I nuovi reati presupposto del D.Lgs.231/01 sull’uso illecito dell’IA

I nuovi reati presupposto del D.Lgs.231/01 sull’uso illecito dell’IA

Analisi dei nuovi reati commessi con l’uso di sistemi di intelligenza artificiale e delle implicazioni sanzionatorie legate all’estensione agli stessi del regime della responsabilità della persona giuridica a partire dal 30 settembre 2026.

Nel biennio 2025-2026 sono stati introdotti nel codice penale italiano due reati legati all’uso dell’ intelligenza artificiale.

Si tratta del nuovo reato di “omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi”, contenuto nell’art.437-bis del codice penale, e di quello di “illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale” previsto dall’art.612-quater del medesimo codice.

Cominciamo con l’analisi dell’art.437-bis c.p., che punisce “chiunque omette di adottare le misure tecniche di sicurezza, previste per la progettazione, l’addestramento, la produzione, l’immissione sul mercato di sistemi di intelligenza artificiale ad alto rischio, idonee a prevenire malfunzionamenti o alterazioni del funzionamento dei sistemi ovvero omette di adottare misure di sorveglianza umana”, nonché chiunque “altera sistemi di intelligenza artificiale ad alto rischio”.

Tale norma ricomprende poi nel medesimo reato anche la condotta dell’“utilizzatore professionale di sistemi di intelligenza artificiale ad alto rischio che omette intenzionalmente di adottare misure di sorveglianza umana”.

Secondo la Relazione Illustrativa di accompagnamento allo schema di decreto che ha introdotto nel codice penale l’art.437-bis, “la collocazione tra i delitti di comune pericolo mediante violenza (artt.422-437 c.p.) riflette il bene giuridico tutelato e l’affinità strutturale con l’art.437, che disciplina l’omessa collocazione di impianti destinati a prevenire infortuni sul lavoro.”

Dopo aver premesso che la condotta tipica oggetto di tale reato è rappresentata dall’“omessa predisposizione di misure tecniche o di sorveglianza umana idonee a prevenire alterazioni del funzionamento dei sistemi di intelligenza artificiale ad alto rischio”, la Relazione sottolinea che essa “è imputata a chi opera in una delle fasi del ciclo di vita rilevanti (progettazione, addestramento, produzione, immissione sul mercato o utilizzo professionale)”.

Il documento precisa, quindi, che tale “elenco è funzionale a coprire tutte le posizioni di garanzia individuate dal regolamento (UE) 2024/1689 - fornitore, importatore, distributore, deployer” e che “la punibilità è subordinata al verificarsi di un pericolo concreto, in conformità del criterio di delega: la pena è graduata in funzione del bene giuridico esposto a pericolo (reclusione da uno a cinque anni per la vita o l’incolumità individuale; da due a otto anni per la pubblica incolumità o la sicurezza dello Stato).”

L’art.437-bis c.p., inoltre, al “secondo comma prevede una fattispecie autonoma, fuori dai casi disciplinati dal comma 1”, consentendo di “colpire la condotta di chi, non avendo il controllo lecito del sistema di intelligenza artificiale, altera il funzionamento del sistema.”

Secondo la Relazione, “si tratta di una previsione di chiusura, necessaria per evitare aree di impunità nei casi in cui il pericolo concreto derivi dalla manipolazione attiva, esterna, del sistema” (Atto del Governo sottoposto a parere parlamentare n.418 del 24 giugno 2026).

Passiamo ora a prendere in esame l’art.612-quater c.p., che invece sanziona “chiunque cagiona un danno ingiusto ad una persona, cedendo, pubblicando o altrimenti diffondendo, senza il suo consenso, immagini, video o voci falsificati o alterati mediante l’impiego di sistemi di intelligenza artificiale e idonei a indurre in inganno sulla loro genuinità”.

