di Luca Ceva Bovio
La responsabilità amministrativa degli enti ex D.Lgs. n. 231/2001 continua a evolversi a ritmo serrato, spinta dall’escalation dei crimini cibernetici e dall’entrata in vigore del Regolamento Europeo sull’Intelligenza Artificiale (AI Act). Il legislatore ha drasticamente inasprito il catalogo dei reati presupposto informatici e le aziende devono celermente procedere ad un aggiornamento radicale dei propri Modelli di Organizzazione, Gestione e Controllo (MOG). Le sanzioni pecuniarie e interdittive per i reati di accesso abusivo a sistema informatico, diffusione di malware o falsificazione di documenti digitali hanno raggiunto livelli record, penalizzando le imprese prive di adeguate difese digitali.
A questo scenario si aggiunge l’impatto dirompente dei sistemi di Intelligenza Artificiale nei processi aziendali, dall’assessment del personale alla gestione dei dati finanziari. L’utilizzo di algoritmi non conformi o privi di trasparenza espone oggi gli enti a rischi inediti di commissione di reati, come le truffe algoritmiche, la manipolazione del mercato o la violazione massiva dei dati personali. Le nuove linee guida giurisprudenziali integrano le violazioni dell’AI Act direttamente nel perimetro della colpa organizzativa della società. Se l’algoritmo compie un illecito a vantaggio dell’azienda, la responsabilità ricade sul vertice societario che non ha vigilato sulla programmazione e sull’addestramento della macchina.
Per evitare pesanti sanzioni, le imprese devono mappare i nuovi rischi legati all’AI e alla cybersecurity attraverso specifici protocolli di controllo. Diventa obbligatorio implementare procedure di “Human-in-the-loop”, attraverso l’integrazione obbligatoria della supervisione umana nei processi decisionali guidati dall’Intelligenza Artificiale e condurre audit periodici sui codici sorgente. Solo attraverso un avvio tempestivo della mappatura dei nuovi rischi e una attuazione dinamica dei flussi informativi trasparenti attraverso un sistema disciplinare incisivo e un Organismo di Vigilanza (OdV) dotato di reale autonomia e indipendenza, si potrà garantire l’esimente da responsabilità amministrativa in caso di accertamento di “violazioni informatiche”.
