Intelligenza Artificiale e Decreto 231: l’AI diventa un nuovo rischio per l’impresa

L’Intelligenza Artificiale sta entrando sempre più profondamente nei processi aziendali. Ma insieme alle opportunità aumentano anche le responsabilità.

Lo schema di decreto legislativo di adeguamento dell’ordinamento italiano all’AI Act europeo (Regolamento UE 2024/1689) prevede infatti un ampliamento del sistema di responsabilità degli enti disciplinato dal D.Lgs. 231/2001, con specifiche fattispecie collegate all’utilizzo dell’Intelligenza Artificiale.

Una trasformazione importante: l’AI non deve essere considerata soltanto uno strumento tecnologico, ma anche un nuovo fattore di rischio organizzativo, legale e reputazionale.

AI e responsabilità dell’impresa

Tra le novità previste assume particolare rilievo l’introduzione dell’art. 437-bis del Codice penale, relativo all’omessa adozione delle misure tecniche e di sicurezza previste nella progettazione, addestramento, produzione, immissione sul mercato o utilizzo professionale di sistemi di Intelligenza Artificiale ad alto rischio.

La disposizione è particolarmente significativa perché potrebbe interessare non soltanto le aziende che sviluppano sistemi di AI, ma anche quelle che li utilizzano professionalmente nei propri processi.

Lo schema prevede inoltre l’introduzione dell’art. 25-vicies del D.Lgs. 231/2001, con sanzioni particolarmente rilevanti per gli enti.

Nel nuovo quadro assume rilievo anche l’art. 612-quater c.p., già introdotto nell’ordinamento italiano, relativo all’illecita diffusione di contenuti generati o alterati mediante sistemi di Intelligenza Artificiale.

Il messaggio per le imprese è chiaro: utilizzare l’AI senza adeguati controlli può generare rischi che vanno ben oltre la semplice sicurezza informatica.

Cosa dovrebbero fare oggi le aziende?

La prima domanda non dovrebbe essere più soltanto:

“Quale Intelligenza Artificiale possiamo utilizzare?”

Ma anche:

“Come stiamo governando l’Intelligenza Artificiale che utilizziamo?”

Diventa quindi opportuno effettuare una vera mappatura dell’AI aziendale, verificando:

• quali strumenti e sistemi di AI vengono utilizzati;

• quali dati vengono inseriti nei sistemi;

• quali processi aziendali sono interessati;

• chi è autorizzato a utilizzare gli strumenti;

• se esistono sistemi classificabili come ad alto rischio;

• quali controlli e misure di sicurezza sono stati adottati;

• come viene garantita la supervisione umana;

• se esistono procedure interne per l’utilizzo dell’AI;

• se il Modello 231 e la relativa mappatura dei rischi devono essere aggiornati;

• quali informazioni devono essere trasmesse all’Organismo di Vigilanza.

Dalla semplice AI Policy alla AI Governance

Una semplice policy sull’utilizzo di ChatGPT o degli altri strumenti generativi potrebbe non essere sufficiente.

L’impresa dovrebbe costruire un vero modello organizzativo di AI Governance, capace di integrare tecnologia, organizzazione, privacy, sicurezza, responsabilità e controllo interno.

Questo significa definire responsabilità precise, procedure autorizzative, sistemi di verifica, formazione del personale e modalità di gestione degli eventuali incidenti.

L’AI Governance dovrebbe inoltre dialogare con gli altri sistemi aziendali già esistenti: Modello 231, privacy, cybersecurity, procedure HR, compliance e gestione dei rischi.

L’Intelligenza Artificiale entra nella governance aziendale

Il cambiamento culturale è probabilmente ancora più importante di quello normativo.

L’Intelligenza Artificiale non riguarda più soltanto il reparto IT.

Coinvolge amministratori, management, HR, responsabili privacy e sicurezza, Organismi di Vigilanza, sindaci, revisori e consulenti.

Ogni organizzazione dovrebbe quindi conoscere dove viene utilizzata l’AI, per quali finalità, con quali dati e sotto la responsabilità di chi.

Perché con l’Intelligenza Artificiale non basta innovare.

Occorre governare la tecnologia, documentare i controlli e presidiare le responsabilità.

Mentale | AI Governance & Digital Law

Mentale affianca imprese e professionisti nell’analisi organizzativa dell’utilizzo dell’Intelligenza Artificiale, nella mappatura dei processi, nella definizione di policy e procedure interne e nello sviluppo di modelli di AI Governance, privacy e organizzazione digitale.

L’obiettivo è trasformare l’AI da semplice strumento tecnologico a processo aziendale consapevole, controllato e documentato.