Con il D.Lgs. 160/2026 l’intelligenza artificiale entra nel sistema 231, imponendo assetti organizzativi capaci di rendere controllabili e documentabili i processi aziendali che utilizzano sistemi di AI.
La prima attività riguarda la ricognizione dei sistemi utilizzati. Non basta sapere quali applicativi siano presenti in azienda. Occorre individuare finalità, funzioni coinvolte, soggetti autorizzati, dati trattati, grado di autonomia, possibilità di intervento umano e conseguenze di errori o impieghi impropri. La mappatura del rischio 231 deve quindi partire dall’uso concreto della tecnologia e dal livello di controllo effettivamente esercitabile dall’organizzazione.
Su questa base servono protocolli coerenti con la diversa esposizione dei processi. L’introduzione di un nuovo sistema dovrebbe essere preceduta da una valutazione interna che chiarisca classificazione, responsabilità, limiti di utilizzo e modalità di verifica dei risultati. Per gli strumenti generativi assumono particolare rilievo la validazione dei contenuti, la gestione di immagini e voci riferibili a persone determinate, la tracciabilità degli utilizzi sensibili e la conservazione delle evidenze su decisioni e controlli.
La sorveglianza umana assume in tale assetto una funzione sostanziale. Il controllo non coincide con una generica presenza dell’operatore, ma richiede la possibilità concreta di comprendere l’operazione, valutare il risultato, intervenire sul processo e sospendere l’utilizzo quando emergano anomalie o rischi non accettabili. Una procedura che attribuisca formalmente un controllo senza mettere il soggetto incaricato nelle condizioni di esercitarlo resta debole sul piano organizzativo e probatorio.
In questo quadro si colloca il nuovo art. 437-bis c.p., relativo all’omessa adozione di misure di sicurezza nei sistemi di AI ad alto rischio e alla loro alterazione illecita. La disposizione considera le misure tecniche riferite alla progettazione, all’addestramento, alla produzione e all’immissione sul mercato, oltre ai presidi di sorveglianza umana. Per l’utilizzatore professionale assume rilievo l’omissione intenzionale di tale sorveglianza quando dalla condotta derivi il pericolo richiesto dalla norma. L’art. 25-vicies prevede per l’ente una sanzione pecuniaria da 600 a 1.000 quote.
Il medesimo articolo richiama l’art. 612-quater c.p., relativo alla diffusione senza consenso di immagini, video o voci falsificati o alterati mediante AI, idonei a indurre in errore sulla loro genuinità, quando dalla condotta derivi un danno ingiusto. In tale ipotesi la sanzione pecuniaria per l’ente varia da 200 a 700 quote. Per entrambe le fattispecie si applicano sanzioni interdittive che possono incidere su autorizzazioni, rapporti con la Pubblica Amministrazione, agevolazioni e attività pubblicitaria, senza estendersi fino all’interdizione dall’esercizio dell’attività.
L’Organismo di Vigilanza deve quindi vagliare l’effettività dell’assetto costruito intorno all’AI. La verifica non richiede competenze informatiche sostitutive di quelle aziendali, ma flussi informativi adeguati sui sistemi adottati, sulle modifiche rilevanti, sugli incidenti, sulle deroghe ai protocolli e sugli esiti dei controlli. L’OdV deve poter valutare se responsabilità, procedure e verifiche risultino coerenti con i rischi individuati e siano concretamente applicate.
Il D.Lgs. 160/2026 porta così nel Modello 231 una questione che supera la dimensione tecnologica. La qualità della prevenzione dipenderà dalla capacità dell’impresa di dimostrare chi governa i sistemi, secondo quali regole e con quali controlli. L’algoritmo diventa rilevante per il diritto dell’organizzazione nel momento in cui una decisione aziendale gli attribuisce spazio operativo. È su quello spazio, e sulla capacità di presidiarlo, che si misura oggi l’effettività del Modello.
