Il Dectreto legislativo del 9 settembre 2026, n. 160, pubblicato in attuazione della delega contenuta nella L. 23 settembre 2025, n. 132 e in adeguamento all’AI Act, ha introdotto nel codice penale l’art. 437-bis, che sanziona l’omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale ad alto rischio e la loro alterazione illecita.
Con il nuovo art. 25-vicies del D.Lgs. 231/2001, la fattispecie entra nel catalogo dei reati, accanto al 612-quater c.p. in materia di deepfake.
Ecco di cosa si tratta, che rapporto ha con la disciplina degli enti e le ricadute concrete sui modelli organizzativi delle imprese che progettano, addestrano, producono, immettono sul mercato o utilizzano professionalmente sistemi di intelligenza artificiale.
Indice degli argomenti
Il contesto normativo
Il Decreto legislativo del 9 settembre 2026, n. 160, pubblicato in attuazione della delega contenuta nella L. 23 settembre 2025, n. 132 e in adeguamento al Regolamento (UE) 2024/1689 (AI Act), introduce nel codice penale il nuovo art. 437-bis, dedicato all’omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale ad alto rischio e alla loro alterazione illecita, e lo colloca tra i reati presupposto della responsabilità amministrativa degli enti ex d.lgs. 231/2001.
La condotta tipizzata dal primo comma ha natura omissiva. Rileva la mancata adozione delle misure tecniche idonee a prevenire malfunzionamenti o alterazioni del sistema, oppure l’omissione delle misure di sorveglianza umana.
La soglia di punibilità è ancorata al pericolo concreto per la vita, per ‘incolumità pubblica o individuale, ovvero per la sicurezza dello Stato.
Il legislatore ha quindi escluso ogni automatismo sanzionatorio legato al malfunzionamento, richiedendo un accertamento in concreto dell’esposizione al pericolo.
Questa impostazione dialoga strettamente con la struttura della responsabilità degli enti, fondata da oltre vent’anni sulla colpa di organizzazione.
Un’omissione di presidi tecnici su un sistema ad alto rischio è per sua natura un illecito che matura all’interno dei processi aziendali, e trova quindi nel modello organizzativo il proprio terreno di prevenzione naturale.
Le sanzioni
Sul piano sanzionatorio l’ente rischia fino a 1000 quote per il 437-bis e fino a 700 per il 612-quater, con applicazione delle interdittive previste dall’art. 9, comma 2, lett. b)- e) sospensione o revoca di autorizzazioni, divieto di contrattare con la pubblica amministrazione, esclusione da agevolazioni e finanziamenti, nei casi più gravi interdizione dall’esercizio dell’attività.
Per gli enti che operano nel mercato pubblico o in settori regolamentati il rischio interdittivo risulta ben più insidioso di quello pecuniario.
La configurazione applicativa
L’ambito applicativo rimane delimitato ai sistemi qualificabili come ad alto rischio ai sensi del Regolamento (UE) 2024/1689, per collocazione nell’Allegato III o in quanto componenti di sicurezza di prodotti già assoggettati a valutazione di conformità di terza parte.
Il primo adempimento che un Organismo di Vigilanza dovrebbe pretendere è quindi una ricognizione puntuale dei sistemi effettivamente in uso e della loro classificazione.
Un esercizio tutt’altro che formale, poiché l’ingresso nella fascia di rischio elevato dipende spesso dalla configurazione applicativa più che dalle caratteristiche intrinseche del sistema.
La struttura si declina in 4 commi
L’art. 437-bis si articola in quattro commi che descrivono condotte distinte, con cornici edittali differenziate in ragione del bene giuridico esposto a pericolo.
Primo comma
Il primo comma delinea un reato comune a struttura omissiva, riferito a chi opera nella progettazione, nell’addestramento, nella produzione o nell’immissione sul mercato di sistemi ad alto rischio. La condotta consiste nell’omettere le misure tecniche di sicurezza previste per tali fasi, idonee a prevenire malfunzionamenti o alterazioni del funzionamento, ovvero nell’omettere le misure di sorveglianza umana.
