Le recenti evoluzioni normative, culminate con l’introduzione del D.Lgs. 160/2026 e con la progressiva applicazione del Regolamento europeo sull’Intelligenza Artificiale (AI Act), hanno determinato la necessità per le imprese di affrontare il tema dell’IA non più come una prospettiva futura, bensì come un ambito di compliance attuale che interessa contemporaneamente la protezione dei dati personali, la responsabilità amministrativa degli enti ai sensi del D.Lgs. 231/2001 e la tutela della salute e sicurezza sui luoghi di lavoro.

In tale contesto, si ritiene opportuno richiamare l’attenzione delle aziende sugli aspetti più significativi che richiedono una verifica dei sistemi di controllo interni e della documentazione aziendale.

Profili privacy e protezione dei dati personali

Quando un sistema di intelligenza artificiale tratta dati personali, la sua utilizzazione integra un trattamento soggetto alle disposizioni del Regolamento UE 2016/679 (GDPR). Ne consegue l’esigenza di censire tali strumenti all’interno del Registro delle attività di trattamento, individuandone chiaramente finalità e basi giuridiche.

In numerosi casi, soprattutto quando l’IA viene impiegata per la gestione del personale, per l’analisi di dati comportamentali o per attività caratterizzate da elevata innovazione tecnologica, può rendersi necessaria la predisposizione della Valutazione d’Impatto sulla Protezione dei Dati (DPIA).

Particolare attenzione deve essere inoltre riservata ai fornitori delle piattaforme di IA, verificando le modalità di trattamento dei dati, l’eventuale trasferimento verso Paesi extra UE, le garanzie offerte sotto il profilo della sicurezza informatica e l’esclusione dell’utilizzo delle informazioni aziendali per attività di addestramento degli algoritmi.

L’impiego di sistemi in grado di incidere automaticamente su decisioni riguardanti lavoratori, candidati o altri interessati impone altresì una revisione delle informative privacy e delle procedure aziendali, con specifico riferimento alle previsioni dell’art. 22 del GDPR.

Risulta infine opportuna l’adozione di una specifica policy interna che disciplini l’utilizzo degli strumenti di intelligenza artificiale da parte dei lavoratori, al fine di prevenire fenomeni di utilizzo non autorizzato di applicativi esterni, comunemente definiti come “shadow AI”.

Qualora l’IA venga utilizzata nell’ambito della gestione del personale, dovranno essere valutati anche i profili inerenti allo Statuto dei Lavoratori e alle ulteriori disposizioni introdotte dalla normativa in materia di trasparenza algoritmica.

Impatto sui Modelli di Organizzazione, Gestione e Controllo ex D.Lgs. 231/2001

Uno degli aspetti di maggiore rilievo riguarda l’inserimento di nuove fattispecie connesse all’utilizzo dell’intelligenza artificiale nel sistema della responsabilità amministrativa degli enti.

L’introduzione dell’art. 25-vicies del D.Lgs. 231/2001 impone alle organizzazioni dotate di Modello 231 di riesaminare la propria mappatura dei rischi e l’adeguatezza dei protocolli preventivi già adottati.

L’utilizzo dell’IA rende infatti necessario individuare i sistemi presenti in azienda, comprenderne il ruolo all’interno dei processi aziendali, identificare i soggetti coinvolti nella loro gestione e definire procedure operative che garantiscano la supervisione umana delle attività automatizzate.

Assumono particolare importanza la conservazione dei log delle operazioni effettuate, la tracciabilità delle decisioni supportate dall’intelligenza artificiale, la definizione di regole sull’utilizzo dei contenuti generati automaticamente e la tenuta della relativa documentazione tecnica.

Per le imprese già dotate di Modello 231 potrebbe pertanto rendersi necessario aggiornare la Parte Generale e le Parti Speciali del Modello, il Codice Etico, il sistema disciplinare e il programma di vigilanza affidato all’Organismo di Vigilanza.

Si evidenzia inoltre che numerose fattispecie di reato già presenti nel catalogo 231, quali frode informatica, reati societari e manipolazione del mercato, possono oggi risultare significativamente agevolate dall’impiego improprio di sistemi di intelligenza artificiale, con conseguente incremento del relativo rischio aziendale.

Valutazione dei rischi e sicurezza sul lavoro

L’introduzione di strumenti basati sull’intelligenza artificiale può costituire una modifica significativa dell’organizzazione del lavoro o dei processi aziendali, tale da richiedere una rivalutazione dei rischi e, nei casi previsti dalla legge, un aggiornamento del Documento di Valutazione dei Rischi (DVR).

Oltre ai tradizionali profili di rischio informatico, dovranno essere considerati i possibili effetti dell’IA sul benessere organizzativo e sulle condizioni di lavoro dei dipendenti.

Tra gli aspetti che meritano particolare attenzione rientrano i fenomeni di stress lavoro-correlato e tecnostress derivanti dall’interazione continua con sistemi automatizzati, le forme di gestione algoritmica delle attività lavorative, l’utilizzo di macchinari e sistemi collaborativi dotati di funzioni basate sull’intelligenza artificiale, nonché il cosiddetto “automation bias”, ossia la tendenza ad affidarsi alle decisioni della macchina riducendo il livello di controllo umano.

L’introduzione di tali tecnologie comporta altresì la necessità di verificare l’adeguatezza delle attività formative e informative rivolte ai lavoratori, affinché essi possano utilizzare gli strumenti di IA in maniera consapevole e conforme alle procedure aziendali.

Gli adempimenti derivanti dall’AI Act

Parallelamente alla normativa nazionale, prosegue il percorso di applicazione del Regolamento europeo sull’intelligenza artificiale, che introdurrà progressivamente specifici obblighi in funzione del livello di rischio associato ai singoli sistemi.

Le imprese dovranno prestare particolare attenzione agli obblighi di alfabetizzazione e formazione in materia di IA, alle disposizioni relative alla trasparenza dei contenuti generati artificialmente e, successivamente, ai requisiti previsti per i sistemi classificati ad alto rischio.

Per affrontare in maniera efficace tali adempimenti si rende indispensabile una governance integrata che coinvolga le funzioni aziendali competenti in materia di privacy, sicurezza sul lavoro, compliance e controllo interno.

Il primo passo consiste nell’elaborazione di un inventario completo dei sistemi di intelligenza artificiale utilizzati dall’organizzazione, dal quale sviluppare le successive attività di valutazione del rischio, adeguamento documentale e definizione dei controlli.

Come possiamo supportare la Sua azienda

Il nostro Studio è a disposizione per effettuare attività di assessment e verifica della conformità dei sistemi di intelligenza artificiale già in uso, supportando le organizzazioni nell’aggiornamento della documentazione privacy, nella revisione del Modello 231, nell’analisi dell’impatto sulla sicurezza sul lavoro e nella predisposizione di procedure e policy aziendali coerenti con il nuovo quadro normativo.