Il nuovo articolo 437 bis del codice penale introduce il primo strumento a carattere generale sulla sicurezza dei sistemi di Ia e prevede la pena da uno a cinque anni per chi non adotta misure tecniche di sicurezza per la progettazione, l’addestramento, la produzione e l’immissione sul mercato di sistemi di Ia ad alto rischio, quando da tale omissione derivi un pericolo per la vita o per l’incolumità pubblica o individuale
- Questo articolo fa parte di In contraddittorio, la nostra newsletter sulla giustizia: ogni venerdì retroscena, analisi e commenti di avvocati, magistrati e accademici. Iscriviti qui
Il D.Lgs. 160/2026 è entrato in vigore il 30 settembre (pubblicato in G.U. n. 214 del 15 settembre). È il provvedimento di adeguamento della normativa nazionale al Regolamento UE 2024/1689 (AI Act), adottato dal Consiglio dell’Unione europea il 21 maggio 2024, che introduce nel Codice penale l’articolo 437-bis: il primo strumento penale di carattere generale sulla sicurezza dei sistemi di IA ad alto rischio.
Il collegamento con l'AI Act europeo
L'AI Act europeo ha essenzialmente una valenza regolatoria ed impone obblighi, divieti, procedure di gestione del rischio, nonché requisiti tecnici e organizzativi.
Il legislatore italiano ha voluto aggiungere un ulteriore livello di tutela, individuando alcune violazioni particolarmente gravi della sicurezza dei sistemi di IA ad alto rischio come possibili illeciti penali.
La nuova norma penale seleziona specifiche condotte omissive e le collega alla produzione di una situazione di pericolo.
Questa ulteriore fattispecie penale legata alla IA affianca alle disposizioni già vigenti sul reato di diffusione illecita di deepfake (art. 612-quater c.p., in vigore dal 10 ottobre 2025), creando un assetto normativo a due livelli: la sicurezza della progettazione e gestione dei sistemi (articolo 437-bis), e la repressione degli abusi nella diffusione di contenuti generati o alterati con sistemi di IA (articolo 612-quater).
Il nuovo articolo 437-bis
Con il D.Lgs. 160/2026 l’intelligenza artificiale non è più soltanto materia di compliance amministrativa, protezione dei dati o sicurezza informatica. Per i sistemi ad alto rischio, alcune scelte organizzative e tecniche possono ora assumere una precisa rilevanza penale.
I sistemi di IA ad alto rischio sono quelli che, per la loro finalità e per gli ambiti di utilizzo individuati dall’AI Act, possono presentare rischi significativi per la salute, la sicurezza o i diritti fondamentali delle persone.
Il nuovo articolo 437-bis costruisce diversi livelli di responsabilità. Il primo riguarda l’omessa adozione delle misure tecniche di sicurezza previste per la progettazione, l’addestramento, la produzione e l’immissione sul mercato di sistemi di IA ad alto rischio, quando da tale omissione derivi un pericolo per la vita o per l’incolumità pubblica o individuale. La stessa previsione riguarda l’omessa adozione delle misure di sorveglianza umana. La pena prevista è la reclusione da uno a cinque anni.
La stessa condotta diventa più grave quando dal fatto derivi un pericolo per la sicurezza dello Stato: in questo caso la pena sale da due a otto anni.
Il secondo nucleo riguarda invece l’alterazione dei sistemi di IA ad alto rischio. Chi altera il sistema e provoca un pericolo per la vita o l’incolumità pubblica o individuale rischia da due a sei anni di reclusione. Se il pericolo riguarda la sicurezza dello Stato, la pena sale da tre a dieci anni.
La norma prende in considerazione anche l’ipotesi colposa, ma soltanto quando si tratti di colpa grave, prevedendo una riduzione della pena da un terzo a un sesto. Sarà quindi centrale, anche nella prassi applicativa, stabilire quando la violazione delle regole cautelari relative alla sicurezza e alla supervisione dei sistemi possa assumere quel livello di gravità.
Un’ulteriore previsione riguarda gli utilizzatori professionali di sistemi di IA ad alto rischio. In questo caso la norma guarda non tanto alla progettazione del sistema, quanto al modo in cui viene concretamente utilizzato: l’omessa adozione intenzionale delle misure di sorveglianza umana può assumere rilevanza penale quando ne derivi un pericolo per la vita o l’incolumità oppure per la sicurezza dello Stato.
Il legislatore costruisce così una responsabilità che segue la filiera del sistema. Il produttore può rispondere per l’omessa adozione delle misure di sicurezza nella progettazione, nell’addestramento, nella produzione o nell’immissione sul mercato. L’utilizzatore professionale, invece, può rispondere per l’omessa sorveglianza umana sul sistema che impiega.
Si pensi a una banca che utilizzi un sistema di IA ad alto rischio nell’ambito di un processo decisionale rilevante: non sarà sufficiente verificare che il sistema sia stato correttamente progettato dal fornitore ma occorrerà verificare anche se nell’utilizzo sia stata organizzata la supervisione umana.
la responsabilità amministrativa
Il nuovo reato sull’intelligenza artificiale non riguarda soltanto la responsabilità personale.
Il decreto interviene anche sul sistema della responsabilità degli enti previsto dal D.Lgs. 231/2001, inserendo nel catalogo dei reati-presupposto sia il nuovo articolo 437-bis c.p., sia il reato di diffusione illecita di contenuti generati o alterati mediante IA previsto dall’articolo 612-quater c.p.
Per le imprese è una novità tutt’altro che marginale: se uno di questi reati viene commesso nell’interesse o a vantaggio dell’ente, può scattare anche la responsabilità della società.
Oltre alla sanzione pecuniaria per l’impresa, sono previste alcune sanzioni interdittive, tra cui la sospensione o la revoca di autorizzazioni, licenze e concessioni, il divieto di contrattare con la pubblica amministrazione, l’esclusione da agevolazioni e contributi e il divieto di pubblicizzare beni o servizi.
Non è invece prevista l’interdizione dall’esercizio dell’attività, cioè la misura più grave tra quelle interdittive previste dal sistema 231.
Il risultato è un ampliamento concreto del rischio per le organizzazioni: la gestione dell’intelligenza artificiale entra così anche nel perimetro della compliance 231, imponendo alle imprese che utilizzano o sviluppano sistemi di IA di interrogarsi sui propri controlli, sulle responsabilità interne e sulle procedure di supervisione.
© Riproduzione riservata
