In questa nostra consueta riflessione settimanale dedicata all’intersezione tra diritto e innovazione tecnologica, ci troviamo oggi ad affrontare uno snodo epocale, un momento di cesura destinato a ridefinire in modo irreversibile il panorama giuridico nazionale e internazionale.
Con l’avvicinarsi della fatidica data del trenta settembre, il nostro ordinamento si appresta ad accogliere e rendere pienamente operative le nuove disposizioni di adeguamento al quadro normativo europeo sull’intelligenza artificiale. Non si tratta di un mero adempimento burocratico o di un semplice aggiornamento normativo a cui siamo stati abituati in passato, bensì dell’ingresso trionfale di un nuovo paradigma che impone a giuristi, imprenditori e cittadini di ricalibrare le proprie certezze, abbandonando schemi interpretativi ormai obsoleti.
Le domande che affollano le scrivanie dei consigli di amministrazione, le aule dei tribunali e le piazze virtuali del dibattito pubblico sono molteplici e cariche di una comprensibile inquietudine: chi risponde legalmente delle decisioni prese da una macchina che impara da sola?
Come si protegge il cittadino da un uso distorto e pervasivo degli algoritmi da parte dei poteri pubblici?
In che modo le aziende possono continuare a innovare e a competere sui mercati globali senza incorrere in sanzioni paralizzanti e distruttive?
La risposta a questi interrogativi cruciali risiede in una lettura organica, trasversale e sistematica delle nuove regole.
Tali disposizioni, lungi dal voler ingabbiare o rallentare lo sviluppo tecnologico con lacci di natura burocratica, mirano a incanalare l’enorme, e per certi versi inesplorato, potenziale dell’intelligenza artificiale lungo i binari rigorosi della sicurezza, della trasparenza e dell’assoluto rispetto dei diritti fondamentali della persona.
Il cuore pulsante e nevralgico di questa rivoluzione normativa è senza dubbio il tema della responsabilità d’impresa, un ambito che subisce oggi una scossa tellurica di proporzioni inedite e che richiede un cambio di mentalità senza precedenti da parte dei vertici aziendali.
Fino a questo momento, l’adozione di sistemi di intelligenza artificiale all’interno dei complessi processi aziendali è stata guidata quasi esclusivamente da logiche di efficienza operativa, riduzione dei costi, automazione delle procedure e ottimizzazione delle risorse.
Dal reclutamento del personale attraverso software di scrematura dei curriculum alla gestione predittiva della catena di approvvigionamento, passando per l’analisi dei mercati finanziari e l’interazione continua con i consumatori tramite assistenti virtuali sempre più sofisticati, gli algoritmi hanno progressivamente colonizzato i gangli vitali dell’attività economica e produttiva.
Tuttavia, questa delega decisionale ed esecutiva alla macchina porta con sé rischi sistemici che il diritto non poteva più permettersi di ignorare. Le nuove disposizioni impongono un cambio di passo radicale: l’intelligenza artificiale non è più considerata, agli occhi della legge, come un semplice strumento neutro o un mero ausilio informatico, ma viene inquadrata come una potenziale e autonoma fonte di rischio che deve essere preventivamente mappata, governata e neutralizzata attraverso adeguati e specifici assetti organizzativi.
Questo significa, in termini estremamente pratici, che i tradizionali modelli di organizzazione, gestione e controllo, che le nostre aziende hanno adottato ormai da due decenni per prevenire la commissione di reati e la conseguente responsabilità amministrativa degli enti, devono essere sottoposti a una profonda, strutturale e immediata revisione.
Non è assolutamente più sufficiente dotarsi di codici etici dal linguaggio generico o di procedure standardizzate di facciata; occorre implementare meccanismi di governance degli algoritmi che garantiscano in ogni momento la supervisione umana, la tracciabilità documentata delle decisioni automatizzate e, soprattutto, l’assenza di bias discriminatori che potrebbero inficiare le scelte aziendali. L’impresa che decide di affidarsi a sistemi di intelligenza artificiale, in particolar modo a quelli classificati ad alto rischio, è ora chiamata a condurre valutazioni d’impatto rigorose ed ex ante, prima dell’immissione sul mercato o della messa in servizio di tali tecnologie nei propri flussi di lavoro.
Gli Organismi di Vigilanza all’interno delle aziende assumono un ruolo di primo piano in questa transizione: a loro spetta il difficile compito di interfacciarsi con data scientist e sviluppatori informatici, imparando un nuovo vocabolario ibrido tra diritto e tecnologia, per verificare che il codiceL’ingresso in vigore della nuova disciplina nazionale in materia di intelligenza artificiale segna una svolta storica nell’ordinamento giuridico italiano, trasformando quello che finora era stato un vivace dibattito teorico ed etico in un perentorio cantiere normativo con cui imprese, professionisti e istituzioni devono fare i conti.
