Dall’obbligo di valutazione dei rischi nel DVR all’introduzione dei nuovi reati presupposto nel D.Lgs. 231/2001: l’intelligenza artificiale impone alle imprese una revisione sostanziale dei sistemi di prevenzione e controllo.
L’intelligenza artificiale sta trasformando profondamente l’organizzazione delle imprese, incidendo sui processi produttivi, sulle modalità di esecuzione delle prestazioni e sui sistemi decisionali.
Algoritmi predittivi, robot collaborativi, sistemi automatizzati e applicazioni generative offrono nuove opportunità di efficienza, ma introducono anche rischi che non possono essere affrontati come una semplice questione tecnologica. L’IA può modificare i ritmi di lavoro, condizionare l’assegnazione delle mansioni, influenzare le decisioni operative e incidere direttamente sulla sicurezza dei lavoratori. Può inoltre generare vulnerabilità nella gestione delle informazioni, nell’affidabilità dei sistemi e nei meccanismi di controllo aziendale.
Intelligenza artificiale e sicurezza sul lavoro: i nuovi rischi per le imprese
È proprio questa trasversalità a rendere necessario un cambiamento di prospettiva: l’intelligenza artificiale deve entrare a pieno titolo nella mappatura dei rischi aziendali, nella valutazione della salute sicurezza e nei sistemi di prevenzione della responsabilità amministrativa degli enti.
I decreti legislativi 9 settembre 2026, n. 160 e 7 ottobre 2026, n. 179, adottati in attuazione della Legge 23 settembre 2025, n. 132, segnano un passaggio significativo in questa direzione. Il primo interviene sul versante penale e sulla responsabilità degli enti; il secondo disciplina, tra l’altro, la governance nazionale dell’intelligenza artificiale e introduce disposizioni specifiche per il mondo del lavoro, la formazione e la sicurezza. Per le imprese, il risultato è un sistema di obblighi che richiede di ripensare il rapporto tra innovazione tecnologica, prevenzione e compliance.
Il D.Lgs. 160/2026: nuovi reati e responsabilità degli enti
Il D.Lgs. 9 settembre 2026, n. 160, in vigore dal 30 settembre 2026, introduce una novità di particolare rilievo attraverso l’inserimento nel Codice penale dell’art. 437-bis, rubricato «Omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi». La disposizione riguarda, in particolare, l’omessa adozione delle misure tecniche di sicurezza necessarie a prevenire malfunzionamenti o alterazioni dei sistemi di IA ad alto rischio, nonché l’omessa adozione delle misure di sorveglianza umana, quando ricorrono i presupposti di pericolo per la vita o l’incolumità individuale o pubblica previsti dalla norma. È inoltre sanzionata l’alterazione illecita dei sistemi di IA ad alto rischio, quando ne derivino le condizioni di pericolo contemplate dalla disposizione. Il legislatore disciplina anche specifiche ipotesi aggravate e la colpa grave. La novità più significativa per le organizzazioni aziendali è tuttavia contenuta nell’art. 15 del decreto, che introduce nel D.Lgs. 231/2001 il nuovo art. 25-vicies, «Reati commessi con l’uso di sistemi di intelligenza artificiale». La disposizione inserisce nel catalogo dei reati presupposto:
- l’art. 437-bis c.p., relativo all’omessa adozione delle misure di sicurezza e all’alterazione illecita dei sistemi di IA;
- l’art. 612-quater c.p., relativo all’illecita diffusione di contenuti generati o alterati mediante sistemi di intelligenza artificiale.
Per il primo reato è prevista una sanzione pecuniaria da 600 a 1.000 quote; per il secondo da 200 a 700 quote. Sono inoltre applicabili le sanzioni interdittive previste dall’art. 9, comma 2, lettere b), c), d) ed e), del D.Lgs. 231/2001. L’intervento non rappresenta una semplice estensione formale del catalogo dei reati presupposto. Impone alle imprese di verificare se l’organizzazione disponga di misure adeguate a prevenire gli utilizzi illeciti dell’IA, le alterazioni dei sistemi e la diffusione non autorizzata di contenuti artificialmente generati o manipolati. La mappatura dei rischi 231 deve quindi comprendere anche i processi nei quali l’intelligenza artificiale viene sviluppata, configurata, utilizzata, modificata e gestita, direttamente o attraverso fornitori esterni.
