Pollicino AIdvisory pubblica il nuovo policy brief “Intelligenza artificiale e novità normative in materia penale: dalla legge n. 132/2025 ai decreti attuativi”, a cura di Clementina Salvi, Senior Advisor.
Il documento analizza le principali novità introdotte nell’ordinamento italiano in materia di intelligenza artificiale e responsabilità penale, a partire dalla legge n. 132/2025 e dai successivi interventi attuativi. Al centro dell’analisi vi è il progressivo passaggio da una regolazione dell’AI fondata prevalentemente su obblighi tecnici e organizzativi a un sistema nel quale la mancata adozione di adeguate misure di sicurezza può assumere rilevanza anche sul piano penale.
Particolare attenzione è dedicata al nuovo art. 437-bis del codice penale, relativo all’omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alla loro alterazione illecita. La disposizione riguarda, in particolare, i sistemi di AI ad alto rischio e individua tre condotte rilevanti: la mancata adozione delle misure tecniche di sicurezza, l’omissione delle misure di sorveglianza umana e l’alterazione illecita del funzionamento dei sistemi. Non ogni violazione degli obblighi regolatori assume automaticamente rilevanza penale: la punibilità richiede che la condotta determini un pericolo concreto per beni fondamentali, quali la vita, l’incolumità individuale o pubblica e la sicurezza dello Stato.
Il policy brief evidenzia inoltre come il rischio penale possa emergere lungo l’intero ciclo di vita dei sistemi di intelligenza artificiale, dalla progettazione e dall’addestramento fino alla commercializzazione e all’utilizzo professionale. La responsabilità non riguarda quindi esclusivamente chi impiega concretamente il sistema, ma può coinvolgere i diversi operatori individuati dall’AI Act, in relazione agli obblighi loro attribuiti. In questo contesto assume particolare rilievo il rapporto tra prescrizioni tecniche, standard di sicurezza e principio di legalità penale, anche alla luce della scelta di limitare la responsabilità colposa alle ipotesi di colpa grave.
Un ulteriore tema centrale riguarda l’estensione della responsabilità amministrativa degli enti ai sensi del d.lgs. n. 231/2001. Il decreto introduce tra i reati presupposto sia il nuovo art. 437-bis c.p., sia il reato relativo alla diffusione illecita di contenuti generati o manipolati mediante intelligenza artificiale, previsto dall’art. 612-quater c.p. Per le imprese, questa evoluzione rende necessario considerare i rischi connessi all’AI non soltanto nell’ambito della conformità normativa, ma anche nella definizione dei modelli organizzativi, nella mappatura dei rischi e nei sistemi di prevenzione della responsabilità dell’ente.
Il documento affronta anche l’utilizzo dell’intelligenza artificiale nelle indagini penali, con particolare riferimento all’identificazione biometrica remota in tempo reale. Il nuovo art. 359-ter c.p.p. disciplina il ricorso a questi strumenti in specifiche circostanze, prevedendo limiti e garanzie procedurali rafforzate. L’impiego è subordinato, in via ordinaria, all’autorizzazione del giudice e deve rispettare criteri di necessità e proporzionalità, con precise delimitazioni relative alle persone ricercate, all’area geografica e alla durata delle operazioni. La disciplina prevede inoltre meccanismi di convalida nei casi di urgenza e l’inutilizzabilità dei risultati acquisiti in violazione delle principali garanzie.
Particolare attenzione è infine riservata agli strumenti cautelari applicabili ai contenuti generati con intelligenza artificiale. L’ampliamento della disciplina del sequestro preventivo dei contenuti online riflette l’esigenza di adeguare gli strumenti giudiziari ai rischi derivanti dalla diffusione di contenuti sintetici o manipolati. Si rafforza così il collegamento tra diritto penale, disciplina processuale e governance delle piattaforme digitali.
Il policy brief delinea dunque un’evoluzione significativa del rapporto tra intelligenza artificiale e diritto penale: la responsabilità non riguarda più soltanto gli utilizzi illeciti della tecnologia, ma può estendersi alle modalità con cui i sistemi vengono progettati, gestiti e controllati. Per imprese e organizzazioni diventa quindi essenziale integrare AI Act compliance, cybersecurity, governance e prevenzione del rischio penale in un unico processo di gestione preventiva. L’adozione di misure tecniche adeguate, l’effettività della sorveglianza umana, la documentazione dei controlli e l’aggiornamento dei modelli organizzativi assumono così un ruolo sempre più importante nella gestione responsabile dell’intelligenza artificiale.
Scarica il pdf: https://pollicinoaidvisory.eu/wp-content/uploads/2026/10/14.09.2026-PB-Salvi.pdf