Con la pubblicazione del testo definitivo e il suo successivo recepimento operativo, il legislatore italiano ha inteso saldare il quadro sovranazionale delineato dal Regolamento europeo sull’intelligenza artificiale con le specificità del nostro sistema penale, civile e amministrativo.
Si compie così il passaggio da una fase di autoregolamentazione promozionale a un regime di responsabilità stringente, in cui l’algoritmo non è più considerato un mero strumento neutrale di calcolo, bensì un fattore di rischio sistemico che necessita di governance rigorosa, presidi organizzativi strutturati e un’attenta ripartizione delle tutele risarcitorie e sanzionatorie.
La prima questione che si pone all’attenzione degli operatori riguarda l’architettura di vigilanza e il riparto delle competenze istituzionali.
Il nuovo quadro normativo affida l’attuazione della strategia nazionale e il monitoraggio del mercato a una governance binaria incentrata sull’Agenzia per l’Italia Digitale e sull’Agenzia per la Cybersicurezza Nazionale. Alla prima spettano le mansioni di promozione dell’innovazione, definizione degli standard di interoperabilità e verifica della conformità ordinaria dei sistemi algoritmici, mentre alla seconda è conferita la tutela della sicurezza informatica, il contrasto alle vulnerabilità tecnologiche e il presidio contro gli attacchi cibernetici potenziati da sistemi algoritmici.
Questo doppio binario istituzionale intende garantire un bilanciamento tra lo sviluppo competitivo del tessuto produttivo e la protezione della sovranità digitale del Paese, ponendo tuttavia per le imprese la sfida di doversi interfacciare con interlocutori distinti a seconda che il profilo critico attenga alla funzionalità operativa o alla resilienza cibernetica.
L’aspetto di maggiore impatto sistemico per il mondo produttivo risiede senza dubbio nell’estensione della responsabilità amministrativa degli enti derivante da reato, disciplinata dal Decreto Legislativo 231 del 2001.
La riforma inserisce formalmente i reati commessi mediante o attraverso sistemi di intelligenza artificiale nel catalogo dei reati presupposto, introducendo un principio di imputazione oggettiva che penalizza pesantemente le aziende prive di idonei modelli di organizzazione e gestione.
Non si tratta soltanto di sanzionare l’uso improprio di strumenti algoritmici per commettere frodi, manipolazioni di mercato o violazioni del diritto d’autore, ma di punire l’assenza di una governance preventiva.
Le società saranno chiamate a dimostrare di aver adottato protocolli specifici di valutazione del rischio algoritmico, di aver tracciato l’origine dei dati utilizzati per l’addestramento dei modelli e di aver predisposto adeguati meccanismi di supervisione umana capaci di intercettare e bloccare eventuali comportamenti anomali o illeciti generati dalla macchina nell’interesse o a vantaggio dell’organizzazione.
Sotto il profilo strettamente penale, il legislatore ha scelto di intervenire sia introducendo nuove ed autonome fattispecie incriminatrici, sia prevedendo un’aggravante speciale ad applicazione generale per tutti i delitti commessi attraverso l’impiego ingannevole o manipolativo di sistemi di intelligenza artificiale.
La ratio della norma è chiara: la potenza di calcolo, la capacità di simulazione della realtà e la pervasività degli algoritmi aumentano in modo esponenziale il potenziale offensivo delle condotte illecite, riducendo le difese della vittima e aumentando il danno cagionato.
Tra le condotte maggiormente attenzionate spicca la diffusione non consensuale di contenuti multimediali alterati o falsificati, comunemente noti come deepfake, in grado di trarre in inganno la fede pubblica, lesione dell’onore, della reputazione o dell’identità personale. La fattispecie punisce severamente chiunque utilizzi software generativi per creare o manipolare immagini, audio o video realistici idonei a falsificare la realtà, con pene inasprite laddove dal fatto derivi un pregiudizio ingiusto o la distorsione del regolare svolgimento di competizioni elettorali o processi decisionali pubblici.
Accanto al tema dell’identità e della reputazione, la tutela penale si estende con decisione al mercato finanziario e alla proprietà intellettuale.
Viene sanzionato l’impiego di algoritmi predittivi o di trading ad alta frequenza volti a realizzare condotte di manipolazione del mercato o d’informazione privilegiata, così come la violazione sistematica dei diritti d’autore mediante l’estrazione non autorizzata e l’impiego abusivo di opere protette per l’addestramento di modelli generativi privi delle necessarie licenze. Il messaggio per il settore industriale è inequivocabile: l’adozione di strumenti di intelligenza artificiale all’interno dei processi aziendali non costituisce una zona franca né una scusante per eventuali illeciti commessi dall’agente artificiale, gravando sull’impresa l’onere di garantire la liceità della filiera dei dati e la trasparenza degli algoritmi impiegati.
