Intelligenza Artificiale: le ulteriori novità introdotte dal d.lgs. 160/2026 in ottica di una compliance sempre più integrata

Il decreto legislativo 9 settembre 2026, n. 160, entrato in vigore lo scorso 30 settembre, adegua la normativa nazionale all’AI Act e attua alcuni dei principi introdotti dalla legge n.132/2025. Hanno rilievo diretto per le imprese le novità sui temi sulla responsabilità penale, sulla responsabilità degli enti e sulla tutela risarcitoria, che incidono sull’organizzazione delle società che utilizzano sistemi di IA.

Sotto il profilo penalistico, il decreto ha introdotto l’art. 437-bis: il primo comma punisce la volontaria omissione delle misure di sicurezza previste lungo l’intera ciclo di vita del sistema di IA ad alto rischio, riprendendo la definizione del Reg. (UE) 2024/1689, idonee a prevenire malfunzionamenti e alterazioni, nonché l’omessa adozione di misure di sorveglianza umana; Il secondo comma contiene il reato di alterazione illecita di sistemi di IA, qualora ne derivi un pericolo per la vita e l’incolumità pubblica o per la sicurezza dello Stato; il terzo comma estende la punibilità di tali condotte omissive anche in caso di colpa grave, le quali saranno punibili, pur con pena ridotta, anche qualora il fatto sussista non perché le omissioni fossero intenzionali ma anche se causate dalla mancanza della diligenza professionale qualificata richiesta dal settore. Il quarto comma punisce, infine, l’utilizzatore professionale che omette intenzionalmente di adottare misure di sorveglianza umana.

Oltre tale fattispecie criminosa, già la l. 132/2025 introduceva l’art. 612-quater c.p. che punisce la diffusione illecita di contenuti generati o alterati mediante sistemi di IA. In tale fattispecie rientrano i c.d. deepfake, ma anche testi manipolati o documenti che abbiano sembianze realistiche e che siano privi di un referente reale, creati per finalità diffamatorie, discriminatorie o fraudolente. 

Entrambe le figure di reato sono entrate nel novero dei reati presupposto per la responsabilità degli enti ai sensi dell’art. 25-vicies del d.lgs. 231/2001: per il delitto di cui all’art. 437-bis c.p. la sanzione va da seicento a mille quote; per quello di cui all’art. 612-quater c.p. da duecento a settecento quote, nonché, in entrambi i casi, possono essere applicate le sanzioni interdittive. 

L’introduzione dei reati commessi mediante l’intelligenza artificiale nel sistema 231 richiede una adeguata mappatura dei rischi e quindi l’eventuale adozione di presidi organizzativi all’interno Modello di Organizzazione, Gestione e Controllo ex d.lgs. 231/01. Tale attività non può prescindere dal coordinamento tra le diverse normative coinvolte, quali il GDPR, la NIS2 e l’AI Act medesimo, basti pensare che l’art. 437-bis c.p. stesso richiama i sistemi di IA definiti ad alto rischio ai sensi dell’art. 6 del regolamento europeo sull’IA oppure che talune misure di sicurezza di natura informatica hanno rilevanza anche ai sensi della normativa NIS per gli enti che rientrano nel relativo ambito di applicazione. 

Appare dunque sempre più importante sviluppare sistemi di compliance integrata, alla cui base vi sia una mappatura dei rischi, una individuazione degli obblighi e degli adempimenti cui sono soggette le organizzazioni che utilizzano sistemi di IA, estesa a tutte le normative applicabili, affinché da mero adempimento formale essi diventino strumenti di effettivo governo del rischio derivante dall’utilizzo degli strumenti intelligenti.