La pena è la reclusione da uno a cinque anni quando dall’omissione derivi pericolo per la vita o per l’incolumità pubblica o individuale, elevata da due a otto anni se il pericolo investe la sicurezza dello Stato.
Il riferimento alle misure «previste» costruisce un rinvio alla normativa tecnica extrapenale, in primo luogo agli obblighi che il Regolamento (UE) 2024/1689 pone in capo a fornitori e deployer di sistemi ad alto rischio. Il precetto penale si riempie di contenuto attraverso disposizioni che vivono al di fuori del codice e che sono destinate a evolvere con gli standard armonizzati.
È un meccanismo consueto nella legislazione penale d’impresa, dalla sicurezza sul lavoro alla tutela ambientale, che tuttavia impone al destinatario un onere di aggiornamento costante sulla disciplina tecnica di riferimento.
Secondo comma
Il secondo comma tipizza invece una condotta commissiva, l’alterazione di sistemi ad alto rischio, con clausola di sussidiarietà espressa e cornice più severa rispetto al primo comma, da due a sei anni per il pericolo alla vita o all’incolumità, da tre a dieci per il pericolo alla sicurezza dello Stato. Il maggior disvalore riflette la natura attiva della manomissione rispetto alla mera inerzia organizzativa.
Terzo comma
Il terzo comma estende la punibilità alle condotte omissive commesse per colpa grave, con riduzione della pena da un terzo a un sesto. La selezione del solo primo comma e il richiamo alla colpa grave circoscrivono l’area di rilevanza penale, escludendo dal perimetro gli scostamenti tecnici minori e gli errori operativi privi di connotazione qualificata.
Resta comunque un’area di responsabilità colposa che intercetta con precisione le carenze di presidio riconducibili a difetti di organizzazione.
Quarto comma
Il quarto comma introduce una figura specializzata per soggetto attivo, l’utilizzatore professionale di sistemi ad alto rischio che ometta intenzionalmente le misure di sorveglianza umana. La previsione autonoma si spiega con l’esigenza di coprire una posizione che le condotte del primo comma, ancorate alle fasi di progettazione e immissione sul mercato, non intercetterebbero pienamente.
È il comma che riguarda più direttamente la maggior parte degli enti, che i sistemi di intelligenza artificiale non li sviluppano ma li acquistano e li utilizzano nei propri processi.
Il perimetro dell’alto rischio
La rilevanza penale dipende interamente dalla qualificazione del sistema come ad alto rischio. Fuori da quel perimetro l’art. 437-bis non opera, e con esso non opera il nuovo art. 25-vicies.
Il Regolamento (UE) 2024/1689 individua due percorsi di qualificazione. Il primo percorso passa dall’Allegato III, che elenca per finalità d’uso i sistemi destinati a incidere su posizioni giuridiche rilevanti: gestione di infrastrutture critiche, istruzione e formazione professionale, occupazione e gestione dei lavoratori, accesso a servizi essenziali pubblici e privati compreso il merito creditizio, attività di contrasto, migrazione e controllo delle frontiere, amministrazione della giustizia.
Il secondo percorso, disciplinato dall’art. 6, paragrafo 1, riguarda i sistemi che costituiscono componente di sicurezza di un prodotto già disciplinato dalla normativa di armonizzazione elencata nell’Allegato I, o che sono essi stessi tale prodotto, quando sia richiesta una valutazione di conformità da parte di terzi.
Questo percorso sfugge con maggiore frequenza nelle ricognizioni aziendali.
Esempi di chi ricade nel perimetro dell’alto rischio
Un’impresa manifatturiera che integri moduli di intelligenza artificiale in macchinari soggetti a marcatura CE, un laboratorio diagnostico che utilizzi strumentazione con componenti algoritmiche certificate secondo la disciplina sui dispositivi medico-diagnostici in vitro, un operatore che gestisca apparecchiature certificate secondo normativa settoriale possono trovarsi nel perimetro dell’alto rischio senza che alcuna voce dell’Allegato III venga in rilievo.
La qualificazione discende dal regime del prodotto che incorpora il sistema, non dalla finalità per cui il sistema viene impiegato.
La zona di confine
C’è poi una zona di confine che merita attenzione particolare nella costruzione della matrice di rischio.
