Agosto 2026 segna un passaggio importante nel percorso di regolamentazione dell’intelligenza artificiale.

Per le imprese, in particolare, sono due le novità da tenere sotto osservazione: l’entrata in operatività di nuovi obblighi dell’AI Act e l’estensione della responsabilità 231 ai rischi connessi all’utilizzo dell’IA.

1. Dal 2 agosto diventano operativi nuovi obblighi dell’AI Act

Dal 2 agosto 2026 diventano operativi, tra gli altri, gli obblighi relativi ai modelli di IA per uso generale (GPAI), insieme alle previsioni in materia di governance dei modelli e alfabetizzazione all’IA.

Per le aziende è quindi necessario:

• mappare i sistemi di IA utilizzati, anche quando forniti come servizio o integrati in altri software;
• individuare il ruolo dell’impresa nella catena del valore (provider o deployer);
• verificare gli obblighi applicabili ai modelli GPAI;
• definire responsabilità e presidi organizzativi;
• assicurare adeguata formazione e alfabetizzazione sull’IA del personale;
• aggiornare, ove necessario, policy, informative, contratti con i fornitori e sistemi di controllo interno.

Particolare attenzione meritano i modelli GPAI a impatto sistemico, per i quali sono previsti obblighi rafforzati in materia di sicurezza, red-teaming e segnalazione degli incidenti.

In sintesi: per le imprese che utilizzano o sviluppano IA, agosto 2026 rende ancora più urgente passare da un approccio sperimentale a una vera governance aziendale dell’IA.

2. L’IA entra nel perimetro della responsabilità 231

La seconda novità riguarda il D.Lgs. 231/2001.

Il disegno di legge di adeguamento dell’ordinamento italiano all’AI Act, approvato in via definitiva dal Consiglio dei ministri e destinato alla pubblicazione in Gazzetta Ufficiale secondo il materiale allegato, introduce nel catalogo dei reati-presupposto nuove fattispecie connesse all’utilizzo dell’intelligenza artificiale.

Tra queste assume particolare rilievo il nuovo art. 437-bis c.p., relativo all’omessa adozione delle misure tecniche di sicurezza previste per la progettazione, l’addestramento, la produzione, l’immissione sul mercato o l’utilizzo professionale di sistemi di IA ad alto rischio.

La nuova disciplina prevede inoltre:

• l’inserimento della fattispecie nell’ambito della responsabilità degli enti;
• sanzioni pecuniarie a carico dell’ente;
• possibili sanzioni interdittive, nei casi previsti;
• rilevanza, nell’ambito della catena del valore, dei diversi soggetti coinvolti nello sviluppo e nell’utilizzo dei sistemi di IA ad alto rischio.

Il materiale evidenzia, inoltre, l’introduzione di una specifica disciplina penale per la diffusione illecita di contenuti generati o manipolati con IA (deepfake).

Cosa devono fare le imprese

Le due novità rendono opportuno intervenire tempestivamente sul sistema di compliance aziendale:

1. Mappatura → censire i sistemi di IA utilizzati e valutarne il livello di rischio.
2. Governance → individuare ruoli, responsabilità e controlli.
3. Modello 231 → valutare l’aggiornamento del Modello Organizzativo e dei flussi informativi verso l’Organismo di Vigilanza.
4. Personale → predisporre informazione e formazione sull’utilizzo dell’IA.
5. Contratti → verificare responsabilità e obblighi dei fornitori di tecnologie IA.
6. Trasparenza → aggiornare informative, privacy policy e comunicazioni verso lavoratori, clienti e utenti.

Il messaggio per le imprese è chiaro: l’IA non è più soltanto una questione tecnologica. È ormai anche una questione di compliance, organizzazione e responsabilità dell’ente. Un sistema di governance dell’IA adeguatamente documentato diventa quindi parte integrante del sistema di controllo aziendale.

AVV. CHIARA MALTESE