D.Lgs. 160/2026: l’intelligenza artificiale entra nel catalogo 231
Nuovi reati-presupposto, sanzioni fino a 1.000 quote e nuovi obblighi di presidio su sicurezza, supervisione umana e contenuti generati dall’IA
L’intelligenza artificiale entra in modo espresso nel perimetro della responsabilità amministrativa degli enti ex D.Lgs. 231/2001.
È questa una delle principali novità introdotte dal D.Lgs. 9 settembre 2026, n. 160, pubblicato nella Gazzetta Ufficiale, Serie Generale n. 214 del 15 settembre 2026, recante l’adeguamento della normativa nazionale al Regolamento (UE) 2024/1689 (AI Act). Il provvedimento entrerà in vigore il 30 settembre 2026.
L’entrata in vigore dell’Art. 25-vicies rende opportuno verificare se il Modello di Organizzazione, Gestione e Controllo sia già adeguato a intercettare i rischi connessi all’utilizzo dell’intelligenza artificiale.
Le sanzioni per l’ente
L’impatto sul sistema 231 è particolarmente rilevante anche sotto il profilo sanzionatorio.
Per il reato di cui all’Art. 437-bis c.p. è prevista per l’ente una sanzione pecuniaria da 600 a 1.000 quote.
Per il reato di cui all’Art. 612-quater c.p. è prevista una sanzione pecuniaria da 200 a 700 quote.
In entrambi i casi possono inoltre trovare applicazione le sanzioni interdittive di cui all’Art. 9, comma 2, lettere b), c), d) ed e), del D.Lgs. 231/2001, vale a dire, tra l’altro, la sospensione o revoca di autorizzazioni, licenze o concessioni, il divieto di contrattare con la pubblica amministrazione, l’esclusione da agevolazioni, finanziamenti, contributi o sussidi e l’eventuale divieto di pubblicizzare beni o servizi.
Il nuovo intervento non introduce, dunque, un presidio meramente formale: l’inserimento delle fattispecie nel catalogo 231 può avere conseguenze economiche e operative significative per l’ente.
Il nuovo Art. 25-vicies D.Lgs. 231/2001
La novità di maggiore interesse per le imprese riguarda l’introduzione dell’Art. 25-vicies del D.Lgs. 231/2001, rubricato “Reati commessi con l’uso di sistemi di intelligenza artificiale”.
La disposizione amplia il catalogo dei reati-presupposto richiamando due fattispecie penali:
- Art. 437-bis c.p., di nuova introduzione, relativo all’omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e all’alterazione illecita dei sistemi
- Art. 612-quater c.p., relativo all’illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale, fattispecie già introdotta nel 2025
Il passaggio è particolarmente significativo sotto il profilo organizzativo: l’utilizzo dell’IA non viene più considerato soltanto come una questione tecnologica o di compliance, ma diventa anche un profilo rilevante nell’ambito del sistema di prevenzione dei reati 231.
Art. 437-bis c.p.: sicurezza e supervisione dei sistemi di IA
Il nuovo Art. 437-bis c.p. introduce una specifica tutela penale con riferimento ai sistemi di intelligenza artificiale ad alto rischio.
La fattispecie riguarda, in particolare, l’omessa adozione delle misure tecniche di sicurezza previste per la progettazione, l’addestramento, la produzione e l’immissione sul mercato di tali sistemi, quando tali omissioni siano idonee a prevenire malfunzionamenti o alterazioni del loro funzionamento.
La norma considera inoltre l’omessa adozione di misure di sorveglianza umana.
La responsabilità penale è collegata alla produzione di un pericolo per la vita o l’incolumità pubblica o individuale e prevede un trattamento sanzionatorio più grave qualora dal fatto derivi un pericolo per la sicurezza dello Stato.
La fattispecie contempla inoltre l’alterazione dei sistemi di IA ad alto rischio, quando dalla condotta derivi il pericolo previsto dalla norma, nonché una specifica previsione relativa all’utilizzatore professionale che ometta intenzionalmente di adottare misure di sorveglianza umana.
Il messaggio per le organizzazioni è quindi chiaro: per i sistemi ad alto rischio non sarà sufficiente dimostrare che l’IA viene utilizzata secondo una policy aziendale. Occorrerà poter dimostrare l’esistenza di presidi tecnici, organizzativi e di supervisione effettivamente operativi.
Art. 612-quater c.p.: attenzione ai contenuti generati dall’IA
Il secondo reato richiamato dal nuovo Art. 25-vicies è l’Art. 612-quater c.p.