Uno stesso sistema può collocarsi su livelli di rischio diversi a seconda della configurazione applicativa.
Un assistente conversazionale impiegato per la gestione di prenotazioni e per l’assistenza clientela rientra nella categoria del rischio limitato, con il solo obbligo di trasparenza di cui all’art. 50.
Lo stesso motore, collegato a un modulo che attribuisca punteggi o determini l’accesso a una prestazione, o che intervenga nella selezione del personale, si sposta nell’Allegato III.
La soglia non è segnata dalla tecnologia sottostante ma dalla funzione decisionale che le viene attribuita nel processo aziendale.
Questo comporta che la ricognizione non possa esaurirsi in un inventario degli applicativi.
Serve un’analisi che risalga ai processi in cui i sistemi sono innestati e alle decisioni che contribuiscono a produrre.
Inoltre serve un presidio sulle modifiche di configurazione, perché una riqualificazione del rischio può derivare da un aggiornamento funzionale deliberato a livello operativo, senza che la questione venga mai portata all’attenzione degli organi di controllo.
Lo sfasamento temporale con il calendario dell’AI Act
C’è un aspetto del nuovo assetto che merita attenzione e che rischia di passare inosservato, perché deriva dall’incrocio fra due calendari normativi distinti.
Il Regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus sull’IA, in vigore dal 27 luglio 2026, ha differito il termine di applicazione della disciplina sui sistemi ad alto rischio.
La scadenza originaria del 2 agosto 2026 è stata spostata al 2 dicembre 2027 per i sistemi autonomi dell’Allegato III e al 2 agosto 2028 per quelli integrati nei prodotti dell’Allegato I. Il rinvio è stato motivato dalla mancata designazione, in diversi Stati membri, delle autorità nazionali di vigilanza.
Il D.Lgs. 160/2026 entra invece in vigore il 30 settembre 2026. Da quella data l’art. 437-bis è pienamente operativo, e con esso il nuovo reato presupposto.
Ne deriva un’asimmetria di oltre un anno fra la vigenza della norma penale e l’esigibilità della disciplina tecnica a cui quella norma rinvia.
Il differimento europeo investe l’intero blocco che governa classificazione, requisiti e obblighi degli operatori, e quindi anche la norma che stabilisce quando un sistema debba considerarsi ad alto rischio.
Poiché il decreto italiano rinvia in blocco alle definizioni del Regolamento, senza introdurne di proprie, la fattispecie penale costruisce il proprio presupposto su una categoria che diventerà giuridicamente operativa solo fra più di un anno.
Elementi di valutazione
Sul piano della struttura della fattispecie, la questione va scomposta, perché l’art. 437-bis contiene due rinvii al diritto europeo che non hanno la stessa natura.
Il primo riguarda la nozione di sistema ad alto rischio. Qui il Regolamento descrive una qualità dell’oggetto su cui la condotta cade, allo stesso modo in cui l’altruità qualifica la cosa nel furto o l’appartenenza a una tabella ministeriale qualifica una sostanza come stupefacente. Non dice al destinatario cosa fare, dice com’è fatto il mondo su cui la norma penale interviene.
Il secondo riguarda le misure previste. Qui il rinvio è di tipo diverso, perché quelle misure sono il contenuto stesso dell’obbligo la cui violazione viene punita. Senza di esse la condotta doverosa non è identificabile, e il precetto resta incompleto.
È la tecnica della norma parzialmente in bianco, consueta nella legislazione penale d’impresa e pacificamente compatibile con la riserva di legge quando la legge fissa, come qui, i presupposti e i limiti dell’integrazione tecnica.
Dove convergono i due percorsi
La distinzione ha un rilievo pratico, ma su un punto le due strade convergono. Un requisito del fatto deve sussistere quando la condotta si realizza, perché il fatto tipico si compone di elementi attuali e non di elementi futuri.
Una fonte integratrice deve essere vigente quando la condotta si realizza, perché il precetto si determina con le norme applicabili in quel momento. In entrambi i casi il momento di riferimento è lo stesso, ed è il momento del fatto.
