Intelligenza Artificiale e Responsabilità d'Impresa: In vigore il D.Lgs. 160/2026

Nuovi obblighi penali, responsabilità amministrativa ex D.Lgs. 231/01 e regimi di risarcimento civile per l'impiego aziendale dei sistemi di intelligenza artificiale

Pubblicato sulla Gazzetta Ufficiale n. 214 del 15 settembre 2026, il D.Lgs. n. 160/2026 recepisce nell'ordinamento nazionale le disposizioni del Regolamento (UE) 2024/1689 (AI Act), introducendo un sistema organico di sanzioni penali, responsabilità d'ente e tutele risarcitorie civili.

Il provvedimento, in vigore dal 30 settembre 2026, incide direttamente sulla governance e sulle strategie di compliance di tutte le imprese che progettano, sviluppano o utilizzano professionalmente sistemi di intelligenza artificiale.

Che cos'è il nuovo reato di cui all'art. 437-bis c.p.?

Il decreto introduce nel codice penale l'articolo 437-bis, rubricato "Omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi", inserito tra i delitti contro l'incolumità pubblica.

Responsabilità del fornitore: sanziona l'omessa adozione di misure tecniche di sicurezza e di sorveglianza umana nella progettazione e immissione sul mercato di sistemi di IA ad alto rischio, con pene detentive da 1 a 5 anni.

Aggravante per la sicurezza dello Stato: la pena sale da 2 a 8 anni se dall'omissione deriva un pericolo per la sicurezza dello Stato.

Condotte colpose: le violazioni del fornitore commesse per colpa grave sono punite con la pena principale ridotta da un terzo a un sesto.

Responsabilità del deployer: punisce l'omissione intenzionale delle misure di sorveglianza umana nell'uso operativo di un sistema di IA ad alto rischio da parte dell'utilizzatore professionale.

Alterazione illecita: punisce chiunque alteri illecitamente un sistema di IA ad alto rischio con pene da 2 a 6 anni di reclusione.

Che cos'è l'impatto sulla responsabilità amministrativa ex D.Lgs. 231/2001?

L'articolo 15 del decreto inserisce l'articolo 25-vicies nel D.Lgs. 231/2001, estendendo significativamente il catalogo dei reati-presupposto.

Nuovi illeciti sanzionati: rientrano nel perimetro della responsabilità d'ente sia le violazioni dell'art. 437-bis c.p. sia i reati commessi mediante contenuti generati o alterati con sistemi di IA ex art. 612-quater c.p.

Sanzioni pecuniarie: per l'ente sono previste sanzioni pecuniarie da 600 a 1.000 quote per il delitto di sicurezza IA, e da 200 a 700 quote per i reati legati ai contenuti generati.

Sanzioni interdittive: si applicano misure quali la sospensione o revoca di licenze, il divieto di contrattare con la pubblica amministrazione e l'esclusione da finanziamenti.

Impatto trasversale dell'IA generativa: l'art. 612-quater c.p. riguarda potenzialmente qualsiasi impresa che impieghi strumenti di IA per attività di comunicazione o marketing, indipendentemente dalla classe di rischio.

Adeguamento dei Modelli 231: si rende indispensabile mappare i processi aziendali legati all'IA, introdurre protocolli preventivi di sorveglianza umana e definire flussi informativi dedicati verso l'Organismo di Vigilanza.

Che cos'è il nuovo regime di responsabilità civile e risarcimento?

Il Titolo II del decreto introduce norme processuali civili volte a facilitare la tutela del soggetto danneggiato dall'utilizzo di sistemi di intelligenza artificiale.

Accesso alle prove (Art. 17): il giudice può ordinare l'esibizione di registri (log), documentazione sui rischi e parametri tecnici; l'inadempimento ingiustificato consente di ritenere ammessi i fatti allegati dal danneggiato.

Presunzione del nesso causale (Art. 18): se il danno deriva dalla violazione degli obblighi del Regolamento IA, il nesso di causalità con l'evento lesivo si presume, ponendo l'onere della prova contraria a carico dell'impresa.

Irrilevanza della mera conformità (Art. 19): la certificazione di conformità al regolamento IA non costituisce di per sé uno scudo assoluto e non esclude automaticamente la responsabilità civile del convenuto.

Azione diretta verso l'assicuratore (Art. 20): il danneggiato può agire direttamente nei confronti dell'assicuratore dell'impresa, nei limiti della polizza RC professionale.

La tua azienda utilizza sistemi di intelligenza artificiale o strumenti di IA generativa ed è pronta ad affrontare i nuovi obblighi penali e civili del D.Lgs. 160/2026?

L'adeguamento dei Modelli Organizzativi 231 e la corretta documentazione dei processi di risk management e supervisione umana non sono più opzionali.
Il team di esperti di GMT Consulting è a disposizione per un'analisi di conformità e per supportare l'impresa nell'aggiornamento dei presidi di governance.

24/09/2026

Tutte le news