L’Intelligenza Artificiale non è più solo una leva di efficienza, automazione o competitività.

Con le recenti disposizioni attuative in materia di AI, il tema entra con forza anche nel perimetro della compliance penale, della sicurezza e della responsabilità organizzativa d’impresa.

Il messaggio per aziende, manager e funzioni compliance è chiaro: integrare sistemi di AI senza adeguati presidi tecnici, organizzativi e di controllo umano può esporre l’impresa a rischi molto più rilevanti di una semplice non conformità documentale.

Al centro dell’attenzione vi è il nuovo reato di “omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi”, destinato a incidere in particolare sull’utilizzo professionale di sistemi AI ad alto rischio.

Le nuove fattispecie di reato

Sul fronte penale, l’integrazione principale riguarda l’articolo 437-bis c.p., che punisce la mancata implementazione di protocolli di sicurezza nei sistemi ad alto rischio. La nuova disposizione implica:

• Negligenza e pericoli: reclusione da 1 a 5 anni in caso di omissione delle misure di sorveglianza umana con rischio concreto per una vita o l’incolumità individuale;
• Aggravanti: se la condotta mette in crisi la sicurezza dello Stato o l’incolumità della collettività, la pena può estendersi fino a 8 anni;
• Responsabilità degli enti: la violazione, insieme alla diffusione di contenuti illeciti manipolati, diventano reati presupposto ai fini del D.lgs. 231/2001, rendendo le società direttamente sanzionabili.

Protocolli delle forze dell’ordine

Il principio di sorveglianza umana è alla base di ogni tecnologia utilizzata e non deve essere sostituita. Gli strumenti di intelligenza artificiale devono essere utilizzati come strumenti di supporto e non sostituiscono il giudizio umano. I protocolli prevedono:

• Biometria in tempo reale: l’uso è circoscritto ad emergenze tassative come la prevenzione da attacchi terroristici, ritrovamento di vittime di sottrazione, tratta di esseri umani o persone scomparse;
• Vaglio dell’autorità: operazioni di questo tipo necessitano del via libera da parte del procuratore della Repubblica o del GIP (Giuduce per le Indagini Preliminari) L’autorizzazione dura al massimo 15 giorni, salvo proroga motivata;
• Riconoscimento facciale a posteriori: l’analisi di filmati registrati è permessa solo per identificare soggetti già indiziati di un reato.

Chi rischia di più?

Il rischio non riguarda solo chi “sviluppa” tecnologia.

Nel perimetro possono rientrare più soggetti della catena del valore AI:

• provider, sviluppatori e produttori quando progettano o addestrano sistemi ad alto rischio senza adeguati presidi tecnici;
• aziende utilizzatrici  quando impiegano professionalmente sistemi AI in processi sensibili senza verifiche, istruzioni, controlli e governance;
• vertici aziendali e funzioni delegate  quando l’adozione dell’AI avviene senza una chiara attribuzione di responsabilità, senza risk assesment e senza procedure interne;
• responsabili IT, compliance officer e legal counsel  per la parte di presidio, controllo, documentazione e gestione dei rischi;
• enti e società, anche in ottica di responsabilità ex D.lgs. 231/2001  se il reato viene incluso tra i reati presupposto e non sono presenti modelli organizzativi adeguati.

Il punto pratico è questo: l’AI non può essere trattata come un semplice software acquistato e messo in produzione.

Quando il sistema incide su sicurezza, diritti, decisioni automatizzate o processi critici, serve un governo strutturato del rischio.

Quali misure diventano decisive

Per ridurre l’esposizione, l’azienda deve poter dimostrare di avere adottato misure tecniche, organizzative e documentali coerenti con il livello di rischio del sistema.

In particolare, diventano centrali:

• mappatura dei sistemi AI in uso, distinguendo strumenti generici, sistemi integrati nei processi e sistemi potenzialmente ad alto rischio;
• classificazione del rischio, con valutazione degli impatti su salute, sicurezza, diritti fondamentali, continuità operativa e cybersecurity;
• misure tecniche di prevenzione, volte a ridurre malfunzionamenti, alterazioni, manipolazioni dei dati, errori sistemici e utilizzi impropri;
• sorveglianza umana effettiva, non meramente formale, con persone competenti in grado di comprendere limiti, output e anomalie del sistema;
• tracciabilità e logging, per ricostruire quando, come e da chi il sistema è stato utilizzato;
• documentazione tecnica e istruzioni d’uso, anche nei rapporti con fornitori, integratori e utilizzatori interni;
• procedure di escalation e sospensione, per intervenire rapidamente in caso di anomalie, incidenti, output inattesi o rischio per persone e organizzazione;
• formazione mirata, perché chi usa sistemi AI deve comprenderne limiti, rischi e condizioni di utilizzo sicuro.

La compliance AI, quindi, non è solo un tema legale. È un sistema integrato di risk management, cybersecurity, governance, formazione e controllo documentale.

Il takeaway pratico per le aziende

Da subito, ogni organizzazione che utilizza o intende integrare sistemi AI dovrebbe avviare una verifica interna articolata almeno su cinque domande:

Cosa fare ora

Il primo passo non è scrivere una policy generica sull’Intelligenza Artificiale.

Il primo passo è costruire un inventario ragionato dei sistemi AI, collegarlo ai processi aziendali e valutare se l’utilizzo possa generare rischi per persone, sicurezza, diritti o responsabilità dell’ente.

Solo da questa mappatura è possibile definire misure proporzionate: governance, controlli tecnici, ruoli, formazione, procedure di emergenza, clausole contrattuali e aggiornamento dei modelli organizzativi.

Le aziende che si muovono ora avranno un vantaggio: potranno integrare l’AI nei processi con maggiore sicurezza, dimostrando di avere adottato presidi preventivi e non solo reattivi.

L’AI può essere un acceleratore di competitività. Ma senza governance può diventare un acceleratore di responsabilità.