NEWSLETTER · SETTEMBRE 2026 · N. 3
AI E MODELLO 231
Un nuovo rischio da governare
Il nuovo art. 25-vicies del D.Lgs. 231/2001
Cosa cambia per imprese, Modelli 231 e Organismi di Vigilanza.
La novità
Con il D.Lgs. 9 settembre 2026, n. 160, pubblicato in Gazzetta Ufficiale il 15 settembre 2026 ed efficace dal 30 settembre 2026, viene introdotto nel D.Lgs. 231/2001 il nuovo art. 25-vicies — “Reati commessi con l'uso di sistemi di intelligenza artificiale”. La novità richiede una verifica concreta dell'esposizione dell'organizzazione, non un semplice aggiornamento formale del Modello.
1. I NUOVI REATI PRESUPPOSTO
Due fattispecie da valutare
Per l'art. 437-bis c.p. è prevista una sanzione pecuniaria da 600 a 1.000 quote; per l'art. 612-quater c.p. da 200 a 700 quote. Nei casi previsti si applicano inoltre le sanzioni interdittive richiamate dal nuovo art. 25-vicies.
2. NON BASTA MODIFICARE IL MODELLO
Prima bisogna sapere dove viene utilizzata l'AI
Il punto di partenza è il censimento degli strumenti e dei sistemi di AI: quelli acquistati dall'organizzazione, quelli integrati nei software aziendali e quelli utilizzati direttamente da dipendenti e collaboratori.
L'analisi deve collegare ogni utilizzo ai processi aziendali, ai soggetti autorizzati, ai dati trattati, al livello di autonomia del sistema e ai controlli effettivamente applicati.
L'uso di strumenti non autorizzati o non censiti può rendere incompleta la mappatura del rischio. La governance deve intercettare gli utilizzi reali, non soltanto quelli formalmente approvati.
3. COSA DEVONO FARE LE ORGANIZZAZIONI
Cinque verifiche operative
Individuare i sistemi di AI effettivamente utilizzati, compresi gli utilizzi informali.
Comprendere finalità, processi interessati, ruolo dell'organizzazione e livello di rischio.
Verificare la rilevanza 231 e aggiornare, ove necessario, il Risk Assessment.
Riesaminare autorizzazioni, sicurezza, tracciabilità, controlli e sorveglianza umana.
Adeguare flussi informativi e piano di vigilanza dell'OdV quando il rischio è pertinente.
4. AI ACT E 231
Una governance integrata
AI Act, D.Lgs. 231/2001, privacy, cybersecurity, procurement e sistemi di gestione devono dialogare tra loro. L'obiettivo non è creare un sistema parallelo di compliance, ma rendere chiari, applicati e verificabili ruoli, controlli ed evidenze.
Prima di aggiornare i documenti, bisogna conoscere il rischio.
5. IL CONTROLLO UMANO
Un elemento organizzativo da rendere concreto
Non basta richiamare genericamente la supervisione umana. L'organizzazione deve poter individuare chi controlla, quando interviene, con quali competenze e con quali evidenze. Il controllo umano diventa parte del sistema dei controlli interni.
6. ORGANISMO DI VIGILANZA
Cosa cambia per l'OdV
L'OdV non deve certificare i sistemi di AI. Deve verificare, per quanto rilevante ai fini 231, che il rischio sia stato identificato e governato e che autorizzazioni, sicurezza, sorveglianza, anomalie e incidenti siano adeguatamente presidiati. Vanno inoltre riesaminati i flussi informativi pertinenti.
7. AI ACT E MODELLO 231
Un'unica governance
La risposta non dovrebbe essere la creazione di sistemi di compliance separati. AI Act, D.Lgs. 231/2001, privacy, cybersecurity e sistemi di gestione devono dialogare tra loro, utilizzando per quanto possibile processi, controlli ed evidenze comuni.
Censire → classificare → valutare → presidiare → monitorare.
Prima di aggiornare i documenti, bisogna conoscere il rischio.
J4U | AI Act Preliminary Assessment
Joinus4u ha sviluppato un Preliminary Assessment per supportare le organizzazioni nella ricognizione dell'utilizzo dell'intelligenza artificiale, nell'individuazione delle principali aree di esposizione e nella definizione degli interventi necessari sul sistema di compliance.
Documento informativo J4U — aggiornato al 20 settembre 2026. Le indicazioni hanno carattere generale e non sostituiscono la valutazione del caso concreto, dei sistemi utilizzati e delle fattispecie applicabili. I contenuti J4U possono essere predisposti con il supporto di strumenti di intelligenza artificiale e sono sottoposti a revisione umana prima della pubblicazione. Trasparenza AI →