Aggiornamento 18 settembre 2025: il Senato ha approvato in via definitiva il disegno di legge di delega al governo sull'intelligenza artificiale. Il provvedimento è legge
L'intelligenza artificiale (AI) sta rapidamente trasformando tutti i settori economici, ma pone anche nuove sfide giuridiche complesse: dalla privacy al diritto d’autore ma anche sul fronte della responsabilità penale e delle tutele contro gli usi illeciti. Dopo la recente introduzione nel panorama europeo del Regolamento UE 2024/1689 (AI Act), il recente Disegno di Legge sull’Intelligenza Artificiale (DDL AI) rappresenta il primo tentativo organico del Legislatore italiano di disciplinare le implicazioni penalistiche di queste tecnologie, introducendo nuovi reati e aggravanti specifiche. Tuttavia, emergono profili critici e lacune normative, soprattutto riguardo alla responsabilità degli enti giuridici e alla coerenza del quadro sanzionatorio. Questo articolo mira ad analizzare le principali novità del DDL AI, le sue ricadute pratiche e le prospettive future, offrendo un punto di vista di supporto per stakeholder interessati a comprendere come meglio prepararsi a un contesto normativo ancora in evoluzione dopo l’implementazione dei primi adempimenti relativi all’AI Act.
***
Il diritto penale vive una perenne tensione tra la sua necessaria stabilità, presidio delle libertà fondamentali, e la spinta a inseguire un divenire tecnologico e sociale che ne erode costantemente i confini.
In questo scenario si colloca il DDL AI, nel testo approvato dal Senato e successivamente emendato dalla Camera, il quale, al netto dei tempi incerti di approvazione parlamentare, merita un’analisi puntuale, scevra da facili entusiasmi o aprioristiche critiche.
Siamo quantomeno al cospetto del primo tentativo del Legislatore nazionale di dare forma giuridica a un fenomeno che rischia, altrimenti, di travolgere categorie e principi consolidati.
Il presente contributo si prefigge di analizzare, in via preliminare, le principali innovazioni di natura penalistica e di delinearne le potenziali ricadute sistemiche sul microsistema della responsabilità degli enti, la cui tenuta dogmatica è sempre più minacciata dall’avvento di agenti decisionali non umani.
1. Le modifiche al Codice Penale
L’architettura sanzionatoria ipotizzata dal DDL si muoverebbe lungo una duplice direttrice codicistica: da un lato, la creazione di una nuova fattispecie incriminatrice; dall’altro, l’introduzione di una circostanza aggravante comune.
1.1. Il Delitto di Illecita Diffusione di Contenuti Manipolati
La nuova figura delittuosa, destinata a trovare collocazione nel corpo del codice all'art. 612-quater, punirebbe la diffusione di contenuti falsificati tramite sistemi di IA, idonei a trarre in inganno.
Di particolare interesse risulterebbe la scelta di strutturare il reato attorno al dolo specifico del cagionare un "danno ingiusto", opzione che, se per un verso disvela l’intenzione del Legislatore di procedere ad una delimitazione del disvalore penale delle condotte, dall’altro affiderà agli interpreti un non agevole compito di esegesi.
Non meno rilevante appare la disciplina della procedibilità. Il Legislatore opterebbe per un regime differenziato: la regola generale sarebbe quella della procedibilità a querela della persona offesa.
Tale scelta, se da un lato affida alla vittima la valutazione circa l'opportunità di attivare la pretesa punitiva, dall'altro potrebbe depotenziare la tutela in contesti in cui la persona offesa si trovi in una posizione di debolezza o soggezione. A temperare tale impostazione interverrebbero, tuttavia, due eccezioni per casi particolarmente sensibili che renderebbero il delitto procedibile d'ufficio: qualora il fatto sia connesso con un altro delitto procedibile d'ufficio, o se commesso nei confronti di persona incapace o di una pubblica autorità a causa delle funzioni esercitate.
1.2. L'Aggravante Comune: l'AI come Possibile Indice di Accresciuto Disvalore Penale
Di impatto sistemico ancora maggiore apparirebbe l'introduzione di una circostanza aggravante comune all'art. 61, n. 11-decies c.p: detta norma prevederebbe un aumento di pena nel caso in cui l’uso di un sistema di AI costituisca mezzo insidioso per facilitare il reato, ostacolare la difesa o aggravare le sue conseguenze. Questa norma riconosce l’oggettiva pericolosità legata all’impiego dell’intelligenza artificiale come amplificatore d’offesa.
