Dalla disciplina in tema di AI nuovi reati presupposto per la responsabilità 231

L'intervento normativo sulla AI

Nello schema di decreto legislativo di adeguamento della normativa nazionale all’AI Act (Regolamento 2024/1689/UE) e di attuazione della delega in materia di utilizzo dei sistemi di intelligenza artificiale, di cui alla Legge sull’IA (legge n. 132/2025) è prevista l’introduzione, nel d.lgs. n. 231/2001, del nuovo art. 25-vicies, rubricato “Reati commessi con l’uso di sistemi di Lo schema di decreto prevede l’introduzione, nel d.lgs. n. 231/2001, del nuovo art. 25-vicies, rubricato “Reati commessi con l’uso di sistemi di intelligenza artificiale”, che disciplina l’applicazione della responsabilità dell’ente in relazione a due nuove fattispecie, l’art. 437-bis c.p. (“Omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi”) e l’art. 612-quater c.p. (“Illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale”).

Il nuovo art. 25-vicies prevede, in particolare, per l’art. 437-bis c.p., una sanzione pecuniaria da 600 a 1.000 quote; per l’art. 612-quater c.p., una sanzione pecuniaria da 200 a 700 quote.

Per entrambe le fattispecie sono inoltre previste sanzioni interdittive, tra cui la sospensione o revoca di autorizzazioni, licenze o concessioni funzionali alla commissione dell'illecito, il divieto di contrattare con la Pubblica Amministrazione, l’esclusione da agevolazioni, finanziamenti, contributi o sussidi e il divieto di pubblicizzare beni o servizi. In osservanza del principio di proporzionalità, non è stata prevista la misura dell’interdizione dall’esercizio dell’attività, privilegiando le misure incidenti sull’operatività dell’ente nei settori connessi all’illecito, evitando la sanzione integralmente paralizzante dell’attività.

La fattispecie di cui all'art. 437-bis c.p.: la nozione di sistema di AI ad alto rischio

L’art. 437-bis c.p. dispone che «1. Chiunque omette di adottare le misure tecniche di sicurezza, previste per la progettazione, l'addestramento, la produzione, l'immissione sul mercato di sistemi di intelligenza artificiale ad alto rischio, idonee a prevenire malfunzionamenti o alterazioni del funzionamento dei sistemi ovvero omette di adottare misure di sorveglianza umana è punito con la reclusione da uno a cinque anni, quando da tali omissioni derivi pericolo per la vita o l'incolumità pubblica o individuale. Qualora dal fatto derivi un pericolo per la sicurezza dello Stato, la pena è della reclusione da due a otto anni. 2. Salvo che il fatto costituisca più grave reato, chiunque, al di fuori dei casi indicati al primo comma, altera sistemi di intelligenza artificiale ad alto rischio è punito, qualora dal fatto derivi un pericolo per la vita o l'incolumità pubblica o individuale, con la reclusione da due a sei anni. Qualora dal fatto derivi un pericolo per la sicurezza dello Stato, la pena è della reclusione da tre a dieci anni. Se taluno dei fatti previsti dal comma primo è commesso per colpa grave, la pena è ridotta da un terzo a un sesto. L'utilizzatore professionale di sistemi di intelligenza artificiale ad alto rischio che omette intenzionalmente di adottare misure di sorveglianza umana è punito con le pene previste dal primo comma, primo e secondo periodo, qualora da tale omissione derivi, rispettivamente, pericolo per la vita o l'incolumità pubblica o individuale oppure un pericolo per la sicurezza dello Stato».

Per l’individuazione di un sistema di AI ad alto rischio – nozione che delimita l’ambito di operatività della incriminazione – occorre richiamare all’art. 6 del Regolamento (UE) 2024/1689 in combinato disposto con il suo allegato III per cui, in via di estrema sintesi, rientrano in tale ambito a) i sistemi destinati a essere utilizzati come componente di sicurezza di

un prodotto o i sistemi di IA che siano un prodotto, disciplinato dalla normativa di armonizzazione dell’Unione elencata nell’allegato I del citato art. 6, b) il prodotto, il cui componente di sicurezza a norma della lettera a) è il sistema di IA, o il sistema di IA stesso in quanto prodotto, è soggetto a una valutazione della conformità da parte di terzi ai fini dell’immissione sul mercato o della messa in servizio di tale prodotto ai sensi della normativa di armonizzazione dell’Unione elencata nel suddetto allegato I, c) i sistemi di IA di cui all’allegato III che richiama sistemi utilizzati settori della biometria, infrastrutture critiche, istruzione e formazione professionale, occupazione, gestione dei lavoratori e accesso al lavoro autonomo, accesso a servizi privati essenziali e a prestazioni e servizi pubblici essenziali e fruizione degli stessi, attività di contrasto alla criminalità, migrazione, asilo e gestione del controllo delle frontiere, amministrazione della giustizia e processi democratici.