Il punto più delicato, però, non riguarda la qualificazione del sistema quanto l’individuazione delle misure omesse.
Sulla classificazione è sostenibile che la norma europea, avendo natura descrittiva, consenta comunque di accertare se un sistema presenti in fatto le caratteristiche che la definizione enuncia.
Le misure idonee a prevenire malfunzionamenti o alterazioni
Sulle misure il discorso cambia, perché trattandosi di condotta omissiva l’obbligo non è una qualità dell’oggetto ma il contenuto stesso del dovere. Un’omissione esiste in senso giuridico solo se esiste l’obbligo corrispondente. Se nessuna fonte impone quelle misure per quel sistema quando la condotta si realizza, viene meno l’oggetto stesso dell’omissione, e con esso l’elemento oggettivo della fattispecie.
La questione si pone prima e indipendentemente dalla rimproverabilità del soggetto.
In favore di una piena operatività immediata milita la circostanza che il rinvio non è necessariamente circoscritto al Regolamento.
Le misure idonee a prevenire malfunzionamenti o alterazioni possono desumersi anche da altre fonti già vigenti, dalla disciplina di prodotto alla normativa sulla sicurezza generale, agli standard tecnici di settore.
Per i sistemi che costituiscono componente di sicurezza di macchinari o dispositivi medici, gli obblighi discendono da regimi certificatori pienamente applicabili da anni.
Per i sistemi autonomi il problema si pone invece in termini particolarmente netti.
La finestra del differimento
Un sistema di selezione del personale o di valutazione del merito creditizio non è soggetto, oggi, ad alcun obbligo specifico di sorveglianza umana o di gestione del rischio derivante dall’AI Act, poiché quegli obblighi sono stati differiti.
Sostenere che l’omissione di misure non ancora dovute integri comunque la condotta tipica solleva un problema di determinatezza che il giudice dovrebbe affrontare in via preliminare.
Un dato testuale conferma che il problema non è sfuggito al legislatore delegato.
Il decreto contiene una clausola che allinea al calendario europeo l’applicazione delle disposizioni che dipendono dal Regolamento, ma la riferisce al solo Titolo I, quello dedicato alle attività di polizia.
Il Titolo II, dove si collocano le norme penali e la modifica alla disciplina degli enti, ne resta fuori.
Se la scelta sia deliberata, nel senso di anticipare la tutela penale rispetto agli obblighi tecnici, oppure frutto di un difetto di coordinamento destinato a essere colmato in via interpretativa, è questione che i primi commenti dovranno affrontare.
Una terza lettura che la giurisprudenza potrebbe fare propria
La norma di classificazione ha natura definitoria prima ancora che precettiva, e potrebbe quindi operare come criterio di qualificazione anche prima che diventino applicabili gli obblighi che presuppone.
Seguendo questa impostazione, la categoria di sistema ad alto rischio sarebbe già utilizzabile ai fini penali, e resterebbe da accertare unicamente quali misure fossero in concreto esigibili al momento del fatto, attingendo alle fonti già applicabili, pur con il rischio di tensioni evidenti con il principio di tassatività e determinatezza.
Per gli operatori la conseguenza pratica va colta senza ambiguità. Lo sfasamento non è un argomento spendibile come motivo di attesa. L’idoneità del modello organizzativo viene valutata con riferimento al momento del fatto, e un fatto che si verifichi dopo dicembre 2027 troverà un’organizzazione che ha avuto quattordici mesi per prepararsi.
La ricognizione dei sistemi, la loro classificazione documentata, la designazione dei presidi di sorveglianza umana richiedono tempi che raramente si comprimono in poche settimane.
La finestra aperta dal differimento andrebbe letta come margine di adeguamento, non come sospensione del rischio.
La valutazione d’impatto sui diritti fondamentali e la sorveglianza umana
Il Regolamento europeo prevede, accanto alla valutazione d’impatto sulla protezione dei dati (DPIA) che ormai fa parte del bagaglio ordinario di ogni organizzazione, una seconda valutazione dedicata ai diritti fondamentali.
La FRIA presidia in modo diretto gli stessi elementi la cui omissione integra la condotta sanzionata dall’art. 437-bis, e per questo merita attenzione anche da parte di chi non vi è formalmente tenuto.
