Il 30 settembre 2026 è entrato in vigore il primo articolo del Codice penale italiano dedicato alla sicurezza e alla sorveglianza dei sistemi di intelligenza artificiale. L’articolo 437-bis, introdotto dal decreto legislativo n. 160 del 9 settembre 2026, punisce chi utilizza l’AI in modo scorretto, con impatti sulla salute, sulla sicurezza o sui diritti fondamentali delle persone. La norma è parte del percorso di adeguamento dell’ordinamento italiano al regolamento europeo sull’intelligenza artificiale, noto come AI Act.
Quando si configura il reato
Il reato si configura quando un sistema di AI, utilizzato in modo scorretto, genera un pericolo per la vita o per l’incolumità pubblica o individuale. La norma ha un perimetro preciso: riguarda soltanto i sistemi classificati come «ad alto rischio», cioè quelli utilizzati in contesti sensibili, come la gestione del traffico o la sorveglianza. Per verificare se il reato è stato commesso, bisogna rispondere a tre domande: di quale sistema si tratta? quale condotta è stata tenuta? quale pericolo ne è derivato?
Le condotte punite sono specifiche e richiedono un pericolo concreto. Il sistema deve essere ad alto rischio, la condotta deve essere scorretta e il pericolo deve derivare direttamente da essa. Non basta che un sistema di AI sia utilizzato in modo scorretto, né che presenti un problema di sicurezza. La norma punisce solo quando da una condotta scorretta derivano conseguenze concrete per la salute, la sicurezza o i diritti fondamentali delle persone.
Le sanzioni e le responsabilità
Il primo comma punisce con la reclusione da uno a cinque anni chi non adotta misure di sicurezza necessarie per garantire la controllabilità di un sistema ad alto rischio. Le cautele richieste sono di due tipi: quelle per prevenire malfunzionamenti e quelle di sorveglianza umana, che devono permettere a una persona fisica di monitorare il sistema, riconoscere anomalie e intervenire quando necessario. La responsabilità può sorgere anche quando l’omissione non è intenzionale, ma deriva da negligenza o imprudenza. Le aziende possono essere responsabili per fatti commessi da dipendenti o dirigenti. Il Dlgs n. 160/2026 ha infatti inserito l’articolo 437-bis c.p. tra i reati che, ricorrendone i presupposti previsti dal Dlgs 231/01, possono fondare la responsabilità dell’ente per fatti commessi da soggetti apicali o da persone sottoposte alla loro direzione o vigilanza. Sono previste sanzioni pecuniarie e interdittive, come la sospensione o la revoca di autorizzazioni e licenze.
La norma si applica anche a contesti come la gestione del traffico, dove un malfunzionamento può mettere in pericolo la sicurezza delle persone. Inoltre, il secondo comma punisce con la reclusione da due a sei anni chi altera un sistema di AI ad alto rischio, senza aver adottato le cautele necessarie. L’alterazione consiste nell’intervenire su un sistema in origine «sano», modificandone il funzionamento. L’ultimo comma punisce l’utilizzatore professionale che omette intenzionalmente le misure di sorveglianza umana, cioè chi impiega il sistema ad alto rischio senza garantire che sia supervisionato da persone fisiche durante l’utilizzo.