Sul versante del diritto civile e della responsabilità extracontrattuale, la nuova normativa affronta uno dei nodi concettuali più complessi la riparazione del danno causato da decisioni o azioni autonome di un sistema di intelligenza artificiale.
Superando il tradizionale dilemma tra responsabilità oggettiva del produttore e responsabilità per colpa dell’utilizzatore, il testo introduce presunzioni relative di nesso causale a tutela del danneggiato nei casi in cui il sistema sia classificato ad alto rischio e il responsabile non abbia adempiuto agli obblighi di trasparenza, tracciabilità e monitoraggio previsti dalla legge.
Quando il danneggiato dimostra la non conformità del sistema agli standard di sicurezza o la mancata ostensione della documentazione tecnica, il giudice potrà presumere che tale inadempimento abbia cagionato il danno, ribaltando sul produttore o sul distributore l’onere di provare la correttezza del funzionamento o l’intervento di un fattore causale estraneo e imprevedibile.
Questo ribaltamento dell’onere probatorio trova il suo bilanciamento nell’introduzione di una rigida disciplina sull’esibizione delle prove e sull’accesso ai documenti tecnici dei sistemi algoritmici. I tribunali civili avranno la facoltà di ordinare al fornitore o all’utente di un sistema ad alto rischio l’ostensione delle informazioni rilevanti, compreso il codice sorgente e la documentazione sul processo di addestramento, adottando contestualmente misure idonee a tutelare i segreti commerciali e la proprietà intellettuale delle aziende sviluppatrici.
Si tratta di un punto di equilibrio delicato tra la necessità di assicurare un’effettiva tutela risarcitoria al cittadino esposto alle decisioni opache della macchina e l’esigenza di preservare gli investimenti in ricerca e sviluppo delle imprese tecnologiche.
Particolare attenzione è dedicata all’impiego dell’intelligenza artificiale nei settori ad alta intensità di impatto sui diritti fondamentali, quali la sanità, il lavoro e la pubblica amministrazione. In ambito sanitario, la norma riafferma con forza la centralità della decisione medica, stabilendo che i sistemi algoritmici di diagnosi, prognosi o supporto terapeutico devono mantenere una funzione esclusivamente ausiliaria.
L’atto medico resta un giudizio umano insostituibile, e qualsiasi scelta diagnostica o terapeutica formulata esclusivamente da un algoritmo privo di validazione clinica e revisione da parte del professionista sanitario è considerata fonte di responsabilità professionale per violazione delle buone pratiche clinico-assistenziali.
Nel mondo del lavoro, la regolamentazione pone paletti stringenti all’uso di strumenti d’intelligenza artificiale dedicati al reclutamento, alla valutazione delle prestazioni, alla sorveglianza o alla gestione del rapporto di lavoro.
L’impiego di software di profilazione attitudinale o emotiva è soggetto all’obbligo di un’informativa preventiva chiara, comprensibile ed esaustiva ai lavoratori e alle rappresentanze sindacali, unitamente all’esecuzione di una valutazione d’impatto sui diritti fondamentali. È sancito il divieto assoluto di decisioni automatizzate inerenti all’assunzione, alla promozione, al licenziamento o alla irrogazione di sanzioni disciplinari in assenza di una revisione umana effettiva e documentata. La violazione di tali disposizioni non soltanto invalida i provvedimenti adottati nei confronti dei dipendenti, ma espone l’azienda a pesanti sanzioni amministrative e alle azioni inibitorie per condotta antidiscriminatoria.
Ancora più perentorio è il limite fissato per l’amministrazione della giustizia e l’attività decisionale pubblica.
Se da un lato l’adozione di strumenti digitali è incoraggiata per la gestione materiale dei fascicoli, la ricerca documentale e la velocizzazione dei compiti burocratici, dall’altro è vietato in modo assoluto affidare ad algoritmi la redazione delle sentenze, la valutazione delle prove o l’adozione di provvedimenti giudiziari o amministrativi che incidono sulla sfera giuridica dei cittadini. La decisione giudiziaria e l’atto amministrativo discrezionale devono rimanere l’esito inderogabile di un ragionamento umano valutabile, motivato e suscettibile di impugnazione, scongiurando il rischio di una giustizia predittiva basata su correlazioni statistiche potenzialmente viziate da bias discriminatori o errori di fondo presenti nei database storici.
Il tema della proprietà intellettuale e del regime giuridico delle opere create con il contributo dell’intelligenza artificiale riceve un inquadramento normativo destinato a far discutere. Il testo ribadisce che la tutela del diritto d’autore spetta esclusivamente alle opere frutto dell’ingegno umano, inteso come espressione della personalità del creatore.
