I.A. e responsabilità d’impresa: efficienza, compliance e modelli 231

Gli standard internazionali e le linee guida italiane

Accanto alla disciplina europea e nazionale sull’intelligenza artificiale, operano strumenti di indirizzo non vincolanti, ma decisivi per supportare imprese e amministrazioni nella gestione dei processi decisionali automatizzati. Ciò dipende anche dal fatto che l’AI Act, pur imponendo obblighi stringenti agli operatori che sviluppano o utilizzano sistemi di IA, non prescrive l’adozione di uno specifico modello organizzativo per dimostrare la compliance.

Tra le possibili opzioni rientra il codice di buone pratiche della Commissione Europea, la cui adozione consente una presunzione di conformità alla disciplina, con conseguente inversione dell’onere della prova (Un Codice per domarli tutti: sono arrivate le “buone pratiche” UE per i modelli IA di uso generale – Canella Camaiora). Il regolamento, tuttavia, lascia spazio a soluzioni organizzative differenziate, fermo restando che l’assenza di regolamentazioni interne e misure adeguate rende più difficile dimostrare la conformità dei sistemi, esponendo l’operatore al rischio di sanzioni particolarmente onerose (art. 99 AI Act).

In questo assetto, il legislatore europeo riconosce la varietà dei contesti organizzativi e dei rischi connessi all’uso dell’IA, ma trasferisce sulle imprese la responsabilità di dimostrare l’adeguatezza delle misure adottate. In tale prospettiva assume rilievo la normativa ISO, e in particolare la ISO/IEC 42001, standard internazionale – formalmente volontario – dedicato ai sistemi di gestione dell’intelligenza artificiale.

La ISO/IEC 42001 fornisce una guida operativa per la progettazione, l’implementazione e l’uso responsabile dei sistemi di IA ed è rivolta alle organizzazioni che forniscono o utilizzano prodotti o servizi basati su tali sistemi, al fine di supportarle nel rispetto dei requisiti normativi applicabili, degli obblighi verso le parti interessate e delle loro legittime aspettative (art. 1). La sua forza risiede nella flessibilità, che consente di adattare il sistema di gestione alle dimensioni, alla struttura e agli obiettivi dell’impresa, richiedendo un approccio consapevole e documentato alla gestione dei rischi legati all’IA.

Tali obblighi non riguardano esclusivamente il settore privato. Anche la Pubblica Amministrazione è chiamata a conformarsi ai principi di trasparenza, controllo umano e responsabilità nell’uso dell’intelligenza artificiale, in coerenza con il quadro europeo e nazionale. In questo ambito assume rilievo l’attività di indirizzo dell’Agenzia per l’Italia Digitale (AgID), che ha adottato specifiche Linee guida sull’uso dell’IA, ispirate ai principi europei di affidabilità, trasparenza e controllo umano (Portale Trasparenza Agenzia per l’Italia Digitale).

Le Linee guida AgID muovono da un presupposto chiaro: l’intelligenza artificiale non è un soggetto autonomo, ma un insieme di tecnologie idonee a migliorare i processi decisionali, l’efficienza operativa e la qualità dei servizi. Ne deriva l’esigenza di un assetto di governance in grado di garantire la tracciabilità delle decisioni, la comprensibilità dei criteri algoritmici (explainability), la valutazione preventiva dei rischi e l’individuazione di responsabilità umane lungo l’intero ciclo di vita del sistema, con riflessi diretti anche sulla responsabilità amministrativa degli enti.

In questa prospettiva si colloca il modello di codice di condotta per l’uso dell’intelligenza artificiale promosso da AgID (Allegato D alle Linee Guida), volto a definire i principi guida dell’azione amministrativa degli enti e dei dipendenti pubblici. L’ente deve inoltre garantire che ogni decisione critica assunta tramite sistemi di intelligenza artificiale sia sottoposta all’apprezzamento finale degli esseri umani, assicurando una sorveglianza effettiva sulle decisioni adottate (cfr. art. 8).

In definitiva, l’uso dell’intelligenza artificiale non costituisce un fattore esimente o attenuante, ma amplia l’area del rischio organizzativo, imponendo a imprese e pubbliche amministrazioni un dovere rafforzato di presidio, controllo e attribuzione delle responsabilità.

Il D.Lgs. 231/2001 tra sorveglianza umana e responsabilità degli enti

L’adozione dell’intelligenza artificiale nei processi aziendali non incide sui principi fondamentali dell’imputazione della responsabilità, né sul piano individuale né su quello dell’ente. Come già chiarito dalla legge n. 132/2025, le decisioni automatizzate devono restare sempre riconducibili a una supervisione e a un controllo umano effettivi (art. 3, comma 3), con la conseguenza che l’impiego di sistemi di IA non può mai tradursi in una deresponsabilizzazione dell’organizzazione.

Questo principio si inserisce in modo coerente nel sistema delineato dal D.Lgs. 231/2001, che fonda la responsabilità dell’ente su una colpa di organizzazione. Anche quando l’evento illecito sia stato agevolato, suggerito o reso possibile dall’utilizzo di un sistema di intelligenza artificiale, la responsabilità resta imputabile all’ente nella misura in cui esso abbia omesso di predisporre adeguati presidi organizzativi, controlli e procedure idonei a prevenire il rischio. In questa prospettiva, l’algoritmo non interrompe il nesso di imputazione, ma diventa parte integrante del contesto organizzativo che l’ente è tenuto a governare.

Il rilievo dell’uso dell’IA emerge anche sul piano penalistico generale. La legge italiana sull’intelligenza artificiale ha infatti modificato l’art. 61 c.p., introducendo una circostanza aggravante comune nel caso in cui il reato sia stato commesso mediante l’impiego di sistemi di intelligenza artificiale, quando questi abbiano costituito mezzo insidioso, abbiano ostacolato la pubblica o la privata difesa, ovvero abbiano aggravato le conseguenze del fatto. L’IA, dunque, non attenua il disvalore della condotta, ma può contribuire ad aggravarlo.

È su questo sfondo che il principio generale assume una dimensione operativa. Proprio perché l’uso dell’intelligenza artificiale può ampliare il rischio di impresa, ogni organizzazione è tenuta a definire in modo puntuale ruoli e responsabilità dei soggetti che utilizzano tali sistemi. Ai sensi dell’art. 5 del D.Lgs. 231/2001, l’ente può essere chiamato a rispondere per i reati commessi nel suo interesse o vantaggio da soggetti apicali, nonché da soggetti sottoposti alla loro direzione o vigilanza, secondo il principio della rappresentanza organica.

Si tratta di una responsabilità distinta e autonoma rispetto a quella personale degli autori del reato, che sussiste ogniqualvolta si accerti un’inosservanza degli obblighi di direzione o vigilanza. Per le imprese, ciò si traduce nella necessità di integrare una disciplina specifica sull’uso dell’intelligenza artificiale all’interno dei modelli organizzativi 231, rafforzando i presidi di governance, il ruolo dell’Organismo di Vigilanza e i flussi informativi interni.

Solo in questo modo l’innovazione tecnologica può tradursi in un vantaggio competitivo, senza trasformarsi in un fattore di rischio giuridico. La vera sfida, infatti, non è se utilizzare l’intelligenza artificiale, ma come integrarla all’interno di modelli di governance e di compliance efficaci, nella consapevolezza che l’IA resta uno strumento al servizio dell’attività umana e che un suo utilizzo non adeguatamente presidiato può generare conseguenze rilevanti tanto per le persone quanto per le imprese.