D.Lgs. 160/2026 sull’intelligenza artificiale: cosa cambia per imprese e PMI

Il 15 settembre 2026 è stato pubblicato in Gazzetta Ufficiale il D.Lgs. 9 settembre 2026, n. 160, dedicato all’utilizzo dei sistemi di intelligenza artificiale nelle attività di polizia e alla responsabilità civile e penale. Il provvedimento entra in vigore il 30 settembre 2026.

È il primo dei due schemi di decreto predisposti per dare attuazione alla delega della Legge 132/2025 ad arrivare in Gazzetta Ufficiale. Il secondo, relativo ai poteri delle Autorità nazionali e all’utilizzo dell’intelligenza artificiale nella formazione, con disposizioni che interessano anche professioni e lavoro, alla data del 17 settembre 2026 non risulta ancora pubblicato. Il termine della delega è il 10 ottobre 2026.

Il nuovo art. 437-bis del codice penale interviene sull’omessa adozione delle misure di sicurezza nei sistemi di intelligenza artificiale ad alto rischio.

È prevista la reclusione da uno a cinque anni quando vengono omesse le misure tecniche di sicurezza previste per progettazione, addestramento, produzione o immissione sul mercato dei sistemi di IA ad alto rischio, oppure le misure di sorveglianza umana, e da tale omissione deriva un pericolo per la vita o l’incolumità pubblica o individuale. Se il pericolo riguarda la sicurezza dello Stato, la pena va da due a otto anni.

La norma riguarda anche l’utilizzatore professionale di sistemi di IA ad alto rischio che omette intenzionalmente di adottare misure di sorveglianza umana, quando dall’omissione deriva uno dei pericoli previsti dalla disposizione.

Il nuovo art. 25-vicies del D.Lgs. 231/2001 estende la responsabilità amministrativa dell’ente anche al delitto previsto dall’art. 437-bis c.p.

Per questo reato è prevista una sanzione pecuniaria da 600 a 1.000 quote, oltre alle sanzioni interdittive richiamate dall’art. 9, comma 2, lettere b), c), d) ed e) del D.Lgs. 231/2001.
Per le imprese che hanno adottato un Modello 231 diventa quindi necessario valutare l’impatto del nuovo reato presupposto sul modello organizzativo, sui protocolli di controllo e sui flussi informativi verso l’Organismo di Vigilanza.

Il decreto interviene anche sul versante civile. Quando il danno deriva dalla violazione di uno o più obblighi previsti dall’AI Act, il nesso di causalità tra la violazione e il danno è presunto, salvo prova contraria.
Il giudice può inoltre ordinare l’esibizione di elementi relativi al funzionamento del sistema di IA, compresi registri, documentazione sul sistema di gestione dei rischi, documentazione tecnica e informazioni sulla supervisione umana.
Un altro passaggio importante è contenuto nell’art. 19: la conformità del sistema agli obblighi dell’AI Act, anche se certificata, non esclude di per sé la responsabilità del convenuto.

Il punto da tenere presente è quindi questo: la conformità formale non basta. Diventano centrali le misure effettivamente adottate e, soprattutto, la capacità dell’impresa di documentarle.

Per imprese e PMI è il momento di verificare concretamente la governance dei sistemi di intelligenza artificiale già presenti in azienda:

• Censire i sistemi di IA in uso, compresi quelli che i fornitori hanno già integrato nei software e nei gestionali utilizzati dall’azienda.
• Verificare quali sistemi rientrano tra quelli ad alto rischio ai sensi dell’AI Act e quale ruolo ricopre l’impresa rispetto al sistema utilizzato.
• Documentare le misure di sicurezza e di supervisione umana: chi controlla il sistema, che cosa controlla, con quali procedure e con quale frequenza.
• Aggiornare il Modello 231, ove adottato, valutando il nuovo reato presupposto e i relativi flussi verso l’Organismo di Vigilanza.

Avete un elenco aggiornato dei sistemi di intelligenza artificiale utilizzati in azienda e sapete chi ne risponde?

I nostri tecnici sono a disposizione per informazioni e chiarimenti.