In altre parole, l'inasprimento della pena sarebbe subordinato alla valutazione che l'impiego del sistema di AI abbia costituito "mezzo insidioso", ovvero abbia "ostacolato la pubblica o la privata difesa" o "aggravato le conseguenze del reato", connotando in senso prevalentemente oggettivo – con tutte le conseguenze sistemiche che ne deriverebbero – l’aggravante in parola.
Si tratterebbe, in definitiva, di una qualificazione normativa di un'accresciuta pericolosità della condotta, legata alla sua capacità di amplificare l'offesa o di indebolire le difese della vittima.
2. La pretermissione della responsabilità dell’Ente
Ad una prima lettura del testo normativo, sembrerebbe emergere una significativa lacuna: la nuova fattispecie di cui all'art. 612-quater c.p. non risulta, allo stato, esplicitamente inclusa nel catalogo dei reati presupposto della responsabilità degli enti.
Tale assenza solleva un interrogativo ineludibile: dimenticanza o scelta consapevole del Legislatore? Se fosse una scelta, essa genererebbe un vuoto normativo non ignorabile, se si considera quanto i fenomeni di manipolazione digitale possano concretamente interessare la criminalità d’impresa.
Senza in questa sede addentrarsi nella complessa esegesi dei rapporti – in termini di potenziale concorso formale ovvero apparente – tra la nuova figura delittuosa e le fattispecie già vigenti, segnatamente quelle a presidio dei mercati regolamentati, è tuttavia possibile, in mera e approssimativa esemplificazione, ipotizzare alcuni scenari la cui plausibilità renderebbe evidente della lacuna normativa.
Si potrebbe, ad esempio, immaginare la diffusione di un video artefatto in cui l'amministratore delegato di una società quotata annuncia un inesistente profit warning, al solo fine di provocare un crollo del titolo e consentire operazioni speculative al ribasso.
Né meno plausibile apparirebbe, specie in contesti non regolamentati come quello delle cripto-attività, la creazione di un deepfake di un noto influencer che elogia una valuta digitale a bassa capitalizzazione, al fine di orchestrarne un pump-and-dump a danno di piccoli investitori.
Allo stesso modo, la fattispecie potrebbe trovare applicazione in contesti di concorrenza sleale, ove un ente diffondesse un audio, generato artificialmente ma del tutto realistico, di una conversazione in cui i vertici di un'impresa concorrente sembrano ammettere pratiche illegali, al fine di sabotarne la reputazione.
3. Diritto d'Autore nell'Era dell'IA Generativa e l'Automatica Espansione della Responsabilità 231
Di converso, un'analisi sistematica del DDL AI rivela un esito opposto per quanto concerne le nuove tutele in materia di diritto d'autore.
L'art. 26, comma 3, del testo modificherebbe l'art. 171 della Legge n. 633/1941, introducendo la nuova lettera a-ter), che punirebbe la riproduzione o l'estrazione di testi o dati in violazione delle nuove norme sul text and data mining .
Qui la conseguenza sul piano della responsabilità dell'ente appare diametralmente diversa.
Poiché l'art. 25-novies del D.Lgs. 231/2001 già richiama, tra i reati presupposto, le violazioni previste dall'art. 171 della legge sul diritto d'autore, la nuova fattispecie vi rientrerebbe automaticamente, in forza del rinvio operato dalla norma.
Si paleserebbe, dunque, una asimmetria sanzionatoria: un ente potrebbe essere chiamato a rispondere ex D.Lgs. 231/2001 per aver addestrato il proprio sistema di IA con dati protetti da copyright in modo illecito, ma potrebbe non rispondere ai sensi del medesimo decreto per aver utilizzato quello stesso sistema al fine di creare e diffondere un deepfake dannoso per un concorrente.
Tale trattamento differenziato interroga la coerenza del legislatore e meriterebbe un'attenta riflessione nel prosieguo dei lavori parlamentari.