L’obbligo ha infatti un ambito soggettivo ristretto. Riguarda le amministrazioni pubbliche, gli enti privati che erogano servizi pubblici e, nel settore privato, chi impiega sistemi per la valutazione del merito creditizio o per la determinazione dei prezzi nelle assicurazioni vita e malattia.
La maggior parte degli enti che utilizza sistemi ad alto rischio resta quindi fuori dall’obbligo, pur restando pienamente dentro il perimetro del rischio penale. È una asimmetria che vale la pena tenere presente, perché lo strumento più utile a documentare i presidi non è obbligatorio proprio per chi ne avrebbe maggior bisogno.
Il contenuto della valutazione resta comunque una traccia metodologica spendibile da chiunque.
Si tratta di descrivere in quali processi il sistema viene utilizzato e per quanto tempo, quali categorie di persone ne subiscono gli effetti, quali danni specifici possono derivarne tenuto conto di quanto il fornitore ha dichiarato nelle istruzioni per l’uso, e infine come vengono concretamente attuate le misure di sorveglianza umana e cosa accade se il rischio si materializza.
L’Organismo di vigilanza
L’ultimo elemento è quello che più interessa un Organismo di Vigilanza. La norma non chiede di dichiarare che la sorveglianza umana esiste, chiede di descrivere come viene attuata, e ancora la àncora alle istruzioni fornite dal produttore.
È lo stesso livello di verifica che la struttura del reato impone, considerato che il quarto comma dell’art. 437-bis punisce proprio l’utilizzatore professionale che ometta intenzionalmente le misure di sorveglianza umana.
Un presidio designato sulla carta, ma privo di attuazione documentata espone l’ente su entrambi i fronti.
La valutazione va effettuata prima del primo utilizzo e aggiornata ogniqualvolta uno dei suoi elementi cambi o risulti superato.
Questo meccanismo di revisione andrebbe recepito nel modello come vero e proprio innesco procedurale, collegandolo alla gestione delle modifiche di configurazione già richiamata in tema di classificazione.
La valutazione d’impatto privacy
Quanto al rapporto con la valutazione d’impatto privacy, il Regolamento stabilisce che la FRIA integri quest’ultima laddove gli stessi obblighi risultino già soddisfatti. Il verbo indica complementarità, non assorbimento.
Le due valutazioni guardano a oggetti diversi, il rischio per i diritti e le libertà degli interessati la prima, l’impatto sulle persone e sui gruppi esposti all’uso del sistema la seconda.
La sovrapposizione va quindi dimostrata punto per punto nei documenti, non affermata in via generale come clausola di stile.
Il criterio di imputazione all’ente
L’ingresso del 437-bis nel catalogo dei reati presupposto non modifica i presupposti generali della responsabilità amministrativa. Perché l’ente risponda occorrono i due requisiti di sempre, l’interesse o il vantaggio e la riconducibilità del fatto a un soggetto apicale o sottoposto, unitamente alla colpa di organizzazione che gli artt. 6 e 7 declinano in termini di idoneità ed efficace attuazione del modello.
Il criterio dell’interesse o vantaggio merita una riflessione specifica quando il reato presupposto ha struttura colposa.
La giurisprudenza formatasi sui reati di cui all’art. 25-septies ha consolidato una lettura secondo cui l’interesse va riferito alla condotta e non all’evento, individuandolo nel risparmio di costi o nell’accelerazione dei tempi produttivi che l’omissione dei presidi consente di conseguire.
Lo schema si trasferisce agevolmente al 437-bis nella forma colposa del terzo comma.
La mancata implementazione di misure di sorveglianza umana su un sistema ad alto rischio comporta un risparmio in termini di risorse dedicate, di rallentamento dei flussi decisionali, di costi di licenza per moduli di controllo. Sono esattamente le voci che, nella prospettiva dell’accusa, integrano il vantaggio per l’ente.
Cosa dice il quarto comma
Il quarto comma pone una questione diversa. L’omissione intenzionale di misure di sorveglianza umana da parte dell’utilizzatore professionale ha struttura dolosa, ma il dolo del soggetto agente non esclude di per sé la riconducibilità all’ente.
