L'accelerazione nell'adozione dell'intelligenza artificiale si scontra con una svolta normativa di portata storica per il sistema economico italiano. Con l'entrata in vigore del decreto legislativo n. 160/2026, che adegua l'ordinamento nazionale alle disposizioni europee, il Codice penale si arricchisce del nuovo articolo 437-bis, introducendo il reato di "omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi".

La nuova fattispecie sanziona penalmente – con pene che arrivano fino a cinque anni di reclusione per la mancata protezione o per l'assenza di sorveglianza umana su sistemi di IA ad alto rischio, e fino a otto anni se viene messa a repentaglio la sicurezza dello Stato – chiunque ometta di prevenire malfunzionamenti o alterazioni in ambiti critici. Un impianto normativo che si riflette direttamente sulla responsabilità amministrativa delle imprese attraverso l'integrazione del Modello 231 (articolo 25-vicies), esponendo le società a sanzioni pecuniarie elevate e a misure interdittive.

Come evidenziato da Nadia Martini, avvocato dello studio legale internazionale Rödl e tra le massime esperte in materia, la rapida diffusione di strumenti IA nelle grandi e medie imprese – confermata dai dati dell'Osservatorio Artificial Intelligence del Politecnico di Milano e dell'Istat, che vedono oltre la metà delle grandi aziende impegnate nell'integrazione operativa di queste tecnologie – richiede un cambio di passo immediato nella governance aziendale.

Per evitare pesanti risvolti civili e penali, l'esperta raccomanda alle organizzazioni di avviare tempestivamente otto interventi strategici: mappare e classificare i sistemi IA in uso, verificare l'effettiva operatività della sorveglianza umana (human-in-the-loop), aggiornare i protocolli del Modello 231, tracciare e organizzare le evidenze tecniche e documentali, definire procedure di conservazione dei log in caso di contenzioso, rivedere i contratti di fornitura per garantire la collaborazione dei partner tecnologici, strutturare un piano rigoroso di incident management e riesaminare le coperture assicurative a protezione del management. Una serie di passaggi obbligati per trasformare la conformità normativa in un vero e proprio scudo di protezione strategica.