NUOVI OBBLIGHI DI COMPLIANCE A CARICO DELL'IMPRESE IN MATERIA DI AI: AI ACT E D.Lgs. 160/2026

NUOVI OBBLIGHI DI COMPLIANCE A CARICO DELL'IMPRESE IN MATERIA DI AI: AI ACT E D.Lgs. 160/2026

22 Settembre 2026

A far data dal 2 agosto 2026, le imprese che utilizzano, anche come deployer, sistemi di intelligenza artificiale, sono tenute ad osservare alcuni obblighi per conformarsi alle nuove disposizioni applicabili del Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024 (generalmente noto come “AI Act”). 

Gli adempimenti di compliance che ne conseguono sono particolarmente importanti: per alcune violazioni dell'AI Act, infatti, le sanzioni possono raggiungere 35 milioni di euro o il 7% del fatturato mondiale annuo, mentre per altre possono arrivare fino a 15 milioni di euro o al 3% del fatturato mondiale. Tali rischi si aggiungono a quelli già tradizionalmente noti connessi all’utilizzo dell’AI, quali, tra l’altro, la perdita di informazioni riservate, le violazioni della privacy, le contestazioni dei dipendenti, i problemi di proprietà intellettuale, le responsabilità nei confronti di clienti e fornitori e i danni reputazionali.

Cosa devono fare, dunque, le imprese per ottemperare a tali nuovi obblighi? Il suggerimento è quello di mappare, mediante apposita analisi, gli strumenti e le relative modalità di utilizzo degli strumenti di intelligenza artificiale, e definire una policy aziendale sul relativo utilizzo. A mero titolo esemplificativo, si segnala, tra l’altro, che:

• le persone che utilizzano sistemi di intelligenza artificiale per conto dell'impresa devono possedere un adeguato livello di AI literacy, secondo quanto previsto dall'articolo 4 dell'AI Act. A provider e deployer, infatti, è richiesto di adottare misure idonee a garantire tale livello di competenza, commisurando la formazione al ruolo ricoperto e alle modalità di utilizzo dello strumento. Ciò, in altri termini, significa che chi impiega l'AI per predisporre una prima bozza di comunicazione e chi la utilizza nelle risorse umane o nell'ambito di processi decisionali riguardanti i lavoratori dovrà seguire un percorso diverso;
• i sistemi utilizzati nei rapporti con dipendenti, candidati, clienti e altri soggetti richiedono una verifica specifica. Alcuni utilizzi, infatti, possono rientrare nelle categorie di maggiore rischio previste dall'AI Act, con conseguente applicazione di obblighi più onerosi in materia di gestione del rischio, documentazione, registrazione degli eventi e supervisione umana. I sistemi ad alto rischio individuati nell'Allegato III saranno soggetti alle relative disposizioni dal 2 dicembre 2027, mentre le disposizioni concernenti determinati prodotti regolamentati decorreranno dal 2 agosto 2028;
• gli obblighi di trasparenza previsti dall'articolo 50 impongono, in determinati casi, di informare le persone quando interagiscono con un sistema di AI, oppure vengono esposte a contenuti generati o manipolati mediante l'intelligenza artificiale. Per i deployer, gli obblighi riguardano, tra l'altro, determinati utilizzi dei sistemi di riconoscimento delle emozioni o di categorizzazione biometrica, i deepfake e i testi generati dall'AI relativi a questioni di interesse pubblico quando non siano sottoposti a revisione umana o controllo editoriale. I contenuti generati o modificati mediante l'intelligenza artificiale devono pertanto essere oggetto di una verifica anche nell'ambito delle attività di comunicazione e marketing.  

Un'efficace gestione della compliance richiede, quindi, un processo proporzionato alle dimensioni e all'attività dell'impresa, anziché una policy standard o il semplice acquisto di un software di AI compliance. Gli strumenti utilizzati devono essere individuati, i relativi rischi classificati, le regole interne definite, le persone formate e l'effettiva applicazione delle procedure verificata periodicamente.

A rendere ancora più complesso il quadro normativo per le imprese si aggiungono le disposizioni che entreranno in vigore il 30 settembre 2026 con il D.Lgs. 160/2026 (cfr. https://www.gazzettaufficiale.it/atto/serie_generale/caricaDettaglioAtto/originario?atto.dataPubblicazioneGazzetta=2026-09-15&atto.codiceRedazionale=26G00179&elenco30giorni=false. 

Le novità principali introdotte da decreto legislativo 160 comportano, infatti, profili di rischio in ambito penale, 231, civile e assicurativo a carico delle imprese che sviluppano o utilizzano sistemi di intelligenza artificiale. Segnatamente, si introduce, tra l’altro:

1. la presunzione del nesso causale in caso di violazione degli obblighi previsti dall'AI Act, anche alla luce della maggiore rilevanza probatoria di log, documentazione tecnica e attività di human oversight;
2. un nuovo reato conseguente alla omissione di misure di sicurezza e di sorveglianza umana nei sistemi di IA ad alto rischio;
3. la conseguente estensione della responsabilità degli enti ex d.lgs. 231/2001 per i reati connessi all’AI. 

Alla luce delle novità sopra descritte, la gestione del rischio in ambito aziendale assume, oltre che maggior centralità e importanza rispetto al passato, unitarietà operativa, dato che AI governance, compliance 231, gestione documentale, incident management e coperture assicurative diventano tra loro strettamente interconnesse.

 

Avvocato Daniele Ferretti, Attorney-at-Law (New York)

Avvocato Daniele Pellegrini, Ph.D.

Le informazioni contenute nel presente articolo sono fornite a scopo meramente informativo e generale e non costituiscono, né intendono costituire, un parere legale o altra forma di consulenza professionale. Il contenuto non tiene conto delle circostanze specifiche del singolo caso e non può essere utilizzato quale base per l’assunzione di decisioni senza il preventivo ottenimento di un parere professionale qualificato.