AI Act e Modello 231: cosa cambia nella gestione dell’intelligenza artificiale in azienda
L’intelligenza artificiale sta entrando nelle imprese attraverso strumenti e applicazioni sempre più accessibili. Viene utilizzata per analizzare informazioni, supportare decisioni, automatizzare attività e produrre immagini, testi o video.
Spesso il suo impiego si diffonde gradualmente, attraverso software già in uso, servizi acquistati da fornitori o iniziative delle singole funzioni aziendali. Per questo, la conoscenza degli strumenti utilizzati e delle responsabilità connesse al loro impiego assume un’importanza crescente.
Il rapporto tra AI Act e Modello 231 si inserisce in questo contesto. Con il D.Lgs. 9 settembre 2026, n. 160, entrato in vigore il 30 settembre 2026, alcuni reati legati all’intelligenza artificiale acquistano rilevanza anche per la responsabilità dell’impresa. [1]
Per le organizzazioni che hanno adottato un Modello di Organizzazione, Gestione e Controllo, diventa quindi necessario valutare se i rischi connessi all’IA siano adeguatamente considerati.
AI Act e Modello 231 quali sono le novità
Il decreto introduce nel D.Lgs. 231/2001 il nuovo articolo 25-vicies, dedicato ai reati commessi con l’uso di sistemi di intelligenza artificiale.
Il collegamento riguarda due ambiti: la sicurezza dei sistemi di IA ad alto rischio e la diffusione illecita di immagini, video o voci generati o alterati attraverso l’intelligenza artificiale. [1]
La novità porta questi temi all’interno della valutazione dei rischi aziendali. Accanto alla responsabilità della persona che commette il reato, può infatti configurarsi, alle condizioni previste dalla normativa 231, anche quella dell’ente.
È utile chiarire che non ogni violazione dell’AI Act comporta automaticamente una responsabilità 231. Occorre verificare il reato concreto e il suo collegamento con l’attività dell’impresa.
La sicurezza dei sistemi di intelligenza artificiale
Il primo ambito riguarda i sistemi di IA classificati ad alto rischio.
Il nuovo articolo 437-bis del Codice penale punisce determinate omissioni delle misure di sicurezza o di sorveglianza umana, quando provocano un pericolo per la vita o l’incolumità delle persone. La norma riguarda anche l’alterazione illecita dei sistemi e considera espressamente alcune responsabilità di chi li utilizza professionalmente. [1]
Il punto, per l’organizzazione aziendale, è comprendere come viene controllato il funzionamento della tecnologia.
Chi verifica i risultati? Chi può riconoscere un’anomalia? Chi dispone delle competenze e dell’autorità per intervenire?
La presenza di una persona incaricata del controllo acquista valore quando questa è effettivamente nelle condizioni di svolgere il proprio compito. Servono informazioni comprensibili, formazione adeguata e modalità di intervento definite.
Immagini video e voci artificiali nella comunicazione
Il secondo ambito interessa la diffusione di contenuti generati o modificati con l’IA.
L’articolo 612-quater del Codice penale riguarda la diffusione, senza consenso, di immagini, video o voci falsificati o alterati mediante intelligenza artificiale, capaci di apparire autentici e di causare un danno ingiusto alla persona coinvolta. Questa fattispecie, già introdotta nel 2025, entra ora nel catalogo dei reati rilevanti per il sistema 231. [1, 2]
Il tema può interessare anche attività ordinarie di comunicazione: un video promozionale, una voce ricostruita artificialmente o un’immagine utilizzata sui canali aziendali.
L’utilizzo di questi strumenti richiede quindi attenzione alla provenienza dei materiali, ai consensi e alle verifiche prima della pubblicazione. Gli stessi aspetti devono essere considerati quando la realizzazione dei contenuti viene affidata a un fornitore esterno.
Quali conseguenze possono esserci per l’impresa
Per i reati richiamati dal nuovo articolo 25-vicies sono previste sanzioni pecuniarie e misure che possono incidere sull’operatività dell’ente.
