Intelligenza artificiale, nuovi reati e responsabilità degli enti. Le novità dei D.Lgs. 160/2026 e 179/2026
Con l’entrata in vigore, il 23 ottobre 2026, del D.Lgs. 179/2026, che ha fatto seguito al D.Lgs. 160/2026 in vigore dal 30 settembre, si delinea il quadro con il quale l’ordinamento italiano ha dato attuazione al Regolamento (UE) 2024/1689 sull’intelligenza artificiale, il cui calendario è stato a sua volta modificato dal Regolamento (UE) 2026/1744, noto come Digital Omnibus.
Sul piano penale la novità di maggiore rilievo è il nuovo art. 437-bis c.p., che punisce l’omessa adozione delle misure di sicurezza o di sorveglianza umana dei sistemi ad alto rischio e l’alterazione illecita di tali sistemi, quando ne derivi un pericolo per la vita o l’incolumità delle persone o per la sicurezza dello Stato, e che insieme alla diffusione di contenuti falsificati con l’intelligenza artificiale prevista dall’art. 612-quater c.p. è entrato nel catalogo dei reati presupposto attraverso il nuovo art. 25-vicies del D.Lgs. 231/2001, con sanzioni pecuniarie fino a mille quote e la possibile applicazione delle sanzioni interdittive.
Il rapporto tra l’entrata in vigore della norma e l’applicazione degli obblighi europei sui sistemi ad alto rischio, differita al 2 dicembre 2027 e al 2 agosto 2028, sembra destinato a costituire il principale tema interpretativo per le condotte omissive, mentre l’alterazione del sistema potrebbe assumere rilievo penale già oggi. A queste fattispecie si affiancano l’aggravante comune introdotta dalla legge n. 132 del 2025, che potrebbe incidere anche sui reati presupposto già compresi nel catalogo, e le ipotesi di aggiotaggio e di manipolazione del mercato commesse mediante intelligenza artificiale. Il D.Lgs. 179/2026 riserva inoltre a una persona fisica dotata di un potere effettivo la decisione finale sul rapporto di lavoro, sui provvedimenti disciplinari e sulle valutazioni del personale, e una decisione assunta in forma sostanzialmente automatica rischierebbe di essere ritenuta nulla.
Lo stesso decreto ricomprende tra i segreti commerciali i dati e gli algoritmi dei sistemi, la cui tutela presuppone che l’impresa abbia adottato misure ragionevoli per mantenerli riservati. Restano già applicabili i divieti dell’art. 5 dell’AI Act, tra i quali quello di riconoscimento delle emozioni sul luogo di lavoro, assistiti da sanzioni fino a 35 milioni di euro o al 7% del fatturato mondiale, e gli obblighi di trasparenza dell’art. 50, mentre nei giudizi per danni il giudice potrà ordinare l’esibizione dei registri e della documentazione tecnica dei sistemi, con la conseguenza che la documentazione di compliance finirebbe per assumere anche una funzione probatoria.
Per le imprese appare quindi opportuno ricondurre l’uso dell’intelligenza artificiale all’interno del Modello 231, delle procedure relative al personale e della formazione già esistenti, muovendo dai sistemi effettivamente in uso e dal ruolo che l’impresa assume rispetto a ciascuno di essi. Il Legal Alert dello Studio, che esamina nel dettaglio queste novità e le loro conseguenze per l’organizzazione d’impresa, è disponibile in allegato.
Commenti