L’intelligenza artificiale non è più soltanto una questione tecnologica o commerciale: da oggi, con l’arrivo dello schema di decreto legislativo in Consiglio dei Ministri, l’AI diventa a tutti gli effetti un pilastro della compliance aziendale e del diritto penale italiano. Il testo punta ad aggiornare la normativa nazionale all’AI Act europeo, introducendo reati inediti per i sistemi ad alto rischio, una decisa stretta sui deepfake e una riforma strutturale del D.Lgs. 231 del 2001.
Il messaggio del Governo è chiaro: se i vantaggi competitivi dell’IA finiscono nel bilancio delle imprese, i rischi legati al suo utilizzo illecito o negligente ne seguiranno la stessa sorte.
Fino a 10 anni di carcere: il nuovo reato sui sistemi ad alto rischio
La novità più dirompente all’interno del codice penale si chiama articolo 437-bis: “Omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi”.
La norma colpisce chiunque operi nella filiera dei sistemi AI ad alto rischio (dalla progettazione e addestramento fino alla produzione, immissione sul mercato o utilizzo professionale) e ometta di applicare le misure tecniche necessarie a prevenire malfunzionamenti, oppure escluda la sorveglianza humana.
Omessa adozione di misure di sicurezza
- Da 1 a 5 anni di reclusione: se dalla mancanza di controlli o tutele umane deriva un pericolo concreto per la vita o l’incolumità individuale.
- Da 2 a 8 anni di reclusione: se il pericolo concreto si estende all’incolumità pubblica o alla sicurezza dello Stato.
Alterazione illecita dei sistemi AI
Chi manomette o altera intenzionalmente un algoritmo ad alto rischio rischia pene ancora più aspre:
- Da 2 a 6 anni: per pericolo all’incolumità individuale.
- Da 3 a 10 anni: se a essere minacciate sono la sicurezza pubblica o quella dello Stato.
La clausola sulla colpa: Il decreto riconosce la complessità della materia. Se i fatti sopra descritti vengono commessi per colpa grave (quindi senza il dolo o l’intenzione di fare danno), la pena viene ridotta in misura da un terzo a un sesto.
Svolta per le imprese: l’intelligenza artificiale entra nella “Responsabilità 231”
Il cuore d’interesse per il mondo corporate risiede nella riscrittura delle regole sulla responsabilità amministrativa degli enti. Il decreto introduce nel D.Lgs. 231/2001 il nuovo articolo 25-vicies, battezzato “Reati commessi con l’uso di sistemi di intelligenza artificiale”.
Fino a oggi, l’illecito commesso tramite software ricadeva quasi esclusivamente sulla persona fisica. Ora, se il reato viene compiuto nell’interesse o a vantaggio dell’azienda, la società ne risponderà direttamente.
| Tipologia di Illecito AI | Sanzione per l’Ente (Sistema a Quote) |
|---|---|
| Violazioni art. 437-bis c.p. (Sicurezza e controllo sistemi AI) | Da 600 a 1.000 quote |
| Diffusione illecita di Deepfake (Contenuti manipolati) | Da 200 a 700 quote |
Le sanzioni interdittive: i veri rischi per il business
Oltre al danno economico calcolato in quote, lo scaglione 231 attiva le pesantissime misure interdittive, capaci di congelare l’operatività di un brand. Nei casi più gravi il giudice può disporre:
- L’interdizione dall’esercizio dell’attività.
- La sospensione o la revoca definitiva di autorizzazioni, licenze o concessioni.
- Il divieto di contrattare con la Pubblica Amministrazione.
- L’esclusione (o la revoca) da finanziamenti, agevolazioni e sussidi pubblici.
- Il divieto assoluto di pubblicizzare beni o servizi.
Deepfake e l’arma del “Sequestro Preventivo”
Sul delicatissimo terreno della manipolazione dell’identità tramite IA, il decreto accelera i tempi di risposta della magistratura. La diffusione illecita di contenuti generati o alterati (i deepfake privi di consenso) non solo espone l’azienda a sanzioni se l’illecito è commesso a suo vantaggio, ma fa scattare l’arma del sequestro preventivo.
Nel contesto digitale, questa misura va a blindare l’intera infrastruttura tecnologica e logica che ha permesso il reato. Possono finire sotto sequestro:
- Piattaforme web e server ospitanti.
- Database di addestramento e modelli algoritmici già addestrati.
- Account social e profili aziendali.
- I singoli file e contenuti multimediali alterati.
Risarcimento civile: scatta la “Presunzione di Causalità”
L’ultima svolta del decreto impatta i contenziosi civili per i danni provocati dai sistemi intelligenti. Chi si riterrà danneggiato da un’intelligenza artificiale avrà una strada processuale molto più agevole. In primo luogo, il giudice potrà ordinare alle aziende l’esibizione delle prove interne: registri di funzionamento (logs), documentazione tecnica sui sistemi di gestione dei rischi e report sulla supervisione umana.
In secondo luogo, viene introdotta la presunzione del nesso di causalità: se il danno è derivato dalla violazione accertata di uno o più obblighi dell’AI Act europeo, il collegamento tra la colpa del produttore/utilizzatore e il danno subito dalla vittima si considera presunto, invertendo di fatto l’onere della prova. Inoltre, il testo specifica che la semplice conformità formale o la certificazione del sistema AI rispetto alle regole UE non basterà a escludere la responsabilità civile dell’impresa se il danno si è comunque verificato.
