Modello 231 e Intelligenza Artificiale: responsabilità, AI Act e controlli

Modello 231 e Intelligenza Artificiale: come cambia la responsabilità aziendale

Intelligenza Artificiale e responsabilità 231: come cambia il Modello organizzativo

L’Intelligenza Artificiale entra nei processi aziendali e modifica rischi, controlli e responsabilità. Ecco come aggiornare il Modello 231, la governance dell’AI e i flussi informativi verso l’Organismo di Vigilanza.

L’Intelligenza Artificiale è ormai entrata nei processi aziendali: analizza documenti, produce contenuti, supporta decisioni, seleziona informazioni, automatizza attività e dialoga con clienti e fornitori.

Secondo l’AI Index Report 2025 della Stanford University, l’adozione dell’AI da parte delle imprese continua a crescere, mentre il McKinsey Global Survey 2024 evidenzia un utilizzo sempre più diffuso dell’AI generativa nelle funzioni aziendali.

Quando l’AI entra nell’impresa, però, non cambia soltanto la tecnologia utilizzata. Cambiano anche i processi, i controlli, i flussi informativi e, potenzialmente, il profilo di rischio dell’organizzazione.

La domanda non è più soltanto: possiamo utilizzare l’Intelligenza Artificiale?

La domanda corretta diventa:

come dobbiamo governarla per utilizzarla senza creare nuovi rischi per l’azienda?

AI e D.Lgs. 231/2001: dove nasce il problema

Il D.Lgs. 231/2001 disciplina, al ricorrere dei relativi presupposti, la responsabilità degli enti per determinati reati commessi nel loro interesse o vantaggio da soggetti apicali o da persone sottoposte alla loro direzione o vigilanza.

L’Intelligenza Artificiale non diventa quindi automaticamente un nuovo “autore” del reato.

Il punto critico è un altro: l’AI può diventare uno strumento attraverso il quale vengono realizzate, agevolate o rese più difficili da individuare determinate condotte.

Il rischio può riguardare, ad esempio, l’utilizzo dell’AI per:

• elaborare documenti o informazioni aziendali;

• automatizzare procedure amministrative;

• produrre comunicazioni verso clienti, Pubblica Amministrazione o mercato;

• analizzare dati personali, finanziari o riservati;

• supportare attività contabili e di reporting;

• selezionare fornitori, candidati o controparti;

• generare codice informatico;

• elaborare grandi quantità di dati aziendali;

• predisporre contenuti o informazioni successivamente utilizzati in processi decisionali.

In questi casi il rischio non dipende soltanto dalla tecnologia, ma soprattutto da chi può utilizzarla, per quali finalità, con quali dati e con quali controlli.

Il collegamento con il Regolamento europeo sull’AI

Il Regolamento (UE) 2024/1689, noto come AI Act, introduce un quadro armonizzato per lo sviluppo, l’immissione sul mercato e l’utilizzo dei sistemi di Intelligenza Artificiale nell’Unione europea.

Il regolamento adotta un approccio basato sul rischio e prevede obblighi diversi in funzione della tipologia di sistema e del relativo impatto.

Tra i profili più rilevanti per le imprese rientrano:

• la gestione dei rischi;

• la qualità e la governance dei dati;

• la documentazione tecnica;

• la registrazione delle attività;

• la trasparenza;

• la supervisione umana;

• l’accuratezza, la robustezza e la cybersecurity;

• la formazione e l’alfabetizzazione in materia di AI.

Il rispetto dell’AI Act non coincide con l’adeguatezza del Modello 231. Tuttavia, i due sistemi possono e dovrebbero dialogare.

Le procedure adottate per garantire la conformità al Regolamento europeo possono infatti contribuire a rafforzare:

• la mappatura dei rischi;

• la definizione dei ruoli e delle responsabilità;

• la tracciabilità delle decisioni;

• i controlli sui fornitori tecnologici;

• la formazione del personale;

• i flussi informativi verso l’Organismo di Vigilanza.