4. Le Deleghe al Governo
A rendere il quadro ancor più complesso e fluido interviene l'ampia delega che l'art. 24 del DDL AI conferirebbe al Governo per "adeguare e specificare la disciplina dei casi di realizzazione e di impiego illeciti di sistemi di intelligenza artificiale".
I principi e criteri direttivi delineati dal comma 5 appaiono di portata quantomai vasta e potenzialmente idonei a ridisegnare interi settori del diritto penale e processuale.
Il Governo verrebbe infatti delegato a:
precisare i criteri di imputazione della responsabilità penale delle persone fisiche e amministrativa degli enti, tenendo conto del "livello effettivo di controllo dei sistemi";
introdurre autonome fattispecie di reato, anche colpose, per l'omessa adozione di misure di sicurezza;
regolare l'utilizzo dell'IA nelle indagini preliminari ; e, infine,
modificare la normativa sostanziale e processuale vigente a fini di coordinamento.
Una delega di eccezionale ampiezza, che di fatto posticipa a una futura decretazione legislativa la definizione di nodi dogmatici centrali.
La disciplina penale dell'AI si configura, dunque, non come un punto d'arrivo, ma come un cantiere aperto, la cui architettura definitiva dipenderà in larga misura dalle scelte che verranno operate in sede governativa.
Considerazioni Conclusive
Il Disegno di Legge sull’Intelligenza Artificiale, nella sua attuale formulazione, si presenta come il primo, organico tentativo del legislatore nazionale di governare un fenomeno tecnologico dalle pervasive implicazioni penalistiche.
L'analisi del testo, tuttavia, rivela non solo l'intento di approntare nuove difese, ma anche profili di criticità, possibili disarmonie e un ampio ricorso allo strumento della delega legislativa, che rimette a un momento successivo la definizione di aspetti cruciali della materia, che, probabilmente, dovrebbero conoscere un diverso approfondimento nell’economia di un iter legislativo ordinario.
Emerge, allo stato, la potenziale lacuna derivante dalla mancata inclusione del nuovo delitto di illecita diffusione di contenuti manipolati nel catalogo dei reati presupposto; mancanza che dischiude interrogativi sulla piena consapevolezza delle implicazioni criminologiche della fattispecie nelle dinamiche dell’organizzazione economica.
Sarebbe pertanto auspicabile un intervento più attento a intercettare la reale portata offensiva dei fenomeni, attraverso un'opera di tipizzazione delle fattispecie più rigorosa e meditata.
Un compito, questo, che necessariamente dovrà attingere a nozioni metagiuridiche, poiché non è possibile incriminare efficacemente ciò che non si comprende a fondo nelle sue implicazioni tecniche e operative.
Proprio in questo risiede, in definitiva, la tensione che attraverserà sempre di più il diritto penale del futuro: il difficoltoso, costante, affinamento delle categorie normative -se non, addirittura, dogmatiche - a fronte dell'incessante e convulsa accelerazione del progresso tecnologico.
¹ Cfr. Cass. Pen., Sez. Unite, 24 aprile 2014, n. 38343 (ThyssenKrupp), che ha consolidato il concetto di "colpa di organizzazione" come fondamento della responsabilità dell'ente. Sul punto, per una riflessione critica, A. ALESSANDRI, Diritto penale e attività economiche, il Mulino, 2018.
² Per un'analisi della nozione di "interesse o vantaggio" dell'ente, si veda Cass. Pen., Sez. Unite, 30 gennaio 2014, n. 10561 (Espenhahn).
³ Sul tema della soggettività penale degli agenti artificiali, si vedano, tra gli altri, G. L. GATTA, "Intelligenza artificiale e diritto penale: un primo quadro d'insieme", in Diritto Penale Contemporaneo, Fasc. 3/2023, e F. MANTOVANI, "Machina Sapiens. L'intelligenza artificiale e la sfida al diritto penale", in Rivista Italiana di Diritto e Procedura Penale, 2021.
⁴ Sulle problematiche legate al text and data mining e al diritto d'autore, si veda M. R. MARELLA, "Diritto d'autore e intelligenza artificiale. Note a margine dell'AI Act", in Diritto dell'informazione e dell'informatica, 2023.
⁵ Per una visione d'insieme sulle sfide poste dalla tecnologia al diritto penale, si rinvia a E. MUSCO, I nuovi orizzonti del diritto penale dell'economia, Giuffrè, 2022.
