IA e D.lgs. 231/01: il nuovo art. 25-vicies e l’omesso presidio sui sistemi ad alto rischio
Ufficio Marketing e Comunicazione Tutela Legale Spa
Il nuovo Art. 437-bis C.P. e l’Art. 25-vicies trasformano la gestione dell’algoritmo in un tema di organizzazione, sicurezza e difesa penale societaria. Si passa dalla conformità regolamentare alla responsabilità amministrativa dell’ente.
L’evoluzione della normativa sull’Intelligenza Artificiale in Italia sposta il baricentro dell’attenzione aziendale: dai soli adempimenti di conformità regolamentare al rischio di un processo penale per gli organi apicali di una società.
Con il decreto legislativo di adeguamento all’European AI Act (Reg. UE 2024/1689), approvato in attuazione della legge di delega 132/2025, il legislatore italiano ha introdotto nel catalogo del D.Lgs. 8 giugno 2001, n. 231 una nuova categoria di reato presupposto: l’Articolo 25-vicies, rubricato «Delitti commessi mediante l’impiego di sistemi di intelligenza artificiale».
Il difetto di organizzazione e di sorveglianza umana sui sistemi IA costituisce un reato autonomo dell’ente, punito con sanzioni pecuniarie e misure interdittive.
I Dati del Mercato e il Rischio di Governance
Secondo le ultime rilevazioni dell’Osservatorio Artificial Intelligence del Politecnico di Milano, il mercato dell’IA in Italia ha raggiunto il valore di 1,8 miliardi di euro (+50% su anno). La grande maggioranza delle grandi imprese (71%) ha già avviato progetti di IA, contro una quota del 8% tra le PMI.
Indicatore di Mercato | Dato / Percentuale | Implicazione Governance & Risk |
Mercato IA Italia | 1,8 Miliardi € | Crescita esponenziale dell’adozione nei processi aziendali. |
Adozione Grandi Imprese | 71% | Integrazione dell’IA in processi critici e produttivi. |
Fenomeno “Shadow AI” | > 80% | Dipendenti che usano tool gratuiti/personali senza controllo IT. |
Adeguamento Compliance 231 | 15% | Vulnerabilità critica: solo 1 impresa su 6 si è già adeguata. |
La presenza capillare della Shadow AI unita alla mancanza di Modelli 231 aggiornati espone la maggioranza delle imprese italiane al rischio di contestazione diretta da parte delle Procure della Repubblica.
L’Art. 437-bis C.P. e l’equiparazione alla Sicurezza sul Lavoro
Il cuore della riforma risiede nel nuovo Articolo 437-bis del Codice Penale («Omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi»), che costituisce il reato presupposto principale del nuovo Art. 25-vicies.
La norma sanziona chi partecipa al ciclo di vita di un sistema ad alto rischio (dalla progettazione e dall’addestramento fino all’impiego professionale) e:
- Omette le misure tecniche di sicurezza atte a prevenire malfunzionamenti o manipolazioni;
- Trascura o omette la sorveglianza umana (Human-in-the-Loop ex Art. 14 AI Act), quando da tale omissione derivi un pericolo concreto per la vita, l’incolumità individuale o la sicurezza pubblica.
La collocazione sistematica di questa norma nel Codice Penale è altamente significativa: l’Art. 437-bis è stato inserito subito dopo l’Art. 437 C.P., che dal 1930 punisce l’omessa o rimossa installazione di cautele contro gli infortuni sul lavoro.
La Scelta del Legislatore: Un sistema di Intelligenza Artificiale ad alto rischio lasciato privo di controlli o di sorveglianza umana equivale, per l’ordinamento penale, a un impianto industriale privo di barriere di protezione.
Le sanzioni per l’ente: la fascia alta del catalogo 231
Il quadro sanzionatorio previsto dall’Art. 25-vicies si colloca nella parte superiore del sistema del D.Lgs. 231/2001:
- Sanzione pecuniaria da 600 a 1.000 quote per le violazioni dell’Art. 437-bis C.P., per un controvalore economico che può raggiungere 1,55 milioni di euro. Il parametro è stato calibrato prendendo a modello l’Art. 25-septies (omicidio colposo e lesioni gravi da violazione della sicurezza sul lavoro).
- Misure interdittive di settore: La norma richiama le misure previste dall’Art. 9, comma 2, lett. b), c), d) ed e) del D.Lgs. 231/2001:
- Sospensione o revoca di licenze e autorizzazioni;
- Divieto di contrattare con la Pubblica Amministrazione;
- Esclusione da contributi e finanziamenti pubblici;
- Divieto di pubblicizzare beni o servizi.
È stato opportunamente escluso l’effetto definitivo di chiusura dell’impresa (interdizione dall’esercizio dell’attività ex lett. a), a conferma di un principio di proporzionalità che intende colpire il solo ramo di business in cui è maturata la violazione.
Ciò nnonostante, il rischio maggiore durante la fase di indagine preliminare è rappresentato dalle misure cautelari interdittive, in grado di bloccare i contratti pubblici e l’operatività commerciale ben prima di una sentenza definitiva.
Cosa cambia per le Imprese e per l’Organismo di Vigilanza (OdV)
L’introduzione dell’Art. 25-vicies estende la responsabilità 231 ben oltre il perimetro delle aziende strettamente tecnologiche. Interessa qualunque impresa che utilizzi algoritmi o sistemi di IA in processi sensibili:
- Impianti industriali e manifattura: controllo qualità, manutenzione predittiva, robotica collaborativa.
- Logistica e movimentazione merci: instradamento automatico, gestione flotta.
- Risorse umane e sicurezza nei luoghi di lavoro: videosorveglianza biometrica, monitoraggio degli accessi e dei dispositivi di protezione.
Per l’Organismo di Vigilanza (OdV), la documentazione tecnica e la registrazione delle attività di sorveglianza previste dall’AI Act diventano la prova fondamentale per attestare l’efficacia del Modello Organizzativo ed escludere la colpa di organizzazione della società.
La tutela dell’Ente e dell’OdV con la Tutela Legale
Affrontare un procedimento penale ex D.Lgs. 231/2001 per presunti illeciti legati ai sistemi di Intelligenza Artificiale comporta esigenze difensive peculiari. Dimostrare l’adeguatezza degli assetti organizzativi e l’assenza di un pericolo concreto richiede un impegno economico e peritale considerevole.
La Tutela Legale per la Società e i suoi Organi di Controllo rappresenta lo strumento idoneo a garantire la massima efficacia difensiva:
- Libera scelta del legale fiduciario: Possibilità di nominare gli avvocati penalisti e giuslavoristi specializzati in diritto penale dell’economia e $D.Lgs.\ 231/01$, in totale autonomia.
- Finanziamento integrale dei Consulenti Tecnici di Parte (CTP): Copertura dei costi per informatici forensi, auditor di codice e ingegneri della sicurezza, la cui ricostruzione metodologica è indispensabile per dimostrare al giudice l’idoneità delle misure di sorveglianza adottate.
- Difesa dell’Ente e opposizione alle Misure Cautelari Interdittive: Copertura delle spese legali per resistere alle richieste di sospensione o divieto di contrattare con la PA fin dalla fase delle indagini preliminari.
Assicurare la compliance aziendale oggi significa affiancare all’aggiornamento dei Modelli 231 le risorse finanziarie necessarie per difendere con indipendenza il lavoro dei manager e dell’impresa.
