L’intelligenza artificiale fa il suo ingresso nel catalogo dei reati presupposto di cui al d. Lgs. n. 231/01
Anche l’intelligenza artificiale ha fatto il suo ingresso nel catalogo dei reati presupposto di cui al d. Lgs. n. 231/01.
Il Regolamento (UE) 2024/1689 (AI Act) ha introdotto a livello europeo un sistema di classificazione dei sistemi di intelligenza artificiale basato sul livello di rischio. I sistemi ad alto rischio — tra cui quelli impiegati in ambiti come giustizia, sanità, istruzione e trasporti — sono assoggettati a obblighi stringenti in materia di gestione del rischio, trasparenza e sorveglianza umana. L’AI Act non tratta dunque tutte le applicazioni allo stesso modo, ma le diversifica per non bloccare l’innovazione pur proteggendo i cittadini.
I fornitori di tali sistemi devono garantire conformità ai requisiti di cui alla Sezione II, Capo III del Regolamento, tenendo conto della finalità prevista e dello stato dell’arte generalmente riconosciuto.
In attuazione dell’AI Act, il legislatore italiano ha individuato come Autorità nazionali per l’intelligenza artificiale l’AgID (con funzioni di promozione e sviluppo) e l’ACN (con funzioni di vigilanza, ispezione e sanzione). L’art. 24, comma 5, contiene una delega al Governo per introdurre autonome fattispecie di reato «incentrate sull’omessa adozione o sull’omesso adeguamento di misure di sicurezza per la produzione, la messa in circolazione e l’utilizzo professionale di sistemi di intelligenza artificiale, quando da tali omissioni deriva pericolo concreto per la vita o l’incolumità pubblica o individuale o per la sicurezza dello Stato». La delega precisa altresì la necessità di «precisare i criteri di imputazione della responsabilità penale delle persone fisiche e amministrativa degli enti per gli illeciti inerenti a sistemi di intelligenza artificiale, che tenga conto del livello effettivo di controllo dei sistemi predetti da parte dell’agente».
L’art. 437-bis c.p., introdotto in attuazione della citata delega ex art. 24, comma 5, L. 132/2025, tipizza un reato omissivo di pericolo concreto. La condotta punita si configura con l’omissione, da parte di chiunque operi nella progettazione, addestramento, produzione, immissione sul mercato o utilizzo professionale di sistemi di IA ad alto rischio, di misure tecniche idonee a prevenire malfunzionamenti o alterazioni, ovvero di misure di sorveglianza umana, quando dal fatto derivi un pericolo concreto per la vita o per l’incolumità individuale.
Il secondo comma tipizza la speculare fattispecie commissiva di alterazione dolosa del sistema di IA ad alto rischio. Il terzo comma prevede una circostanza attenuante per i fatti del primo comma commessi con colpa grave anziché con dolo, con riduzione della pena da un terzo a un sesto.
Il raccordo con la responsabilità degli enti è assicurato dall’art. 25-vicies del D.Lgs. 8 giugno 2001, n. 231, introdotto dall’art. 17 del decreto legislativo attuativo della L. 132/2025. La nuova disposizione include nel catalogo dei reati presupposto i reati di cui agli artt. 437-bis e 612-quater c.p.. Affinché la responsabilità dell’ente si attivi è necessario che il reato presupposto sia commesso da un soggetto che riveste una posizione qualificata nell’organigramma aziendale (soggetto apicale o subordinato), nell’interesse o a vantaggio dell’ente, in presenza di una colpa di organizzazione rimproverabile all’ente stesso.
Oltre all’art. 437-bis c.p., la L. 132/2025 ha operato una riforma più ampia del diritto penale dell’IA. Ha introdotto l’art. 612-quater c.p. (illecita diffusione di contenuti generati o alterati con sistemi di IA — il c.d. deepfake), una circostanza aggravante generale all’art. 61 c.p. (n. 11-undecies: l’avere commesso il fatto mediante l’impiego di sistemi di IA quando costituiscano «mezzo insidioso» o abbiano aggravato le conseguenze del reato).
Resta, infine, aperta la questione della colpa di organizzazione degli enti ex D.Lgs. 231/2001 in presenza di malfunzionamenti derivanti da sistemi di IA con elevata autonomia decisionale, dove persino la corretta adozione di un modello organizzativo potrebbe non essere sufficiente a prevenire eventi imprevedibili.
Tuttavia risulta imprescindibile l’implementazione dei sistemi di compliance aziendale per prevenire rischi di reato connessi all’uso di algoritmi e processi automatizzati.
Gennaro Demetrio Paipais