Il contributo esamina una rilevante novità normativa, ancora in fase di approvazione definitiva, destinata ad avere un impatto diretto sul sistema di prevenzione e controllo previsto dal D.Lgs. n. 231/2001: l’ingresso dell’intelligenza artificiale nel catalogo dei reati presupposto della responsabilità degli enti.
Le nuove disposizioni derivano dalla delega contenuta nella legge 23 settembre 2025, n. 132, adottata nel quadro dell’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2024/1689 (AI Act). In attuazione di tale delega, il Consiglio dei ministri ha approvato in via definitiva, il 4 agosto 2026, lo schema di decreto legislativo che introduce il nuovo art. 437-bis c.p. e il nuovo art. 25-vicies del D.Lgs. n. 231/2001, quest’ultimo destinato a ricomprendere nel catalogo dei reati presupposto tanto il nuovo art. 437-bis c.p. quanto l’art. 612-quater c.p. (già vigente dal 2025).
Il contributo esamina, in particolare, il nuovo art. 437-bis c.p., che sanziona l’omessa adozione delle misure di sicurezza nei sistemi di intelligenza artificiale ad alto rischio e la loro alterazione illecita quando dalla condotta derivi un pericolo concreto per beni di primario rilievo, nonché l’art. 612-quater c.p., relativo alla diffusione illecita di contenuti generati o alterati mediante sistemi di intelligenza artificiale. Le due fattispecie presentano caratteristiche profondamente diverse e pongono, conseguentemente, differenti questioni sul piano della prevenzione organizzativa.
Particolare attenzione è dedicata alla struttura dell’art. 437-bis c.p., nel quale la rilevanza penale è circoscritta attraverso la riferibilità della condotta ai sistemi di IA ad alto rischio e la necessità, nelle ipotesi previste, di un pericolo concreto per beni giuridici di particolare rilevanza. La scelta legislativa appare riconducibile alla necessità di rispettare il principio di extrema ratio, evitando che ogni violazione degli obblighi di sicurezza o ogni errore nell’impiego dell’intelligenza artificiale assuma automaticamente rilevanza penale. La previsione della colpa grave quale limite alla responsabilità colposa contribuisce ulteriormente a delimitare l’area della punibilità.
Il contributo si sofferma inoltre sull’art. 612-quater c.p., relativo alla diffusione illecita di contenuti generati o alterati con sistemi di IA (fenomeno dei c.d. deepfake), evidenziandone la natura di reato di evento — a differenza della struttura di pericolo concreto propria dell’art. 437-bis c.p. — e il perimetro applicativo non limitato ai soli sistemi ad alto rischio, potenzialmente idoneo a coinvolgere una platea più ampia di imprese, specie in relazione all’uso di strumenti di IA generativa nei processi di comunicazione e marketing.
L’inserimento delle nuove fattispecie nel sistema 231 pone tuttavia una questione ulteriore: come tradurre un rischio penale così tecnicamente e normativamente delimitato in adeguati presidi organizzativi? Il contributo evidenzia come la risposta non possa consistere in un generico obbligo di aggiornamento del Modello 231 per tutte le imprese che utilizzano strumenti di IA. L’adeguamento deve muovere, piuttosto, da una concreta attività di risk assessment, volta a individuare i sistemi utilizzati, il loro ruolo nei processi aziendali, la relativa qualificazione ai sensi dell’AI Act e le effettive modalità attraverso le quali il rischio-reato può manifestarsi.
Ne deriva una concezione della compliance in materia di IA non meramente formale, nella quale assumono rilievo la governance del sistema, l’attribuzione delle responsabilità, la supervisione umana, le misure di sicurezza, la tracciabilità dei processi e la formazione del personale, in funzione dei rischi concretamente presenti nell’organizzazione. L’attenzione si sposta, quindi, dalla tecnologia in sé alla capacità dell’impresa di governarne l’utilizzo e di dimostrare l’adeguatezza delle proprie scelte organizzative.
Il contributo si interroga, infine, sul rapporto tra innovazione tecnologica e responsabilità dell’ente, evidenziando come l’ingresso dell’intelligenza artificiale nel sistema 231 non determini la nascita di una nuova e indistinta categoria di “rischio IA”, ma richieda una valutazione selettiva e proporzionata dei rischi-reato concretamente presenti. La sfida per le imprese sarà pertanto quella di trasformare la compliance sull’intelligenza artificiale da mero adempimento normativo in un effettivo strumento di governo del rischio.
Come citare il contributo in una bibliografia:
F. Rinaldini, Intelligenza artificiale: in arrivo nuovi reati e nuove responsabilità per gli enti, in Giurisprudenza Penale Web, 2026, 9
Per fornire le migliori esperienze, utilizziamo tecnologie come i cookie per memorizzare e/o accedere alle informazioni del dispositivo. Il consenso a queste tecnologie ci permetterà di elaborare dati come il comportamento di navigazione o ID unici su questo sito. Non acconsentire o ritirare il consenso può influire negativamente su alcune caratteristiche e funzioni.
Funzionale
Sempre attivo
L'archiviazione tecnica o l'accesso sono strettamente necessari al fine legittimo di consentire l'uso di un servizio specifico esplicitamente richiesto dall'abbonato o dall'utente, o al solo scopo di effettuare la trasmissione di una comunicazione su una rete di comunicazione elettronica.
Preferenze
L'archiviazione tecnica o l'accesso sono necessari per lo scopo legittimo di memorizzare le preferenze che non sono richieste dall'abbonato o dall'utente.
Statistiche
L'archiviazione tecnica o l'accesso che viene utilizzato esclusivamente per scopi statistici.L'archiviazione tecnica o l'accesso che viene utilizzato esclusivamente per scopi statistici anonimi. Senza un mandato di comparizione, una conformità volontaria da parte del vostro Fornitore di Servizi Internet, o ulteriori registrazioni da parte di terzi, le informazioni memorizzate o recuperate per questo scopo da sole non possono di solito essere utilizzate per l'identificazione.
Marketing
L'archiviazione tecnica o l'accesso sono necessari per creare profili di utenti per inviare pubblicità, o per tracciare l'utente su un sito web o su diversi siti web per scopi di marketing simili.