Il D.Lgs. 179/2026: l’IA entra nel DVR
Se il D.Lgs. 160/2026 rafforza il versante penale e della responsabilità degli enti, il D.Lgs. 7 ottobre 2026, n. 179, in vigore dal 23 ottobre 2026, introduce disposizioni che incidono direttamente sull’organizzazione del lavoro e sulla tutela dei lavoratori. Particolarmente rilevante è l’art. 42, dedicato all’intelligenza artificiale e alla salute e sicurezza nei luoghi di lavoro. La disposizione stabilisce che l’utilizzo di sistemi di IA che incidono sull’organizzazione del lavoro, sui ritmi produttivi, sulle modalità di esecuzione della prestazione o sui processi decisionali rilevanti ai fini della sicurezza deve essere considerato nell’ambito della valutazione dei rischi prevista dall’art. 28 del D.Lgs. 81/2008.
L’introduzione dell’IA non può dunque essere trattata come una scelta esclusivamente informatica o gestionale. Quando la tecnologia modifica le condizioni operative o organizzative, i suoi effetti devono essere esaminati sotto il profilo prevenzionistico. L’eventuale aggiornamento del Documento di Valutazione dei Rischi dovrà essere effettuato in presenza dei presupposti previsti dall’art. 29 del D.Lgs. 81/2008, considerando la rilevanza delle modifiche introdotte e il loro impatto sulla salute e sicurezza. La valutazione dovrà riguardare non soltanto i rischi tecnici dei sistemi, ma anche quelli derivanti dall’interazione tra algoritmi, lavoratori e organizzazione aziendale.
Tra i principali profili da considerare rientrano:
- rischi fisici e tecnologici: malfunzionamenti di robot collaborativi, errori dei sensori, anomalie nei sistemi di comando e insufficiente affidabilità dei dispositivi automatizzati;
- rischi organizzativi ed ergonomici: intensificazione dei ritmi produttivi, carichi di lavoro non sostenibili, riduzione delle pause e limitazione dell’autonomia operativa;
- rischi psicosociali: monitoraggio algoritmico delle prestazioni, pressione lavorativa, stress e perdita di controllo sulle modalità di esecuzione delle attività;
- rischi decisionali: informazioni errate o distorte, valutazioni algoritmiche inattendibili e affidamento eccessivo ai risultati prodotti dai sistemi.
Particolare attenzione deve essere riservata all’impiego dell’IA nei sistemi di prevenzione e protezione. Un algoritmo che sottostima un pericolo o segnala in modo errato una condizione di sicurezza può compromettere l’efficacia delle misure prevenzionistiche. L’IA può supportare la prevenzione, ma non sostituire la valutazione dei rischi e le responsabilità dei soggetti individuati dal D.Lgs. 81/2008.
La revisione della mappatura dei rischi 231: quali processi verificare
L’introduzione dell’art. 25-vicies rende necessario avviare una revisione sostanziale dei Modelli di organizzazione, gestione e controllo già adottati. Non è sufficiente inserire i nuovi reati nella Parte Speciale. Occorre verificare quali processi aziendali siano esposti, quali condotte possano concretamente realizzarsi e se i presidi esistenti siano adeguati a prevenirle. La prima attività consiste nel censimento dei sistemi di IA utilizzati dall’impresa, distinguendo tra tecnologie sviluppate internamente, applicazioni acquistate da fornitori e strumenti generativi utilizzati direttamente dal personale.
La mappatura dovrebbe interessare, in particolare: progettazione, sviluppo e manutenzione dei sistemi di IA; gestione degli impianti e dei macchinari intelligenti; sistemi di monitoraggio e controllo della sicurezza; gestione degli accessi, delle autorizzazioni e delle modifiche agli algoritmi; trattamento delle informazioni riservate e dei dati aziendali; generazione, elaborazione e diffusione di contenuti digitali; gestione dei rapporti con fornitori e soggetti terzi. Per ogni processo occorre individuare responsabilità, modalità di utilizzo della tecnologia, informazioni trattate, possibili scenari di abuso e controlli esistenti.
