Responsabilità Penale AI: l'impatto della Legge 132/2025 e l'art. 437-bis
- Introduzione dell'art. 437-bis c.p. che sanziona l'omessa sicurezza nei sistemi AI ad alto rischio.
- Inserimento dei reati AI nel catalogo dei reati presupposto del D.Lgs. 231/2001 (art. 25-vicies).
- Nuove fattispecie penali per deepfake (art. 612-quater c.p.) e aggravanti per manipolazione del mercato.
- Necessità di aggiornare i Modelli di Organizzazione e Gestione (MOG) per prevenire rischi tecnologici.
L'illusione del software neutro e l'arrivo della responsabilità penale
Per anni l'imprenditore ha guardato all'intelligenza artificiale come a un semplice strumento di efficienza, un software neutro capace di ottimizzare processi senza generare nuovi rischi legali. Questa percezione è appena svanita. Con l'entrata in vigore della Legge 23 settembre 2025, n. 132, l'Italia ha formalizzato il recepimento dell'AI Act europeo, spostando il baricentro della responsabilità: l'IA non è più solo un mezzo, ma può diventare l'oggetto stesso di un reato o l'aggravante che trasforma un illecito in una condanna severa.
Il passaggio è netto. Non si punisce più solo chi usa l'IA per frodare, ma anche chi non la gestisce con la dovuta diligenza. La responsabilità si sposta dalla periferia operativa al cuore della governance aziendale, colpendo chi ha omesso di implementare le misure di sicurezza necessarie durante la progettazione o l'utilizzo professionale di sistemi ad alto rischio.
437-bis c.p.: la nuova frontiera della sicurezza tecnologica
Il fulcro della nuova disciplina penale risiede nell'introduzione dell'art. 437-bis c.p. Questa norma non è un generico richiamo alla prudenza, ma una fattispecie specifica dedicata ai sistemi di intelligenza artificiale ad alto rischio. La legge mira a sanzionare l'omessa adozione delle misure tecniche di sicurezza previste in diverse fasi cruciali: la progettazione, l'addestramento, la produzione, l'immissione sul mercato e l'utilizzo professionale.
Il reato scatta quando dalla condotta omissiva derivi il concreto pericolo richiesto dalla disposizione. In sostanza, l'assenza di presidi tecnici non è più una semplice negligenza amministrativa, ma un potenziale reato penale. La norma copre inoltre l'ipotesi dell'alterazione illecita dei sistemi, prevedendo un trattamento sanzionatorio che varia a seconda della condotta e del pericolo prodotto.
Perché l'omessa sicurezza diventa colpa grave
L'aspetto più critico per il management è l'estensione della responsabilità alla colpa grave. Per le condotte omissive, infatti, il legislatore prevede una riduzione della pena rispetto alla fattispecie dolosa, ma mantiene fermo il principio della punibilità per chi ha agito con grave negligenza. Avvocati Per Le Aziende evidenzia come questa novità sposti l'attenzione dalla sola modalità di utilizzo dell'IA alla predisposizione di un sistema organizzativo di prevenzione.
Analisi Strategica: In termini di business, questo significa che l'ignoranza tecnica non è più una difesa. Se un'azienda adotta un sistema AI ad alto rischio senza aver verificato i protocolli di sicurezza dell'addestramento o della produzione, il rischio non è più solo il malfunzionamento del software, ma l'incriminazione penale dei vertici per colpa grave. La sicurezza informatica diventa, di fatto, una misura di protezione legale per l'imprenditore.
Deepfake e manipolazione del mercato: una lettura critica
L'IA non è solo un rischio di "omissione", ma un acceleratore di reati tradizionali. La Legge 132/2025 introduce l'art. 612-quater c.p., che punisce l'illecita diffusione di contenuti generati o alterati con IA, i cosiddetti deepfake. Ma l'impatto più severo per le società quotate o attive nei mercati finanziari riguarda le aggravanti. L'art. 61, n. 11-decies c.p. introduce un'aggravante comune quando il reato è commesso tramite sistemi di IA che rendano la condotta più insidiosa o ne aggravino le conseguenze.
Particolarmente rilevanti sono le aggravanti specifiche per reati come l'aggiotaggio e la manipolazione del mercato. Se l'IA viene utilizzata per distorcere i prezzi o diffondere informazioni false su scala industriale, la sanzione è aggravata. Come riportato da Gsep, l'IA diventa il mezzo operativo per realizzare condotte penalmente rilevanti, con ricadute dirette sull'ente che ne trae vantaggio.
I nuovi rischi per i sistemi ad alto rischio: dietro le quinte
Cosa rende un sistema AI ad alto rischio? Sebbene i dettagli tecnici siano definiti dall'AI Act, l'impatto penale italiano si concentra sulla catena del valore. Il rischio non è solo nel prodotto finale, ma nei processi di data mining e web scraping assistiti da IA, che possono ora configurare nuovi illeciti in materia di diritto d'autore.
