Intelligenza artificiale e responsabilità 231: il D.Lgs. 160/2026 introduce nuovi reati-presupposto
È stato pubblicato nella Gazzetta Ufficiale n. 214 del 15 settembre 2026 il D.Lgs. 9 settembre 2026, n. 160, recante disposizioni di adeguamento della normativa nazionale al Regolamento (UE) 2024/1689 (AI Act).
Il decreto, che entrerà in vigore il 30 settembre 2026, interviene, tra l’altro, sulla disciplina dell’utilizzo dell’intelligenza artificiale in relazione alla responsabilità penale connessa all’impiego dei sistemi di IA.
Intelligenza artificiale e D.Lgs. 231/2001: le nuove disposizioni
Tra le novità di maggiore interesse per le imprese, infatti, si segnala la modifica del D.Lgs. 231/2001.
L’art. 15 del D.Lgs. 160/2026 introduce nel catalogo dei reati-presupposto della responsabilità amministrativa degli enti il nuovo art. 25-vicies D.Lgs. 231/2001, rubricato “Reati commessi con l’uso di sistemi di intelligenza artificiale”.
La disposizione estende la responsabilità amministrativa degli enti a due nuove fattispecie di reato connesse all’utilizzo dell’intelligenza artificiale.
Art. 437-bis c.p.: sicurezza e alterazione dei sistemi di IA
Il primo richiamo riguarda il nuovo art. 437-bis c.p., relativo a condotte connesse all’omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e all’alterazione illecita dei sistemi.
Per tale fattispecie, l’art. 25-vicies, comma 1, D.Lgs. 231/2001 prevede a carico dell’ente una sanzione pecuniaria da 600 a 1.000 quote.
Art. 612-quater c.p.: diffusione illecita di contenuti generati con IA
Il secondo reato-presupposto è rappresentato dall’art. 612-quater c.p., relativo alla illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale, anche nell’ambito del fenomeno comunemente definito deepfake.
In questo caso, l’art. 25-vicies, comma 2, D.Lgs. 231/2001 stabilisce una sanzione pecuniaria da 200 a 700 quote.
Sanzioni interdittive per gli enti
La nuova disciplina non si limita alle sanzioni amministrative pecuniarie.
Per entrambe le fattispecie previste dall’art. 25-vicies D.Lgs. 231/2001 trovano applicazione le sanzioni interdittive di cui all’art. 9, comma 2, lett. b), c), d) ed e), D.Lgs. 231/2001.
Il nuovo intervento legislativo amplia, pertanto, in modo significativo il quadro dei rischi 231 connessi all’utilizzo dell’intelligenza artificiale all’interno delle organizzazioni.
Impatti sul Modello 231 e sul risk assessment
Il D.Lgs. 160/2026 si inserisce nel progressivo ampliamento del perimetro della responsabilità amministrativa degli enti ai sensi del D.Lgs. 231/2001 e introduce un collegamento diretto tra l’impiego dell’intelligenza artificiale e il sistema dei controlli 231.
L’introduzione dei nuovi reati-presupposto assume particolare rilievo per i Modelli di Organizzazione, Gestione e Controllo ex D.Lgs. 231/2001.
Le imprese che utilizzano sistemi di intelligenza artificiale dovranno considerare, nell’ambito del risk assessment 231, l’eventuale esposizione ai nuovi reati connessi alla progettazione, all’utilizzo e alla gestione dei sistemi di IA nonché alla classificazione di rischio attribuita ai sistemi anzidetti.
Particolare attenzione dovrà essere riservata anche alla verifica dell’adeguatezza dei presidi organizzativi e di controllo adottati dall’ente, tenendo conto delle modalità concrete con cui l’intelligenza artificiale viene impiegata nei processi aziendali.
L’evoluzione normativa conferma, in definitiva, la crescente rilevanza di un approccio integrato tra intelligenza artificiale, AI governance, risk management e compliance ex D.Lgs. 231/2001.
- Leggi il D.Lgs. 160/2026 (PDF, 109.19 KB)