Ultimo aggiornamento: settembre 2026.
Che cosa cambia: l’adozione di sistemi di intelligenza artificiale (IA) non è più solo una scelta tecnologica: impone all’organo amministrativo di ripensare l’assetto organizzativo, i flussi informativi e i presidi di controllo per garantire conformità normativa, tracciabilità degli output e controllo umano effettivo. Esempio pratico: una S.p.A. che introduce un modello di scoring automatico per la valutazione del credito deve dimostrare che il consiglio ha valutato i rischi, che è stata effettuata una DPIA, che esistono responsabilità e reporting chiari e che è previsto un meccanismo di intervento umano prima di decisioni rilevanti.
Cosa prevede la norma
Quadro UE e obblighi generali. Il Regolamento (UE) 2024/1689 (AI Act) stabilisce requisiti di trasparenza, robustezza e la necessità di prevedere misure di controllo umano e di gestione dei rischi per i sistemi di IA, con obblighi più stringenti per i sistemi ad alto rischio. Le disposizioni sono direttamente applicabili negli Stati membri e richiedono alle imprese di documentare finalità, limiti e metriche di performance dei sistemi.
Protezione dei dati e DPIA. L’utilizzo dell’IA che comporta trattamenti di dati personali può richiedere la Valutazione d’Impatto sulla Protezione dei Dati (DPIA) ai sensi dell’art. 35 del GDPR; inoltre l’art. 22 GDPR tutela gli interessati dal processo decisionale basato unicamente su trattamenti automatizzati. Quindi, prima di mettere in produzione sistemi decisionali automatizzati occorre valutare rischi e prevedere misure compensative (human-in-the-loop, spiegabilità, informazioni agli interessati).
Obbligo di adeguati assetti aziendali. L’art. 2086 c.c. impone all’imprenditore in forma societaria il dovere di istituire un assetto organizzativo, amministrativo e contabile adeguato alla natura e alle dimensioni dell’impresa; in ambito societario le norme sul funzionamento del consiglio e sui doveri informativi degli amministratori (art. 2381 c.c.) vincolano il board a valutare e curare l’adeguatezza dei presidi. Questi principi si traducono nell’obbligo per l’organo amministrativo di predisporre controlli coerenti quando l’impresa integra sistemi di IA.
Responsabilità e modello 231. L’adozione dell’IA può incidere sui modelli di organizzazione, gestione e controllo ex D.lgs. 231/2001: i processi automatizzati che interagiscono con attività sensibili (es. rapporti con PA, controlli finanziari, sicurezza sul lavoro) vanno mappati e i modelli aggiornati per prevenire rischi di responsabilità dell’ente.
Chi riguarda e cosa fare
Soggetti interessati. Il tema riguarda in primo luogo le società di capitali (S.r.l., S.p.A.), gruppi societari e enti che operano processi complessi con ricadute organizzative rilevanti; coinvolge altresì società di persone e imprese collettive nella misura in cui adottino sistemi algoritmici che incidono su processi aziendali critici. Non è materia tipica del regime forfettario: le semplificazioni fiscali per i forfettari non esonerano dal rispetto di GDPR o dalle responsabilità civili qualora si impieghino sistemi con impatti su terzi (dichiarazione resa in via sintetica).
Ruoli e responsabilità pratiche. In ambito societario va chiarito chi decide l’introduzione del sistema (CdA), chi valuta i rischi tecnici e legali (funzioni compliance/privacy/IT/ODV/AI Officer) e quali sono i canali di reporting verso il consiglio. Il collegio sindacale e l’Organismo di Vigilanza devono vigilare sull’adeguatezza e sul funzionamento dei presidi.
I passi pratici per adeguarsi alle novità
Checklist operativa per l’organo amministrativo
- Mappare i processi aziendali che impiegano IA e classificare i sistemi per rischio (alto/medio/basso).
- Eseguire una DPIA quando il trattamento coinvolge dati personali o decisioni automatizzate potenzialmente dannose; documentare esito e misure mitigate.
- Valutare la conformità ai requisiti dell’AI Act per i sistemi ad alto rischio (trasparenza, metriche di performance, auditabilità).
- Aggiornare Modello 231, procedure e manuali operativi per includere i rischi legati all’IA; prevedere controlli e audit trail.
- Introdurre ruoli e governance specifici: responsabile data governance, AI Officer, flussi di escalation verso il CdA e reporting periodico dei KPI di affidabilità del sistema.
- Stabilire meccanismi di human-in-the-loop e regole chiare per l’intervento umano nelle decisioni rilevanti; definire livelli di delega e soglie di intervento.
- Contrattualizzare adeguate garanzie con fornitori di servizi IA (garanzie di qualità dei dati, diritti di audit, piani di continuità e cybersecurity).
- Formare il management e le funzioni di controllo su rischi, limiti del modello e responsabilità civili/penali correlate all’adozione dell’IA.
- Monitorare e aggiornare continuamente: metriche di performance, bias testing, piani di intervento in caso di malfunzionamento o usi non conformi.
Indicazioni per il verbale del CdA: il consiglio dovrebbe verbalizzare la valutazione dei rischi connessi all’introduzione dell’IA, le misure deliberate (DPIA, aggiornamento Modello 231, designazione responsabilità) e il piano di controllo e reporting. Tale documentazione è fondamentale in caso di verifiche e per dimostrare l’adempimento del dovere di cura ex art. 2086 e degli obblighi informativi di cui all’art. 2381 c.c.
Priorità immediata: se l’impresa già utilizza sistemi che influenzano decisioni rilevanti, avviare entro 90 giorni una DPIA e la mappatura dei processi critici; aggiornare il modello 231 laddove necessario; istituire flussi informativi al CdA per la supervisione permanente.
