Responsabilità penale in materia di IA in Italia: cosa devono sapere ora i consigli di amministrazione

La responsabilità penale in materia di IA non è più una questione di quanto costerebbe una sanzione, ma di chi approva un sistema e di cosa succede a quella persona, e all’azienda, se il sistema causa un danno.

L’Italia ha ora dato una risposta a questa domanda, e tale risposta va oltre i suoi confini. Il 4 agosto 2026 il Consiglio dei Ministri ha approvato in via definitiva i due decreti legislativi che adeguano la legislazione italiana all’AI Act, completando la delega contenuta nella Legge n. 132/2025. Merita un’analisi a parte la parte che riguarda direttamente le persone fisiche e le aziende, poiché modifica sia le modalità con cui deve essere presa una decisione di implementazione, sia chi ne subisce le conseguenze.

Due eventi si sono verificati contemporaneamente. È stato introdotto nel Codice Penale un nuovo reato, l’articolo 437-bis, che punisce l’omissione di misure di sicurezza nei sistemi di IA ad alto rischio, e tale reato è diventato contemporaneamente un elemento scatenante della responsabilità penale delle società, entrando nel catalogo dei reati presupposto ai sensi del Decreto Legislativo 231/2001 attraverso un nuovo articolo dedicato ai reati commessi con l’uso di sistemi di IA.

Se la vostra organizzazione opera in Italia, vende in Italia o ha una filiale italiana, la questione vi riguarda, poiché l’esposizione alla responsabilità dipende dalla condotta e dal luogo in cui il reato viene commesso piuttosto che dalla nazionalità della società madre, e i procedimenti penali societari italiani raggiungono abitualmente entità i cui responsabili decisionali hanno sede in luoghi completamente diversi.

Perché la responsabilità penale in materia di IA cambia le carte in tavola

Le sanzioni amministrative previste dalla legge sull’IA sono gravi e vengono inserite nel bilancio, poiché una sanzione è in definitiva un costo che l’azienda si fa carico, mentre la responsabilità penale in materia di IA ricade su una persona e non è coperta da alcuna voce di bilancio.

Questa differenza si riflette nella fase di approvazione di ogni progetto di IA. Quando il rischio era di natura monetaria, la governance poteva essere valutata a fronte dei benefici attesi e di solito ne usciva sconfitta; ora invece che il rischio include l’esposizione personale di chi ha approvato l’implementazione, la questione non è più quanto ciò possa costare, ma se la persona che ha autorizzato il sistema sia in grado di dimostrare cosa ha fatto prima di autorizzarlo.

Negli incidenti di cui mi occupo, tale prova o esiste o non esiste, e non viene mai creata a posteriori.

Cosa punisce l’articolo 437-bis

Il reato riguarda chiunque ometta le misure tecniche di sicurezza necessarie a prevenire malfunzionamenti o alterazioni, oppure ometta misure di supervisione umana, nelle fasi di progettazione, formazione, produzione, immissione sul mercato o utilizzo professionale di sistemi di IA ad alto rischio.

La responsabilità non scatta per la sola omissione, poiché la disposizione richiede ciò che il diritto penale italiano definisce «pericolo concreto», ovvero un rischio reale e dimostrabile per un interesse tutelato nelle circostanze specifiche, piuttosto che una possibilità astratta che si verifichi un danno.

Le pene seguono quindi l’interesse in gioco, variando da uno a cinque anni di reclusione qualora siano esposti la vita o l’incolumità individuale e da due a otto anni qualora il pericolo riguardi la sicurezza pubblica o la sicurezza dello Stato, mentre un secondo comma della disposizione riguarda le interferenze esterne, punendo chiunque, rimanendo estraneo al ciclo di vita del sistema, ne alteri il funzionamento, con pene da due a sei anni nel caso base e da tre a dieci anni nei casi aggravati.