La qualificazione di un sistema come “ad alto rischio” non può tuttavia essere desunta esclusivamente dal settore di utilizzo, ma richiede una verifica puntuale delle caratteristiche, della finalità e delle concrete modalità di impiego del singolo sistema, anche alla luce delle specifiche condizioni ed eccezioni previste dall’art. 6 dell’AI Act. Ne consegue che anche un’impresa operante in un settore estraneo a quelli tradizionalmente associati all’alto rischio può rientrare nell’ambito della fattispecie, qualora utilizzi un sistema qualificabile come ad alto rischio.

I soggetti attivi

Per individuare i soggetti responsabili di tale illecito va considerato quella che il Regolamento UE citato denomina come la catena del valore dell’IA, ricomprendendo in tale ambito le attività di progettazione, addestramento, produzione, immissione sul mercato o utilizzo professionale di sistemi di intelligenza artificiale ad alto rischio.

Sono quindi soggetti alla sanzione penale i fornitori dei sistemi di IA ad alto rischio (art. 16 Regolamento UE), i rappresentanti autorizzati dei fornitori (art. 22), gli importatori (art. 23), i distributori (art. 24) ed i deployer (art. 26).

Inoltre ai sensi dell’art. 25 del citato Regolamento qualsiasi distributore, importatore, deployer o altro terzo è considerato fornitore di un sistema di IA ad alto rischio ed è soggetto agli obblighi del fornitore nelle seguenti circostanze: – se appone il proprio nome o marchio su un sistema di IA ad alto rischio già immesso sul mercato o messo in servizio, fatti salvi accordi contrattuali che

prevedano una diversa ripartizione degli obblighi al riguardo; – se apporta una modifica sostanziale a un sistema di IA ad alto rischio già immesso sul mercato o già messo in servizio in modo tale che resti un sistema di IA ad alto rischio a norma dell’art. 6; – se modifica la finalità prevista di un sistema di IA, anche un sistema per finalità generali, che non è stato classificato come ad alto rischio e che è già stato immesso sul mercato o messo in servizio in modo tale che il sistema di IA interessato diventi un sistema di IA ad alto rischio a norma dell’art 6 già menzionato. Peraltro, quando si verifichino tali circostanze, il fornitore originario non è più considerato fornitore di quel determinato sistema di IA ai fini del regolamento (pur dovendo cooperare con i nuovi fornitori per l’adempimento degli obblighi previsti, salvo che egli abbia chiaramente specificato che il suo sistema di IA non deve essere trasformato in un sistema di IA ad alto rischio.

L'omessa adozione di misure tecniche di sicurezza o di misure di sorveglianza umana

Il primo comma dell’art. 437-bis c.p. prevede due reati omissivi dolosi strutturati come norme a più fattispecie, che puniscono l’omessa adozione di «misure tecniche di sicurezza, previste per la progettazione, l'addestramento, la produzione, l'immissione sul mercato di sistemi di intelligenza artificiale ad alto rischio, idonee a prevenire malfunzionamenti o alterazioni del funzionamento dei sistemi», e l’omessa adozione di «misure di sorveglianza umana». Il primo reato, con cornice edittale più bassa (da uno a cinque anni di reclusione), si applica quando dalla condotta deriva pericolo concreto per la vita o l’incolumità pubblica o individuale; il secondo, punito dai due agli otto anni di reclusione, si applica quando dall’omissione deriva pericolo per la sicurezza dello Stato.

La fattispecie contempla un’ipotesi di reato omissivo di pericolo concreto e dunque l’elemento oggettivo del reato non si esaurisce nella mera omissione delle misure di sicurezza. È infatti necessario che dalla condotta derivi un pericolo concreto per la vita o l’incolumità individuale (in tal caso è prevista la reclusione da uno a cinque anni) ovvero per l’incolumità pubblica o la sicurezza dello Stato (qui la pena è più elevata, da due a otto anni). Di conseguenza, non ogni omissione, alterazione, carenza organizzativa, tecnica o procedurale nell’utilizzo di un sistema di intelligenza artificiale ad alto rischio assume automaticamente rilevanza penale. Occorre che la condotta omissiva – oltre a riguardare sistemi di intelligenza artificiale ad alto rischio – sia causalmente collegata alla creazione di una situazione di pericolo per i beni giuridici tutelati.

