01Il fatto
Il D.Lgs. 9 settembre 2026, n. 160, pubblicato nella Gazzetta Ufficiale n. 214 del 15 settembre 2026, è in vigore dal 30 settembre 2026. L'art. 12 introduce nel codice penale l'art. 437-bis, sull'omessa adozione delle misure di sicurezza nei sistemi di IA ad alto rischio e sulla loro alterazione; l'art. 15 inserisce nel D.Lgs. 231/2001 il nuovo art. 25-vicies.
02La regola
L'art. 437-bis c.p. punisce con la reclusione da uno a cinque anni chi omette le misure tecniche di sicurezza o di sorveglianza umana sui sistemi ad alto rischio, se ne deriva pericolo per la vita o l'incolumità; risponde anche l'utilizzatore professionale che omette intenzionalmente la sorveglianza umana. L'art. 25-vicies prevede per l'ente la sanzione pecuniaria da seicento a mille quote per il reato dell'art. 437-bis e da duecento a settecento quote per la diffusione illecita di contenuti generati o manipolati con IA (art. 612-quater c.p.), oltre alle sanzioni interdittive. Gli artt. 16-20 introducono la responsabilità civile da IA, con la presunzione del nesso causale in caso di violazione dell'AI Act e l'azione diretta contro l'assicuratore.
03Cosa fare
- Aggiornare il risk assessment e la parte speciale del Modello 231 sui processi in cui l'ente sviluppa o usa sistemi di IA ad alto rischio, e informare l'Organismo di Vigilanza.
- Formalizzare le misure di sorveglianza umana e di sicurezza tecnica: responsabile, registri, procedure di intervento.
- Verificare le coperture assicurative per i danni da IA e la documentazione tecnica da esibire in giudizio.
Fonti: D.Lgs. 9 settembre 2026, n. 160, Gazzetta Ufficiale n. 214 · Testo su Normattiva