# Reato intelligenza artificiale e responsabilità delle imprese Il cosiddetto **reato intelligenza artificiale** entra in vigore il 30 settembre 2026. Il decreto legislativo 160 del 2026 introduce l'articolo 437-bis del codice penale e aggiorna il decreto legislativo 231 del 2001: le imprese devono adottare misure tecniche di sicurezza e sorveglianza umana sui sistemi di intelligenza artificiale ad alto rischio, e poterlo dimostrare. La partita si gioca sull'organizzazione, prima ancora che sulla tecnologia. ## Il 30 settembre entra in vigore il D.Lgs. 160/2026 Il decreto legislativo 9 settembre 2026, n. 160 è pubblicato nella Gazzetta Ufficiale del 15 settembre 2026 ed entra in vigore il 30 settembre. Attua la delega della legge 23 settembre 2025, n. 132 e allinea l'ordinamento italiano al regolamento europeo sull'intelligenza artificiale. Il Consiglio dei ministri ne aveva approvato lo schema definitivo il 4 agosto 2026. Il provvedimento interviene su più fronti: l'impiego dei sistemi di intelligenza artificiale nelle attività di polizia, la disciplina dei sistemi ad alto rischio, la responsabilità civile e penale e l'adeguamento del sistema sanzionatorio degli enti. Due novità riguardano direttamente le imprese: l'articolo 437-bis del codice penale e l'articolo 25-vicies del decreto legislativo 231 del 2001. ## La condotta punita dall'articolo 437-bis La norma punisce chi omette di adottare le **misure tecniche di sicurezza** previste per la progettazione, l'addestramento, la produzione o l'immissione sul mercato di sistemi di intelligenza artificiale ad alto rischio, e chi omette le necessarie **misure di sorveglianza umana**. La previsione comprende anche l'alterazione illecita del sistema. La soglia è alta. Il reato si configura quando dall'omissione deriva un **pericolo concreto** per la vita o l'incolumità pubblica o individuale. La responsabilità colposa è limitata ai casi di **colpa grave**. La pena va da uno a cinque anni di reclusione e sale da due a otto quando il pericolo riguarda la sicurezza dello Stato. Si tratta di un reato comune: risponde chi ha omesso, non soltanto il legale rappresentante. La struttura riprende i reati omissivi del diritto penale del lavoro, dove la condotta punita è l'omissione delle cautele richieste. Qui la stessa logica si sposta sui sistemi di intelligenza artificiale. ## La responsabilità dell'ente e il modello 231 L'articolo 25-vicies del decreto legislativo 231 del 2001 inserisce l'articolo 437-bis tra i reati presupposto della responsabilità amministrativa degli enti. L'impresa può essere chiamata a rispondere per il reato commesso nel proprio interesse o vantaggio, con sanzioni pecuniarie e interdittive che possono sospendere l'attività. Il modello organizzativo e l'Organismo di Vigilanza assumono un ruolo operativo: diventano lo strumento con cui l'ente dimostra di aver presidiato il rischio. Nello stesso articolo 25-vicies entra un secondo reato, già vigente dal 2025: l'articolo 612-quater del codice penale, che punisce la **diffusione illecita di contenuti** generati o alterati con sistemi di intelligenza artificiale. Riguarda immagini, video o voci falsificati senza consenso e idonei a ingannare sulla loro genuinità, con la reclusione da uno a cinque anni. Il perimetro è ampio: un contenuto generato e diffuso può bastare, anche fuori dai sistemi ad alto rischio. ## Il rischio segue la finalità del sistema L'elenco dei sistemi ad alto rischio è nell'allegato III del regolamento europeo. Il legislatore descrive usi concreti: la funzione del sistema definisce il perimetro. Un sistema è ad alto rischio quando serve a selezionare o valutare persone, a decidere su rapporti di lavoro, a valutare l'affidabilità creditizia, a definire premi assicurativi su vita e salute, a valutare l'accesso a prestazioni essenziali, comprese quelle sanitarie, a gestire l'istruzione o ad assistere l'attività giudiziaria. Il criterio è operativo. Una software house che integra un componente di intelligenza artificiale in un prodotto di sicurezza rientra per la finalità del componente. Una piccola agenzia assicurativa che usa uno strumento di valutazione del rischio vita rientra come utilizzatrice. Un'impresa manifatturiera che filtra curriculum con l'intelligenza artificiale rientra per quell'uso. ## Un'azienda edile dentro il perimetro Un'impresa edile strutturata offre un caso utile. Opera fuori dai settori tradizionalmente considerati critici, e gestisce un ricambio frequente di personale, tra manovali e amministrativi, con selezione dei curriculum, valutazione dei candidati, gestione dei turni e dei cantieri, oltre a cedolini, malattie e rapporti con le cooperative. Quando la selezione dei curriculum passa attraverso uno strumento di intelligenza artificiale, quell'uso ricade nell'allegato III: l'impresa diventa utilizzatrice di un sistema ad alto rischio e assume gli obblighi previsti per chi lo impiega. Se l'intelligenza artificiale valuta le performance o distribuisce i compiti, all'alto rischio si aggiunge il tema dei controlli a distanza sul lavoro, disciplinato dall'articolo 4 dello Statuto dei lavoratori. La gestione di cedolini e malattie con un software tradizionale resta fuori dal perimetro del regolamento europeo, mentre coinvolge dati sensibili e obblighi di protezione dei dati. Il perimetro si decide caso per caso, guardando allo strumento e alla funzione. La targa dell'azienda conta poco. ## La logica comune alle normative su dati e sicurezza L'articolo 437-bis appartiene