Dai sistemi ad alto rischio ai deepfake, l’utilizzo dell’AI entra sempre più direttamente nella compliance aziendale. Per le imprese diventa necessario mappare tecnologie, responsabilità e controlli

L’intelligenza artificiale entra sempre più direttamente nel sistema delle responsabilità delle imprese. Il nuovo quadro normativo italiano, costruito in raccordo con l’AI Act europeo, introduce infatti fattispecie che possono avere conseguenze anche sul fronte della responsabilità amministrativa degli enti disciplinata dal decreto legislativo 231 del 2001.

Una delle novità più significative riguarda l’utilizzo dei sistemi di intelligenza artificiale considerati ad alto rischio. L’attenzione del legislatore si concentra in particolare sulla mancata adozione delle misure necessarie a prevenire malfunzionamenti e alterazioni e sull’assenza di un’adeguata supervisione umana quando dall’utilizzo del sistema possa derivare un concreto pericolo per le persone, la collettività o la sicurezza.

Il punto centrale per le aziende è che determinate condotte legate all’impiego dell’AI possono entrare nel perimetro dei cosiddetti reati presupposto del D.Lgs. 231/2001. In presenza delle condizioni previste dalla normativa, alle responsabilità individuali potrebbe quindi aggiungersi quella dell’impresa, con il conseguente rischio di sanzioni pecuniarie e interdittive.

Anche i deepfake nel nuovo perimetro dei rischi

Un altro fronte riguarda la diffusione illecita di contenuti artificialmente generati o manipolati.

Immagini, video e voci modificati attraverso sistemi di intelligenza artificiale possono diventare fonte di responsabilità quando vengono diffusi senza consenso, appaiono autentici e provocano un danno ingiusto alla persona rappresentata.

È un aspetto che interessa non soltanto le aziende tecnologiche. L’utilizzo dell’intelligenza artificiale generativa è ormai diffuso negli uffici comunicazione, nel marketing, nella produzione audiovisiva, nella gestione dei social network e nei rapporti con clienti e consumatori.

Per le imprese diventa necessaria una mappa dell’AI utilizzata

Il cambiamento normativo impone quindi alle organizzazioni di conoscere esattamente quali strumenti di intelligenza artificiale vengono utilizzati al proprio interno.

Il primo passaggio è la mappatura dei sistemi AI: quali applicazioni sono operative, quali processi aziendali coinvolgono, quali dati utilizzano, chi prende le decisioni sulla loro base e quali soggetti hanno la responsabilità di controllarne il funzionamento.

Particolare attenzione dovrà essere dedicata ai sistemi classificabili come ad alto rischio secondo la normativa europea. In questi casi diventano centrali la tracciabilità delle decisioni, la documentazione delle procedure, la gestione delle anomalie e soprattutto l’effettiva presenza di una supervisione umana.

Anche i rapporti con i fornitori assumono maggiore importanza. Un’impresa che acquista o utilizza servizi AI sviluppati da soggetti esterni dovrà conoscere caratteristiche, limiti e condizioni di utilizzo della tecnologia, definendo con maggiore precisione responsabilità e procedure di controllo.

Modello 231, necessario valutare gli aggiornamenti

Il nuovo scenario ha conseguenze anche per le funzioni compliance e per gli Organismi di Vigilanza.

Le imprese dovranno verificare se i propri Modelli organizzativi 231 siano adeguati rispetto ai nuovi rischi derivanti dall’intelligenza artificiale e, quando necessario, aggiornare procedure, protocolli, sistemi di controllo e flussi informativi.

Non si tratta quindi soltanto di un adeguamento tecnologico. L’AI sta diventando una componente della governance aziendale: scegliere un algoritmo, utilizzarlo in un processo decisionale o produrre un contenuto sintetico può avere conseguenze giuridiche che devono essere preventivamente valutate.

La direzione indicata dalle nuove norme è chiara: con la diffusione dell’intelligenza artificiale cresce anche la responsabilità di chi la utilizza. Per le aziende significa passare dalla semplice adozione degli strumenti AI alla costruzione di un vero sistema di AI governance, capace di stabilire responsabilità, controlli e procedure prima che si verifichi un problema.