D.Lgs. 160/2026 e Modelli 231: l’impatto dei reati legati all’AI sulla compliance aziendale

Con l’entrata in vigore del D.Lgs. 160/2026, l’utilizzo improprio dell’intelligenza artificiale entra formalmente nel catalogo dei reati-presupposto della responsabilità amministrativa degli enti ex D.Lgs. 231/2001. L’adeguamento del Modello Organizzativo diventa così un passaggio imprescindibile per intercettare i nuovi rischi tecnologici e preservare la continuità aziendale.

Il nuovo art. 25-vicies D.Lgs. 231/2001

L’art. 15 del D. Lgs. 160/2026 inserisce nel D.Lgs. 231/2001 il nuovo art. 25-vicies “Reati commessi con l'uso di sistemi di intelligenza artificiale”, e così prevede la responsabilità dell’ente in relazione a due nuove fattispecie di reato:

• omessa adozione di misure di sicurezza e alterazione illecita dei sistemi di AI (art. 437-bis c.p.);
• illecita diffusione di contenuti generati o manipolati con sistemi di intelligenza artificiale (art. 612-quater c.p.).

Ove tali condotte siano realizzate a vantaggio o nell’interesse della società, scattano severe sanzioni pecuniarie (fino a mille quote) e incisive misure interdittive. Il perimetro non riguarda soltanto il settore informatico: coinvolge qualunque impresa utilizzi applicativi di AI generativa, algoritmi operativi o fornitori tecnologici esterni nei propri processi aziendali.

Come adeguare il Modello 231

Per garantire l’efficacia esimente del modello, non bastano mere dichiarazioni formali o generiche policy IT. In conformità ai requisiti di idoneità ed effettiva attuazione previsti dalla disciplina del Lgs. 231/01, occorre strutturare interventi mirati:

• Mappatura dei rischi: riesame del risk assessment per individuare i processi interni maggiormente esposti all’uso di strumenti di AI.
• Sorveglianza umana e procedure: individuazione formale delle figure autorizzate a test, modifiche o addestramenti, vietando la disattivazione del controllo umano senza autorizzazione tracciata.
• Gestione di fornitori e sicurezza: previsione di standard contrattuali e verifiche su logging, integrità dei sistemi e auditabilità, valorizzando le sinergie con NIS2 e AI Act.
• Flussi informativi all’OdV: canali dedicati per la rendicontazione tempestiva di anomalie, incidenti informatici e violazioni procedurali.

Come già evidenziato per le sanzioni internazionali e i claim ESG, la compliance 231 si conferma presidio essenziale di governance integrata.

Agire ora significa proteggere il management, ridurre l'esposizione sanzionatoria e trasformare la conformità normativa in un concreto vantaggio competitivo per solidità e affidabilità sul mercato.