Osservatorio di Diritto Penale · – 23 Settembre 2026
Dal 30 settembre 2026 l’omessa adozione delle misure tecniche di sicurezza o di quelle di sorveglianza umana sui sistemi di IA ad alto rischio, se ne deriva pericolo, è delitto. Lo dispone il d.lgs. 9 settembre 2026, n. 160, in Gazzetta Ufficiale, Serie generale, n. 214 del 15 settembre 2026. Il rischio penale si sposta sul governo del sistema; l’illecito entra nel catalogo 231.
Il perimetro. Il decreto attua la delega dell’art. 24, commi 1, 2, lettera h), 3 e 5, della legge 23 settembre 2025, n. 132, di adeguamento al regolamento (UE) 2024/1689. Non è l’AI Act né la legge nazionale sull’IA, ma il segmento attuativo su attività di polizia (Titolo I) e responsabilità penale e civile (Titolo II).
L’art. 12 introduce l’art. 437-bis c.p., «Omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi». Il comma 1 punisce con la reclusione da uno a cinque anni chi omette di adottare le misure tecniche di sicurezza previste per la progettazione, l’addestramento, la produzione e l’immissione sul mercato di sistemi ad alto rischio, idonee a prevenire malfunzionamenti o alterazioni del loro funzionamento, ovvero le misure di sorveglianza umana, quando da tali omissioni derivi pericolo per la vita o per l’incolumità pubblica o individuale; da due a otto anni se il pericolo riguarda la sicurezza dello Stato. Il comma 2 punisce chi altera sistemi ad alto rischio, quando ne derivi lo stesso pericolo, salvo che il fatto costituisca più grave reato e fuori dai casi del comma 1: reclusione da due a sei anni, da tre a dieci anni se il pericolo riguarda la sicurezza dello Stato. Il comma 3 rende punibile per colpa grave, con pena ridotta da un terzo a un sesto, la sola ipotesi del comma 1; quelle dei commi 2 e 4 solo per dolo. Il comma 4 estende le pene del comma 1 all’utilizzatore professionale che ometta intenzionalmente la sorveglianza umana.
L’art. 15 inserisce nel d.lgs. 8 giugno 2001, n. 231, dopo l’art. 25-undevicies, l’art. 25-vicies: da seicento a mille quote per l’art. 437-bis c.p., da duecento a settecento per l’art. 612-quater c.p., con le sanzioni interdittive dell’art. 9, comma 2, lettere b), c), d) ed e).
Perché rileva. Il decreto non introduce l’art. 612-quater c.p. né l’aggravante dell’art. 61, n. 11-decies, c.p., risalenti all’art. 26 della legge n. 132/2025; l’art. 612-quater diventa reato presupposto. Il pericolo, elemento del fatto in ogni ipotesi, va provato nella sua derivazione causale; la qualificazione «ad alto rischio» è il primo terreno difensivo.
In pratica. Il decreto non pone termini alle imprese: il 30 settembre 2026 segna l’entrata in vigore, non una scadenza.
Organo amministrativo: delibera di mappatura dei sistemi di IA in uso e classificazione del rischio ex art. 6 del regolamento.
Funzione compliance: parte speciale del modello 231 estesa all’art. 25-vicies; protocolli su sorveglianza umana e log; clausole di fornitura su misure tecniche e tracciabilità.
Organismo di vigilanza: flussi informativi dedicati.
Nota di sintesi a cura dello Studio Legale Petrali, elaborata sul testo del decreto pubblicato in Gazzetta Ufficiale. Il testo non riproduce contributi originali e non costituisce consulenza professionale.