Il vero problema è organizzativo

Un’impresa potrebbe avere un Modello 231 formalmente corretto, ma costruito quando molte attività erano svolte esclusivamente da persone.

Oggi una parte di quelle stesse attività può essere svolta o supportata da sistemi automatizzati.

Questo modifica il rischio operativo e può incidere sull’effettività del sistema di controllo.

Non è sufficiente scrivere in una policy che “l’AI deve essere utilizzata correttamente”.

Occorre capire concretamente:

chi utilizza gli strumenti AI → quali dati vengono inseriti → quali risultati vengono prodotti → chi li verifica → dove vengono conservati → chi autorizza l’utilizzo finale.

È questa catena che deve essere analizzata e, quando necessario, documentata.

Il principio è coerente anche con le indicazioni contenute nelle Linee guida Confindustria per la costruzione dei Modelli di organizzazione, gestione e controllo, secondo cui il Modello deve essere concretamente attuato, aggiornato e integrato con procedure idonee a prevenire i rischi individuati.

Dal Modello 231 alla governance dell’AI

L’introduzione dell’AI può rendere opportuna una revisione della mappatura dei processi e dei relativi rischi.

L’azienda dovrebbe almeno interrogarsi su alcuni punti:

1. quali strumenti di AI vengono realmente utilizzati dal personale;

2. quali processi aziendali sono interessati;

3. quali informazioni vengono trasferite ai sistemi;

4. se i dati inseriti contengono informazioni personali, riservate o strategiche;

5. chi è autorizzato a utilizzare gli strumenti;

6. quali fornitori e piattaforme tecnologiche sono coinvolti;

7. quali output possono produrre effetti verso l’esterno;

8. quando è obbligatorio un controllo umano;

9. come vengono documentate le verifiche effettuate;

10. quali anomalie devono essere segnalate;

11. come vengono gestiti aggiornamenti, errori e malfunzionamenti;

12. quali attività devono essere vietate o sottoposte a preventiva autorizzazione.

Un principio dovrebbe rimanere centrale:

automatizzare un’attività non significa automatizzare la responsabilità.

Privacy, cybersecurity e AI: rischi collegati

L’utilizzo dell’AI può incidere anche sulla protezione dei dati personali e sulla sicurezza delle informazioni.

L’inserimento di dati aziendali in strumenti esterni può comportare rischi relativi a:

• trasferimenti di dati;

• conservazione delle informazioni;

• riutilizzo dei contenuti per l’addestramento dei modelli;

• accessi non autorizzati;

• perdita di riservatezza;

• violazioni dei dati personali;

• produzione di output inesatti o manipolati.

Per questo motivo, la governance dell’AI dovrebbe essere coordinata con il Regolamento (UE) 2016/679, con le misure di cybersecurity e con le procedure interne sulla gestione delle informazioni.

Anche il NIST AI Risk Management Framework e la norma ISO/IEC 42001:2023, relativa ai sistemi di gestione dell’Intelligenza Artificiale, possono offrire riferimenti utili per strutturare ruoli, controlli, valutazioni e processi di miglioramento continuo.

Anche l’Organismo di Vigilanza deve conoscere i nuovi flussi

L’evoluzione tecnologica riguarda anche l’attività dell’Organismo di Vigilanza.

Se l’AI modifica processi sensibili, procedure interne o modalità attraverso cui vengono assunte determinate decisioni, anche i flussi informativi verso l’OdV devono essere valutati alla luce della nuova organizzazione.

L’OdV non deve trasformarsi in un organismo tecnico informatico.

Deve però poter comprendere:

• quali sistemi AI sono utilizzati;

• in quali processi intervengono;

• quali controlli sono previsti;

• quali incidenti o anomalie si sono verificati;

• quali modifiche organizzative o tecnologiche possono incidere sui rischi 231.

