L'Italia si candida a fare da apripista in Europa in materia di sicurezza digitale. Il provvedimento arriva come input in attuazione dell'AI Act europeo.

Due sono le condotte al centro della lente del legislatore. L’omessa adozione delle misure di sicurezza: scatta quando i responsabili di sistemi di IA ad alto rischio — pensiamo ai settori critici come la sanità, la giustizia, la pubblica sicurezza o la gestione infrastrutturale — ignorano deliberatamente o per grave incuria l'implementazione dei sistemi di protezione prescritti dalla legge. L'alterazione illecita dei sistemi: punisce chi, con dolo o colpa grave, manipola, altera o compromette il corretto funzionamento di questi cervelli elettronici, trasformandoli da strumenti di progresso a potenziali detonatori di disastri digitali.

La norma restituisce centralità all'elemento umano, individuando nei progettisti, nei vertici d'azienda e nei gestori i veri guardiani del codice.

Se un sistema di IA ad alto rischio fallisce drammaticamente per mancanza di tutele preventive o per manomissioni scellerate, la responsabilità penale non si dissolve nel cyberspazio, ma bussa direttamente agli uffici di chi aveva il dovere giuridico di vigilare.

La geometria delle pene: dal dolo alla colpa grave

Il nuovo impianto normativo non lascia spazio a interpretazioni benevole e modula il rigore repressivo in base all'elemento psicologico e alla portata offensiva della condotta:

Il regime del dolo (commi 1-2). Per chi omette deliberatamente di adottare le cautele prescritte o manipola il sistema, la reclusione oscilla da 1 a 5 anni nel caso in cui il pericolo riguardi la vita o l'incolumità individuale. La forbice si alza drasticamente — con pene che vanno da 2 a 8 anni e oltre, a seconda dei commi specifici — quando la condotta scellerata espone a rischio l'incolumità pubblica o la sicurezza stessa dello Stato.

Lo tsunami sul Decreto 231: l'azienda nel mirino

Ma la vera rivoluzione dell'articolo 437-bis risiede nell'impatto sistemico sul tessuto economico e societario. Il reato è stato inserito nel catalogo dei reati presupposto del Decreto Legislativo 231/2001 tramite il nuovo articolo 25-vicies, estendendo la responsabilità amministrativa degli enti.

Le conseguenze per le aziende che sviluppano, commercializzano o impiegano IA ad alto rischio sono dirompenti.

Sanzioni pecuniarie: è prevista l'applicazione di multe pesantissime, quantificate da 600 a 1.000.

Sanzioni interdittive: il giudice potrà applicare misure accessorie di altissimo impatto reputazionale ed economico, come la sospensione o la revoca di autorizzazioni, il divieto di contrattare con la pubblica amministrazione e l'esclusione da agevolazioni e finanziamenti.

Quali misure per la Governance?

Le direzioni legali e i board di banche, industrie, strutture sanitarie e pubbliche amministrazioni stanno correndo ai ripari.

Chi governa la tecnologia sa che il prezzo di un errore non si paga più solo in termini di mercato.