Non possono sottacersi le difficoltà applicative connesse all’accertamento del nesso tra violazione cautelare e pericolo: una valutazione, quest’ultima, che potrebbe rivelarsi tutt’altro che immediata, stante l’opacità e l’inesplicabilità che attualmente caratterizza i risultati algoritmici. Si consideri, tra l’altro, che, per quanto riguarda la sicurezza dello Stato, l’accertamento della sussistenza di un pericolo concreto potrebbe risultare particolarmente ostico, trattandosi di un bene giuridico evanescente e di difficile circoscrizione sul piano empirico.

Si noti il richiamo, fra le condotte penalmente rilevanti, al cd. addestramento (training), che è la fase nella quale il modello apprende dai dati e vengono determinati o modificati i parametri che ne governano il funzionamento. L’inserimento dell’addestramento tra le condotte tipiche sembra voler colpire una fase che oggi è considerata uno dei principali fattori di rischio dei sistemi IA; infatti, molti malfunzionamenti derivano non da errori di programmazione ma da dataset incompleti; dati errati; dati manipolati (data poisoning); errori di etichettatura; mancata validazione dei risultati del training. Di conseguenza, è da ritenere che il termine «addestramento» sarà letto in modo ampio e comprenderà qualsiasi attività che incida significativamente sul comportamento del modello attraverso l’utilizzo di dati, anche successivamente alla prima immissione sul mercato.

Quanto all’ipotesi del «malfunzionamento», tale nozione non coincide con qualsiasi errore o prestazione insoddisfacente del sistema, ma deve essere interpretato in senso tecnico-funzionale. In assenza di una definizione legislativa espressa, è probabile che il concetto venga letto alla luce delle definizioni contenute nell’AI Act, delle norme sulla cybersicurezza e dei principi già elaborati in materia di sicurezza dei sistemi informatici.

Con riferimento alle misure di sorveglianza umana, con questa espressione si fa riferimento a quanto previsto dall’art. 14 del Regolamento UE più volte citato, secondo cui «La sorveglianza umana mira a prevenire o ridurre al minimo i rischi per la salute, la sicurezza o i diritti fondamentali che possono emergere quando un sistema di IA ad alto rischio è utilizzato conformemente alla sua finalità prevista o in condizioni di uso improprio ragionevolmente prevedibile, in particolare qualora tali rischi persistano nonostante l’applicazione degli altri requisiti in precedenza esaminati».

Tali misure di sorveglianza sono commisurate ai rischi, al livello di autonomia e al contesto di utilizzo del sistema di IA ad alto rischio e sono garantite mediante almeno uno dei tipi di misure seguenti: «a) misure individuate e integrate nel sistema di IA ad alto rischio dal fornitore prima della sua immissione sul mercato o messa in servizio, ove tecnicamente possibile; b) misure individuate dal fornitore prima dell’immissione sul mercato o della messa in servizio del sistema di IA ad alto rischio, adatte ad essere attuate dal deployer».

Il sistema di IA ad alto rischio deve essere fornito al deployer in modo tale che le persone fisiche alle quali è affidata la sorveglianza umana abbiano la possibilità di: «a) comprendere correttamente le capacità e i limiti pertinenti del sistema di IA ad alto rischio ed essere in grado di monitorarne debitamente il funzionamento, anche al fine di individuare e affrontare anomalie, disfunzioni e prestazioni inattese; b) restare consapevoli della possibile tendenza a fare automaticamente affidamento o a fare eccessivo affidamento sull’output prodotto dal sistema di IA («distorsione dell’automazione»), in particolare in relazione ai sistemi di IA ad alto rischio utilizzati per fornire informazioni o raccomandazioni per le decisioni che devono essere prese da persone fisiche; c) interpretare correttamente l’output del sistema di IA ad alto rischio, tenendo

conto, ad esempio, degli strumenti e dei metodi di interpretazione disponibili; d) decidere, in qualsiasi situazione particolare, di non usare il sistema di IA ad alto rischio o altrimenti di ignorare, annullare o ribaltare l’output del sistema di IA ad alto rischio; e) intervenire sul funzionamento del sistema di IA ad alto rischio o interrompere il sistema mediante un pulsante di «arresto» o una procedura analoga che consenta al sistema di arrestarsi in condizioni di sicurezza».

In aggiunta, per i sistemi identificazione biometrica remota, le misure devono garantire che il deployer non compia azioni o adotti decisioni sulla base dell’identificazione risultante dal sistema, a meno che tale identificazione non sia stata verificata e confermata separatamente da almeno due persone fisiche dotate della necessaria competenza, formazione e autorità.