E’ stato autorevolmente osservato che “attraverso la disposizione in commento si vuole offrire una tutela rafforzata della persona, incentrando l’offensività della condotta sul pregiudizio all’autodeterminazione ed al pieno svolgimento della personalità, circostanza confermata anche dalla collocazione sistematica della disposizione fra i delitti contro la persona e, segnatamente contro la libertà morale” (Dossier n.289 del Senato della Repubblica).

Tutto ciò premesso, occorre a questo punto tenere in considerazione che, a partire dal 30 settembre 2026, questi due delitti sono diventati a tutti gli effetti “reati presupposto” del D.Lgs.231/01 sulla responsabilità amministrativa delle persone giuridiche.

In tale data, infatti, è entrato in vigore il Decreto Legislativo 9 settembre 2026 n.160, recante “Adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, che stabilisce regole armonizzate sull’intelligenza artificiale, in materia di utilizzo dei sistemi di intelligenza artificiale per l’attività di polizia e di responsabilità civile e penale.”

Poiché l’introduzione di tali delitti nel novero dei reati presupposto previsti dal D.Lgs.231/01 ha come diretta conseguenza l’esigenza in capo a molte aziende di aggiornare i propri modelli organizzativi, è utile procedere ad un approfondimento sull’ambito applicativo, la ratio e le implicazioni sanzionatorie di tale estensione.

In tal senso, partiamo ovviamente dalla legge delega che ha portato all’emanazione del D.Lgs.160/2026, ovvero la Legge 23 settembre 2025 n.132 recante “Disposizioni e deleghe al Governo in materia di intelligenza artificiale”, la quale ha previsto - tra l’altro - anche l’“adeguamento del quadro sanzionatorio” (art.24 c.2 lett.n) della legge).

Tra i criteri di delega, cui il Governo ha dovuto attenersi, segnalo la “previsione di strumenti, anche cautelari, finalizzati a inibire la diffusione e a rimuovere contenuti generati illecitamente anche con sistemi di intelligenza artificiale, assistiti da un sistema di sanzioni effettive, proporzionate e dissuasive” e l’“introduzione di autonome fattispecie di reato, punite a titolo di dolo o di colpa, incentrate sull’omessa adozione o sull’omesso adeguamento di misure di sicurezza per la produzione, la messa in circolazione e l’utilizzo professionale di sistemi di intelligenza artificiale, quando da tali omissioni deriva pericolo concreto per la vita o l’incolumità pubblica o individuale o per la sicurezza dello Stato”.

Inoltre, con specifico riferimento al tema della responsabilità amministrativa delle persone giuridiche prevista dal D.Lgs.231/01, la legge delega ha demandato al Governo la “precisazione dei criteri di imputazione della responsabilità penale delle persone fisiche e amministrativa degli enti per gli illeciti inerenti a sistemi di intelligenza artificiale, che tenga conto del livello effettivo di controllo dei sistemi predetti da parte dell’agente” (art.24 c.5 lettere a), b) e c) della legge delega).

Veniamo a questo punto alle previsioni del Decreto Legislativo 9 settembre 2026 n.160, emanato un mese fa sulla base dei criteri di delega su ricordati.

Tale provvedimento - all’art.15 (“Modifiche al decreto legislativo 8 giugno 2001 n.231”) - ha introdotto all’interno del D.Lgs.231/01 il nuovo articolo 25-vicies che prevede, quali nuovi reati presupposto, i “reati commessi con l’uso di sistemi di intelligenza artificiale”.

A livello sanzionatorio, la nuova disposizione stabilisce che, “in relazione al delitto di cui all’articolo 437-bis del codice penale, si applica all’ente la sanzione pecuniaria da seicento a mille quote.”

Il D.Lgs.160/2026 dispone, inoltre, che, “in relazione al delitto di cui all’articolo 612-quater del codice penale, si applica all’ente la sanzione pecuniaria da duecento a settecento quote.”

Per poter comprendere a fondo la portata sanzionatoria dell’estensione operata dalla riforma, occorre ricordare qui che il D.Lgs.231/2001 contiene sanzioni di natura pecuniaria e di carattere interdittivo nei confronti della persona giuridica.