La norma punisce la condotta di chi cagiona un danno ingiusto a una persona cedendo, pubblicando o diffondendo, senza il suo consenso, immagini, video o voci falsificati o alterati mediante sistemi di intelligenza artificiale, quando tali contenuti siano idonei a indurre in inganno sulla loro genuinità.
Il reato è punito con la reclusione da uno a cinque anni ed è, in via generale, procedibile a querela della persona offesa, salvo le ipotesi espressamente previste dalla norma. La fattispecie era stata introdotta nel 2025 e viene ora ricompresa nel sistema della responsabilità amministrativa degli enti attraverso il nuovo Art. 25-vicies.
Per le organizzazioni diventa quindi rilevante anche la gestione dei contenuti generati o alterati mediante IA, soprattutto quando destinati alla pubblicazione, alla comunicazione esterna, al marketing, ai rapporti con clienti e stakeholder o alla diffusione attraverso canali digitali.
La verifica dovrebbe riguardare almeno quattro profili:
1. Mappatura dei sistemi di IA
Occorre conoscere quali sistemi di intelligenza artificiale vengono effettivamente utilizzati dall’organizzazione, da quali funzioni, per quali finalità e con quali modalità di integrazione nei processi aziendali.
Particolare attenzione deve essere riservata ai sistemi ad alto rischio.
2. Presidi di sicurezza e supervisione umana
Per i sistemi ad alto rischio occorre verificare l’esistenza di misure tecniche e organizzative idonee a prevenire malfunzionamenti e alterazioni e, ove richiesto, di adeguati meccanismi di sorveglianza umana.
Non si tratta soltanto di cybersecurity: il presidio deve comprendere anche responsabilità, autorizzazioni, gestione delle modifiche, tracciabilità e modalità di intervento in caso di anomalie.
3. Gestione degli output e dei contenuti generati
Le organizzazioni dovrebbero definire regole chiare per la verifica e l’eventuale pubblicazione di contenuti prodotti o modificati mediante IA.
Il rischio non riguarda esclusivamente immagini e video: assume rilievo l’intero processo attraverso il quale un contenuto viene generato, verificato, autorizzato e successivamente diffuso.
4. Flussi informativi verso l’OdV
Il nuovo quadro normativo rende opportuno valutare specifici flussi informativi verso l’Organismo di Vigilanza, con particolare riferimento a:
- nuovi sistemi di IA introdotti nell’organizzazione
- sistemi classificati come ad alto rischio
- anomalie, malfunzionamenti e alterazioni
- violazioni delle procedure interne
- incidenti rilevanti
- utilizzi non autorizzati
- contenuti generati o alterati oggetto di contestazioni
- modifiche rilevanti ai sistemi e ai relativi presidi di controllo
Non basta una policy sull’IA
Il punto centrale, dal punto di vista 231, è che la presenza di una generica AI Policy non equivale necessariamente all’esistenza di un sistema di controllo adeguato.
Per le imprese, ciò può tradursi nella necessità di aggiornare:
- Parte Generale del Modello 231
- Parte Speciale relativa ai reati commessi con l’uso di sistemi di IA
- risk assessment 231
- mappatura delle attività sensibili
- procedure e protocolli interni
- sistema dei flussi informativi verso l’OdV
- Codice Etico e policy aziendali sull’utilizzo dell’IA
- attività formative rivolte al personale
Il nuovo quadro normativo porta quindi a considerare l’IA come un processo da mappare, autorizzare, monitorare e controllare, in funzione dei rischi connessi al suo utilizzo. Per imprese, professionisti e pubbliche amministrazioni diventa essenziale governarne l’impiego attraverso responsabilità definite, controlli, supervisione e flussi informativi adeguati, in coerenza con il sistema 231.
Il Modello 231 diventa digitale con Winple
Winple consente di gestire il Modello 231 interamente online, da qualsiasi dispositivo e senza installazioni, integrando rischio residuo, sistema disciplinare, flussi da e verso l’OdV, formazione e aggiornamenti normativi automatici.
La piattaforma offre inoltre esportazione in Word e PDF, dati protetti e chatbot H24.
Scopri in anteprima 231WEB.IT Software 231 WEB – Implementazione Modello 231
Software 231WEB.it
La piattaforma web che semplifica la gestione del Modello Organizzativo 231
Dimentica la gestione del Modello 231 tramite documenti Word ed Excel. Con 231WEB.IT digitalizzi ogni fase del processo attraverso una piattaforma web progettata per aziende, consulenti, Organismi di Vigilanza e P.A.