In vigore il primo articolo del Codice penale sull’intelligenza artificiale: ecco quando scatta il nuovo reato

Il 30 settembre 2026 è entrato in vigore il primo articolo del Codice penale integralmente dedicato alla sicurezza e alla sorveglianza dei sistemi di intelligenza artificiale. È l’articolo 437-bis c.p., intitolato «Omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi», introdotto dal decreto legislativo 9 settembre 2026, n. 160, ulteriore tassello nell’impegnativo percorso di adeguamento dell’ordinamento italiano al regolamento europeo sull’intelligenza artificiale (noto come AI Act).

Quando si configura il nuovo reato

Non basta che un sistema di AI sia utilizzato in modo scorretto, né che presenti un problema di sicurezza. La norma ha un perimetro più preciso: riguarda soltanto determinati sistemi, punisce specifiche condotte e richiede che da esse derivi un particolare tipo di pericolo. Sono tre, allora, le domande alle quali rispondere per verificare se il reato è stato commesso: di quale sistema si tratta? quale condotta è stata tenuta? quale pericolo ne è derivato?

• Quali sistemi?

L’articolo 437-bis c.p. riguarda soltanto i sistemi che l’AI Act classifica come «ad alto rischio». La classificazione prevista dal regolamento è articolata; semplificando molto, la categoria comprende sistemi utilizzati in funzioni o contesti particolarmente sensibili, nei quali possono essere in gioco la salute, la sicurezza o i diritti fondamentali delle persone. 

La Commissione europea ha reso più concreta la distinzione attraverso una serie di esempi. È ad alto rischio, ad esempio, un sistema di AI che monitora il traffico e regola automaticamente i semafori, perché il suo funzionamento incide direttamente sulla sicurezza della circolazione e un malfunzionamento può mettere in pericolo le persone. Non lo è, invece, un sistema che utilizza dati raccolti in tempo reale soltanto per analizzare e ottimizzare i flussi di traffico, senza intervenire direttamente sulla gestione della circolazione.

• Quali condotte?

Il primo comma punisce con la reclusione da uno a cinque anni chi, per la progettazione, l’addestramento, la produzione o l’immissione sul mercato di un sistema ad alto rischio, non adotta le misure necessarie a garantirne la sicurezza e la controllabilità.

Le cautele richieste sono di due tipi. Da un lato, vi sono quelle dirette a prevenire malfunzionamenti o alterazioni del sistema. Dall’altro, quelle di sorveglianza umana, che devono consentire a una persona fisica di monitorarne il funzionamento, riconoscere anomalie, disfunzioni o risultati inattesi e, quando necessario, intervenire sull’output o interromperne l’utilizzo. La responsabilità può sorgere anche quando l’omissione non è intenzionale. Il terzo comma estende infatti la punibilità ai casi di colpa grave, vale a dire quando la mancata adozione delle cautele deriva da una negligenza, imprudenza o imperizia di particolare rilevanza.

Il secondo comma punisce con la reclusione da due a sei anni chi altera un sistema di AI ad alto rischio: qui non manca, a monte, una cautela che avrebbe dovuto essere adottata; la condotta illecita consiste invece nell’intervenire su un sistema in origine “sano”, alterandone il funzionamento.

Infine, l’ultimo comma punisce l’utilizzatore professionale che omette intenzionalmente le misure di sorveglianza umana: cioè chi impiega il sistema ad alto rischio nell’ambito della propria attività professionale senza garantire che il sistema sia efficacemente supervisionato da persone fisiche durante il suo utilizzo.

• Quale pericolo?

Le condotte appena descritte, da sole, non bastano. Perché si configuri il reato deve derivarne un pericolo per la vita o per l’incolumità pubblica o individuale.  Non è necessario, però, che il danno si verifichi. Riprendendo l’esempio dei semafori, non occorre che si produca effettivamente un incidente: ciò che conta è che la condotta abbia determinato la situazione di pericolo richiesta dalla legge.

Se il pericolo riguarda invece la sicurezza dello Stato, le pene aumentano: da due a otto anni per le omissioni e da tre a dieci anni per l’alterazione del sistema. 

Impatto sulle società

Il nuovo reato può avere conseguenze anche per le società. Il Dlgs n. 160/2026 ha infatti inserito l’articolo 437-bis c.p. tra i reati che, ricorrendone i presupposti previsti dal Dlgs 231/01, possono fondare la responsabilità dell’ente per fatti commessi da soggetti apicali o da persone sottoposte alla loro direzione o vigilanza. Sono previste sanzioni pecuniarie e interdittive, come la sospensione o la revoca di autorizzazioni e licenze o il divieto di contrattare con la pubblica amministrazione.