AI ACT E D.lgs. 231/01:
la nuova governance dell'Intelligenza Artificiale che serve alle imprese
L’entrata in vigore del regolamento Europeo sull’Intelligenza Artificiale (EU AI Act - Reg. UE 2024/1689) impone una revisione profonda dei Modelli di Organizzazione, Gestione e Controllo adottati ai sensi del D.lgs. 231/2001.
L’introduzione di algoritmi, sistemi di intelligenza artificiale e processi decisionali automatizzati nelle attività aziendali tocca direttamente il profilo dell'ente oltre che la responsabilità penale d'impresa e della colpa organizzativa dell'ente.
Per evitare sanzioni pecuniarie ed interdittive di notevole entità, le imprese devono costituire o ristrutturare un modello di governance dell'IA in grado di prevenire la commissione di reati presupposto mediante l'uso non presidiato degli algoritmi.
1. L'intersezione tra AI Act e reati presupposto 231
L'impiego privo di regole di strumenti di IA all'interno dei processi operativi (marketing, risorse umane, finanza, produzione e gestione dati) espone l'azienda a diverse fattispecie di reato previste dal D.Lgs. 231/01:
Reati informatici e trattamento illecito di dati (Art. 24-bis D.lgs. 231/01): l'utilizzo di dataset acquisiti tramite data scraping abusivo o l'accesso non autorizzato a banche dati terze per l'addestramento di modelli interni.
Delitti in materia di violazione del diritto d'autore (Art. 25-novies): l'impiego di IA generativa per la creazione di codice, testi o prodotti aziendali alimentati da opere coperte da copyright o privi delle opportune licenze d'uso.
Delitti contro l'industria e il commercio (Art. 25-bis.1): l'adozione di algoritmi di pricing o campagne di marketing automatizzate che generano comunicazioni ingannevoli, informazioni alterate o dinamiche di concorrenza sleale.
Reati societari e abusi di mercato (Art. 25-ter e 25-sexies): l'affidamento all'IA di stime contabili, elaborazioni di bilancio o analisi predittive finanziarie senza un rigoroso controllo e una validazione umana (human-in-the-loop).
Sicurezza sul lavoro e rischi ambientali (Art. 25-septies e 25-undecies): l'affidamento della sicurezza negli impianti o del monitoraggio ambientale a sistemi algoritmici opachi o non verificati che possano generare infortuni o illeciti.
2. La predisposizione o l'eventuale adeguamento del modello 231
La presenza di strumenti di IA non regolamentati (spesso utilizzati a livello individuale dai dipendenti, il cosiddetto Shadow AI) costituisce una palese carenza organizzativa. Per garantire l'efficacia esimente del Modello 231, l'impresa è chiamata a:
Aggiornare la mappatura dei rischi 231: identificare i processi aziendali in cui sono integrati o potrebbero essere introdotti sistemi di IA.
Definire una AI acceptable use policy: redigere regole comportamentali e protocolli vincolanti che stabiliscano quali tool sono autorizzati, l'obbligo di tracciabilità delle fonti e il principio della supervisione umana obbligatoria.
Coinvolgere l'organismo di vigilanza (OdV): definire flussi informativi periodici verso l'OdV affinché possa monitorare l'adozione delle nuove tecnologie e verificare la tenuta delle misure di prevenzione.