Per essere più precisi, ai sensi dell’art.9 del D.Lgs.231/2001, le sanzioni per gli illeciti amministrativi dipendenti da reato sono complessivamente:

a) la sanzione pecuniaria;

b) le sanzioni interdittive;

c) la confisca;

d) la pubblicazione della sentenza.

Si tenga presente che quando la persona giuridica viene ritenuta responsabile, la sanzione pecuniaria si applica sempre (art.10 c.1 del D.Lgs.231/01).

Tale sanzione è “determinata in relazione alla specifica percentuale, indicata per ciascun illecito, del fatturato globale totale dell’ente relativo all’esercizio finanziario precedente quello in cui è stato commesso il reato o, se inferiore, all’esercizio finanziario precedente l’applicazione della sanzione pecuniaria. Quando non è possibile accertate il fatturato globale totale dell’ente, la sanzione pecuniaria è applicata nell’importo determinato in relazione a ciascun illecito” (art.10 c.3-bis del D.Lgs.231/01 introdotto l’anno scorso dal D.Lgs.30 dicembre 2025 n.211).

In sostanza, il Giudice deve determinare due parametri: ovvero il numero delle quote (il cui range è già predeterminato dalla legge) e il valore di ogni singola quota (anche in questo caso, tra un minimo e un massimo stabiliti dal decreto).

Più nello specifico, per quanto attiene ai criteri di concreta commisurazione della sanzione pecuniaria, la norma prevede che “il giudice determina il numero delle quote tenendo conto della gravità del fatto, del grado della responsabilità dell’ente nonché dell’attività svolta per eliminare o attenuare le conseguenze del fatto e per prevenire la commissione di ulteriori illeciti”, laddove “l’importo della quota è fissato sulla base delle condizioni economiche e patrimoniali dell’ente allo scopo di assicurare l’efficacia della sanzione” (art.11 del D.Lgs.231/01).

Nei casi più gravi, possono poi essere applicate da parte del Giudice alla persona giuridica anche una o più sanzioni interdittive, le quali però possono essere comminate solo “in relazione ai reati per i quali sono espressamente previste, quando ricorre almeno una delle seguenti condizioni:

a) l’ente ha tratto dal reato un profitto di rilevante entità e il reato è stato commesso da soggetti in posizione apicale ovvero da soggetti sottoposti all’altrui direzione quando, in questo caso, la commissione del reato è stata determinata o agevolata da gravi carenze organizzative;

b) in caso di reiterazione degli illeciti” (art.13 c.1 del D.Lgs.231/01).

In generale, le sanzioni interdittive previste dal D.Lgs.231/01 sono:

“a) l’interdizione dall’esercizio dell’attività;

b) la sospensione o la revoca delle autorizzazioni, licenze o concessioni funzionali alla commissione dell’illecito;

c) il divieto di contrattare con la pubblica amministrazione, salvo che per ottenere le prestazioni di un pubblico servizio;

d) l’esclusione da agevolazioni, finanziamenti, contributi o sussidi e l’eventuale revoca di quelli già concessi;

e) il divieto di pubblicizzare beni o servizi” (art.9 c.2 del D.Lgs.231/01).

Tornando allo specifico caso dei nuovi reati presupposto legati all’uso dell’intelligenza artificiale, il D.Lgs.160/2026 ha previsto che “si applicano all’ente le sanzioni interdittive previste dall’articolo 9, comma 2, lettere b), c), d) ed e)”, ovvero tutte quelle previste dal D.Lgs.231/01 - su elencate - tranne l’interdizione dall’esercizio dell’attività.

Un’utile chiave di lettura in merito al nuovo quadro sanzionatorio in tema di responsabilità amministrativa delle persone giuridiche derivante dalla commissione dei reati legati all’uso dell’intelligenza artificiale è rinvenibile - ancora una volta - nella già citata Relazione Illustrativa di accompagnamento dello schema di decreto legislativo che ha condotto all’emanazione del Decreto Legislativo n.160 del 2026.

