L’IA entra nei modelli organizzativi: per le aziende non è più soltanto una questione tecnologica

L’intelligenza artificiale sta entrando rapidamente nei processi aziendali: amministrazione, gestione del personale, produzione, sicurezza informatica, marketing, analisi dei dati, rapporti con clienti e fornitori, controllo di gestione e attività decisionali.

Questa trasformazione pone una questione che le imprese non possono più considerare esclusivamente tecnologica: quale impatto può avere l’utilizzo dell’intelligenza artificiale sulla responsabilità amministrativa degli enti prevista dal D.Lgs. 8 giugno 2001, n. 231?

Il tema assume particolare rilevanza alla luce della Legge 23 settembre 2025, n. 132, del Regolamento (UE) 2024/1689 – AI Act – e delle ulteriori modifiche che, nel corso del 2026, hanno interessato direttamente il sistema del D.Lgs. 231/2001.

Il risultato è un quadro nel quale Modello 231, governance dell’IA, cybersecurity, protezione dei dati, procedure aziendali e sistemi di controllo interno sono destinati a diventare sempre più interconnessi.

Il D.Lgs. 231/2001 continua ad ampliarsi

Il D.Lgs. 231/2001 disciplina la responsabilità amministrativa degli enti per determinati reati commessi, nell’interesse o a vantaggio dell’organizzazione, da soggetti in posizione apicale oppure da persone sottoposte alla loro direzione o vigilanza, secondo i criteri stabiliti dal decreto.

Nel corso degli anni l’elenco dei reati-presupposto si è progressivamente ampliato, trasformando il Modello di Organizzazione, Gestione e Controllo in uno strumento sempre più trasversale alla vita dell’impresa. Il processo è proseguito anche nel 2026.

Particolarmente significativa è stata l’introduzione, con il D.Lgs. 30 dicembre 2025, n. 211, dell’articolo 25-octies.2, dedicato ai reati in materia di violazione delle misure restrittive dell’Unione europea. La riforma ha inoltre introdotto, per le fattispecie indicate dalla norma, sanzioni pecuniarie parametrate in percentuale al fatturato globale dell’ente, con valori che possono arrivare sino al 5 per cento.

Si conferma quindi una tendenza consolidata: il perimetro della responsabilità degli enti continua ad evolvere e richiede una verifica periodica della mappatura dei rischi e dell’adeguatezza dei Modelli 231.

L’elemento nuovo: l’intelligenza artificiale entra nel sistema penale

La Legge 23 settembre 2025, n. 132 ha introdotto nell’ordinamento italiano una disciplina organica in materia di intelligenza artificiale, coordinata con il quadro europeo. Tra gli aspetti più rilevanti per la compliance aziendale vi sono le modifiche al sistema penale e l’attenzione alle condotte realizzate mediante sistemi di IA.

La legge ha previsto una circostanza aggravante comune quando l’impiego di sistemi di intelligenza artificiale, per la natura o le modalità di utilizzo, abbia costituito mezzo insidioso, abbia ostacolato la pubblica o privata difesa oppure abbia aggravato le conseguenze del reato. Ha inoltre introdotto il nuovo articolo 612-quater del Codice penale sulla diffusione illecita di contenuti generati o alterati con sistemi di IA, nei casi e alle condizioni stabilite dalla norma.

Sono state inoltre previste modifiche per specifiche fattispecie, tra cui l’aggiotaggio e la manipolazione del mercato quando commessi mediante sistemi di intelligenza artificiale. Proprio questo passaggio rende evidente il collegamento con il D.Lgs. 231/2001, perché alcune delle fattispecie interessate appartengono già al catalogo dei reati-presupposto.

IA e reati-presupposto 231: attenzione a non confondere i due livelli

Occorre evitare una semplificazione: la normativa italiana sull’IA non ha introdotto nel D.Lgs. 231/2001 una generale e autonoma responsabilità dell’impresa per qualsiasi utilizzo illecito dell’intelligenza artificiale.

Il rapporto è più articolato. L’IA può costituire lo strumento attraverso il quale viene realizzato un reato già rilevante ai fini del D.Lgs. 231/2001. L’aggiotaggio di cui all’articolo 2637 del Codice civile rientra, ad esempio, nell’area dei reati societari richiamata dall’articolo 25-ter; la manipolazione del mercato di cui all’articolo 185 del TUF è collegata al sistema dell’articolo 25-sexies.

