Intelligenza artificiale e responsabilità d’impresa: dall’AI Act al Digital Omnibus

“L’intelligenza artificiale è uno strumento straordinario, ma non può sostituire la coscienza, la responsabilità e la dignità della persona umana. La tecnologia deve rimanere al servizio dell’uomo e del bene comune”.

Queste sono le parole di Papa Leone XIV, che nei suoi recenti interventi sull’etica digitale e sull’intelligenza artificiale ha riportato il dibattito sull’AI alla sua essenza: il progresso tecnologico deve sempre essere accompagnato dalla responsabilità umana. In questa ottica si collocano il Regolamento (UE) 2024/1689 (AI Act) – operativo dal 1° agosto 2024, con un’applicazione graduale fino al 2028, già modificato dal recente Regolamento (UE) 2026/1744 (Digital Omnibus on AI) per alcuni aspetti che verranno esaminati più avanti – e la Legge 23 settembre 2025, n. 132, in vigore in Italia dal 10 ottobre 2025, quale primo quadro normativo nazionale organico dedicato all’intelligenza artificiale. La legge italiana stabilisce che le sue disposizioni devono essere interpretate e applicate in conformità all’AI Act europeo.

Un quadro regolatorio ormai operativo 

Il rapporto tra impresa e intelligenza artificiale non può più essere considerato solo sotto un profilo tecnologico, poiché l’AI è ormai un tema di governance, controllo interno, responsabilità organizzativa e gestione del rischio. Il Regolamento (UE) 2024/1689, noto anche come AI Act, ha introdotto un modello europeo basato sul rischio, in cui gli obblighi variano in funzione della pericolosità del sistema utilizzato o immesso sul mercato. La legge citata ha quindi affiancato al quadro europeo una normativa nazionale organica, destinata a influire su settori cruciali come lavoro, professioni, pubblica amministrazione, giustizia, sanità, sicurezza, dati, responsabilità civile e fattispecie penali.

L’entrata in vigore del Digital Omnibus on AI, il 27 luglio 2026, pur non modificando sostanzialmente il quadro normativo sopra descritto, ne conferma la direzione, rimodulando i tempi applicativi per consentire alle imprese, soprattutto quelle di minori dimensioni e alle società in crescita, di affrontare gli adempimenti più complessi con maggiore gradualità. Tuttavia, è fondamentale comprendere che la semplificazione europea non equivale a una sospensione della responsabilità aziendale: le imprese devono quindi utilizzare queste proroghe per riorganizzare i programmi di compliance secondo un calendario più realistico e scalare.

Cambiamenti introdotti dal Digital Omnibus on AI 

La modifica più rilevante riguarda la decorrenza degli obblighi relativi ai sistemi di AI ad alto rischio. Per i sistemi autonomi inclusi nell’Allegato III dell’AI Act – come quelli utilizzati in settori quali occupazione, istruzione, accesso a servizi essenziali, gestione di infrastrutture critiche, migrazione e controllo delle frontiere – la data di applicazione è spostata al 2 dicembre 2027. Per i sistemi di AI incorporati in prodotti soggetti alla normativa europea di sicurezza dei prodotti, come macchinari, giocattoli, ascensori e dispositivi regolati da discipline settoriali, la decorrenza è fissata al 2 agosto 2028.

Il Digital Omnibus introduce anche misure di semplificazione per le piccole e medie imprese e per le small mid-cap companies, amplia l’accesso ai sandbox regolatori, chiarisce il rapporto tra AI Act e normativa europea di sicurezza dei prodotti e riduce alcuni oneri documentali. Tra gli interventi di semplificazione figurano, in particolare, la rimozione dell’obbligo di registrare nella banca dati europea determinati sistemi esentati, una maggiore flessibilità nel monitoraggio post-mercato e la trasformazione del precedente obbligo aziendale di alfabetizzazione IA in un modello di incoraggiamento non vincolante, accompagnato da un ruolo più attivo della Commissione e degli Stati membri nella promozione delle competenze.

Ciò che non cambia: la Legge 132/2025 rimane pienamente efficace 

Sebbene il Digital Omnibus modifichi e scaglioni alcune decorrenze dell’AI Act, non incide sulla validità della Legge 132/2025, per cui le disposizioni penali, civili e amministrative introdotte nell’ordinamento italiano dalla legge nazionale restano applicabili secondo il loro regime proprio e non sono rinviate dal nuovo calendario europeo. Pertanto, per le aziende italiane, le modifiche e integrazioni introdotte dalla Legge 132/2025 in materia di responsabilità, uso illecito dell’IA, tutela contro contenuti artificialmente generati o alterati, aggravanti penali, diritto d’autore, mercati finanziari e responsabilità connesse all’utilizzo di strumenti algoritmici rimangono immediatamente rilevanti.