Il pericolo reale per l'impresa risiede nella cosiddetta Shadow AI: l'uso di strumenti di intelligenza artificiale non autorizzati dai dipendenti per velocizzare il lavoro. Se un dipendente utilizza un'IA non sicura per processare dati sensibili o progettare componenti critici, l'azienda potrebbe trovarsi esposta per omessa adozione di misure di sicurezza, poiché l'ente è responsabile della governance dei sistemi utilizzati professionalmente.
Come aggiornare i presidi preventivi dell'ente
Per evitare che l'azienda venga chiamata a rispondere dei reati commessi tramite IA, è necessario un intervento strutturale sul Modello di Organizzazione, Gestione e Controllo (MOG). Non basta un addendum al regolamento interno; serve una mappatura dei rischi tecnologici.
| Area di Intervento | Azione Preventiva | Obiettivo Legale |
|---|---|---|
| Governance Dati | Audit sui processi di web scraping e data mining | Prevenire reati di diritto d'autore |
| Controllo Accessi | Protocolli di monitoraggio contro la Shadow AI | Evitare l'omessa sicurezza (437-bis c.p.) |
| Compliance AI Act | Certificazione dei sistemi ad alto rischio | Escludere la colpa grave in caso di incidente |
| Formazione | Training obbligatorio su etica e trasparenza IA | Dimostrare l'impegno dell'ente nella prevenzione |
L'AI Officer tra governance e difesa legale
In questo scenario emerge la figura dell'AI Officer. Non più un semplice tecnico o un responsabile IT, ma un profilo ibrido che agisce come ponte tra il dipartimento legale e quello tecnologico. L'AI Officer ha il compito di governare l'intelligenza artificiale in azienda, assicurando che ogni implementazione sia allineata ai requisiti di sicurezza dell'AI Act e della normativa penale italiana.
Il suo ruolo è fondamentale per la difesa legale: in caso di indagine, l'AI Officer è colui che deve poter dimostrare l'esistenza di presidi preventivi, la tracciabilità delle decisioni dell'algoritmo e l'adozione di misure tecniche adeguate. È il garante della compliance che trasforma l'innovazione da rischio a vantaggio competitivo sicuro.
Il recepimento dell'AI Act e l'impatto sui Modelli 231 delle imprese UE
L'integrazione dell'IA nel sistema della responsabilità amministrativa degli enti è ora ufficiale. Lo schema di decreto attuativo introduce nel D.Lgs. 231/2001 il nuovo art. 25-vicies, rubricato 'Reati commessi con l'uso di sistemi di intelligenza artificiale'. Questo significa che i reati legati all'IA sono ora reati presupposto: se un soggetto apicale o un dipendente commette un reato tramite IA a vantaggio dell'azienda, l'ente stesso risponde amministrativamente.
Per le imprese italiane, l'adeguamento è urgente. Come analizzato da Agenda Digitale, la Legge 132/2025 ridefinisce le regole di controllo. L'impatto si estende oltre il semplice Modello 231, intersecandosi con la direttiva NIS2 sulla cybersecurity. L'impresa UE non può più considerare l'IA come un'appendice del software, ma come un asset strategico che richiede una governance penale dedicata.
Scenari futuri e indicatori: L'evoluzione della giurisprudenza vedrà probabilmente i primi casi di condanna per colpa grave legati a errori di addestramento di IA in ambito medico o industriale. INDICATORE VERIFICABILE: La pubblicazione delle prime sentenze di merito relative all'art. 437-bis c.p. tra il 2027 e il 2028. Un altro scenario riguarda l'estensione della responsabilità agli sviluppatori di modelli open source utilizzati in ambito professionale. INDICATORE VERIFICABILE: Eventuali emendamenti al D.Lgs. 231/2001 che includano la responsabilità della filiera di fornitura software.
In sintesi, per le imprese italiane l'AI Act e la Legge 132/2025 segnano la fine dell'era del 'farlo e vedere'. La compliance non è più un costo burocratico, ma l'unico scudo efficace contro una responsabilità penale che ora colpisce l'omissione di sicurezza tecnologica.
Domande frequenti
Cos'è l'art. 437-bis c.p.?
È una nuova norma penale che sanziona l'omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale ad alto rischio, includendo l'ipotesi di colpa grave per le condotte omissive.
In che modo l'IA influisce sul Modello 231?
Viene introdotto l'art. 25-vicies del D.Lgs. 231/2001, che rende i reati commessi tramite sistemi di IA dei reati presupposto per la responsabilità amministrativa dell'ente.
Quali sono i rischi legati ai deepfake per le aziende?
L'art. 612-quater c.p. punisce l'illecita diffusione di contenuti alterati con IA. Inoltre, l'uso di IA per manipolare il mercato o commettere aggiotaggio comporta l'applicazione di aggravanti specifiche.
Fonti: Avvocatiperleaziende, Gsep, Agendadigitale ·
glacom · IA per aziende e PMI: da dove si comincia davvero →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