Diversamente, l’introduzione di una nuova fattispecie nel Codice penale non comporta automaticamente la responsabilità dell’ente: occorre verificare che il reato sia espressamente ricompreso nel catalogo dei reati-presupposto del D.Lgs. 231/2001. È una distinzione essenziale per evitare interpretazioni eccessivamente estensive.

Il vero problema per le imprese: l’IA come moltiplicatore del rischio 231

L’intelligenza artificiale consente di elaborare grandi quantità di informazioni, automatizzare attività, generare documenti e contenuti, effettuare analisi e supportare decisioni in tempi estremamente ridotti. Le stesse caratteristiche che ne determinano l’utilità possono aumentare la velocità, la scala e la capacità di propagazione di eventuali condotte illecite.

Si pensi all’utilizzo dell’IA per predisporre documentazione societaria o finanziaria, elaborare comunicazioni verso il mercato, automatizzare operazioni informatiche, trattare informazioni riservate, generare contenuti sintetici o supportare processi decisionali sensibili. In questi casi l’IA non crea necessariamente una nuova categoria di responsabilità: può modificare concretamente le modalità attraverso cui può essere commesso un reato già rilevante ai fini 231.

Ne deriva che una mappatura dei rischi predisposta prima della diffusione degli strumenti di IA potrebbe non rappresentare più correttamente l’organizzazione aziendale effettiva.

Cybercrime e IA: uno dei settori da monitorare maggiormente

Un’area particolarmente sensibile è rappresentata dai reati informatici. L’articolo 24-bis del D.Lgs. 231/2001 comprende numerosi delitti informatici e relativi al trattamento illecito di dati. L’impiego dell’IA può aumentare le capacità di automazione e, contemporaneamente, introdurre nuove superfici di rischio.

• accessi ai sistemi informativi mediante strumenti basati sull’IA;
• gestione di credenziali, privilegi e autorizzazioni;
• utilizzo di strumenti generativi da parte di dipendenti e collaboratori;
• caricamento di informazioni aziendali riservate su piattaforme esterne;
• generazione automatica o assistita di codice informatico;
• trattamento di dati personali e informazioni commercialmente sensibili;
• utilizzo di agenti automatizzati capaci di eseguire operazioni senza preventiva autorizzazione umana;
• tracciabilità delle attività svolte attraverso sistemi di IA.

Il tema non riguarda quindi soltanto l’ufficio IT, ma coinvolge direttamente la governance e i sistemi di controllo dell’impresa.

IA, lavoratori e organizzazione aziendale

La disciplina italiana sull’IA dedica attenzione anche all’impiego dei sistemi nel contesto lavorativo. L’utilizzo dell’intelligenza artificiale deve essere coerente con i principi di sicurezza, affidabilità, trasparenza, tutela della dignità e riservatezza, nel rispetto della normativa applicabile.

La questione assume particolare importanza quando sistemi algoritmici vengono impiegati nella selezione del personale, nell’assegnazione delle attività, nella valutazione delle prestazioni o nel monitoraggio dei lavoratori. Anche tali processi devono quindi essere considerati nella valutazione complessiva dei rischi e dei sistemi di compliance aziendale.

AI Act: trasparenza, alfabetizzazione e controllo

Il Regolamento (UE) 2024/1689 introduce un sistema europeo basato sul rischio. L’articolo 4 disciplina l’alfabetizzazione in materia di IA e richiede misure adeguate affinché il personale e gli altri soggetti che utilizzano sistemi di IA per conto dell’organizzazione dispongano di un livello sufficiente di conoscenza e consapevolezza, tenendo conto del contesto d’uso.

L’articolo 50 introduce inoltre obblighi di trasparenza per determinate tipologie di sistemi e contenuti, compresi specifici obblighi riguardanti l’interazione con persone fisiche e i contenuti generati o manipolati artificialmente. Il quadro europeo, peraltro, segue un calendario di applicazione articolato e in evoluzione, che le imprese devono verificare in relazione ai sistemi concretamente utilizzati.

Il Modello 231 deve quindi essere aggiornato?