Tale documento premette, con riferimento all’“articolo 15 (Modifiche al decreto legislativo 8 giugno 2001, n.231)” del nuovo D.Lgs.160/2026, che esso definisce quali siano i “criteri di imputazione della responsabilità amministrativa degli enti per gli illeciti inerenti ai sistemi di intelligenza artificiale - operando per integrazione del catalogo dei reati presupposto del d.lgs.n.231 del 2001.”

Secondo la Relazione Illustrativa, “tale opzione preserva la coerenza sistematica della disciplina della responsabilità amministrativa degli enti, fondata sulla tipicità penale del fatto presupposto.”

Infatti, il documento ricorda che “l’articolo introduce nel d.lgs.n.231 del 2001 il nuovo art.25-vicies (Reati commessi con l’uso di sistemi di intelligenza artificiale), che si colloca dopo l’art.25-undevicies, da ultimo introdotto dalla legge 6 giugno 2025, n.82, in materia di delitti contro gli animali.”

Sotto il profilo sanzionatorio, nello specifico caso dei reati commessi con l’uso dell’intelligenza artificiale, la Relazione sottolinea che la nuova disposizione “prevede la sanzione pecuniaria da seicento a mille quote per il delitto di cui all’art.437- bis c.p.” e che, dunque, con riferimento a tale reato, “la forbice si colloca nella fascia alta del catalogo e riflette la gravità del bene giuridico tutelato”.

E’ di grande interesse il punto in cui la Relazione collega tale elevato livello sanzionatorio ai reati presupposto di lesioni colpose gravi o gravissime e di omicidio colposo commessi con violazione di norme di salute e sicurezza di cui all’art.25-septies del D.Lgs.231/01.

Il documento evidenzia, infatti, che “il parametro di riferimento è offerto dall’art.25-septies del medesimo decreto legislativo, relativo ai delitti di omicidio colposo e lesioni colpose gravi commessi in violazione della disciplina sulla salute e sicurezza sul lavoro.”

Anche in quel caso, infatti, il legislatore ha previsto che, nell’ipotesi della commissione da parte della persona fisica del reato di omicidio colposo “commesso con violazione dell’articolo 55, comma 2, del decreto legislativo attuativo della delega di cui alla legge 3 agosto 2007, n.123, in materia di salute e sicurezza sul lavoro, si applica una sanzione pecuniaria in misura pari a 1.000 quote” nei confronti della persona giuridica (art.25-septies c.1 del D.Lgs.231/01).

La Relazione Illustrativa prosegue, poi, ricordando che il nuovo decreto “prevede la sanzione pecuniaria da duecento a settecento quote per il delitto di cui all’art.612-quater c.p. (deepfake), introdotto dall’art.26 della legge n.132 del 2025” e che, in questo caso, “la forbice si colloca su un livello mediano del catalogo, in coerenza con la fascia delle sanzioni applicate ai delitti contro la persona di analoga gravità.”

Per quanto riguarda, infine, le sanzioni interdittive rivolte alla persona giuridica in caso di commissione dei reati sull’uso dell’intelligenza artificiale, il documento sottolinea che il nuovo decreto “estende l’applicazione delle sanzioni interdittive previste dall’art.9, comma 2, lettere b), c), d) ed e), del d.lgs. n.231 del 2001 a entrambe le ipotesi di responsabilità.”

La Relazione aggiunge, inoltre, che “la selezione delle lettere b), c), d) ed e) - sospensione o revoca di autorizzazioni, divieto di contrattare con la pubblica amministrazione, esclusione da agevolazioni e divieto di pubblicità - esclude l’interdizione dall’esercizio dell’attività (lett.a)) in osservanza del principio di proporzionalità: si privilegiano le misure incidenti sull’operatività dell’ente nei settori connessi all’illecito, evitando la sanzione integralmente paralizzante dell’attività” (Atto del Governo sottoposto a parere parlamentare n.418 del 24 giugno 2026).

Anna Guardavilla

Dottore in Giurisprudenza specializzata nelle tematiche normative e giurisprudenziali relative alla salute e sicurezza sul lavoro

Licenza Creative Commons