Un sistema di intelligenza artificiale può aiutare a prendere una decisione, analizzare migliaia di dati in pochi secondi, selezionare informazioni, automatizzare un processo o generare un contenuto. Ma cosa succede quando qualcosa va storto? E soprattutto: chi ne risponde?
Sono domande che dal prossimo 30 settembre diventeranno ancora più concrete perché entrerà in vigore il D.Lgs. 9 settembre 2026, n. 160, che completa un altro pezzo del mosaico normativo italiano sull’intelligenza artificiale. Al di là delle disposizioni dedicate all’utilizzo dell’IA nelle attività di polizia, il decreto contiene novità che meritano particolare attenzione da parte delle imprese.
Una delle più significative arriva dal diritto penale. Nel codice viene introdotto il nuovo art. 437-bis, che sanziona, al ricorrere delle condizioni previste dalla norma, l’omessa adozione delle misure tecniche di sicurezza dei sistemi IA ad alto rischio e l’omessa sorveglianza umana, quando ne derivi un pericolo per la vita o l’incolumità delle persone. La norma interviene anche sull’alterazione illecita di questi sistemi.
Per un’impresa il messaggio è piuttosto concreto: la supervisione umana non può essere soltanto scritta in una policy. Devi sapere chi controlla tali sistemi, con quali competenze, secondo quali procedure e con quali possibilità effettive di intervenire quando qualcosa non funziona come dovrebbe.
Ma la novità, forse ancora più significativa per le aziende, arriva dal D.Lgs. 231/2001. Il decreto introduce infatti il nuovo art. 25-vicies, significativamente rubricato “Reati commessi con l’uso di sistemi di intelligenza artificiale”. Nel catalogo dei reati che possono determinare la responsabilità dell’ente entrano così sia la nuova fattispecie dell’art. 437-bis sia il reato relativo all’illecita diffusione di contenuti generati o alterati mediante IA.
Questo non significa che ogni impresa che utilizza strumenti di intelligenza artificiale debba riscrivere il proprio Modello 231. Significa, però, che ignorare l’IA nella mappatura dei rischi aziendali diventa sempre più difficile. Se questi strumenti sono entrati nei tuoi processi, occorre capire dove vengono utilizzati, da chi, per quali attività e con quali controlli. E verificare, quando necessario, se procedure, protocolli e flussi verso l’Organismo di Vigilanza siano ancora adeguati.
Il decreto aggiunge poi un altro tassello importante: cosa accade quando dall’utilizzo dell’IA deriva un danno?
Qui emerge uno dei problemi tipici dei sistemi algoritmici. Immaginate un cliente, un consumatore o un altro soggetto che sostenga di avere subito un danno riconducibile all’utilizzo di un sistema di IA. Chi subisce un danno spesso non dispone delle informazioni necessarie per ricostruire cosa sia realmente successo: non conosce il funzionamento del sistema, non possiede i registri, non sa quali controlli siano stati effettuati né quale supervisione umana fosse prevista. Il D.Lgs. 160/2026 interviene proprio su questa asimmetria. In una controversia risarcitoria, alle condizioni previste dal decreto, il giudice può ordinare l’esibizione di elementi relativi al funzionamento del sistema, tra cui registri, documentazione sulla gestione dei rischi, documentazione tecnica e informazioni sulla supervisione umana.
Ecco perché un documento predisposto oggi per finalità di compliance potrebbe diventare domani un elemento decisivo in giudizio.
Ma non solo. Quando il danno deriva dalla violazione di uno o più obblighi previsti dall’AI Act, il decreto introduce una presunzione del nesso causale tra quella violazione e il danno, salvo prova contraria. E chiarisce un principio altrettanto significativo: il fatto che un sistema sia conforme all’AI Act, anche quando tale conformità sia certificata, non basta da solo a escludere la responsabilità.
La compliance, insomma, non può ridursi alla presenza di qualche documento ben scritto. Diventa importante poter dimostrare come il sistema sia stato concretamente scelto, utilizzato, controllato e monitorato nel tempo.
Per chi fa impresa, tutto questo porta a una conclusione molto pratica. Prima ancora di chiedervi se la vostra organizzazione sia “compliant con l’AI Act”, provate a porvi una domanda più semplice: sapreste ricostruire oggi come viene utilizzata l’intelligenza artificiale nella tua azienda?
Se la risposta non è immediata, probabilmente è proprio da lì che bisogna partire. Mappare strumenti e processi, individuare responsabilità, verificare i contratti con i fornitori, disciplinare la supervisione umana, conservare le evidenze necessarie, aggiornare quando opportuno il sistema 231 e verificare le coperture assicurative non sono più attività separate. Sono pezzi della stessa governance dell’IA.
È proprio qui che AI Act, data protection, cybersecurity, responsabilità civile, Modello 231, contrattualistica e governance iniziano a incontrarsi. E affrontare ciascun tema separatamente rischia di non essere più sufficiente.
E di responsabilità, controllo e rapporto tra decisione umana e sistemi intelligenti si parlerà molto presto anche dal vivo: dal 5 all’8 novembre torna a Lecce il DIGEAT Festival con quattro giornate dedicate a protezione dei dati, archivi digitali, intelligenza artificiale e regole del futuro. Per l’occasione ci saremo anche noi consulenti dello Studio Legale Lisi e ci confronteremo con professionisti, imprese, PA ed esperti sui grandi temi che stanno ridisegnando la trasformazione digitale.
