Cosa cambia

Per la prima volta il D.Lgs. 231/2001, la norma sulla responsabilità amministrativa degli enti, dedica un articolo specifico ai reati commessi con l'intelligenza artificiale. Il D.Lgs. 160/2026, che adegua la normativa italiana al regolamento europeo sull'intelligenza artificiale (AI Act), ha introdotto infatti il nuovo articolo 25-vicies, che amplia il catalogo dei reati presupposto.

Ora, quindi, un'azienda può essere sanzionata anche quando un dipendente o un dirigente commette, nel suo interesse o a suo vantaggio, uno di questi due reati:

• l'omessa adozione delle misure di sicurezza e di sorveglianza umana previste per i sistemi di IA ad alto rischio, oppure la loro alterazione (art. 437-bis del Codice penale);
• la diffusione senza consenso di immagini, video o voci falsificati con l'IA, i cosiddetti deepfake, quando ne deriva un danno ingiusto (art. 612-quater del Codice penale).

Da quando e per chi

Le nuove disposizioni sono efficaci dal 30 settembre 2026.

Il primo reato riguarda le imprese che progettano, producono, immettono sul mercato o utilizzano professionalmente sistemi di IA ad alto rischio, secondo la classificazione dell'AI Act. Il secondo riguarda invece l'uso di qualsiasi sistema di intelligenza artificiale: per questo può interessare anche aziende che usano l'IA solo per creare testi, immagini o contenuti di comunicazione.

Cosa comporta per l'azienda

Chi ha già adottato un Modello 231 deve verificare se questi nuovi rischi rientrano nelle proprie attività e, in caso affermativo, aggiornare la valutazione dei rischi e il modello stesso, con regole e controlli proporzionati.

Per le aziende che non hanno ancora un Modello 231, la novità è un'occasione per valutare se adottarlo e costruire un sistema di regole e controlli adeguato anche all'uso dell'IA.

Il decreto rafforza anche la posizione di chi chiede un risarcimento per danni causati dall'IA: il giudice può ordinare l'esibizione della documentazione tecnica e, in alcuni casi, il legame tra l'uso del sistema e il danno si presume, salvo prova contraria.

Cosa succede se non ti adegui

La responsabilità dell'ente non è automatica: l'azienda può difendersi dimostrando di aver adottato ed attuato un modello adeguato a prevenire quei reati. Un modello che non tiene conto dei nuovi rischi legati all'intelligenza artificiale, invece, potrebbe non essere considerato tale.

Le sanzioni per l'ente vanno da 600 a 1.000 quote per il reato sui sistemi ad alto rischio e da 200 a 700 quote per i deepfake. Ogni quota vale da 258 a 1.549 euro. A queste si aggiungono le sanzioni interdittive, tra cui:

• la sospensione o la revoca di autorizzazioni, licenze o concessioni;
• il divieto di contrattare con la Pubblica Amministrazione;
• l'esclusione da agevolazioni, finanziamenti e contributi, con l'eventuale revoca di quelli già concessi;
• il divieto di pubblicizzare beni o servizi.

Cosa fare adesso

1. Mappare gli strumenti di intelligenza artificiale usati in azienda e capire chi li utilizza e per quali attività.
2. Verificare se tra questi ci sono sistemi classificati ad alto rischio dall'AI Act.
3. Aggiornare la valutazione dei rischi 231 ed il Modello, introducendo regole sull'uso dell'IA, per esempio chi può usare quali strumenti e chi approva i contenuti generati.
4. Informare e formare il personale sulle nuove regole.

Come può aiutarti Interconsulting

Adeguarsi al D.Lgs. 160/2026 non significa solo conoscere i nuovi reati: occorre capire cosa cambia per la tua azienda e mettere in atto gli interventi giusti nei tempi previsti.

Interconsulting può affiancarti, dall'analisi della tua situazione fino all'adeguamento concreto. In questo modo, una nuova esigenza normativa può diventare un'occasione per rendere l'azienda più organizzata, consapevole e pronta a gestire i cambiamenti.

Fonte: Gazzetta Ufficiale, D.Lgs. 9 settembre 2026, n. 160 (G.U. n. 214 del 15 settembre 2026)