Dall’AI Act alla responsabilità dell’impresa: utilizzare l’intelligenza artificiale non significa più soltanto innovare, ma organizzare controlli, responsabilità e supervisione umana
Per molto tempo il dibattito sull’intelligenza artificiale si è concentrato soprattutto sulle sue potenzialità. Quanto può aumentare la produttività? Quali professioni cambierà? Quali attività potrà automatizzare? Quali decisioni potrà supportare?
Oggi la domanda sta rapidamente cambiando.
Chi risponde quando l’intelligenza artificiale viene utilizzata male?
È probabilmente questo uno dei passaggi più importanti nella progressiva costruzione della disciplina europea e italiana sull’IA. Dopo l’AI Act europeo e la legge italiana n. 132 del 2025, il percorso normativo sta infatti raggiungendo direttamente l’organizzazione delle imprese e il sistema della responsabilità degli enti previsto dal decreto legislativo 231/2001.
Non siamo più, quindi, soltanto di fronte alla regolamentazione di una nuova tecnologia.
Stiamo entrando nella fase della responsabilità organizzativa dell’intelligenza artificiale.
Dall’AI Act alla governance aziendale
Il Regolamento europeo 2024/1689, meglio conosciuto come AI Act, ha introdotto un’impostazione fondata essenzialmente sul rischio.
Non tutte le applicazioni dell’intelligenza artificiale vengono trattate allo stesso modo. Maggiore è il rischio che un determinato sistema può determinare per persone, sicurezza e diritti fondamentali, maggiori diventano gli obblighi posti a carico degli operatori.
Dal 2 agosto 2026 una parte molto rilevante della disciplina europea è divenuta applicabile.
Per le imprese ciò significa progressivamente passare dalla semplice sperimentazione dell’IA alla costruzione di una vera AI governance.
Non basta più chiedersi quale software utilizzare.
Occorre sapere chi lo utilizza, per quale finalità, con quali dati, quali decisioni vengono affidate all’algoritmo, quali controlli vengono effettuati sui risultati e, soprattutto, quale persona conserva la responsabilità finale della decisione.
Il principio fondamentale: la responsabilità rimane umana
Questo è probabilmente il filo conduttore dell’intero sistema normativo che si sta costruendo.
L’intelligenza artificiale può elaborare dati, individuare correlazioni, produrre documenti, suggerire decisioni e, nei sistemi più evoluti, eseguire autonomamente una sequenza di attività.
Ma l’autonomia tecnologica non può trasformarsi automaticamente in irresponsabilità umana.
Il sistema europeo mantiene centrale la supervisione dell’uomo, soprattutto quando vengono utilizzati sistemi ad alto rischio.
Ed è proprio qui che il rapporto tra AI Act e decreto 231 assume particolare importanza.
Quando l’intelligenza artificiale incontra il Decreto 231
Il D.Lgs. 231/2001 ha introdotto nel nostro ordinamento un principio ormai consolidato: in presenza di determinati reati commessi nell’interesse o a vantaggio dell’organizzazione, la responsabilità può coinvolgere non soltanto la persona fisica che ha materialmente realizzato il comportamento illecito, ma anche l’ente.
L’impresa deve pertanto dimostrare di avere predisposto un sistema organizzativo capace di prevenire i rischi.
L’intelligenza artificiale introduce però nuovi interrogativi.
Che cosa accade se un’attività potenzialmente illecita viene realizzata attraverso un algoritmo?
Chi controllava il sistema?
Chi avrebbe dovuto individuare il rischio?
Esisteva una procedura aziendale?
Il sistema era adeguatamente monitorato?
E soprattutto: l’intervento umano era reale oppure soltanto formale?
Sono domande destinate a entrare sempre più frequentemente nei sistemi di controllo delle imprese.
Il nuovo rischio legato ai sistemi di IA ad alto rischio
Gli schemi dei decreti legislativi attuativi della legge 132/2025, approvati in esame preliminare dal Consiglio dei ministri nel giugno scorso, introducono un ulteriore elemento particolarmente significativo.
È prevista l’introduzione dell’articolo 437-bis del codice penale, relativo all’omessa adozione delle misure di sicurezza nei sistemi di intelligenza artificiale ad alto rischio e alla loro alterazione illecita.
L’intervento penale riguarda le situazioni più gravi, nelle quali dalla violazione delle misure di sicurezza derivi un pericolo concreto per beni fondamentali come la vita, l’incolumità o la sicurezza dello Stato.
La responsabilità potrebbe inoltre estendersi all’organizzazione attraverso il sistema previsto dal D.Lgs. 231/2001.
È un cambiamento concettuale rilevante.
Il rischio algoritmico comincia così a trasformarsi anche in rischio organizzativo.
