L'intelligenza artificiale e il Modello 231: cosa cambia per le imprese

Da poco l'intelligenza artificiale ad alto rischio è entrata ufficialmente tra i reati presupposto del D.Lgs. 231/2001, introducendo un cambio di prospettiva ulteriore da comprendere e disciplinare, per evitare che rappresenti soltanto l'ennesimo aggiornamento normativo di cui parlare per dovere professionale.

Un rischio senza volto

Fino a ieri il rischio penale in azienda aveva sempre un volto e un nome: il dirigente che corrompeva, il responsabile che gonfiava un bilancio, chi ignorava le norme di sicurezza. Il Modello 231 nasceva apposta per mappare queste persone e i loro comportamenti, per prevenirli con procedure, controlli, formazione.

Oggi il rischio può nascere anche da un sistema che non ha intenzioni, non ha coscienza, e proprio per questo può fare danni senza che nessuno se ne accorga finché non è tardi.

Il faldone non basta più

Alcune aziende trattano ancora il Modello 231 come un faldone da esibire in caso di controllo: compilato una volta, aggiornato ogni tanto per placare la coscienza, ma mai davvero vissuto.

Oggi, con l'IA nel mirino del legislatore, questo modo di procedere smette di essere solo pigrizia, diventando un rischio ancora più concreto, perché la domanda che farà un giudice non sarà "l'algoritmo ha sbagliato?" — capiterà, prima o poi capita sempre — ma "chi lo controllava, e come lo sapete?".

Ed è proprio qui il punto. Non basterà avere scritto nella policy aziendale sull'AI che "l'intelligenza artificiale è supervisionata da personale qualificato" se poi in azienda nessuno sa indicare chi, quando, con quale frequenza. Serve un flusso reale, verificabile, con tanto di tracce lasciate nel tempo. Altrimenti quella frase è carta straccia, buona solo a rassicurare chi la scrive.

Il nodo dei fornitori

C'è un altro punto importante, ed è quello dei fornitori. Molte aziende non sviluppano l'IA in casa, la comprano da terzi. Da oggi anche questa scelta rientra a pieno titolo nella mappatura dei rischi 231: chi seleziona un fornitore di sistemi ad alto rischio senza porsi due domande sulla sua affidabilità e tracciabilità si sta portando in casa un problema che, in caso di guai, sarà difficile scaricare su altri davanti a un giudice.

La lezione della privacy e dell'antiriciclaggio

Purtroppo l'ho già visto accadere: con la privacy, con l'antiriciclaggio, con la sicurezza sul lavoro. Ogni volta che si allarga il perimetro dei reati presupposto, le aziende si dividono sempre in due gruppi. C'è chi aggiorna il Modello per davvero, coinvolgendo le persone che l'IA la usano ogni giorno sul campo, e chi si limita a un copia e incolla della clausola nuova, sperando che basti a mettersi al riparo. I secondi, prima o poi, pagano un conto salato.

Smettere di trattare il tema AI, anche in ambito 231, come qualcosa di cui occuparsi "quando ci sarà tempo", e iniziare a governarla con lo stesso metodo con cui si governa qualunque altro processo aziendale rilevante, è la migliore misura prevenzionistica per un'azienda.

Quindi la domanda vera, oggi, non è se la vostra azienda usa l'intelligenza artificiale. La userà, se non già oggi, presto. La domanda è: se qualcuno ve lo chiedesse adesso, sapreste dire con certezza chi controlla gli output dei vostri sistemi di AI? E il vostro Modello 231, la parola "algoritmo" la contiene almeno una volta?

Se la risposta vi lascia un attimo di esitazione, è il momento giusto per fare una verifica seria. Meglio una mappatura scomoda oggi che una sanzione inevitabile domani.

Scrivetemi pure, ne parliamo con calma. Senza giri di parole e senza faldoni polverosi.