Anzi, l’ipotesi di un responsabile di funzione che disattivi consapevolmente i presidi di controllo umano per aumentare la produttività del processo rappresenta il caso paradigmatico di condotta dolosa realizzata nell’interesse dell’organizzazione.
Dove si gioca la partita concreta
Sul versante esimente, l’onere che grava sull’ente segue le regole ordinarie. Per i fatti dell’apicale occorre dimostrare l’adozione ed efficace attuazione di un modello idoneo, l’affidamento dei compiti di vigilanza a un organismo dotato di autonomi poteri di iniziativa e controllo, l’elusione fraudolenta del modello da parte dell’autore, l’assenza di omessa o insufficiente vigilanza. Per i fatti del sottoposto la prova si concentra sull’idoneità del modello rispetto al rischio specifico.
È su quest’ultimo punto che si gioca la partita concreta.
Un modello che non contempli il rischio connesso all’utilizzo di sistemi di intelligenza artificiale, pur in presenza di sistemi ad alto rischio operanti nei processi aziendali, difficilmente supererà il vaglio di idoneità. La verifica non riguarda l’esistenza formale di un protocollo, ma la sua capacità di intercettare in concreto le condotte tipizzate dalla nuova fattispecie.
Le ricadute sul modello organizzativo
L’aggiornamento del modello richiede interventi su tre livelli, corrispondenti alle fasi classiche della metodologia 231.
La mappatura delle attività sensibili deve individuare i processi in cui operano sistemi ad alto rischio e i ruoli che intervengono nella loro gestione. Non basta censire gli applicativi, occorre ricostruire chi decide l’adozione di un sistema, chi ne definisce i parametri di funzionamento, chi presidia la sorveglianza umana, chi autorizza modifiche alla configurazione.
Nella maggior parte delle organizzazioni queste funzioni risultano frammentate tra direzione IT, funzioni di business e fornitori esterni, con confini di responsabilità che raramente emergono da una procedura formalizzata.
I protocolli devono tradurre in regole interne gli obblighi tecnici che il Regolamento pone in capo al deployer.
Rilevano in particolare la designazione nominativa dei soggetti incaricati della sorveglianza umana, i requisiti di competenza e formazione, le condizioni in cui l’intervento umano deve poter sospendere o correggere l’output del sistema, la conservazione dei log di funzionamento, i flussi di segnalazione delle anomalie.
La documentabilità di questi presidi costituisce l’unico elemento su cui l’ente potrà fondare la prova dell’efficace attuazione.
I fornitori terzi
Il presidio sulla filiera merita una considerazione autonoma. Gli enti che acquisiscono sistemi di intelligenza artificiale da fornitori terzi dipendono, per la propria conformità, da informazioni che solo il fornitore possiede (la classificazione del sistema, la documentazione tecnica, le istruzioni per l’uso, i limiti di funzionamento dichiarati).
La contrattualistica deve quindi prevedere obblighi informativi specifici, impegni di aggiornamento in caso di modifiche che incidano sulla classificazione, diritti di audit.
Una dichiarazione contrattuale di conformità non trasferisce al fornitore il rischio penale che grava sull’utilizzatore professionale, ma la sua assenza espone l’ente a una carenza organizzativa difficilmente giustificabile.
Un canale informativo ad hoc
Quanto ai flussi verso l’Organismo di Vigilanza, occorre un canale informativo dedicato che intercetti l’introduzione di nuovi sistemi, le modifiche di configurazione rilevanti ai fini della classificazione, gli incidenti di funzionamento, gli esiti dei controlli sulla sorveglianza umana.
La frequenza dei flussi deve essere commisurata alla dinamicità del contesto tecnologico, che negli ambienti a forte adozione di intelligenza artificiale rende obsoleta in pochi mesi una ricognizione annuale.
Un’ultima considerazione riguarda l’integrazione con i presidi già esistenti. Molte organizzazioni hanno costruito negli anni sistemi di gestione conformi agli standard ISO in materia di sicurezza delle informazioni, e alcune hanno avviato percorsi di adeguamento alla ISO/IEC 42001 sui sistemi di gestione dell’intelligenza artificiale.
