IA e responsabilità penale: cosa attendersi dal decreto attuativo dell'AI Act
Si discute di un decreto legislativo di attuazione dell'AI Act che introdurrebbe un reato di omessa sicurezza dei sistemi di intelligenza artificiale, amplierebbe la responsabilità degli enti e rafforzerebbe la tutela risarcitoria. Alla data di redazione il testo non risulta pubblicato in Gazzetta Ufficiale. Esaminiamo cosa è certo e cosa resta prospettico, per orientare fin da ora la compliance aziendale.
Premessa metodologica: cosa è vigente e cosa no
È opportuno un avviso preliminare. Circolano ricostruzioni su un decreto legislativo (indicato come D.lgs. 160/2026) attuativo dell'AI Act, che introdurrebbe un art. 437-bis c.p. e un nuovo articolo nel catalogo del D.lgs. 231/2001. Alla data di redazione di questo contributo tali norme non risultano pubblicate in Gazzetta Ufficiale. Numerazione, contenuti e collocazione sistematica sono quindi da considerare ipotetici fino a verifica sulla fonte ufficiale.
Evitiamo di presentare come diritto vigente ciò che, allo stato, è al più uno schema di decreto o una ricostruzione dottrinale. Ancoriamo invece l'analisi al quadro certo — il Regolamento (UE) 2024/1689 (AI Act) e l'impianto del D.lgs. 231/2001 — e trattiamo le novità al condizionale.
Il quadro certo: l'AI Act
Il Regolamento (UE) 2024/1689, comunemente detto AI Act, è la fonte europea di riferimento. Adotta un approccio basato sul rischio: classifica i sistemi di intelligenza artificiale per livelli di pericolosità e impone ai fornitori e agli utilizzatori di sistemi "ad alto rischio" obblighi stringenti di gestione del rischio, documentazione tecnica, sorveglianza umana e sicurezza.
L'AI Act non prevede sanzioni penali: è un regolamento amministrativo. Spetta ai singoli Stati membri decidere se e come presidiare penalmente le violazioni più gravi. È in questa cornice che si colloca l'ipotesi di un decreto attuativo nazionale con profili penalistici.
L'ipotesi di un nuovo reato di pericolo
Secondo le ricostruzioni, il decreto introdurrebbe una fattispecie di omessa adozione delle misure di sicurezza nei sistemi di IA. Se confermata, si tratterebbe di un reato di pericolo, costruito sul modello dell'art. 437 c.p. (rimozione od omissione dolosa di cautele contro infortuni sul lavoro).
Il parallelo con l'art. 437 c.p. è la chiave interpretativa più utile. Quella norma punisce a titolo di dolo chi omette di collocare impianti o dispositivi di sicurezza. Un'ipotetica fattispecie sull'IA potrebbe invece essere strutturata anche in forma colposa, ossia sanzionare la negligenza nell'adozione delle cautele, con una soglia di rilevanza legata al pericolo per l'incolumità o per altri beni giuridici. Sono differenze non teoriche: incidono sull'elemento soggettivo da provare e sul perimetro dei soggetti esposti. Fino alla pubblicazione del testo, però, restano congetture.
Responsabilità degli enti: la logica del D.lgs. 231/2001
�È plausibile che il decreto ampli il catalogo dei reati presupposto della responsabilità amministrativa degli enti (D.lgs. 231/2001). Il meccanismo è noto: se un reato è commesso nell'interesse o a vantaggio dell'ente da un apicale o da un sottoposto, l'ente risponde in proprio, salvo aver adottato ed efficacemente attuato un Modello di organizzazione, gestione e controllo idoneo a prevenire quel tipo di reato.
Se un reato in materia di sicurezza dei sistemi IA entrasse tra i presupposti, i Modelli 231 esistenti andrebbero integrati con protocolli specifici: mappatura dei sistemi ad alto rischio, procedure di validazione, tracciabilità delle decisioni algoritmiche, ruolo del responsabile compliance nel presidio. La collocazione precisa nell'articolato (l'ipotizzato art. 25-vicies) è, allo stato, inverificabile e non va data per certa.
Il profilo risarcitorio
Sul piano civile, il tema del danno da IA è già oggetto di elaborazione europea. La proposta di direttiva sulla responsabilità da intelligenza artificiale mirava a introdurre strumenti probatori a favore del danneggiato, in particolare una presunzione relativa del nesso di causalità tra la violazione di un obbligo di diligenza e il danno, oltre a meccanismi di divulgazione degli elementi di prova (disclosure) a carico del fornitore.
Questo è il meccanismo concreto: non un generico "alleggerimento", ma una presunzione superabile con prova contraria e un obbligo di esibizione documentale. Va segnalato che l'iter di quella direttiva ha subìto rallentamenti; anche qui, dunque, cautela sullo stato dell'arte normativo.
Cosa cambia per le imprese
Anche in assenza di un testo definitivo, la direzione è chiara. Le imprese che sviluppano o utilizzano sistemi ad alto rischio devono attendersi un inasprimento della responsabilità, penale e amministrativa, ancorata al rispetto degli obblighi di sicurezza già previsti dall'AI Act.
Cosa fare in concreto
- Mappare i sistemi di IA in uso e qualificarne il livello di rischio secondo l'AI Act.
- Documentare le misure di sicurezza adottate: la tracciabilità è il primo presidio difensivo.
- Aggiornare il Modello 231, o predisporne uno, prevedendo protocolli dedicati ai sistemi IA.
- Definire il ruolo del responsabile compliance nel governo degli algoritmi e nella catena decisionale.
- Monitorare la Gazzetta Ufficiale e le fonti europee: nessuna scelta strategica va fondata su norme non ancora pubblicate.
Disclaimer
Contributo informativo a cura di Tamburro & Partners - Avv. Giuseppe Tamburro. Non costituisce parere legale.
Ogni condominio ha una storia a sé.
Se gestisci un'amministrazione e vuoi un confronto su una specifica questione condominiale, scrivi allo studio. Ti rispondiamo entro un giorno lavorativo.