Intelligenza artificiale compliance: Guida operativa alla Legge 132/2025 e Modello 231

L’adozione dell’intelligenza artificiale nelle imprese italiane ha superato la fase della sperimentazione per entrare in quella della regolamentazione stringente. Nel 2025, il panorama normativo ha subito una trasformazione radicale: non è più sufficiente guardare all’AI Act europeo come unico punto di riferimento, poiché la pubblicazione della Legge 23 settembre 2025, n. 132 ha introdotto obblighi specifici per il mercato nazionale. Per le PMI e le grandi imprese, la sfida si è spostata dalla teoria normativa alla pratica aziendale. Implementare una “governance integrata” non è solo un atto di conformità, ma l’unico strumento efficace per mitigare i rischi di responsabilità oggettiva e proteggere il patrimonio informativo aziendale. Questa guida delinea il framework operativo necessario per trasformare i vincoli legali in protocolli di gestione sicuri e competitivi.

Il quadro normativo integrato: AI Act e Legge 132/2025

Il sistema di conformità per le imprese italiane si muove oggi su un doppio binario. Da un lato, l’AI Act europeo definisce il perimetro dei sistemi ammessi, classificandoli in base al rischio; dall’altro, la Legge 23 settembre 2025, n. 132 stabilisce le modalità di attuazione e le sanzioni specifiche per il contesto italiano 1. La normativa nazionale non si limita a recepire i regolamenti UE, ma introduce deleghe al Governo per affinare la vigilanza e definire i criteri di responsabilità civile per i danni causati da sistemi algoritmici.

Per una corretta intelligenza artificiale compliance, le imprese devono distinguere tra sistemi ad alto rischio (come quelli usati per la selezione del personale o la valutazione del credito) e sistemi a rischio limitato, seguendo le Linee guida della Commissione Europea sulla definizione di sistemi di IA 2. Mentre l’AI Act si concentra sulla sicurezza del prodotto, la legge italiana pone l’accento sull’uso responsabile e sulla tutela dei diritti dei terzi.

Le novità della Legge Italiana sull’IA per il 2026

Entro il 2026, le imprese dovranno confrontarsi con un sistema di vigilanza centralizzato. La Legge 132/2025 ha designato l’Agenzia per l’Italia Digitale (AgID) e l’Agenzia per la Cybersicurezza Nazionale (ACN) come autorità competenti per monitorare il rispetto dei requisiti tecnici e organizzativi. Per le PMI italiane, questo significa dover dimostrare non solo la sicurezza informatica dei sistemi, ma anche la trasparenza dei processi decisionali automatizzati. I rischi normativi AI impresa non riguardano più solo le sanzioni pecuniarie, ma la possibilità di sospensione delle attività che utilizzano algoritmi non conformi o non adeguatamente documentati.

Integrazione della Policy AI nel Modello 231

Il pilastro della difesa legale per un’impresa è l’aggiornamento del Modello di Organizzazione, Gestione e Controllo ai sensi del D.Lgs. 231/01. Secondo la Circolare Assonime n. 27/2025, l’integrazione della Policy AI nel Modello 231 non è più un’opzione facoltativa 3. La nuova normativa italiana ha infatti introdotto l’uso di sistemi di IA come aggravante per specifici reati societari, tra cui l’aggiotaggio (Art. 2637 c.c.) e la manipolazione del mercato.

Una Policy AI impresa efficace deve prevedere una “due diligence algoritmica” per mappare i nuovi rischi di reato-presupposto. Questo processo implica l’analisi di come l’IA interagisce con i flussi informativi aziendali e la definizione di protocolli che impediscano l’uso dell’algoritmo per finalità illecite, mitigando così la responsabilità oggettiva dell’ente per i danni causati da sistemi ad alto rischio.

