifica si può rivedere e annullare. Sono le prove che servono a un Organismo di Vigilanza per capire chi sorveglia un sistema.
Con te lo useremmo così. Per ogni agente scriveremmo chi lo sorveglia e con quali permessi, e prepareremmo un riepilogo del registro da girare all'Organismo di Vigilanza a ogni verifica.
Quindi cosa fai?
- Se usi l'AI solo per bozze e riassunti, aggiorna l'inventario e controlla come pubblichi i contenuti generati.
- Se un sistema di AI tocca la sicurezza di persone o impianti, trattalo come ad alto rischio finché il tuo legale non dice il contrario, e nomina chi lo sorveglia.
- Se il tuo Modello 231 non parla di AI, chiedi all'Organismo di Vigilanza se va aggiornato.
“Per la 231 conta poter mostrare chi sorvegliava il sistema, con un nome e un registro.”
DBrothers — sul decreto 160 del 2026
Domande frequenti
Il decreto obbliga ad aggiornare il Modello 231?
No, non lo scrive. Il Modello resta la difesa prevista dal decreto 231. Senza un Modello adeguato ai nuovi reati, l'azienda non può contare su quella difesa.
Vale anche per le piccole imprese?
Il decreto 231 si applica a società e associazioni senza soglie di dimensione. Il reato dell'articolo 437-bis però riguarda solo i sistemi ad alto rischio e richiede un pericolo per le persone o per lo Stato.
Fai l'elenco dei sistemi di AI che la tua azienda usa oggi e segna chi li sorveglia. Se vuoi, lo impostiamo insieme su un processo prima di portarlo all'Organismo di Vigilanza.
