L’art. 25-vicies del dlvo 231/2001 amplia il catalogo dei reati presupposto, ma non trasforma la violazione organizzativa in una responsabilità oggettiva dell’ente, introducendo la responsabilita’dell’ente per i reati commessi con l'uso di sistemi di intelligenza artificiale, individua negli artt. 437-bis e  612-quater nuovi reati presupposto della responsabilità dell'ente.

Ai sensi dell’art. 5 del d.lgs. n. 231/2001, l’ente risponde dei reati commessi nel suo interesse o a suo vantaggio da soggetti che rivestono funzioni di rappresentanza, amministrazione o direzione, anche di un’unità organizzativa dotata di autonomia finanziaria e funzionale, nonché da soggetti che esercitano di fatto la gestione e il controllo dell’ente. La responsabilità può inoltre derivare dal reato commesso da persone sottoposte alla direzione o vigilanza di un soggetto apicale.

Ne deriva che la mera esistenza, nell’organizzazione, di un sistema di IA non è sufficiente. Occorre individuare la persona fisica che aveva il potere o il dovere di adottare, predisporre, fare applicare o controllare le misure di sicurezza o di sorveglianza umana. La posizione può riguardare, a seconda dell’assetto concreto, l’organo amministrativo, il responsabile della sicurezza informatica, il responsabile della funzione tecnica, il responsabile del sistema di IA, il dirigente che autorizza l’impiego del sistema o il personale incaricato della sorveglianza operativa.

 L’art. 437-bis del codice penale, nel testo risultante dall’art. 12 del d.lgs. n. 160/2026, contempla fattispecie distinte:

•       l’omessa adozione delle misure tecniche di sicurezza previste per la progettazione, l’addestramento, la produzione e l’immissione sul mercato di sistemi di IA ad alto rischio, quando tali misure siano idonee a prevenire malfunzionamenti o alterazioni del funzionamento;
•       l’omessa adozione di misure di sorveglianza umana;
•       l’alterazione illecita di sistemi di IA ad alto rischio;
•       l’omessa adozione intenzionale di misure di sorveglianza umana da parte dell’utilizzatore professionale.

Per le omissioni descritte nel primo comma è richiesto che derivi un pericolo per la vita o per l’incolumità pubblica o individuale; qualora derivi un pericolo per la sicurezza dello Stato, è prevista una risposta sanzionatoria più grave. Il terzo comma contempla la commissione per colpa grave dei fatti previsti dal primo comma, con diminuzione di pena. Il quarto comma configura autonomamente la condotta dell’utilizzatore professionale che ometta intenzionalmente le misure di sorveglianza umana, collegandola ai medesimi eventi di pericolo.

Le sanzioni interdittive richiamate dall’art. 25-vicies sono la sospensione o revoca delle autorizzazioni, licenze o concessioni funzionali alla commissione dell’illecito; il divieto di contrattare con la pubblica amministrazione, salvo che per ottenere le prestazioni di un pubblico servizio; l’esclusione da agevolazioni, finanziamenti, contributi o sussidi, con eventuale revoca di quelli già concessi; il divieto di pubblicizzare beni o servizi. Il contenuto del rinvio è quello dell’art. 9, comma 2, d.lgs. n. 231/2001.

Il richiamo all’art. 9 non rende tuttavia automatica l’applicazione delle sanzioni interdittive in ogni ipotesi astrattamente riconducibile all’art. 437-bis. L’art. 13 del decreto legislativo n. 231 del 2001 stabilisce, in via generale, che le sanzioni interdittive si applicano quando l’ente abbia tratto dal reato un profitto di rilevante entità e il reato sia stato commesso da soggetti apicali, oppure quando la commissione da parte di soggetti sottoposti sia stata determinata o agevolata da gravi carenze organizzative, ovvero in caso di reiterazione degli illeciti. La durata ordinaria è compresa tra tre mesi e due anni, salvo discipline speciali. Anche questo passaggio deve essere considerato nella valutazione del rischio sanzionatorio.

News archive