Con riferimento all’art. 437-bis c.p., l’attenzione dovrà concentrarsi soprattutto sull’adeguatezza delle misure tecniche di sicurezza e sulla concreta possibilità di prevenire alterazioni e malfunzionamenti dei sistemi di IA ad alto rischio. Dovranno quindi essere verificati i controlli sugli accessi, la gestione delle modifiche ai modelli, l’integrità dei dati, la tracciabilità delle operazioni, la gestione delle vulnerabilità e le procedure di sospensione dei sistemi in caso di anomalie.
Per l’art. 612-quater c.p., invece, l’analisi dovrà riguardare i processi di generazione e diffusione di immagini, video, registrazioni vocali e altri contenuti artificialmente prodotti o modificati. Saranno necessari controlli sulle autorizzazioni alla pubblicazione, sulla provenienza dei materiali, sulla gestione delle informazioni riferibili a dipendenti e terzi e sull’utilizzo delle piattaforme generative esterne. In entrambi i casi, la mappatura dovrà tradursi in protocolli operativi, responsabilità chiaramente individuate e verifiche sull’effettiva applicazione delle misure.
DVR e Modello 231: due sistemi da integrare
La principale ricaduta organizzativa delle nuove disposizioni riguarda il coordinamento tra la prevenzione prevista dal D.Lgs. 81/2008 e il sistema di controllo disciplinato dal D.Lgs. 231/2001. I due strumenti mantengono finalità e ambiti applicativi distinti, ma devono dialogare quando l’IA interviene nei processi produttivi o nei sistemi di sicurezza. Si pensi a un algoritmo che gestisce automaticamente i ritmi di produzione, a un sistema intelligente che controlla un impianto o a una piattaforma che supporta la rilevazione delle condizioni di pericolo. In questi casi, un malfunzionamento, un’alterazione o un utilizzo improprio possono produrre conseguenze sia sulla sicurezza dei lavoratori sia sull’esposizione dell’ente a rischi di responsabilità.
La revisione dovrà quindi assicurare coerenza tra: valutazione dei rischi e misure prevenzionistiche contenute nel DVR; mappatura dei processi sensibili ai fini 231; procedure operative e protocolli di controllo; sistemi di gestione degli incidenti e delle anomalie; responsabilità e flussi informativi tra le funzioni aziendali. Un sistema integrato consente di evitare lacune nei controlli e di intercettare tempestivamente le criticità derivanti dall’utilizzo dell’intelligenza artificiale.
Decisione umana, formazione e responsabilità
Un ulteriore elemento centrale della nuova disciplina è rappresentato dalla supervisione umana. Il D.Lgs. 179/2026 interviene anche sull’utilizzo dell’IA nei rapporti di lavoro, prevedendo specifiche garanzie per le decisioni datoriali e per la tutela dei lavoratori. In particolare, le decisioni rilevanti sul rapporto di lavoro non possono essere affidate esclusivamente a sistemi automatizzati nei casi disciplinati dall’art. 41. La scelta finale deve restare riconducibile a una persona fisica dotata di effettivi poteri decisionali. La violazione delle disposizioni previste comporta la nullità degli atti interessati.
Sul versante della sicurezza, la supervisione umana assume una funzione altrettanto importante: chi utilizza o controlla un sistema di IA deve essere in grado di riconoscerne i limiti, individuare anomalie e intervenire quando necessario. A ciò si aggiunge l’obbligo di AI Literacy previsto dall’art. 4 dell’AI Act, applicabile dal 2 febbraio 2025, che richiede competenze adeguate per le persone che utilizzano sistemi di IA per conto di fornitori e deployer.