Pertanto, i contenuti generati in modo totalmente autonomo da un software privo di un apporto creativo umano diretto, consapevole e determinante non sono suscettibili di protezione autorale e ricadono nel pubblico dominio. Qualora invece l’algoritmo sia stato utilizzato come mero strumento esecutivo all’interno di un processo creativo guidato da scelte libere e personalizzate dell’autore, il diritto d’autore viene riconosciuto ma limitatamente alla componente creativa umana espressamente individuabile e documentata.
Di pari passo procede la regolamentazione dell’impiego dei dati protetti da copyright per l’addestramento dei modelli matematici.
Le imprese sviluppatrici sono tenute a garantire la massima trasparenza sull’origine dei dati utilizzati, rispettando i diritti di opt-out esercitati dai titolari dei diritti d’autore e garantendo un’adeguata remunerazione per l’utilizzo delle opere coperte da privativa.
Questo passaggio obbliga le aziende che sviluppano o personalizzano modelli generativi ad adottare rigorose procedure di audit del dato, pena l’impossibilità di commercializzare il sistema o l’esposizione ad azioni inibitorie e risarcitorie da parte degli aventi diritto.
Di fronte a un quadro normativo di così ampia portata, la domanda prioritaria per il mondo imprenditoriale riguarda le azioni concrete da intraprendere per garantire una tempestiva ed efficace compliance algoritmica. Il primo passo operativo risiede nella mappatura integrale dei sistemi di intelligenza artificiale in uso o in fase di acquisizione all’interno dell’azienda, classificando ciascuno strumento in base al livello di rischio previsto dalla disciplina europea e nazionale.
Questa ricognizione non deve limitarsi ai software sviluppati internamente, ma deve estendersi a tutte le soluzioni applicative fornite da terzi e integrate nei processi aziendali, dai gestionali amministrativi ai moduli di marketing predittivo.
In secondo luogo, si rende indispensabile la revisione dei modelli organizzativi ai sensi del Decreto Legislativo 231 del 2001, integrando i protocolli di prevenzione dei reati informatici e sanzionando le condotte non conformi nelle policy interne.
L’azienda deve dotarsi di una chiara governance dell’intelligenza artificiale, definendo ruoli, responsabilità e poteri di veto in capo a figure qualificate prive di conflitti di interesse, cui affidare la supervisione costante sui sistemi e la gestione degli incidenti algoritmici. Particolare cura deve essere dedicata alla contrattualistica commerciale con i fornitori di tecnologia: nei contratti di licenza, sviluppo e manutenzione occorre inserire clausole dettagliate sul rispetto delle specifiche di sicurezza, sulle garanzie relative alla liceità dei dati di addestramento, sugli obblighi di tracciabilità delle decisioni e sulla manleva in caso di sanzioni o risarcimenti derivanti da malfunzionamenti o anomalie del sistema.
Infine, l’adeguamento normativo non può prescindere da un investimento strutturale sulla formazione del personale. La miglior difesa contro i rischi algoritmici rimane la consapevolezza tecnica ed etica dei dipendenti che utilizzano quotidianamente questi strumenti.
Promuovere un’adeguata alfabetizzazione digitale, istruire le risorse sui limiti di affidabilità dei modelli generativi e sui rischi di allucinazione o bias informatico rappresenta il vero elemento differenziante per trasformare la compliance da un mero costo burocratico a una leva strategica di crescita sostenibile. La regolamentazione dell’intelligenza artificiale non deve essere vista come un freno all’innovazione, ma come l’infrastruttura di fiducia indispensabile affinché la trasformazione digitale possa svilupparsi in modo solido, protetto e competitivo nel lungo periodo.
𝘼 𝙘𝙪𝙧𝙖 𝙙𝙚𝙡𝙡’𝘼𝙫𝙫. 𝘼𝙡𝙛𝙤𝙣𝙨𝙤 𝙎𝙘𝙖𝙛𝙪𝙧𝙤
𝑅𝑒𝑠𝑝𝑜𝑛𝑠𝑎𝑏𝑖𝑙𝑒 𝐴𝑟𝑒𝑎 𝐼𝑛𝑛𝑜𝑣𝑎𝑧𝑖𝑜𝑛𝑒, 𝐷𝑖𝑔𝑖𝑡𝑎𝑙𝑖𝑧𝑧𝑎𝑧𝑖𝑜𝑛𝑒 𝑒 𝐼𝑛𝑡𝑒𝑙𝑙𝑖𝑔𝑒𝑛𝑧𝑎 𝐴𝑟𝑡𝑖𝑓𝑖𝑐𝑖𝑎𝑙𝑒 𝑑𝑖 𝐹𝑖𝑠𝑎𝑝𝑖