Questi strumenti forniscono un’infrastruttura di controllo riutilizzabile, a condizione che il modello 231 ne recepisca formalmente gli output e che l’Organismo di Vigilanza sia messo nelle condizioni di verificarne l’effettivo funzionamento, non la sola esistenza documentale.
Il rapporto con gli altri presidi normativi
La nuova fattispecie si inserisce in un contesto aziendale in cui i sistemi di intelligenza artificiale sono già oggetto di obblighi derivanti da discipline diverse, e questo genera sovrapposizioni che vanno governate con attenzione.
Il rapporto più stretto riguarda la protezione dei dati personali. Un sistema ad alto rischio che tratti dati personali è quasi sempre soggetto a valutazione d’impatto ai sensi dell’art. 35 GDPR, e le misure di sicurezza richieste dall’art. 32 si intersecano con le misure tecniche che l’art. 437-bis presuppone. L’errore da evitare consiste nel ritenere che l’adempimento dell’una copra automaticamente l’altra.
La DPIA valuta il rischio per i diritti e le libertà degli interessati, mentre la fattispecie penale guarda al pericolo per la vita, per l’incolumità o per la sicurezza dello Stato.
Sono prospettive di rischio distinte, che possono condurre a misure diverse sullo stesso sistema. Un presidio adeguato sul piano della protezione dati può risultare insufficiente rispetto al pericolo che rileva ai fini penali.
La sicurezza sul lavoro
Analoga considerazione vale per la sicurezza sul lavoro. Quando un sistema ad alto rischio governa processi produttivi o macchinari, il pericolo per l’incolumità individuale che integra il 437-bis può coincidere con il rischio già valutato nel documento di cui all’art. 28 del D.Lgs. 81/2008.
La convergenza è un’opportunità, poiché consente di riutilizzare analisi già condotte, ma richiede che il collegamento sia esplicitato nei documenti e non lasciato alla ricostruzione postuma.
Per gli enti che rientrano nel perimetro NIS2 o che operano in settori soggetti a discipline di resilienza operativa, le misure di gestione del rischio già implementate offrono una base di partenza sui presidi tecnici.
Resta però scoperta la componente che caratterizza in modo specifico il nuovo reato, ossia la sorveglianza umana.
L’area più scoperta
Nessuna delle discipline richiamate impone un presidio umano sull’output decisionale del sistema con le caratteristiche che l’AI Act prevede per l’alto rischio. E questa è probabilmente l’area di maggior scopertura nelle organizzazioni che partono da un impianto di compliance già strutturato.
La conseguenza operativa è che l’integrazione dei presidi va costruita per differenza, individuando ciò che le discipline esistenti non coprono, piuttosto che per assimilazione.
Un modello che si limiti a richiamare le procedure privacy o quelle di sicurezza informatica come presidio del rischio 437-bis rischia di mostrare, in sede di verifica dell’idoneità, proprio la lacuna che avrebbe dovuto colmare.
L’attività di vigilanza
Il presidio del nuovo rischio impone all’Organismo di Vigilanza un’attività di verifica su un oggetto tecnicamente distante dalle materie tradizionalmente presidiate, e questo pone un problema di competenze prima ancora che di metodo.
La verifica non richiede all’Organismo di entrare nel merito delle scelte architetturali dei sistemi, che esulano dal suo ruolo.
Richiede invece di accertare che l’organizzazione abbia strutturato un processo decisionale tracciabile, in cui la classificazione di ciascun sistema risulti motivata, aggiornata e riferibile a un soggetto individuato.
Quando l’organizzazione non è in grado di esibire il percorso che ha condotto a qualificare un sistema come estraneo al perimetro dell’alto rischio, la lacuna riguarda l’organizzazione e non la tecnologia, e rientra pienamente nell’ambito di verifica dell’Organismo.
I controlli sulla sorveglianza umana meritano attenzione specifica, poiché è qui che la distanza tra presidio formale e presidio effettivo tende a essere maggiore.
La designazione di un responsabile non basta se il soggetto designato non dispone di tempo, competenza e autorità per intervenire sull’output del sistema.