Non basta acquistare un sistema conforme
Questo punto merita particolare attenzione.
Un’impresa potrebbe essere portata a ritenere che acquistare un sistema di IA conforme alla normativa sia sufficiente per proteggersi.
Non è necessariamente così.
Un sistema tecnologicamente conforme può essere utilizzato male.
Può essere alimentato con dati inappropriati.
Può essere impiegato per finalità differenti da quelle previste.
I suoi risultati possono essere accettati automaticamente senza una verifica adeguata.
Oppure può verificarsi quello che potremmo definire il rischio della supervisione umana apparente: formalmente esiste una persona incaricata di controllare l’algoritmo, ma nella pratica questa si limita ad approvarne sistematicamente le conclusioni.
Il problema, quindi, non riguarda soltanto l’algoritmo.
Riguarda l’organizzazione costruita intorno all’algoritmo.
Il Modello 231 dovrà conoscere gli algoritmi
Da questa prospettiva emerge una conseguenza concreta per le imprese.
Il Modello di organizzazione, gestione e controllo non potrà ignorare l’impiego dell’intelligenza artificiale.
Occorrerà progressivamente effettuare una vera mappatura del rischio AI.
L’impresa dovrà conoscere quali sistemi vengono utilizzati, in quali processi aziendali intervengono, quali decisioni influenzano e quali rischi possono determinare.
Particolare attenzione dovrà essere riservata ai processi più sensibili: gestione del personale, sicurezza, rapporti con clienti e consumatori, attività finanziarie, compliance, gestione dei dati, cybersecurity e rapporti con la pubblica amministrazione.
Ma soprattutto dovrà essere individuata con precisione la catena delle responsabilità.
Chi controlla l’intelligenza artificiale?
Potrebbe essere questa una delle domande centrali della governance aziendale dei prossimi anni.
L’IT governa la tecnologia.
Il risk management valuta i rischi.
La compliance verifica il rispetto delle norme.
Il Data Protection Officer presidia la protezione dei dati.
L’Organismo di Vigilanza controlla il funzionamento del Modello 231.
Il management assume le decisioni.
Quando però l’intelligenza artificiale attraversa contemporaneamente tutti questi ambiti, diventa indispensabile evitare che la responsabilità venga frammentata.
Se tutti controllano una piccola parte del sistema, potrebbe accadere che nessuno controlli realmente l’intero processo.
La governance dell’IA richiederà quindi sempre più un coordinamento tra funzioni aziendali differenti.
Documentare diventa fondamentale
C’è infine un elemento spesso sottovalutato.
La supervisione umana non deve soltanto esistere.
Deve poter essere dimostrata.
Occorre quindi documentare le decisioni, le verifiche effettuate, gli eventuali scostamenti rispetto agli output dell’algoritmo, gli incidenti rilevati e le azioni correttive adottate.
La documentazione diventa parte del sistema di controllo.
Potremmo sintetizzare il nuovo paradigma in una semplice sequenza:
conoscere → valutare → controllare → documentare → correggere.
È probabilmente questa la struttura minima della futura governance aziendale dell’intelligenza artificiale.
Dalla compliance all’AI governance
L’errore sarebbe considerare tutto questo soltanto come un nuovo insieme di adempimenti.
Il tema è più profondo.
L’intelligenza artificiale sta progressivamente entrando nei processi decisionali delle organizzazioni. Di conseguenza, anche i sistemi di governance devono evolvere.
L’AI Act stabilisce il quadro europeo.
La legge italiana 132/2025 ha costruito il raccordo con l’ordinamento nazionale.
I decreti attuativi stanno affrontando anche il terreno della responsabilità civile, penale e organizzativa.
Il D.Lgs. 231/2001 potrebbe diventare uno dei luoghi nei quali questi diversi livelli finiscono per incontrarsi.
La tecnologia decide sempre di più. Ma qualcuno deve continuare a rispondere
È forse questa la vera conclusione.
Più l’intelligenza artificiale diventerà autonoma nello svolgimento delle attività, più sarà necessario rendere chiara la responsabilità di chi la progetta, la introduce e la utilizza.
Il paradosso è soltanto apparente.
Più aumenta l’autonomia della macchina, maggiore deve diventare la qualità della governance umana.
Non significa frenare l’innovazione.
Significa renderla sostenibile.
Perché un’impresa potrà delegare a un algoritmo una parte crescente delle proprie attività, ma non potrà delegargli la propria responsabilità.
Ed è probabilmente su questo terreno — molto più che sulla semplice capacità delle macchine di produrre testi, immagini o previsioni — che si giocherà la prossima fase della rivoluzione dell’intelligenza artificiale.