Responsabilità civile e Articolo 13: Il ruolo del lavoro umano

Un punto critico della Legge 132/2025 è l’Articolo 13, che sancisce il principio di “prevalenza del lavoro umano” per le professioni intellettuali. Come evidenziato dalla dottrina specializzata, l’IA deve essere utilizzata esclusivamente come supporto informativo e non può sostituire il giudizio critico del professionista 4. La violazione di questo principio, unita alla mancata trasparenza verso il cliente sull’impiego di strumenti automatizzati, configura una responsabilità civile specifica. Il rischio è la contestazione di un “danno ingiusto” risarcibile, qualora l’output dell’IA determini un errore professionale che il controllo umano avrebbe dovuto intercettare.

Linee guida operative per l’uso dell’AI Generativa in azienda

L’uso quotidiano di strumenti come ChatGPT o Microsoft Copilot richiede linee guida AI operative estremamente rigorose per prevenire la divulgazione involontaria di segreti commerciali. La protezione dei segreti industriali nell’AI generativa inizia con la configurazione degli account aziendali (Enterprise) che escludono l’uso dei dati inseriti nei prompt per l’addestramento dei modelli globali.

In conformità con le Linee guida EDPB sul trattamento dei dati personali nei modelli di IA, ogni implementazione di AI generativa deve essere preceduta da una Valutazione di Impatto sulla Protezione dei Dati (DPIA) 5. È fondamentale che l’azienda verifichi le basi giuridiche utilizzate dal fornitore per l’addestramento e il deployment, assicurandosi che non siano stati trattati illecitamente dati personali o proprietà intellettuale di terzi, evitando così una responsabilità solidale tra fornitore e utilizzatore 6.

Workflow di approvazione e clausole contrattuali

Per una corretta creazione policy AI aziendali, le imprese dovrebbero implementare workflow di approvazione interna per ogni nuovo “caso d’uso”. Prima che un dipendente utilizzi un tool di IA per analizzare dati sensibili, il dipartimento Legal o il Compliance Officer deve validare lo strumento. Sul piano contrattuale, è essenziale inserire clausole di manleva specifiche nei contratti con i provider di tecnologia. Tali clausole devono coprire non solo i malfunzionamenti tecnici, ma anche le violazioni di copyright generate dall’output dell’IA e la non conformità algoritmica rispetto agli standard previsti dall’AI Act.

Audit e monitoraggio: Garantire la conformità nel tempo

La governance dell’IA non è un progetto “una tantum”, ma un processo continuo. Si raccomanda l’esecuzione di audit interni semestrali per verificare la conformità effettiva dei sistemi in uso. Questi audit devono controllare che i parametri di performance dell’IA non siano degradati (fenomeno del “drift”) e che i protocolli di sicurezza siano aggiornati alle ultime minacce.

Per la due diligence fornitori AI, le imprese possono fare riferimento alle Linee guida AgID per il procurement e lo sviluppo di sistemi di IA 7. Una checklist efficace per la due diligence tecnica dovrebbe includere:

• Verifica della documentazione tecnica e del “dataset card” (origine dei dati).
• Analisi dei test di robustezza e cyber-resilienza effettuati dal fornitore.
• Conferma della presenza di un meccanismo di “human-in-the-loop” per la supervisione degli output.
• Valutazione della conformità del fornitore agli standard ISO/IEC 42001 sulla gestione dell’IA.

Costruire una governance proattiva significa trasformare l’obbligo normativo in un vantaggio competitivo. Le aziende che dimostrano trasparenza e sicurezza nell’uso dell’intelligenza artificiale non solo evitano pesanti sanzioni, ma costruiscono un rapporto di fiducia duraturo con clienti e partner. L’integrazione della Policy AI nel Modello 231 resta il pilastro fondamentale per proteggere l’organizzazione in un mercato sempre più guidato dagli algoritmi.

Scarica la nostra checklist per l’audit semestrale della tua Policy AI aziendale e prenota una consulenza per l’aggiornamento del tuo Modello 231.

Il presente articolo ha scopo puramente informativo e non costituisce consulenza legale. Si raccomanda di consultare professionisti qualificati per l’adeguamento dei modelli organizzativi aziendali.