La verifica dovrebbe quindi accertare che l’intervento umano sia stato effettivamente esercitato almeno in alcuni casi documentati, che esistano evidenze di correzioni o sospensioni disposte, e che i soggetti incaricati abbiano ricevuto formazione adeguata alla comprensione dei limiti del sistema che presidiano.
La gestione delle modifiche
Un secondo ambito di verifica riguarda la gestione delle modifiche. Poiché la classificazione di rischio dipende dalla configurazione d’uso, ogni aggiornamento funzionale rilevante dovrebbe attivare una rivalutazione. L’Organismo dovrebbe accertare che la procedura di change management contempli questo passaggio e che non si risolva in un adempimento meramente cartolare gestito all’interno della funzione IT senza coinvolgimento delle funzioni di controllo.
La filiera
Il terzo ambito riguarda la filiera. Le evidenze da acquisire comprendono la documentazione tecnica ricevuta dai fornitori, le clausole contrattuali sugli obblighi informativi, le comunicazioni di aggiornamento pervenute e il loro trattamento interno. L’assenza di un flusso strutturato con i fornitori di sistemi ad alto rischio costituisce una carenza organizzativa autonoma, indipendentemente dal corretto funzionamento dei sistemi.
Il monitoraggio
Quanto alla periodicità, la dinamicità del contesto suggerisce di non affidare la verifica al solo ciclo annuale.
Un monitoraggio più frequente, anche in forma di richiesta informativa periodica alle funzioni coinvolte, consente di intercettare l’introduzione di nuovi sistemi e le modifiche di configurazione in tempi compatibili con l’esigenza di adeguare i presidi prima che il rischio si concretizzi.
L’AI e il Decreto legislativo 231/01: il nuovo rischio non richiede un impianto separato
L’introduzione dell’art. 437-bis nel catalogo dei reati presupposto segna un passaggio meno traumatico di quanto la novità possa suggerire.
Il legislatore ha costruito la fattispecie su una soglia elevata, ancorandola al pericolo concreto e, nella forma colposa, alla colpa grave.
La scelta esclude dal perimetro penale lo scostamento tecnico e l’errore operativo, concentrando la risposta sanzionatoria sulle omissioni realmente idonee a esporre a rischio beni di rango primario.
Per la maggior parte degli enti il numero di sistemi effettivamente riconducibili all’alto rischio resterà contenuto, e in molti casi nullo.
Questo non riduce la portata dell’intervento sul piano organizzativo. La verifica di non applicabilità richiede la medesima ricognizione che sarebbe necessaria in caso contrario, e produce un esito che va documentato e mantenuto aggiornato.
Un ente che oggi non impiega sistemi ad alto rischio può trovarsi domani in condizione diversa per effetto di una modifica funzionale deliberata a livello operativo, senza che la questione raggiunga gli organi di controllo.
La ricognizione ha quindi valore non solo come accertamento di uno stato di fatto, ma come presupposto per l’attivazione di un monitoraggio continuativo.
Resta aperta la questione dei confini della responsabilità nella filiera dell’intelligenza artificiale, dove le fasi di progettazione, addestramento, distribuzione e utilizzo coinvolgono soggetti distinti e l’individuazione della condotta omissiva rilevante richiede di ricostruire chi, in concreto, disponeva del potere e della conoscenza necessari ad adottare la misura mancante.
La struttura del quarto comma, che isola la posizione dell’utilizzatore professionale, offre un primo criterio di ordinamento, ma il tema è destinato a porsi con maggiore complessità man mano che i sistemi acquisiranno margini di adattamento autonomo rispetto alla configurazione originaria.
Per chi presidia un modello organizzativo, l’indicazione operativa che emerge è che il nuovo rischio non richiede un impianto separato.
Richiede l’estensione della metodologia consolidata a un ambito in cui l’oggetto del controllo presenta caratteristiche nuove, prima fra tutte la possibilità che la qualificazione giuridica del sistema muti senza che ne muti la tecnologia sottostante.
È su questa mobilità del perimetro, più che sulla severità delle sanzioni, che si misurerà l’idoneità dei modelli nei prossimi anni.
Partecipa alla community