Entra in vigore il 30 settembre 2026 il D.Lgs. 9 settembre 2026, n. 160, pubblicato in Gazzetta Ufficiale il 15 settembre 2026, che adegua la normativa nazionale al Regolamento (UE) 2024/1689 ("AI Act") in materia di utilizzo dei sistemi di intelligenza artificiale per l'attività di polizia e di responsabilità civile e penale.

Il nuovo reato
La norma punisce chi omette di adottare le misure tecniche di sicurezza previste per la progettazione, l'addestramento, la produzione e l'immissione sul mercato di sistemi di IA ad alto rischio – idonee a prevenire malfunzionamenti o alterazioni – o misure di sorveglianza umana, laddove da tali omissioni derivi pericolo per la vita o l'incolumità pubblica o individuale o per la sicurezza dello Stato.
La norma sanziona altresì chiunque alteri sistemi di Intelligenza Artificiale ad alto rischio, quando ne derivi un pericolo per la vita, l’incolumità pubblica o individuale oppure per la sicurezza dello Stato.
La disposizione prevede anche la punibilità per colpa grave delle omissioni previste dal primo comma. È prevista la responsabilità anche dell'utilizzatore professionale che ometta intenzionalmente di adottare misure di sorveglianza umana.
Quanto alla definizione di "sistema di IA ad alto rischio" il testo di legge rinvia all'art. 6 del Regolamento (UE) 2024/1689 combinato con il relativo Allegato III.

Le novità in materia 231
Viene inserito nel D.lgs. 231/2001 il nuovo art. 25-vicies, rubricato "Reati commessi con l'uso di sistemi di intelligenza artificiale", che crea una categoria autonoma di reato-presupposto, distinta da quella sui reati informatici individuata dall’art. 24-bis del D.lgs. 231/2001.
Nel dettaglio:

1. Per il delitto di cui al nuovo art. 437-bis c.p. si applica all'ente una sanzione pecuniaria da 600 a 1.000 quote.
2. Per il delitto di cui all'art. 612-quater c.p. relativo all’illecita diffusione di immagini, video o voci falsificati o alterati mediante Intelligenza Artificiale, (deepfake) si applica all'ente una sanzione pecuniaria da 200 a 700 quote.
3. In entrambi i casi si applicano all'ente le sanzioni interdittive previste dall'art. 9, comma 2, lett. b), c), d) ed e) del D.lgs. 231/2001: sospensione o revoca delle autorizzazioni; divieto di contrattare con la Pubblica Amministrazione; esclusione da agevolazioni e finanziamenti; divieto di pubblicizzare beni o servizi.
   Resta invece esclusa l'interdizione dall'esercizio dell'attività.

Impatto pratico per i Modelli 231
Le nuove disposizioni sanzionatorie e la responsabilità degli enti hanno portata generale e si applicano a qualsiasi impresa, ente o professionista coinvolto nella progettazione, addestramento, produzione, immissione sul mercato o utilizzo professionale di sistemi di IA ad alto rischio.
Le imprese e i professionisti sono pertanto chiamati a valutare se è necessario procedere all’aggiornamento del proprio Modello Organizzativo e delle procedure di sorveglianza umana sui sistemi di IA ad alto rischio, documentando all’interno di tali atti i presidi adottati.