In questo senso, possono essere previsti flussi periodici relativi a:

• nuovi strumenti AI introdotti;

• modifiche alle procedure;

• incidenti o malfunzionamenti;

• violazioni delle policy;

• segnalazioni ricevute;

• controlli effettuati;

• formazione erogata;

• valutazioni dei fornitori tecnologici.

L’obiettivo è permettere all’OdV di comprendere dove l’utilizzo dell’AI modifica concretamente il profilo di rischio dell’organizzazione.

Una AI Policy non basta

Molte imprese stanno introducendo regolamenti interni sull’utilizzo dell’Intelligenza Artificiale. È un passaggio utile, ma da solo rischia di essere insufficiente.

Una policy efficace dovrebbe essere collegata a procedure operative e controlli verificabili.

La governance dovrebbe coordinare almeno:

Modello 231 + procedure aziendali + AI Act + privacy + cybersecurity + gestione degli accessi + formazione del personale + gestione dei fornitori + AI governance.

Questi elementi non possono più essere considerati compartimenti completamente separati.

Una policy realmente efficace dovrebbe chiarire, tra l’altro:

• quali strumenti sono autorizzati;

• quali dati possono essere inseriti;

• quali utilizzi sono vietati;

• quando è necessario il controllo umano;

• chi approva gli output;

• come devono essere conservate le evidenze;

• come devono essere segnalati errori e incidenti;

• quali sanzioni o conseguenze derivano dalla violazione delle regole.

La nuova prevenzione aziendale

L’Intelligenza Artificiale non rende inutili i Modelli organizzativi.

Al contrario, rende ancora più importante sapere chi decide, chi controlla e chi risponde.

La vera evoluzione del Modello 231 nell’era dell’AI non consiste nell’aggiungere qualche pagina dedicata alla tecnologia.

Consiste nel verificare se il sistema organizzativo dell’impresa continua a essere adeguato quando una parte crescente delle attività viene svolta con strumenti intelligenti.

Il Modello dovrebbe quindi essere aggiornato quando l’introduzione dell’AI modifica:

• i processi sensibili;

• i poteri autorizzativi;

• i controlli interni;

• i flussi informativi;

• i rapporti con fornitori e clienti;

• la gestione dei dati;

• le modalità di assunzione delle decisioni.

Perché dietro ogni processo automatizzato deve continuare a esistere una responsabilità organizzativa chiaramente identificabile.

Conclusioni

L’AI può aumentare efficienza, velocità e capacità di analisi. Ma può anche amplificare errori, rendere meno trasparenti alcune decisioni e creare nuovi punti di vulnerabilità.

Per le imprese, la sfida non è scegliere tra innovazione e controllo.

La sfida è costruire un sistema nel quale l’innovazione sia accompagnata da:

• ruoli definiti;

• autorizzazioni coerenti;

• controlli proporzionati;

• supervisione umana;

• tracciabilità;

• formazione;

• aggiornamento del Modello 231.

L’algoritmo può eseguire un compito.

La responsabilità dell’organizzazione, invece, resta umana.

Lorenzo Rigoni

Fonti e riferimenti

• D.Lgs. 8 giugno 2001, n. 231, Disciplina della responsabilità amministrativa delle persone giuridiche, delle società e delle associazioni anche prive di personalità giuridica.

• Regolamento (UE) 2024/1689, che stabilisce regole armonizzate sull’Intelligenza Artificiale, noto come AI Act.

• Regolamento (UE) 2016/679, Regolamento generale sulla protezione dei dati, GDPR.

• Confindustria, Linee guida per la costruzione dei Modelli di organizzazione, gestione e controllo ai sensi del D.Lgs. 231/2001.

• NIST, Artificial Intelligence Risk Management Framework (AI RMF 1.0), 2023.

• ISO/IEC 42001:2023, Information technology — Artificial intelligence — Management system.

• Stanford University, Institute for Human-Centered Artificial Intelligence, AI Index Report 2025.

• McKinsey & Company, The State of AI: Global Survey 2024.