About Us
L’introduzione dell’intelligenza artificiale nei processi aziendali offre nuove opportunità in termini di efficienza, automazione e competitività. Allo stesso tempo, comporta rischi che le imprese devono saper riconoscere e gestire, soprattutto quando l’utilizzo di queste tecnologie coinvolge attività sensibili o processi decisionali rilevanti.
In questo contesto, il rapporto tra compliance 231 e AI assume un’importanza crescente. Il D.Lgs. 231/2001 disciplina la responsabilità amministrativa degli enti per determinati reati commessi nel loro interesse o a loro vantaggio da soggetti apicali o sottoposti alla loro direzione o vigilanza.
Le recenti novità normative descritte dalla disciplina nazionale sull’intelligenza artificiale ampliano l’attenzione verso i rischi connessi all’impiego di sistemi algoritmici. In particolare, il D.Lgs. 160/2026 ha introdotto nuove fattispecie di reato e previsto il loro inserimento nel catalogo dei reati presupposto della responsabilità degli enti.
Per le aziende, questo scenario rende necessario verificare l’adeguatezza del proprio Modello di Organizzazione, Gestione e Controllo (MOGC), integrando la valutazione dei rischi legati all’intelligenza artificiale nei sistemi di controllo già esistenti.
Compliance 231 e AI: il quadro normativo di riferimento
La gestione della compliance legata all’intelligenza artificiale si sviluppa attraverso più livelli normativi.
Il Regolamento europeo sull’intelligenza artificiale (AI Act, Regolamento UE 2024/1689) stabilisce obblighi differenziati in funzione della tipologia di sistema e del livello di rischio. Per i sistemi ad alto rischio, prevede misure relative alla gestione dei rischi, alla qualità dei dati, alla tracciabilità delle operazioni e alla supervisione umana.
La Legge 132/2025, dedicata all’intelligenza artificiale, ha introdotto ulteriori disposizioni nell’ordinamento italiano, tra cui la fattispecie relativa alla diffusione illecita di contenuti generati o alterati mediante sistemi di AI.
A questo quadro si aggiunge il D.Lgs. 160/2026 relativo ai reati commessi con l’utilizzo di sistemi di intelligenza artificiale.
Le nuove disposizioni riguardano, in particolare, condotte connesse all’omessa adozione di adeguate misure di sicurezza, all’alterazione dei sistemi e alla mancata sorveglianza umana nei casi previsti dalla legge.
È importante precisare che l’utilizzo dell’intelligenza artificiale non determina automaticamente la responsabilità dell’impresa. Perché questa possa configurarsi, devono ricorrere i presupposti previsti dal D.Lgs. 231/2001, compresi il collegamento con uno specifico reato presupposto e i criteri di imputazione all’ente.
Il punto centrale diventa quindi la capacità dell’organizzazione di individuare i rischi, predisporre controlli adeguati e dimostrare l’effettiva applicazione delle procedure adottate.
Quali rischi deve considerare un’impresa che utilizza l’AI?
L’intelligenza artificiale può intervenire in numerose attività aziendali: dalla selezione del personale all’analisi dei dati contabili, dalla produzione di documenti alla gestione di impianti automatizzati.
Ogni ambito presenta criticità specifiche che devono essere valutate in relazione alle attività svolte e ai possibili reati presupposto.
Tra i principali rischi da considerare rientrano:
- Utilizzo improprio dei dati aziendali: inserire informazioni riservate, dati personali o documenti finanziari in piattaforme non autorizzate può esporre l’impresa a violazioni e perdite di controllo sulle informazioni.
- Decisioni automatizzate senza adeguate verifiche: affidarsi completamente agli output di un algoritmo può generare errori, distorsioni o decisioni non conformi alla normativa applicabile.
- Mancanza di supervisione umana: nei contesti in cui è richiesta, l’assenza di un controllo effettivo può compromettere la sicurezza delle persone e il rispetto degli obblighi normativi.
- Informazioni inesatte nella comunicazione finanziaria: utilizzare contenuti generati dall’AI senza verificarne l’attendibilità può contribuire alla diffusione di rappresentazioni non corrette, con possibili conseguenze anche sul piano societario.
- Impiego di strumenti non autorizzati: l’utilizzo di piattaforme di intelligenza artificiale da parte dei dipendenti senza regole aziendali condivise, fenomeno noto come shadow AI, può aumentare i rischi operativi e informativi.
Non tutte queste situazioni costituiscono necessariamente un reato presupposto ai fini della responsabilità 231. È quindi fondamentale distinguere le violazioni regolatorie e organizzative dalle condotte che possono integrare specifici illeciti previsti dalla normativa.
Come aggiornare il Modello 231 in presenza dell’intelligenza artificiale
Per gestire correttamente la compliance 231 e AI, le imprese dovrebbero verificare che il proprio modello organizzativo sia adeguato alle nuove tecnologie impiegate e ai rischi che ne derivano.
