La cornice italiana c’è già: la vigilanza spetta all’Agenzia per la cybersicurezza nazionale, con Garante privacy, Banca d’Italia, Consob e Ivass nei rispettivi settori. Il 10 giugno scorso il Consiglio dei ministri ha approvato in via preliminare i due decreti attuativi che completano il disegno: il primo riguarda poteri delle autorità, sanzioni, sperimentazione, formazione e lavoro; il secondo è relativo all’uso dell’Ai nelle attività di polizia e responsabilità civile e penale.
La direzione è netta, e passa dal diritto penale. Si prepara il debuttodell’articolo 437-bis del Codice penale, che punisce chi omette le misure di sicurezza sui sistemi di Ai ad alto rischio creando un pericolo concreto per le persone. E i reati legati all’Ai entrano nel catalogo della responsabilità degli enti, disciplinata dal decreto legislativo 231/2001, che espone l’impresa a sanzioni proprie quando il reato è commesso nel suo interesse: vi figurano il nuovo articolo 437-bis e il deepfake illecito (articolo 612-quater del Codice penale), reato già dal 2025. Per le aziende il messaggio è uno: i modelli organizzativi 231 vanno aggiornati al rischio Ai.
La consulenza
Così si impiega il tempo guadagnato
Per chi assiste le imprese il tempo guadagnato con i rinvii va investito. Primo cantiere: censire i sistemi di Ai in uso e classificarli per rischio. L’Omnibus conferma una regola chiave: se il fornitore (chi immette il sistema sul mercato) ritiene che un sistema usato negli ambiti dell’Allegato III non sia ad alto rischio, perché privo di effetti significativi su salute, sicurezza o diritti, deve documentare l’autovalutazione e, quando a fine 2027 scatterà quel regime, registrarla nella banca dati europea dei sistemi ad alto rischio, in gran parte pubblica. Si registra dunque solo l’autovalutazione di chi invoca l’eccezione: una presa di posizione su cui le autorità potranno orientare i controlli. Lo stesso censimento serve a presidiare gli obblighi di trasparenza e a preparare la documentazione che il regime dell’alto rischio richiederà ai clienti.
Il calendario
ll combinato disposto di AI Act e Digital Omnibus definisce le nuove date per l’entrata in vigore a pieno regime delle norme sull’intelligenza artificiale.