Non è corretto affermare che l’introduzione di qualsiasi strumento di intelligenza artificiale determini automaticamente la necessità di riscrivere integralmente un Modello 231. È però opportuno che l’impresa verifichi l’impatto dell’IA sulla propria mappatura dei rischi quando tali strumenti incidono su processi sensibili.

Il percorso dovrebbe partire da una AI Risk Assessment aziendale: quali sistemi vengono utilizzati, da quali uffici, per quali finalità, quali dati ricevono, quali output producono, quali decisioni possono influenzare e quali controlli umani e tecnici sono previsti.

• mappatura dei sistemi di IA utilizzati dall’organizzazione;
• individuazione dei processi nei quali l’IA può incidere sui rischi di commissione dei reati-presupposto;
• procedure di autorizzazione per l’introduzione di nuovi sistemi di IA;
• regole sull’utilizzo dell’IA generativa da parte di amministratori, dirigenti, dipendenti e collaboratori;
• divieti o limitazioni all’inserimento di informazioni riservate in piattaforme non autorizzate;
• supervisione umana per le attività maggiormente sensibili;
• registrazione e tracciabilità delle operazioni rilevanti;
• verifica periodica dei sistemi utilizzati;
• formazione specifica del personale;
• flussi informativi verso l’Organismo di Vigilanza.

Anche l’Organismo di Vigilanza dovrà confrontarsi con l’IA

Se l’IA modifica concretamente i processi aziendali, l’Organismo di Vigilanza dovrebbe poter conoscere almeno i sistemi maggiormente rilevanti sotto il profilo 231, le aree nelle quali vengono utilizzati, le procedure adottate dall’impresa e gli eventuali incidenti o anomalie significative.

Non significa trasformare l’OdV in un organismo tecnico sull’intelligenza artificiale. Significa consentirgli di verificare se l’innovazione tecnologica abbia modificato il profilo di rischio dell’organizzazione e se i presidi previsti dal Modello continuino a essere adeguati.

Dalla compliance 231 alla governance integrata del rischio

L’intelligenza artificiale rende sempre meno efficace una gestione separata delle diverse aree di compliance. Modello 231, AI Act, cybersecurity, GDPR, sicurezza sul lavoro, procedure HR, whistleblowing, tutela delle informazioni aziendali e sistemi di controllo interno presentano ormai numerosi punti di contatto.

Per le imprese, soprattutto per le PMI, la risposta non dovrebbe consistere nella moltiplicazione incontrollata di documenti e procedure. Occorre costruire una governance integrata del rischio tecnologico, proporzionata alle dimensioni, alle attività e al livello di esposizione dell’organizzazione.

La posizione di FEDIMI: innovare significa anche governare l’innovazione

FEDIMI – Federazione Imprese Italia ritiene che l’intelligenza artificiale rappresenti una grande opportunità per aumentare produttività, competitività e capacità innovativa delle imprese. Innovazione e responsabilità devono però procedere insieme.

L’obiettivo non può essere quello di ostacolare l’introduzione dell’IA nelle aziende attraverso nuovi adempimenti puramente burocratici. Occorre invece aiutare soprattutto le piccole e medie imprese a comprendere come utilizzare queste tecnologie in maniera consapevole, sicura e coerente con il quadro normativo.

La domanda che le imprese dovrebbero iniziare a porsi non è semplicemente: «La nostra azienda utilizza l’intelligenza artificiale?». La domanda più utile è: «Sappiamo dove viene utilizzata, da chi, con quali dati, per assumere quali decisioni e attraverso quali controlli?» È da questa domanda che dovrebbe partire la nuova fase della compliance aziendale.

Riferimenti normativi essenziali

• Lgs. 8 giugno 2001, n. 231, testo vigente – Normattiva.
• Lgs. 30 dicembre 2025, n. 211, attuazione della direttiva (UE) 2024/1226 sulle violazioni delle misure restrittive dell’Unione europea – Gazzetta Ufficiale n. 6 del 9 gennaio 2026.
• Legge 23 settembre 2025, n. 132, disposizioni e deleghe al Governo in materia di intelligenza artificiale.
• Regolamento (UE) 2024/1689 – Artificial Intelligence Act, in particolare artt. 4 e 50 – EUR-Lex.

Lidio Damiano Carboni

Responsabile Rapporti Istituzionali – FEDIMI