Qualora la condotta omissiva sia commessa con colpa grave, la pena è ridotta da un terzo a un sesto, sul modello dell’articolo 590-sexies del Codice Penale, che disciplina la responsabilità per colpa in caso di morte o lesioni personali in ambito sanitario; l’intento è quello di limitare la rilevanza penale alle violazioni macroscopiche della diligenza in un settore in rapida evoluzione e di lasciare al di fuori del perimetro il semplice errore tecnico.

La collocazione nel Codice dice più di quanto non faccia il testo stesso, poiché l’articolo 437-bis si trova accanto all’articolo 437, che da decenni disciplina la mancata installazione di dispositivi destinati a prevenire gli infortuni sul lavoro; la legge italiana ha quindi di fatto stabilito che la mancata messa in sicurezza di un sistema di intelligenza artificiale appartiene alla stessa categoria della mancata installazione di una protezione di sicurezza su un macchinario, e chiunque abbia vissuto un’indagine sulla sicurezza sul lavoro sa bene cosa implichi questo paragone riguardo al modo in cui tendono a essere costruiti questi fascicoli.

Come funziona la responsabilità penale delle persone giuridiche in Italia

Per i lettori al di fuori dell’Italia è qui che l’analisi smette di assomigliare alla maggior parte degli altri sistemi europei, pertanto vale la pena illustrarne i meccanismi.

Il Decreto Legislativo 231/2001 ha istituito un regime in base al quale un’azienda viene sanzionata direttamente quando un reato specifico viene commesso dai suoi dirigenti o dai suoi dipendenti nell’interesse o a vantaggio dell’azienda, e solo i reati inclusi in un elenco normativo definito, noti come reati presupposto, possono far scattare tale regime; ecco perché l’aggiunta di un reato a tale elenco costituisce un atto legislativo significativo ed ecco perché ciò che è appena accaduto in materia di IA è rilevante.

Due aspetti meritano l’attenzione di chiunque sia abituato a un sistema diverso. La sanzione viene inflitta all’ente stesso, nell’ambito di un procedimento a lui dedicato, parallelamente a qualsiasi azione intentata contro le persone coinvolte, e l’azienda dispone di una vera e propria difesa, piuttosto che di una mera circostanza attenuante, qualora possa dimostrare di aver adottato e attuato efficacemente un modello organizzativo, gestionale e di controllo volto a prevenire reati di quel tipo, sotto la supervisione di un organismo di vigilanza indipendente. L’implicazione pratica è diretta, poiché un modello che non affronti il rischio legato all’IA non può fungere da difesa contro un reato presupposto relativo all’IA.

Per quanto riguarda le sanzioni, la nuova disposizione prevede una sanzione pecuniaria compresa tra seicento e mille unità per l’articolo 437-bis e tra duecento e settecento unità per il reato di deepfake di cui all’articolo 612-quater introdotto dalla Legge 132/2025; poiché le sanzioni societarie italiane sono espresse in unità anziché in euro, con il tribunale che stabilisce il valore monetario di ciascuna unità entro un intervallo previsto dalla legge in base alla situazione finanziaria dell’ente, lo stesso numero di unità produce importi molto diversi per un piccolo fornitore e per una multinazionale, raggiungendo ben oltre un milione di euro nella fascia più alta.

La collocazione del reato da parte del legislatore è più eloquente delle cifre stesse, poiché la relazione illustrativa che accompagna il decreto lo colloca nella fascia alta del catalogo e adotta come riferimento esplicito il reato presupposto relativo all’omicidio colposo e alle lesioni personali causate da violazioni delle norme di sicurezza sul lavoro; ciò significa che le violazioni in materia di sicurezza dell’IA sono state classificate, in modo del tutto deliberato, alla stregua delle violazioni della sicurezza industriale.

Si applicano anche sanzioni interdittive che, nella pratica, incidono molto più pesantemente rispetto alle sanzioni pecuniarie, poiché comprendono la sospensione o la revoca delle autorizzazioni, il divieto di stipulare contratti con la pubblica amministrazione, l’esclusione da sovvenzioni e finanziamenti e il divieto di pubblicizzare beni o servizi, mentre l’interdizione dall’esercizio dell’attività commerciale è stata esclusa per motivi di proporzionalità: questa è l’unica nota positiva del pacchetto.

