Intelligenza artificiale, Modelli 231 e ISO 42001: Perché serve una governance dell’AI
L’Intelligenza Artificiale è ormai entrata stabilmente nei processi aziendali. Viene utilizzata per scrivere testi, analizzare documenti, supportare attività commerciali, gestire informazioni, automatizzare processi e, in alcuni casi, assistere decisioni interne.
Tabella dei Contenuti
L’intelligenza artificiale oggi
Per molto tempo l’AI è stata vista soprattutto come uno strumento di efficienza, che agevolava appunto le attività citate. Oggi, però, questa lettura rischia di essere riduttiva e l’ampliamento degli utilizzi, unito alle potenzialità degli strumenti di AI, possono incidere su attività aziendali delicate e sui dati che vengono inseriti o trattati tramite questi strumenti: dati personali, informazioni riservate, documenti interni, comunicazioni verso clienti e fornitori, contenuti commerciali, attività HR, cybersecurity e processi decisionali.
Per questa ragione, l’AI non può essere considerata soltanto un tema tecnico informatico. È diventato oramai anche un tema di compliance, organizzazione e controllo.
La novità in ambito penale: l’AI come aggravante del reato
La Legge 23 settembre 2025, n. 132, in materia di Intelligenza Artificiale, ha introdotto una specifica aggravante nel codice penale: il nuovo art. 61, n. 11-undecies, c.p. prevede infatti un aggravamento quando il reato viene commesso mediante sistemi di Intelligenza Artificiale e questi, per la loro natura o per le modalità di utilizzo, abbiano reso la condotta più insidiosa, abbiano ostacolato la difesa oppure abbiano aggravato le conseguenze del fatto.
Il punto è chiaro: il legislatore prende atto che l’AI può essere utilizzata non solo come strumento operativo, ma anche come mezzo per rendere una condotta illecita più efficace, più difficile da individuare o più dannosa. Si pensi, ad esempio, alla creazione di documenti falsi, alla generazione di comunicazioni ingannevoli, all’utilizzo di immagini, video o voci manipolate, oppure alla produzione automatizzata di contenuti idonei ad alterare decisioni o comportamenti. In questi casi il problema non è solo tecnologico: diventa anche giuridico e organizzativo.
Perché il tema riguarda anche i Modelli 231
L’AI può dunque incidere concretamente sul modo in cui alcuni reati-presupposto del Modello 231 vengono commessi, agevolati o occultati. Per questo motivo, l’utilizzo dell’Intelligenza Artificiale deve ormai essere valutato all’interno del Risk Assessment 231, soprattutto quando riguarda processi sensibili: comunicazioni aziendali, gestione documentale, rapporti con la pubblica amministrazione, attività commerciali, reati informatici, reati societari, market abuse, tutela del diritto d’autore e gestione delle informazioni riservate.
Il tema, quindi, non è creare necessariamente una nuova “area 231” dedicata all’AI, quanto piuttosto capire se l’AI possa incidere come elemento strumentale sui processi già mappati e se i controlli esistenti sono ancora adeguati alla luce delle modifiche normative.
Il rischio organizzativo
Il vero rischio, per molte aziende, è l’utilizzo informale e non disciplinato dell’AI. Strumenti generativi, chatbot, software con funzionalità AI integrate e piattaforme cloud vengono spesso utilizzati senza una disciplina interna chiara. In assenza di regole, diventa difficile stabilire chi possa utilizzare questi strumenti, per quali finalità, con quali dati, con quali limiti e con quale controllo sugli output generati. Questo può creare una zona grigia organizzativa e, in ottica 231, una zona grigia è sempre un problema: perché il Modello deve essere coerente con l’effettiva operatività aziendale, non con una fotografia teorica dell’organizzazione.
Se l’AI viene utilizzata nei processi aziendali, ma non viene considerata nelle procedure, nei controlli, nei flussi verso l’Organismo di Vigilanza e nelle attività formative, il Modello rischia di non intercettare correttamente una parte del rischio.
AI Act e ISO 42001: strumenti per governare l’AI
Anche l’AI Act conferma questa impostazione: l’Intelligenza Artificiale deve essere gestita secondo un approccio basato sul rischio. Uno dei primi obblighi per le imprese riguarda l’alfabetizzazione in materia di AI, cioè la necessità di assicurare che il personale abbia un livello adeguato di competenza nell’utilizzo di questi strumenti. La formazione, quindi, non è un adempimento formale. Serve a evitare utilizzi impropri, inserimento non autorizzato di dati personali o informazioni riservate, affidamento eccessivo agli output, produzione di contenuti errati o fuorvianti e assenza di controllo umano.
In questo contesto, anche la ISO/IEC 42001 può rappresentare un presidio molto utile. La ISO 42001 è lo standard internazionale dedicato ai sistemi di gestione dell’Intelligenza Artificiale. Non sostituisce l’AI Act, il GDPR o il Modello 231, ma aiuta l’organizzazione a costruire un sistema strutturato di governo dell’AI: ruoli, responsabilità, regole interne, valutazione dei rischi, formazione, controlli, audit e riesame periodico. In termini pratici, consente di passare da un uso spontaneo e non governato dell’AI a un utilizzo regolato, documentato e verificabile.
Cosa dovrebbero fare le aziende
Le aziende che utilizzano strumenti di Intelligenza Artificiale dovrebbero avviare almeno alcune attività essenziali:
- mappare gli strumenti AI utilizzati;
- individuare le funzioni aziendali che li impiegano;
- chiarire quali dati possono essere inseriti e quali no;
- adottare una policy interna sull’utilizzo dell’AI;
- formare il personale;
- valutare l’impatto sui processi sensibili 231;
- aggiornare, ove necessario, procedure, controlli e flussi verso l’Organismo di Vigilanza;
- valutare l’adozione di un sistema di gestione conforme alla ISO/IEC 42001.
Oggi la differenza non è tra aziende che usano l’Intelligenza Artificiale e aziende che non la usano. La vera differenza è tra organizzazioni che sanno dimostrare di aver definito regole, limiti e controlli, e organizzazioni che lasciano l’utilizzo dell’AI all’iniziativa dei singoli. Alla luce dell’AI Act, della nuova aggravante penale e dei possibili riflessi sui Modelli 231, la governance dell’Intelligenza Artificiale diventa quindi un presidio di prevenzione. Non basta utilizzare l’AI in modo efficiente, occorre poter dimostrare di utilizzarla in modo responsabile.