La fattispecie è punibile a titolo di dolo. Deve ritenersi che deve ricorrere un dolo diretto e non rilevante, invece, il dolo eventuale.

L'alterazione di sistemi di intelligenza artificiale

Il secondo comma dell’art. 437-bis c.p. disciplina la fattispecie commissiva relativa all’alterazione illecita di sistemi di IA ad alto rischio, dando luogo a due reati commissivi dolosi che puniscono l’alterazione illecita dei sistemi di AI.

La condotta consiste nell’alterare il funzionamento del sistema, al di fuori dei casi disciplinati dal primo comma. Si tratta di una “previsione di chiusura”, necessaria per evitare aree di impunità nei casi in cui il pericolo concreto derivi dalla manipolazione attiva, esterna, del sistema.

Anche in questo caso la responsabilità penale è subordinata alla produzione di un pericolo concreto per la vita o l’incolumità individuale (pena da due a sei anni) ovvero, nella forma più grave, per l’incolumità pubblica o la sicurezza dello Stato (pena da tre a dieci anni).

Anche per questa seconda fattispecie è richiesto il coefficiente soggettivo del dolo, che in questo caso assume rilievo anche se meramente eventuale.

L'omessa adozione di misure tecniche di sicurezza o di misure di sorveglianza colposa

Il legislatore ha previsto la punibilità delle condotte descritte nel primo comma anche a titolo di colpa grave, con riduzione della pena da un terzo a un sesto. Secondo quanto emerge dalla relazione illustrativa allo schema di decreto, la scelta della colpa grave quale soglia di punibilità richiama espressamente il modello dell’art. 590-sexies c.p., introdotto dalla legge n. 24/2017 (c.d. legge Gelli-Bianco) in materia di responsabilità sanitaria.

La rilevanza della colpa grave è particolarmente importante per le imprese perché sposta l’attenzione non soltanto sulle condotte intenzionali, ma anche sulle gravi carenze organizzative, tecniche e di controllo nella gestione dei sistemi di intelligenza artificiale. Per evitare che il discrimine tra lievità e gravità della colpa si traduca in un fattore di indeterminatezza della fattispecie, potrebbe tuttavia essere opportuno - una volta delineati con maggiore chiarezza i fattori che possono incidere sulla capacità dell’agente di conformarsi alle regole cautelari – che sia il legislatore ad indicare i criteri ai quali dovrà attenersi il giudice nella valutazione del grado della colpa. 

L'omissione intenzionale di misure di sorveglianza da parte dell'utilizzatore professionale 

Infine, il comma 4 prevede due reati omissivi dolosi che puniscono l’omessa adozione di misure di sorveglianza umana da parte dell’utilizzatore professionale: anche in questo caso, il primo reato tutela la vita e l’incolumità pubblica/individuale; il secondo reato tutela la sicurezza dello Stato.

L’utilizzo dell’avverbio “intenzionalmente” induce a ritenere che, ai fini della configurabilità del reato, sia necessario il dolo intenzionale.

La responsabilità dell'ente

Come detto, la violazione dell’art. 437-bis c.p. all’interno di una struttura aziendale potrà dar luogo alla responsabilità della stessa ai sensi del d.lgs. n. 231/2001 laddove il reato risulti commesso nell’interesse dell’ente e da uno dei soggetti indicati negli artt. 5 e 6 del citato decreto. Quanto alla colpa d’organizzazione, la stessa sarà ravvisabile nell’assenza, carenza od inadeguatezza delle misure organizzative e di prevenzione prescritte dalle norme pertinenti (a partire da quelle del regolamento europeo sopra richiamate), che devono essere finalizzate ed idonee a contenere e gestire gli specifici rischi derivanti dai sistemi di intelligenza artificiale, che operano o sono comunque riconducibili all’interesse o vantaggio della stessa persona giuridica.

Onde evitare tale coinvolgimento in vicende criminose, le società dovranno valutare se il nuovo rischio rientri o meno nell’ambito delle proprie attività e dei propri processi aziendali, con mappatura dei sistemi di IA progettati, addestrati, prodotti, immessi sul mercato o utilizzati e la loro qualificazione alla luce dell’AI Act, verificando – laddove si riscontri la presenza di sistemi di AI ad alto rischio - l’adeguatezza delle misure tecniche di sicurezza e di sorveglianza umana e aggiornare le procedure interne, con particolare attenzione a sicurezza, supervisione umana, gestione degli incidenti e delle anomalie, controllo dei fornitori, formazione del personale e tracciabilità delle decisioni e dei controlli effettuati.