Perché gli operatori rientrano nel perimetro, anziché esserne esclusi

Questo è il punto su cui la maggior parte delle aziende fraintende quando legge il titolo.

La condotta disciplinata dall’articolo 437-bis abbraccia la progettazione, la formazione, la produzione, l’immissione sul mercato e l’uso professionale, e tale elenco non è casuale poiché ripercorre la catena del valore dell’AI Act dell’UE dal fornitore fino all’operatore e al distributore, con la conseguenza che la responsabilità penale in materia di IA, e l’esposizione aziendale che ne deriva, raggiunge ogni azienda che utilizzi professionalmente sistemi di IA ad alto rischio sviluppati da terzi.

La maggior parte delle organizzazioni con cui parlo presume che la responsabilità penale in materia di IA ricada su chi ha costruito il modello, ma non è così, perché se si implementa un sistema ad alto rischio nelle proprie operazioni, l’obbligo di mantenere misure di sicurezza e la supervisione umana spetta a voi e rimane vostro fintanto che il sistema è in funzione, e l’acquisto di quel sistema da un fornitore affidabile non cambia assolutamente nulla.

Una conseguenza merita particolare attenzione dal punto di vista degli appalti, poiché se la vostra esposizione dipende da misure che solo il fornitore può attuare e da informazioni di cui solo il fornitore è in possesso, allora i vostri contratti devono garantire entrambe le cose, e la maggior parte degli accordi di fornitura di IA firmati negli ultimi due anni non fa né l’una né l’altra.

Cosa cambia quando il sistema agisce autonomamente

Un motore di raccomandazione propone, mentre un agente prenota, negozia, esegue e decide, sempre più spesso senza che un essere umano approvi ogni singolo passaggio.

Leggendo l’articolo 437-bis tenendo presente questo cambiamento, l’esposizione diventa più chiara, poiché il reato si articola attorno a due elementi che gli agenti complicano: il primo è l’adeguatezza delle misure tecniche volte a prevenire malfunzionamenti e il secondo è la supervisione umana, che la disposizione tratta come un obbligo autonomo la cui omissione è di per sé punibile, cosicché un agente che opera con ampia autonomia e senza un punto di supervisione significativo è, ai sensi di questa disposizione, il caso paradigmatico.

La conseguenza investigativa ne deriva naturalmente, poiché la catena che collega una decisione gestionale a un esito dannoso si allunga e diventa più autonoma, e la questione di chi abbia autorizzato cosa smette di essere un dettaglio organizzativo per diventare il fulcro del caso. Se un agente compie un’azione che crea un pericolo concreto, le prime richieste riguarderanno chi ha deciso di metterla in atto, quali test siano stati effettuati sul suo impatto, quali limiti ne abbiano vincolato l’azione e chi la stesse monitorando quando la situazione si è deteriorata.

Fornisco consulenza a un numero crescente di organizzazioni che stanno introducendo agenti nelle loro operazioni e in molte di esse nessuna di queste quattro domande ha una risposta documentata, poiché i sistemi entrano in produzione senza precedenti test di impatto, senza misure di protezione e senza alcun modello di governance in grado di monitorarne il comportamento nel tempo; ciò, in un contesto di sanzioni amministrative, rappresentava un rischio commerciale, mentre in un contesto di responsabilità penale in materia di IA costituisce una decisione di ordine diverso, solitamente una decisione che nessuno all’interno dell’organizzazione ha consapevolmente preso.

Il criterio dell’interesse o del vantaggio e cosa implica

La responsabilità aziendale richiede che il reato sia stato commesso nell’interesse o a vantaggio dell’azienda, e quel fattore di collegamento, che i pubblici ministeri devono stabilire, è ciò che collega la condotta di un individuo all’entità.