a una stagione normativa più ampia. Il regolamento europeo sull'intelligenza artificiale, il GDPR, la direttiva NIS2, il Cyber Resilience Act e il regolamento sulla resilienza operativa digitale del settore finanziario convergono sulla stessa richiesta: governare i sistemi, documentare le scelte, saper ricostruire ciò che è accaduto. Le norme cambiano per oggetto e per autorità di riferimento, mentre il criterio di fondo resta il governo del rischio. Per l'impresa significa che un unico lavoro di ricognizione e presidio può rispondere a più obblighi, purché sia fatto prima. ## La prova della diligenza Il nuovo reato usa concetti aperti: pericolo concreto, colpa grave, misure idonee, sorveglianza umana. Non elenca le misure necessarie. La valutazione arriverà dopo, davanti a un giudice, caso per caso. È il tratto tipico della colpa organizzativa, e conviene dirlo con chiarezza: la norma lascia al giudice il compito di stabilire cosa fosse adeguato. Quello che cambia è il peso della prova. Ciò che protegge è poter dimostrare di aver fatto il proprio dovere prima. Il regolamento europeo fornisce il parametro tecnico di ciò che è adeguato per un sistema ad alto rischio, e le misure richieste sono verificabili. - valutazione del rischio e documentazione del sistema; - controllo della qualità dei dati usati; - registrazione delle attività per la tracciabilità dei risultati; - sorveglianza umana con responsabilità definite; - informazioni chiare a chi usa il sistema; - robustezza, accuratezza e sicurezza informatica. Tradurre queste misure in pratica significa censire i sistemi in uso, compresi quelli adottati dai reparti senza un passaggio formale, definire policy d'uso e permessi, conservare i registri, prevedere un controllo umano effettivo sui passaggi critici, formare il personale e tenere traccia delle verifiche. La responsabilità organizzativa regge quando ha una declinazione tecnologica: un registro, un permesso, un controllo approvato e datato, una formazione documentata. ## Il primo passo La domanda da porsi riguarda la capacità di ricostruire, domani, come quel sistema è stato impiegato, da chi, con quali controlli e con quale formazione. Le imprese che affrontano il tema con una ricognizione seria arrivano preparate al 30 settembre; le altre scoprono il perimetro il giorno in cui serve dimostrarlo. Per impostare la ricognizione e capire quali usi aziendali ricadono nel perimetro, EBM Solution affianca le imprese in una prima analisi dei sistemi in uso e dei presidi necessari. ## Domande frequenti **Che cos'è il reato introdotto dall'articolo 437-bis?** Il decreto legislativo 160 del 2026 punisce chi omette di adottare le misure tecniche di sicurezza o la sorveglianza umana richieste per i sistemi di intelligenza artificiale ad alto rischio, quando ne deriva un pericolo concreto per la vita o l'incolumità. La pena va da uno a cinque anni di reclusione e la responsabilità colposa è limitata alla colpa grave. **Un'azienda fuori dai settori critici può essere coinvolta?** Sì. Il perimetro si definisce in base all'uso del sistema; il settore dell'impresa è secondario. Un'impresa manifatturiera o edile che usa l'intelligenza artificiale per selezionare personale o valutare i dipendenti rientra tra i sistemi ad alto rischio previsti dall'allegato III del regolamento europeo. **Cosa rischia l'impresa, oltre alla persona fisica?** Il decreto legislativo 231 del 2001 prevede la responsabilità amministrativa dell'ente per i reati commessi nel suo interesse, con sanzioni pecuniarie e interdittive che possono sospendere l'attività. Il modello organizzativo e l'Organismo di Vigilanza diventano gli strumenti con cui l'impresa dimostra di aver presidiato il rischio. **Quali misure rendono dimostrabile la diligenza?** Il regolamento europeo indica valutazione del rischio, qualità dei dati, registrazione delle attività, sorveglianza umana, documentazione e sicurezza informatica. In pratica: censimento dei sistemi, policy e permessi, registri, controllo umano sui passaggi critici, formazione documentata. **Anche i deepfake rientrano nella responsabilità 231?** Sì. L'articolo 25-vicies include tra i reati presupposto l'articolo 612-quater del codice penale, che punisce la diffusione senza consenso di immagini, video o voci alterati con l'intelligenza artificiale e idonei a ingannare. La previsione riguarda anche contenuti generati fuori dai sistemi ad alto rischio. ## Fonti Decreto legislativo 9 settembre 2026, n. 160, disposizioni in materia di intelligenza artificiale, responsabilità civile e penale e adeguamento del sistema sanzionatorio — https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2026-09-09;160 Legge 23 settembre 2025, n. 132, disposizioni e deleghe al Governo in materia di intelligenza artificiale, che introduce l'articolo 612-quater del codice penale — https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2025-09-23;132 Decreto legislativo 8 giugno 2001, n. 231, disciplina della responsabilità amministrativa delle persone giuridiche, delle società e delle associazioni — https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2001-06-08;231 Regolamento (UE) 2024/1689, regolamento sull'intelligenza artificiale: allegato III sui sistemi ad alto rischio e obblighi degli utilizzatori — https://eur-lex.europa.eu/eli/reg/2024/1689/oj Commissione europea, quadro regolatorio sull'intelligenza artificiale: sistemi ad alto rischio e obblighi applicabili — https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai