Il 4 agosto 2026 il Consiglio dei ministri ha approvato in via definitiva i due decreti legislativi di adeguamento della normativa nazionale al Regolamento (UE) 2024/1689 — l’”AI Act” — in attuazione della delega contenuta nella legge 23 settembre 2025, n. 132, legge italiana sull’intelligenza artificiale. Tra le molte cose che queste norme dispongono, ce n’è una destinata a produrre effetti pratici immediati su quelle società che progettano, distribuiscono o semplicemente usano sistemi di intelligenza artificiale: l’ingresso dell’AI nel catalogo dei reati presupposto del decreto legislativo 231 del 2001.
Indice degli argomenti:
L’AI nella legge 231: due norme pilastro
Il meccanismo si articola attraverso due norme. La prima, è un nuovo articolo del codice penale, il 437-bis, che punisce l’omessa adozione di misure di sicurezza nei sistemi di AI ad alto rischio e la loro alterazione illecita.
La seconda è un nuovo articolo del decreto 231, il 25-vicies, che estende all’ente la responsabilità per quel delitto e per il reato di deepfake — l’articolo 612-quater del codice penale — già introdotto dalla legge 132/2025 e fino a oggi rilevante solo per le persone fisiche.
Partiamo dalla collocazione di questa norma, in chiave sistematica.
L’art. 437-bis viene inserito nel Titolo VI del codice penale, quello dei delitti contro l’incolumità pubblica, immediatamente dopo l’articolo 437, che storicamente punisce la rimozione o l’omissione dolosa di cautele contro gli infortuni sul lavoro. È una norma nata per i macchinari di fabbrica e per i dispositivi di sicurezza. Il legislatore, mettendo l’intelligenza artificiale accanto a quella disposizione pone l’accento sull’aspetto della sicurezza, piuttosto che sulla norma in area informatica. Un sistema di AI ad alto rischio viene trattato, giuridicamente, come un impianto: qualcosa che, se non presidiato, può arrecare danno male alle persone.
Il “231” per chi non fa il penalista
Dal 2001 in Italia le società e gli enti possono essere sanzionati direttamente, all’interno di un processo penale, per reati commessi nel loro interesse o a loro vantaggio da amministratori, dirigenti o dipendenti (cd. soggetti apicali). Il rimprovero che l’ordinamento muove all’ente è la cosiddetta colpa di organizzazione. L’impresa risponde perché non si è data un’organizzazione sufficientemente efficace rispetto alla necessità di prevenire quel tipo di reato.
Per questo la norma stessa richiede un presidio organizzativo adeguato: un modello di organizzazione, gestione e controllo — il Modello 231 — e un Organismo di Vigilanza che ne verifica il funzionamento. Le sanzioni sono di due tipi: pecuniarie, calcolate in «quote», e interdittive, che incidono sull’operatività dell’ente.
Due caratteristiche del sistema contano in modo particolare per il tema di cui parliamo. La prima: il 231 prevede un catalogo chiuso di reato. Pertanto, se un reato non è nell’elenco, l’ente non risponde, per quanto grave possa essere il fatto commesso nel suo interesse. Questo a sottolineare l’importanza dell’inserimento dell’AI nel catalogo.
La seconda: l’Articolo 8 del decreto stabilisce che la responsabilità dell’ente è autonoma, e quindi può essere affermata anche quando l’autore persona fisica non sia stato identificato. Torneremo su questo punto, più avanti, perché interessante proprio con riferimento ai sistemi di intelligenza artificiale.
Le due nuove fattispecie di reato
Il nuovo articolo 25-vicies prevede, per il reato di cui all’articolo 437-bis, una sanzione pecuniaria da seicento a mille quote; per il deepfake dell’articolo 612-quater, da duecento a settecento quote. A entrambe si aggiungono sanzioni interdittive: la sospensione o la revoca di autorizzazioni funzionali all’illecito, divieto di contrattare con la pubblica amministrazione, esclusione da agevolazioni e finanziamenti, divieto di pubblicizzare beni o servizi.
Non è invece prevista l’interdizione dall’esercizio dell’attività, la misura più drastica: una scelta di proporzionalità, per colpire l’operatività nei settori connessi all’illecito, senza tuttavia paralizzare l’impresa.
Il reato di cui all’articolo 437-bis
Il primo reato punisce chi, nella progettazione, addestramento, produzione, immissione sul mercato o utilizzazione professionale di sistemi di AI ad alto rischio, omette le misure tecniche idonee a prevenire malfunzionamenti o alterazioni del sistema, oppure omette le necessarie misure di sorveglianza umana. Con una condizione: che da quella omissione derivi un pericolo concreto per la vita o l’incolumità individuale — la pena è la reclusione da uno a cinque anni — o per l’incolumità pubblica o la sicurezza dello Stato, e allora si sale da due a otto anni. Un secondo comma copre l’ipotesi speculare, cioè l’alterazione attiva del funzionamento del sistema da parte di chi lo manipola dall’esterno. Un terzo comma estende la punibilità alla colpa grave, con pena ridotta.
Due precisazioni. La prima, la norma punisce la creazione di un pericolo concreto per beni di rango primario, non la violazione degli obblighi previsti dall’AI Act. Il mero utilizzo dell’intelligenza artificiale, anche disinvolto, anche mal governato, non produce di per sé un rischio-reato. La seconda: proprio la previsione della colpa grave è ciò che rende la norma interessante in chiave 231, perché sposta l’attenzione dalle condotte dolose (intenzionali) alle gravi carenze organizzative, tecniche e di controllo.
Il reato all’articolo 612-quater
Il secondo reato — l’articolo 612-quater, già in vigore dall’ottobre 2025 e ora destinato a diventare reato presupposto — riguarda i deepfake: punisce chi cagiona un danno ingiusto a una persona diffondendo, senza il suo consenso, immagini, video o voci falsificati o alterati mediante sistemi di AI e idonei a ingannare sulla loro genuinità. Qui il perimetro è molto più largo, perché manca del tutto il riferimento, e quindi il filtro, dell’alto rischio. Ma ci torniamo tra poco.
Il raccordo con l’AI Act: una definizione presa in prestito
È da considerare che il codice penale non dice che cosa sia un sistema “ad alto rischio”. Per saperlo bisogna uscire dal codice ed entrare nel Regolamento europeo: l’articolo 6 e gli Allegati I e III dell’AI Act. Da un lato ci sono i sistemi che finiscono dentro un prodotto fisico: l’AI che svolge una funzione di sicurezza — o il cui guasto mette in pericolo le persone — all’interno di macchinari, dispositivi medici, ascensori, giocattoli, apparecchi a pressione. Con una condizione ulteriore, che restringe di molto il campo: quel prodotto deve richiedere la certificazione di un organismo terzo, non l’autocertificazione del fabbricante.
Il software che legge una radiografia dentro un dispositivo medico di classe IIa, o il sistema di visione che arresta una pressa quando rileva la mano dell’operatore sono esempi di tale contesto. Dall’altro i casi d’uso elencati nell’Allegato III: biometria, infrastrutture critiche, istruzione, occupazione e gestione dei lavoratori, accesso a servizi essenziali, attività di contrasto, migrazione e frontiere, amministrazione della giustizia e processi democratici — con l’eccezione, prevista dal paragrafo 3, per i sistemi che non presentano un rischio significativo, e con l’avvertenza che i sistemi di profilazione di persone fisiche restano sempre ad alto rischio.
Di conseguenza, quando parliamo di alto rischio non ci riferiamo a specifici settori. Una società manifatturiera o commerciale che utilizzi un modello per filtrare e valutare le candidature nei processi di selezione del personale sta usando, con ogni probabilità, un sistema riconducibile all’Allegato III. Al contrario, un’azienda tecnologica può non averne nessuno. La qualificazione va fatta sul singolo sistema, sulla sua finalità prevista e sulle concrete modalità di impiego.
In conclusione sul punto, il precetto penale prende in prestito un elemento chiave da un regolamento europeo che, tra l’altro, è stato appena modificato. Ma le due tempistiche si incontrano.
Un occhio al calendario
Per due anni il 2 agosto 2026 è stato indicato come il giorno in cui sarebbero divenuti applicabili i principali obblighi dell’AI Act sui sistemi ad alto rischio elencati nell’allegato III. Alla scadenza, tuttavia, è entrata in applicazione soltanto una parte del regolamento.
Non sono, infatti, diventati applicabili, come inizialmente previsto, i principali requisiti e obblighi relativi ai sistemi ad alto rischio: gestione dei rischi, qualità dei dati, documentazione tecnica, registrazione delle attività, sorveglianza umana, accuratezza, robustezza e cybersicurezza, nonché gli obblighi posti a carico di fornitori e utilizzatori. Rientrano nell’allegato III, per esempio, alcuni sistemi impiegati per selezionare candidati a un lavoro, valutare l’accesso all’istruzione, determinare l’affidabilità creditizia o decidere l’accesso a servizi essenziali.
Il calendario è stato modificato a ridosso della scadenza dal regolamento (UE) 2026/1744, denominato “Omnibus digitale sull’IA”, pubblicato nella Gazzetta ufficiale dell’Unione europea il 24 luglio 2026 ed entrato in vigore il 27 luglio scorso. Le sezioni 1, 2 e 3 del capo III dell’AI Act si applicheranno dal 2 dicembre 2027 ai sistemi classificati ad alto rischio ai sensi dell’articolo 6, paragrafo 2, e dell’allegato III.
Per i sistemi classificati ai sensi dell’articolo 6, paragrafo 1 — come determinati dispositivi medici basati sull’AI o componenti di sicurezza di prodotti soggetti alla normativa dell’allegato I e alla valutazione di conformità di terzi — la nuova data è il 2 agosto 2028. È stato inoltre rinviato dal 2 agosto 2026 al 2 agosto 2027 il termine entro il quale ciascuno Stato membro deve rendere operativo almeno uno spazio nazionale di sperimentazione normativa per l’AI.
Il rinvio non ha però svuotato la data. Dal 2 agosto 2026 sono applicabili gli obblighi di trasparenza dell’articolo 50. Gli utenti devono essere informati quando interagiscono con un chatbot, i deepfake devono essere dichiarati come tali e determinati contenuti generati dall’AI devono essere contrassegnati in formato leggibile automaticamente. Anche chi utilizza sistemi di riconoscimento delle emozioni o di categorizzazione biometrica deve informarne le persone interessate.
L’apparato sanzionatorio è operativo ed è pienamente attiva la vigilanza sui modelli per finalità generali. In Italia i decreti attuativi individuano l’AgID come autorità di notifica e l’Agenzia per la Cybersicurezza Nazionale come autorità di vigilanza del mercato.
Dal 2 dicembre 2026 scatterà la marcatura leggibile dalle macchine dei contenuti generati per i sistemi già presenti sul mercato, insieme a nuovi divieti in materia di materiale intimo non consensuale e di materiale di abuso sessuale su minori generati o manipolati artificialmente.
Un’asimmetria temporale
Ne risulta un’asimmetria temporale che merita di essere evidenziata: la norma penale e la responsabilità dell’ente arriveranno probabilmente — una volta pubblicato il decreto — prima che l’apparato regolatorio sull’alto rischio sia completamente chiarito.
A ben vedere, il 437-bis non punisce direttamente l’inadempimento agli obblighi europei: punisce il fatto che dall’omissione di misure di sicurezza o di sorveglianza umana derivi un pericolo concreto per la vita, l’incolumità delle persone o la sicurezza dello Stato. Il pericolo va accertato caso per caso e non si presume dalla violazione. Si può essere gravemente inadempienti rispetto all’AI Act senza commettere il reato e, in linea teorica, commetterlo pur essendo formalmente in regola.
L’AI Act serve alla norma penale per due cose soltanto: dire quali sistemi sono ad alto rischio, e fornire il metro con cui giudicare se le misure omesse fossero idonee. La conformità documentale, insomma, non è uno scudo; la sua assenza non è di per sé un reato. È però una notizia operativa: nessuna impresa può ragionevolmente attendere il dicembre 2027 per fare la mappatura dei propri sistemi, perché quella classificazione servirà prima come parametro di adeguatezza organizzativa che come adempimento regolatorio. Il rinvio riguarda gli obblighi, non il rischio.
Il disallineamento evidenziato crea una tensione che l’interprete dovrà valutare e governare con prudenza. Il rinvio dell’Omnibus tocca proprio la parte del regolamento che avrebbe dovuto consolidare il significato operativo di “alto rischio”. Nel frattempo, quella nozione viene chiamata a delimitare un precetto penale.
E, a completare il quadro di un sistema regolatorio in movimento su più fronti contemporaneamente, nella seduta del 4 agosto il Governo ha approvato anche un disegno di legge di revisione complessiva del decreto 231, il cui iter parlamentare è, tuttavia, ancora da avviare.
Il reato di “deepfake“
Torniamo allora al 612-quater, perché il suo peso pratico è probabilmente maggiore di quello del 437-bis. Il reato esiste già: la novità è che ora ne risponde anche l’ente. E qui non c’è alcun filtro dell’alto rischio.
A differenza del 437-bis, che è un reato di pericolo, questo è un reato di evento: serve un danno ingiusto alla persona ritratta. Il centro della norma non è la manipolazione tecnica ma l’idoneità decettiva — non si punisce il contenuto sintetico, si punisce quello costruito ad arte per sembrare autentico. E la clausola “altrimenti diffondendo” copre ogni forma di circolazione verso terzi: anche la cessione a una sola persona può bastare.
Gli scenari aziendali sono più ordinari di quanto si immagini: campagne social con volti o voci generati, agenzie esterne cui è delegata la produzione di contenuti, clonazione vocale nel customer care, materiali di formazione costruiti sull’immagine di dipendenti o clienti. Il presidio, di nuovo, non è tecnologico: è sapere chi può generare, chi approva, chi pubblica, e che cosa prevedono i contratti con i fornitori di comunicazione.
Il raccordo con l’AI Act, in questo caso, esiste ed è già operativo. Gli obblighi di trasparenza dell’articolo 50, come dicevamo sopra, si applicano dal 2 agosto 2026; dal 2 dicembre 2026 arrivano la marcatura leggibile dalle macchine per i sistemi già sul mercato e i nuovi divieti dell’articolo 5.
Resta una domanda che la norma non risolve. L’art. 612-quater stabilisce la rilevanza del deepfake nel caso in cui siano “idonei a indurre in inganno sulla loro genuinità”. La domanda è: chi stabilisce quando un contenuto è “idoneo…”?
Lo stabilirà il giudice, ex post, ma con una valutazione da compiere in concreto e non in astratto: non una perizia sulle caratteristiche tecniche del file, ma un giudizio sul contesto di diffusione e sulle caratteristiche soggettive dei destinatari. Un falso mediocre girato in una chat chiusa fra persone che non conoscono il soggetto ritratto inganna molto facilmente; un falso impeccabile pubblicato su un medium dichiaratamente satirico, con etichetta visibile, può tranquillamente non ingannare nessuno.
In questo caso l’AI Act entra nel giudizio penale da una porta laterale. A mio avviso, se un contenuto è marcato come sintetico secondo l’articolo 50, l’idoneità decettiva si assottiglia fino quasi a scomparire: il rispetto della regola europea non attenua la responsabilità, la esclude a monte, perché fa mancare un presupposto del reato. All’inverso, secondo me, la rimozione deliberata del marcatore diventa il principale indizio a sostegno di quell’idoneità.
Un’ultima osservazione, valida per ogni contesto in cui operi il 231. Perché scattino le conseguenze di cui al decreto 231 occorre che il fatto sia commesso nell’interesse o a vantaggio dell’ente. In un deepfake diffamatorio o ritorsivo diffuso da un dipendente quel requisito è tutt’altro che scontato, e facilmente rimane confinato nell’interesse esclusivo proprio, che la responsabilità della società la esclude. Il rischio 231 davvero rilevante sta nell’uso “aziendale” dei contenuti sintetici, non nell’abuso individuale.
Che cosa fare in concreto
La prima attività non è scrivere procedure. È guardare che cosa c’è in casa.
- Inventario e qualificazione. Mappare i sistemi di AI progettati, addestrati, prodotti, immessi sul mercato o utilizzati, e qualificarli alla luce dell’articolo 6 e degli Allegati dell’AI Act. Nello stesso passaggio va chiarito il ruolo dell’impresa lungo la catena del valore: fornitore, distributore, importatore, deployer. Ruoli diversi, obblighi diversi.
- Documentare anche l’esito negativo. Se dalla mappatura non emergono sistemi ad alto rischio, il deliverable è la documentazione motivata di quella valutazione dentro il risk assessment. Non serve un apparato di protocolli dedicati: serve poter dimostrare di avere guardato.
- Se invece emergono, presidiare la catena. Ruoli e responsabilità definiti, misure tecniche di sicurezza verificate, gestione degli incidenti e delle anomalie, controllo dei fornitori, formazione del personale coinvolto — che si salda con l’obbligo di alfabetizzazione dell’articolo 4 dell’AI Act, applicabile già dal febbraio 2025 — e tracciabilità delle decisioni e dei controlli.
- Sorveglianza umana “vera”. È il punto più delicato; “human oversight” non significa che qualcuno figuri in un organigramma: significa sapere chi, in quale momento del processo, con quali informazioni e con quale potere effettivo può fermare o correggere il sistema.
- AI generativa e contenuti. Per il deepfake serve una regola d’uso: chi è autorizzato a generare e pubblicare contenuti che ritraggono persone, con quale verifica preventiva, con quale approvazione. E servono clausole contrattuali e meccanismi di controllo verso agenzie e fornitori esterni di comunicazione e social media.
- Flussi verso l’Organismo di Vigilanza. Classificazione dei sistemi adottati o in sviluppo, incidenti e malfunzionamenti, esiti delle attività di monitoraggio, funzionamento dei canali di segnalazione. Con un’avvertenza onesta: l’OdV, per composizione tipica, spesso non possiede le competenze per validare autonomamente l’adeguatezza di una misura di sorveglianza su un sistema di machine learning. Il rischio concreto è una vigilanza formale su materie che l’organismo non è in grado di leggere. Le vie d’uscita sono note — indicatori di allerta concordati a monte, flussi periodici dalle funzioni tecniche, integrazione di competenze o consulenti — ma vanno decise prima, non dopo il primo incidente.
Non di sola compliance…
Il controllo umano smette di essere una buona pratica e diventa un elemento del fatto: la sua omissione, quando genera un pericolo concreto, è penalmente rilevante. Il messaggio alle imprese è più semplice della stratificazione normativa che lo veicola. Non si chiede di temere l’intelligenza artificiale: si chiede di sapere dove si trova nell’organizzazione, che cosa può rompere, e chi — con nome, ruolo e potere effettivo — è in grado di fermarla.
Nota sulle fonti e sullo stato del provvedimento
Al momento in cui scriviamo, i decreti legislativi approvati in via definitiva dal Consiglio dei ministri il 4 agosto 2026 non risultano ancora pubblicati in Gazzetta Ufficiale. Numerazione, formulazione definitiva delle norme e data di entrata in vigore vanno verificate sul testo pubblicato: le considerazioni che precedono si fondano sullo schema trasmesso alle Camere, sui comunicati del Governo e sulla dottrina che li ha commentati.
Partecipa alla community