Intelligenza Artificiale e D. Lgs. 231/2001
L’intelligenza artificiale è entrata stabilmente nei processi aziendali: analisi dei dati, automazione, decisioni algoritmiche, strumenti generativi. Questa trasformazione porta con sé nuove opportunità, ma anche nuovi rischi che il legislatore ha iniziato a regolamentare.
Con la Legge 132/2025 sull’Intelligenza Artificiale, che recepisce l’AI Act europeo, sono state introdotte aggravanti specifiche per alcuni reati già presenti nel catalogo del D.Lgs. 231/2001 quando l’illecito è commesso mediante sistemi di IA.
Al netto dell'entrata in vigore del nuovo art. 25 vicies D. Lgs. n. 231/2001 introdotto dal D. Lgs. 9 settembre 2026, n. 160 e in vigore dal 30 settembre 2026, con le modifiche introdotte dalla Legge 132/2025 l’impatto sui Modelli organizzativi è concreto.
Aggravanti nei reati già rilevanti per la 231
La normativa prevede pene più severe quando l’IA viene utilizzata come strumento per commettere o agevolare determinati reati. Tra quelli che interessano le imprese:
- Aggiotaggio
- Manipolazione del mercato
Si tratta di reati già inclusi nel catalogo 231: l’aggravante non crea nuovi reati-presupposto, ma aumenta la responsabilità dell’ente quando l’illecito è commesso tramite algoritmi o sistemi automatizzati.
Nuovi rischi da considerare nel Modello 231
Accanto alle aggravanti, la normativa introduce nuove fattispecie penali legate all’uso improprio dell’IA, come:
- diffusione di contenuti generati o alterati con IA (deepfake);
- scraping e data mining abusivo;
- utilizzo dell’IA come “mezzo insidioso” in qualunque reato.
Non tutti questi reati sono inclusi nel catalogo 231, ma incidono sul perimetro dei rischi aziendali, soprattutto in ambito:
- cybersecurity,
- gestione dei dati,
- processi automatizzati,
- comunicazione e reputazione.
Cosa devono fare le imprese
L’introduzione di aggravanti e nuove condotte penalmente rilevanti rende necessario un aggiornamento dei Modelli 231. In particolare:
- Risk assessment: mappare i processi in cui l’IA è utilizzata o potrebbe essere utilizzata impropriamente.
- Protocolli e procedure: definire regole chiare sull’uso degli strumenti di IA, sulla tracciabilità degli output e sulla validazione dei sistemi ad alto rischio.
- Formazione: sensibilizzare il personale sui rischi legati all’uso dell’IA e sulle nuove responsabilità.
- OdV: integrare nei flussi informativi e nelle attività di vigilanza i controlli relativi ai sistemi algoritmici.
Perché è un passaggio importante
L’IA non è solo una tecnologia: è un nuovo contesto operativo che modifica il modo in cui si generano, si elaborano e si utilizzano le informazioni.
Per questo la compliance deve evolvere, mantenendo il suo obiettivo principale: prevenire i reati e proteggere l’impresa attraverso regole chiare, controlli efficaci e una cultura aziendale orientata alla responsabilità.