La formazione deve essere coordinata con gli obblighi previsti dagli artt. 36 e 37 del D.Lgs. 81/2008 e non può limitarsi all’apprendimento delle funzionalità tecniche. Occorre sviluppare competenze che consentano ai lavoratori di: comprendere caratteristiche e limiti dei sistemi utilizzati; riconoscere errori e risultati non attendibili; gestire anomalie e situazioni di emergenza; proteggere informazioni aziendali e dati personali; utilizzare correttamente gli strumenti nel rispetto delle procedure. La tecnologia deve rimanere uno strumento di supporto, non diventare un centro decisionale incontrollato.
L’Organismo di Vigilanza e i nuovi controlli
La revisione del Modello 231 richiede un coinvolgimento specifico dell’Organismo di Vigilanza, chiamato a verificare, nell’ambito delle proprie attribuzioni, l’adeguatezza e l’effettiva attuazione dei presidi adottati. Diventa opportuno rafforzare i flussi informativi relativi all’introduzione di nuovi sistemi di IA, alle modifiche significative delle tecnologie utilizzate, agli incidenti, alle anomalie di sicurezza, agli accessi non autorizzati e alla diffusione illecita di contenuti generati artificialmente. L’OdV dovrà inoltre poter ricevere informazioni sulle misure correttive adottate e sulle violazioni delle procedure interne. Audit periodici e verifiche mirate consentiranno di accertare non soltanto l’esistenza formale dei protocolli, ma anche la loro concreta applicazione.
Dalla conformità normativa alla governance integrata
Le nuove disposizioni richiedono alle imprese un percorso di adeguamento che non può esaurirsi in un aggiornamento documentale. Occorre intervenire sull’intero sistema organizzativo attraverso alcune attività prioritarie:
- Censimento: individuazione dei sistemi di IA utilizzati e dei processi aziendali interessati.
- Valutazione: analisi dei rischi tecnologici, organizzativi, prevenzionistici e dei possibili scenari di reato.
- Aggiornamento del DVR: verifica degli effetti dell’IA sulle condizioni di lavoro e rielaborazione della valutazione nei casi previsti dalla legge.
- Revisione della mappatura 231: analisi dei processi esposti ai nuovi reati presupposto e verifica dei controlli esistenti.
- Adeguamento dei protocolli: definizione di autorizzazioni, responsabilità, tracciabilità e procedure di gestione delle anomalie.
- Formazione: programmi di AI Literacy e percorsi specifici sui rischi per la salute e sicurezza.
- Monitoraggio: rafforzamento dei controlli, dei flussi informativi e delle verifiche dell’Organismo di Vigilanza.
Il percorso deve coinvolgere le diverse funzioni aziendali, dal datore di lavoro all’RSPP, dalle funzioni IT e compliance alle risorse umane, fino all’Organismo di Vigilanza, nel rispetto dei rispettivi ruoli.
Conclusioni: governare l’IA significa prevenire nuovi rischi
I decreti legislativi 160 e 179 del 2026 segnano un’evoluzione significativa nella disciplina dell’intelligenza artificiale e nelle responsabilità delle organizzazioni. Per le imprese, la novità più rilevante non consiste soltanto nell’ampliamento del catalogo dei reati presupposto del D.Lgs. 231/2001 o nell’introduzione di specifici obblighi di valutazione dei rischi. Il vero cambiamento riguarda il modo stesso di concepire la governance aziendale: l’IA deve essere considerata un fattore che attraversa l’organizzazione, incide sulla sicurezza delle persone e può generare nuove aree di responsabilità. Per questo, l’aggiornamento del DVR e la revisione del Modello 231 non possono procedere separatamente, ma devono inserirsi in una strategia coordinata di prevenzione, controllo e supervisione.
La sfida per le imprese non è semplicemente adottare l’intelligenza artificiale nel rispetto della legge, ma dimostrare di essere in grado di governarla. Perché l’innovazione, quando incide sulla sicurezza delle persone e sui processi aziendali, non può prescindere dalla responsabilità di chi la introduce e la utilizza.
FONTI Francesca Levato* “LavoriPubblici.it”
*Ispettore del lavoro in servizio presso l’Ispettorato Nazionale del Lavoro ed attualmente in comando presso la Presidenza del Consiglio dei Ministri.