In questo specifico reato il vantaggio è facile da identificare ed è proprio questo il problema, poiché consiste nel risparmio sulle misure di sicurezza, ovvero i controlli non attuati, i test non effettuati, la funzione di vigilanza priva di personale e il monitoraggio mai realizzato.

La struttura è problematica, perché lo stesso fallimento organizzativo rischia di essere conteggiato due volte: una volta nella condotta stessa e un’altra volta nella colpa organizzativa che fonda la responsabilità aziendale; i commentatori italiani hanno segnalato questo punto insieme a una sovrapposizione testuale nel primo comma, dove la sicurezza pubblica compare sia nella fattispecie base che in quella aggravata, nessuna delle quali è stata risolta in sede parlamentare ed entrambe saranno oggetto di discussione.

Per un consiglio di amministrazione l’interpretazione pratica è più semplice, poiché qualsiasi decisione di rinviare la spesa per la sicurezza dell’IA produce ora una traccia documentale che punta direttamente all’elemento del vantaggio in un procedimento penale societario.

Una complicazione da tenere presente

Il reato riguarda i sistemi di IA ad alto rischio e il quadro normativo europeo per tali sistemi ha appena subito una modifica, poiché il Digital Omnibus, il Regolamento (UE) 2026/1744 dell’8 luglio 2026 pubblicato il 24 luglio, rinvia l’applicazione delle disposizioni relative ai sistemi ad alto rischio lasciando in vigore il resto dell’AI Act.

La conclusione più allettante è che ci sia tempo, ma l’interpretazione più prudente è che l’esercizio di classificazione non possa attendere, poiché un’azienda che non abbia stabilito quali dei propri sistemi siano ad alto rischio non può sapere quali di essi rientrino nell’ambito di applicazione dell’articolo 437-bis e non sarà in grado di dimostrare, in seguito, di aver mai effettuato tale verifica.

Cosa mettere in atto

Nessuna delle misure di protezione è complessa e la maggior parte di esse migliora comunque il funzionamento del progetto di IA.

Mappare i sistemi di IA in uso e classificarli, poiché gli inventari sono solitamente l’anello mancante, in particolare per l’IA integrata in software di terze parti relativi a risorse umane, CRM, sicurezza e approvvigionamento, nonché per gli strumenti generativi che il personale ha adottato di propria iniziativa.

Verificare l’impatto prima che il sistema entri in funzione e conservare la valutazione, che descriva cosa il sistema è in grado di fare, cosa potrebbe andare storto e chi potrebbe subire un danno, poiché il valore di tale documento non risiede nell’analisi in sé, ma nella prova che l’analisi è stata effettivamente condotta.

Istituire la funzione di supervisione umana e conferirle sia un nome che l’autorità di arrestare il sistema, poiché la disposizione considera la mancanza di supervisione come una condotta punibile di per sé, il che rende questa la singola misura con il legame più chiaro con il reato.

Stabilite per iscritto il confine tra autonomia e autorizzazione, definendo ciò che un agente può fare autonomamente e ciò che richiede una decisione umana, poiché i sistemi ereditano i limiti che qualcuno ha definito per loro e, laddove nessuno ne abbia definiti, i limiti sono quelli che il modello produce casualmente.

Definire nei contratti della catena di fornitura le misure di sicurezza, il supporto alla supervisione, le informazioni sugli incidenti, i diritti di audit e la collaborazione in caso di procedimenti, poiché la vostra esposizione dipende da elementi controllati dal vostro fornitore.

Aggiornate il modello di conformità che funge da difesa; per i gruppi con attività in Italia ciò significa rivedere il modello organizzativo locale piuttosto che la suite di politiche globali, poiché la difesa dipende dal documento italiano e dalla prova che esso sia stato effettivamente implementato e supervisionato.

Le organizzazioni che vogliono capire a che punto sono in materia di responsabilità penale dell’IA di solito iniziano con una valutazione dei sistemi di IA in uso e della governance che li circonda, il che è un esercizio ben definito con un ambito ben definito e costa una frazione di quanto costerebbe ricostruire le stesse informazioni sotto pressione.