L’intelligenza artificiale e la nuova frontiera della gestione del rischio aziendale

L’adozione dell’intelligenza artificiale (IA) rappresenta oggi una delle sfide più rilevanti e, al tempo stesso, una straordinaria opportunità per le aziende italiane. Tuttavia, l’impiego di sistemi di IA comporta rischi giuridici ed etici inediti, che richiedono un aggiornamento profondo delle strategie di compliance e gestione del rischio. 

Il Nuovo Quadro Normativo: dal DDL sull’IA alla Responsabilità Ex D.Lgs. 231/2001

Il 25 giugno scorso la Camera ha approvato – in seconda lettura – il disegno di legge “Disposizioni e deleghe al Governo in materia di intelligenza artificiale”, ora al Senato per la terza e ultima lettura. Il testo introduce principi fondamentali per la ricerca, lo sviluppo e l’adozione di sistemi di IA, promuovendo un utilizzo corretto, trasparente e responsabile delle nuove tecnologie, in una prospettiva antropocentrica. Uno dei punti affrontati dal DDL riguarda la responsabilità penale delle persone fisiche e quella amministrativa degli enti per gli illeciti commessi tramite sistemi di IA. L’art. 24, comma 5, lett. c), prevede che la responsabilità venga attribuita tenendo conto del livello effettivo di controllo esercitato dall’agente sui sistemi di IA.  Questo principio impone alle aziende una revisione sostanziale dei Modelli Organizzativi (MOGC) ex D.Lgs. 231/2001, affinché siano aggiornati e adeguati all’evoluzione normativa e tecnologica.

L’Importanza del Modello Organizzativo e di Gestione (MOGC)

Il D.Lgs. 231/2001 stabilisce che le persone giuridiche sono responsabili per i reati commessi, nel loro interesse o vantaggio, da soggetti apicali o sottoposti alla loro direzione o vigilanza. L’adozione e l’efficace attuazione di un MOGC idoneo a prevenire i reati costituisce la principale misura esimente dalla responsabilità.

Per essere efficace, il modello deve:

• Individuare le principali aree di rischio.
• Prevedere protocolli specifici per le attività sensibili.
• Introdurre obblighi di informazione e formazione.
• Istituire un organismo di vigilanza.
• Adottare un sistema disciplinare per le violazioni.

L’assenza o l’inadeguatezza del MOGC espone l’azienda a rischi elevati di coinvolgimento in procedimenti penali, con conseguenti sanzioni pecuniarie e interdittive.

Infatti, l’art. 7 del predetto decreto stabilisce che l’azienda è responsabile se la commissione del reato è stata resa possibile dall’inosservanza degli obblighi di direzione o vigilanza. L’adozione del modello di organizzazione, gestione e controllo, pertanto, costituisce uno strumento necessario all’azienda per andare esente da profili di responsabilità in relazione all’integrazione di reati commessi nel suo interesse o a suo vantaggio da soggetti che, a diverso titolo, prestano attività all’interno di essa. L’importanza dell’adozione del modello di organizzazione e gestione è disciplinata dal suindicato art. 7 che, al secondo comma, chiarisce che se l’ente, prima della commissione del reato, ha adottato ed efficacemente attuato un modello di organizzazione, gestione e controllo idoneo a prevenire reati della specie di quello verificatosi, è esente da responsabilità. Nel progetto di riforma del Decreto 231, in discussione nell’ambito del Tavolo Tecnico, istituito dal Ministero della Giustizia con Decreto del 7/2/2025, è presente un’inedita procedura di estinzione dell’illecito amministrativo, e conseguente venir meno della responsabilità dell’ente, che prevede che l’ente stesso che, prima della commissione del reato, abbia adottato e attuato il modello di organizzazione secondo la struttura stabilita, può chiedere al giudice, entro trenta giorni dalla notifica dell’avviso di conclusione dell’indagine preliminare, un termine per eliminare le carenze del modello riscontrate dal pubblico ministero che hanno determinato o agevolato la commissione del reato.

IA e nuovi rischi di reato: l’urgenza di aggiornare i MOGC

L’introduzione di sistemi di IA in azienda amplia e trasforma il panorama dei rischi. L’utilizzo incontrollato di tecnologie emergenti può facilitare la commissione di reati già noti (come riciclaggio, violazioni della proprietà intellettuale, reati informatici) e crearne di nuovi, spesso difficili da intercettare con i tradizionali strumenti di controllo. Il DDL sull’IA introduce aggravanti comuni e specifiche per i reati commessi tramite IA, estendendo la tutela penale anche alle opere create con l’ausilio di tali tecnologie. Vengono inoltre introdotte nuove fattispecie di reato, come la diffusione illecita di contenuti deep fake e lo scraping non autorizzato di dati protetti da diritto d’autore che ad oggi, tuttavia, non sono annoverati tra i reati presupposto ex d.gls. 231/2001.

Le azioni necessarie per le Aziende

Per una gestione efficace del rischio, le aziende devono:

1. Aggiornare i MOGC con protocolli specifici per prevenire i nuovi rischi di illecito connessi all’IA.
2. Introdurre nuove procedure e regolamenti interni per la prevenzione dei reati presupposto che possono essere commessi anche attraverso il ricorso all’IA.
3. Rivedere e rafforzare i protocolli esistenti per renderli idonei a neutralizzare i rischi legati all’automazione e all’autonomia decisionale delle tecnologie emergenti.
4. Aggiornare il codice etico aziendale.
5. Potenziare la formazione del personale sulle nuove procedure e sull’uso sicuro e conforme dell’IA.
6. Valutare l’adozione di certificazioni come la ISO/IEC 42001, che attesta la conformità ai requisiti internazionali per la gestione dell’IA.

Prevenire oggi per proteggere il futuro dell’Azienda

La rapida evoluzione normativa e tecnologica impone alle aziende di non sottovalutare i nuovi rischi connessi all’intelligenza artificiale. Una gestione del rischio superficiale espone l’impresa a sanzioni, danni reputazionali e perdita di competitività. Al contrario, un approccio proattivo, fondato sull’aggiornamento costante dei Modelli Organizzativi, sull’adozione di protocolli specifici e sulla formazione continua, rappresenta la migliore garanzia di conformità e tutela aziendale. Investire oggi in una gestione strutturata e consapevole del rischio legale legato all’IA significa proteggere il valore dell’impresa e garantirne la crescita sostenibile nel nuovo contesto digitale. La compliance non è più solo un obbligo, ma un elemento strategico per la competitività e la resilienza aziendale.

Questo articolo è stato redatto insieme a Flavia Moscioni. 

Scarica qui l’articolo completo in PDF.