Le sanzioni economiche sono calcolate attraverso il sistema delle quote: da 600 a 1.000 per il reato relativo alla sicurezza dei sistemi di IA e da 200 a 700 per la diffusione illecita di contenuti artificiali. Sono inoltre previste misure che possono riguardare autorizzazioni, rapporti con la pubblica amministrazione, agevolazioni e pubblicità di beni o servizi. [1, 3]
La responsabilità dell’impresa deve comunque essere accertata considerando i presupposti della normativa 231, tra cui il ruolo della persona che ha commesso il fatto e l’interesse o il vantaggio dell’ente. [3]
Questo rende importante una valutazione legata alle attività effettivamente svolte e alle modalità con cui vengono prese le decisioni.
Aggiornare il MOG 231 partendo dall’organizzazione
L’aggiornamento del MOG 231 parte dalla conoscenza degli strumenti utilizzati.
Un’impresa potrebbe impiegare intelligenza artificiale senza averne una visione complessiva, perché le applicazioni sono state introdotte in momenti diversi e da persone differenti. Il primo passaggio consiste quindi nel ricostruire dove viene utilizzata l’IA, per quali finalità e sotto la responsabilità di chi.
Da questa analisi possono emergere esigenze diverse:
- definire chi autorizza l’introduzione di nuovi strumenti;
- individuare i controlli necessari sui risultati e sul funzionamento dei sistemi;
- stabilire come segnalare errori, anomalie o utilizzi impropri;
- verificare i contenuti artificiali prima della diffusione;
- chiarire le responsabilità nei rapporti con i fornitori.
Le misure devono essere proporzionate alla realtà aziendale. Un’impresa che sviluppa sistemi di IA ad alto rischio avrà esigenze differenti rispetto a un’organizzazione che utilizza applicazioni per produrre contenuti.
La valutazione serve proprio a individuare quali rischi siano presenti e quali controlli risultino utili.
Formazione e informazioni per rendere efficaci i controlli
Le regole aziendali funzionano quando le persone comprendono come applicarle.
Chi utilizza l’intelligenza artificiale deve conoscere i limiti degli strumenti, le verifiche richieste e le situazioni nelle quali è necessario coinvolgere un responsabile. La formazione dovrebbe quindi partire dalle applicazioni concretamente utilizzate e dai problemi che possono presentarsi nel lavoro quotidiano.
Anche l’Organismo di Vigilanza deve ricevere informazioni adeguate per svolgere il proprio compito. Nuovi sistemi, cambiamenti significativi, incidenti e carenze nei controlli possono indicare la necessità di rivedere il modello. La normativa 231 collega infatti la vigilanza sul suo funzionamento anche alla cura dell’aggiornamento. [3]
Il contributo della ISO/IEC 42001
Un riferimento utile per organizzare questi aspetti è la ISO/IEC 42001, la norma internazionale dedicata ai sistemi di gestione dell’intelligenza artificiale.
La norma aiuta le organizzazioni a definire responsabilità, valutare i rischi, controllare i processi e migliorare nel tempo la gestione dell’IA. È applicabile sia a chi sviluppa queste tecnologie sia a chi le utilizza. [4]
Questi elementi possono essere coordinati con il Modello 231, rendendo più coerenti le attività di prevenzione e controllo.
La certificazione è volontaria. Può offrire una verifica indipendente del sistema di gestione, ma non sostituisce la valutazione dei rischi richiesta dal MOG e non determina automaticamente un’esenzione dalla responsabilità dell’ente. [3, 5]
Governare l’IA attraverso un’organizzazione consapevole
L’ingresso dei reati legati all’intelligenza artificiale nel sistema 231 richiama un tema già affrontato nell’approfondimento sul Modello 231 e l’organizzazione aziendale: l’efficacia del modello dipende dalla sua capacità di accompagnare il funzionamento dell’impresa.
Anche per l’IA, conoscere gli strumenti, assegnare responsabilità e far circolare le informazioni permette di riconoscere i problemi e intervenire tempestivamente.
L’aggiornamento del modello diventa così un’occasione per comprendere come l’intelligenza artificiale stia cambiando il lavoro e quali condizioni organizzative siano necessarie per utilizzarla in modo consapevole.