Il primo passo consiste nel mappare i sistemi di intelligenza artificiale utilizzati in azienda, compresi quelli integrati nei software acquistati da fornitori esterni. Per ciascuno strumento è opportuno individuare le finalità di utilizzo, le informazioni trattate, il livello di rischio e le responsabilità interne.
Successivamente, occorre definire procedure chiare per l’impiego dell’AI, stabilendo quali dati possono essere elaborati, quali strumenti sono autorizzati e quali verifiche devono precedere l’approvazione dei risultati prodotti.
Particolare attenzione deve essere riservata alla supervisione umana. Le persone incaricate di controllare i sistemi devono possedere competenze adeguate, conoscere i limiti degli strumenti utilizzati ed essere in grado di intervenire quando emergono anomalie o risultati inattendibili.
È inoltre necessario regolamentare le modifiche alle configurazioni dei sistemi, individuando i soggetti autorizzati a intervenire e prevedendo modalità di approvazione e registrazione delle operazioni.
Un ulteriore presidio riguarda i rapporti con i fornitori tecnologici. L’acquisto di una soluzione già sviluppata non elimina gli obblighi dell’impresa in relazione al suo utilizzo. Per questo, i contratti dovrebbero disciplinare, ove pertinente, l’accesso alle informazioni tecniche, la disponibilità dei registri di funzionamento e le verifiche sulla qualità e sulla sicurezza del sistema.
Infine, il Modello 231 dovrebbe prevedere adeguati flussi informativi verso l’Organismo di Vigilanza, aggiornamenti del sistema disciplinare e attività formative coerenti con i ruoli aziendali.
Compliance 231 e AI: una checklist per le aziende
Per valutare il livello di preparazione dell’organizzazione, è utile verificare alcuni aspetti fondamentali:
- È disponibile un inventario aggiornato dei sistemi di AI utilizzati?
- I rischi connessi all’intelligenza artificiale sono stati integrati nella mappatura dei processi aziendali?
- Esistono regole interne per l’utilizzo degli strumenti e per la protezione dei dati riservati?
- Sono individuati i responsabili della supervisione umana e delle eventuali modifiche ai sistemi?
- Le decisioni rilevanti e gli interventi correttivi sono adeguatamente documentati?
- I contratti con i fornitori tecnologici prevedono garanzie e strumenti di verifica appropriati?
- L’Organismo di Vigilanza riceve informazioni tempestive su anomalie, incidenti e modifiche significative?
- Il personale riceve una formazione adeguata sui rischi e sulle modalità corrette di utilizzo dell’AI?
Le risposte consentono di individuare eventuali lacune e definire gli interventi necessari per rafforzare il sistema di prevenzione e controllo.
Digitalizzazione e sicurezza: le opportunità del Voucher Cloud & Cybersecurity
L’adeguamento dei sistemi informatici e il rafforzamento della sicurezza digitale possono richiedere investimenti significativi, soprattutto per le piccole e medie imprese.
A questo proposito, il Ministero delle Imprese e del Made in Italy ha previsto il Voucher Cloud & Cybersecurity, una misura destinata a sostenere l’acquisizione di soluzioni tecnologiche nuove o più avanzate in materia di cloud computing e sicurezza informatica.
L’agevolazione prevede un contributo a fondo perduto pari al 50% delle spese ammissibili, fino a un massimo di 20.000 euro, nel rispetto dei requisiti e delle condizioni stabiliti dal bando.
Tra gli investimenti potenzialmente agevolabili rientrano soluzioni hardware e software per la cybersecurity, servizi cloud e strumenti applicativi che possono includere funzionalità di intelligenza artificiale, purché conformi alle categorie ammesse.
Le domande potranno essere precompilate a partire dal 20 ottobre 2026 e presentate dal 10 novembre 2026 al 20 gennaio 2027, salvo esaurimento anticipato delle risorse.
Per conoscere requisiti, spese ammissibili e modalità di partecipazione, è possibile consultare la pagina ufficiale del bando MIMIT per il sostegno ai servizi di cloud computing e cybersecurity.
Governare l’intelligenza artificiale attraverso la compliance
L’integrazione tra compliance 231 e AI richiede un approccio strutturato, capace di coniugare innovazione tecnologica, sicurezza e responsabilità organizzativa.
Per le imprese, non è sufficiente introdurre strumenti innovativi o affidarsi alle garanzie offerte dai fornitori: è necessario comprendere come vengono utilizzati, quali rischi comportano e quali controlli sono indispensabili per prevenirli.
L’aggiornamento del Modello 231, la definizione di procedure operative, la formazione del personale e il coinvolgimento dell’Organismo di Vigilanza rappresentano elementi essenziali per costruire un sistema di gestione efficace.
Un’organizzazione consapevole dei rischi legati all’intelligenza artificiale può così tutelare il proprio patrimonio informativo, migliorare i processi decisionali e favorire una trasformazione digitale più sicura e sostenibile.
Rivolgiti a Bottari & Associati per una consulenza. Contattaci ora, siamo operativi su tutto il territorio nazionale.