In termini operativi, ciò significa che le imprese che utilizzano sistemi generativi, modelli predittivi, chatbot, strumenti di automazione documentale, software di recruiting, analisi dei dati o sistemi decisionali assistiti non possono sostenere che il rinvio degli obblighi europei concernenti sistemi ad alto rischio determini una sospensione delle normative nazionali già in vigore.

Di conseguenza, il differimento temporale di entrata in vigore di alcuni adempimenti della normativa europea offre più tempo per completare mappatura, classificazione, documentazione tecnica, procedure di conformità e adeguamento organizzativo; tuttavia, non rappresenta una franchigia rispetto alle responsabilità penali, civili, amministrative e reputazionali derivanti da un uso scorretto o non governato dell’intelligenza artificiale.

Implicazioni operative immediate per le aziende

Sebbene il nuovo calendario permetta alle imprese di distribuire gli interventi nel tempo, già a partire dal prossimo 2 agosto è necessario procedere a una pianificazione puntuale delle attività di compliance. In particolare, volendo scaglionare temporalmente le attività, si può stabilire che:

• la prima attività consiste nella mappatura dei sistemi di AI effettivamente utilizzati, includendo non solo gli strumenti sviluppati internamente, ma anche applicazioni acquistate da fornitori, funzionalità integrate in software gestionali, moduli generativi presenti in suite aziendali, sistemi di analisi predittiva, piattaforme HR, chatbot, strumenti di marketing automation e soluzioni impiegate nei processi finanziari o decisionali;
• la seconda attività riguarda la classificazione del rischio. Ogni sistema deve essere ricondotto a una categoria: vietato, ad alto rischio, a rischio limitato, a rischio minimo o riconducibile ai modelli di IA per finalità generali. Questa classificazione è indispensabile per comprendere quali obblighi siano già applicabili e quali debbano essere programmati entro le nuove scadenze del 2027 e del 2028;
• la terza attività riguarda la documentazione da produrre, concernente finalità d’uso, dataset, fornitori, istruzioni operative, controlli umani, metriche di accuratezza, procedure di incident reporting, misure di cybersecurity, valutazioni privacy e presidi anti-discriminazione, in tal modo da dimostrare una condotta diligente in caso di contestazioni.

L’impatto sui Modelli 231 e sui sistemi di controllo interno 

Per le società dotate di Modello di organizzazione, gestione e controllo ai sensi del D.Lgs. 231/2001, l’AI deve essere trattata come nuova area trasversale di rischio. Non si tratta necessariamente di creare un modello separato, ma di integrare l’intelligenza artificiale nei protocolli esistenti, nelle procedure IT, nelle policy HR, nelle regole di comunicazione esterna, nei controlli sul diritto d’autore, nelle procedure di approvazione dei contenuti e nei flussi informativi verso l’Organismo di Vigilanza.

Già la Legge 132/2025 rende particolarmente rilevanti i rischi connessi alla generazione o alterazione di contenuti, all’impersonificazione digitale, all’utilizzo illecito di dati, alla manipolazione informativa, ai reati informatici aggravati dall’uso dell’IA, alle violazioni del diritto d’autore e alle condotte capaci di incidere su mercati, reputazione, lavoratori, clienti o investitori. L’aggiornamento del Modello 231 dovrebbe quindi includere una matrice dei processi aziendali in cui l’IA viene utilizzata, l’individuazione dei soggetti responsabili, controlli preventivi, procedure autorizzative, obblighi di tracciabilità e specifici programmi formativi per dirigenti, funzioni compliance, HR, marketing, IT e Organismo di Vigilanza.

Conclusioni

L’AI Act – come modificato dal Digital Omnibus on AI – e la Legge 132/2025 delineano un sistema nel quale l’intelligenza artificiale è ammessa, promossa e valorizzata, ma deve essere governata.

Il principio centrale resta la responsabilità umana: l’algoritmo può assistere, accelerare, suggerire o automatizzare, ma non sostituisce la responsabilità dell’impresa, dei suoi organi, dei dirigenti e delle funzioni chiamate a utilizzare o controllare tali strumenti. Il Digital Omnibus modifica i tempi di alcuni obblighi europei, soprattutto quelli relativi ai sistemi ad alto rischio, ma non muta la necessità di adottare subito misure di governance. Né incide sull’efficacia delle disposizioni penali, civili e amministrative della Legge 132/2025, che restano pienamente operative.

Per le imprese italiane il messaggio è dunque chiaro: l’AI non è più soltanto una leva di innovazione, ma una componente stabile del sistema di compliance aziendale. Governarla oggi significa ridurre il rischio giuridico domani e costruire fiducia nel mercato.

L’Avv. Domenico Vozza è Senior Security Manager e Compliance Expert.