Dal 30 settembre entra in vigore il D.Lgs. 160/2026, che adegua la normativa nazionale all'AI Act e introduce importanti novità anche sul fronte della responsabilità penale e del Modello 231.
Le potenzialità dell'Intelligenza Artificiale sono ormai sotto gli occhi di tutti e le aziende stanno iniziando a utilizzarla sempre di più per velocizzare attività, automatizzare processi, analizzare informazioni e, più in generale, lavorare in modo più efficiente.
Accanto agli indiscutibili vantaggi, però, iniziano ad emergere anche alcune criticità che, se non gestite, rischiano di trasformare l'AI in un'arma a doppio taglio.
Un esempio è quello della Shadow AI, cioè l'utilizzo "sommerso" di strumenti di Intelligenza Artificiale da parte dei dipendenti, senza che l'azienda li abbia autorizzati o anche solo censiti. E' molto facile, infatti, che documenti, dati personali, informazioni commerciali o know-how aziendale vengano caricati su strumenti AI senza che l'organizzazione ne sia consapevole e abbia valutato preventivamente i rischi.
Nel frattempo, anche il quadro normativo si sta facendo sempre più articolato.
La Legge 132/2025 ha introdotto una nuova aggravante all'art. 61 c.p. quando il fatto è commesso mediante l'impiego di sistemi di AI e il nuovo art. 612-quater c.p., relativo all'illecita diffusione di contenuti generati o alterati con sistemi di Intelligenza Artificiale.
A questo primo intervento si aggiunge ora il D.Lgs. 160/2026, che introduce l'art. 437-bis c.p. - "Omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi", con particolare riferimento ai sistemi di AI ad alto rischio.
E qui arriva un aspetto particolarmente interessante per le aziende che hanno adottato un Modello 231: lo stesso decreto interviene direttamente sul D.Lgs. 231/2001, introducendo il nuovo art. 25-vicies e facendo rientrare tra i reati rilevanti ai fini del MOG 231 sia l'art. 437-bis sia l'art. 612-quater.
Le potenzialità dell'Intelligenza Artificiale sono ormai sotto gli occhi di tutti e le aziende stanno iniziando a utilizzarla sempre di più per velocizzare attività, automatizzare processi, analizzare informazioni e, più in generale, lavorare in modo più efficiente.
Accanto agli indiscutibili vantaggi, però, iniziano ad emergere anche alcune criticità che, se non gestite, rischiano di trasformare l'AI in un'arma a doppio taglio.
Un esempio è quello della Shadow AI, cioè l'utilizzo "sommerso" di strumenti di Intelligenza Artificiale da parte dei dipendenti, senza che l'azienda li abbia autorizzati o anche solo censiti. E' molto facile, infatti, che documenti, dati personali, informazioni commerciali o know-how aziendale vengano caricati su strumenti AI senza che l'organizzazione ne sia consapevole e abbia valutato preventivamente i rischi.
Nel frattempo, anche il quadro normativo si sta facendo sempre più articolato.
La Legge 132/2025 ha introdotto una nuova aggravante all'art. 61 c.p. quando il fatto è commesso mediante l'impiego di sistemi di AI e il nuovo art. 612-quater c.p., relativo all'illecita diffusione di contenuti generati o alterati con sistemi di Intelligenza Artificiale.
A questo primo intervento si aggiunge ora il D.Lgs. 160/2026, che introduce l'art. 437-bis c.p. - "Omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi", con particolare riferimento ai sistemi di AI ad alto rischio.
E qui arriva un aspetto particolarmente interessante per le aziende che hanno adottato un Modello 231: lo stesso decreto interviene direttamente sul D.Lgs. 231/2001, introducendo il nuovo art. 25-vicies e facendo rientrare tra i reati rilevanti ai fini del MOG 231 sia l'art. 437-bis sia l'art. 612-quater.
Cosa cambia per le aziende?
Per le organizzazioni che hanno adottato un Modello 231, occorre:
- verificare se gli strumenti di AI utilizzati rientrano tra quelli classificati come ad alto rischio dall'AI Act: anche un sistema impiegato per la selezione dei candidati può rientrare in questa categoria;
- valutare le ricadute dell'utilizzo dell'AI sul Modello 231 e sul sistema di controllo interno;
- individuare gli aggiornamenti necessari ai protocolli e ai controlli.
Per tutte le organizzazioni, anche quelle prive di Modello 231, occorre:
- sapere quali strumenti di AI vengono utilizzati, per quali attività e da chi;
- chiarire il ruolo dell'organizzazione e gli obblighi previsti dall'AI Act, anche quando si utilizzano strumenti sviluppati da terzi;
- valutare gli impatti sulla privacy, sulla sicurezza delle informazioni e sulla tutela del patrimonio informativo aziendale;
- definire regole interne e controlli adeguati, fin dall'introduzione degli strumenti.
.png)