Intelligenza artificiale, il nuovo reato è già operativo: quando scatta

Dal 30 settembre 2026 l’ordinamento italiano dispone di una nuova fattispecie penale dedicata ai sistemi di intelligenza artificiale. L’articolo 437-bis del Codice penale, introdotto dal decreto legislativo 9 settembre 2026, n. 160, non colpisce qualsiasi utilizzo scorretto della tecnologia: per applicarlo occorre verificare il tipo di sistema coinvolto, la condotta contestata e il pericolo che ne è derivato.

La norma rappresenta uno dei passaggi dell’adeguamento dell’Italia al regolamento europeo sull’intelligenza artificiale. Il suo ambito, tuttavia, è delimitato e non coincide con ogni violazione delle regole di sicurezza o con qualsiasi malfunzionamento.

Il reato riguarda sistemi ad alto rischio

L’articolo 437-bis si applica esclusivamente agli strumenti che il regolamento europeo considera “ad alto rischio”. Si tratta, in sintesi, di tecnologie impiegate in settori nei quali un errore può incidere sulla salute, sulla sicurezza o sui diritti fondamentali delle persone.

Rientra in questo gruppo, per esempio, un sistema che controlla il traffico e modifica automaticamente il funzionamento dei semafori. Un programma che si limita invece a esaminare dati aggiornati per ottimizzare i flussi, senza intervenire sulla circolazione, non viene ricondotto alla stessa categoria secondo l’esempio richiamato dalla Commissione europea.

Omissioni e manomissioni hanno pene diverse

Il primo comma prevede da uno a cinque anni di carcere per chi, mentre progetta, addestra, produce o mette in commercio un sistema ad alto rischio, non predispone le garanzie necessarie per mantenerlo sicuro e controllabile. Le misure devono prevenire guasti o modifiche indebite e assicurare una supervisione umana effettiva.

La sorveglianza deve permettere a una persona di seguire il comportamento dello strumento, individuare anomalie o risultati inattesi e, se necessario, correggere il risultato prodotto oppure fermare il sistema. La responsabilità può derivare anche da colpa grave, quando la mancata cautela dipende da negligenza, imprudenza o imperizia particolarmente rilevanti.

Una condotta diversa è quella prevista dal secondo comma: chi interviene su un sistema originariamente regolare e ne modifica il funzionamento rischia una pena da due a sei anni. L’ultimo comma riguarda invece il professionista che utilizza lo strumento e omette intenzionalmente di garantire la supervisione umana durante l’attività.

Serve un pericolo concreto, non il danno

La semplice omissione o alterazione non è sufficiente per far scattare il reato. È necessario che da quella condotta derivi un rischio per la vita oppure per l’incolumità pubblica o individuale. Non occorre, però, che il danno si verifichi davvero: nell’esempio dei semafori, può bastare la creazione di una situazione capace di mettere in pericolo gli utenti della strada, anche senza un incidente.

Quando il rischio riguarda la sicurezza dello Stato, il trattamento sanzionatorio diventa più severo. Per le omissioni la reclusione passa da due a otto anni, mentre per l’alterazione del sistema sale da tre a dieci anni.

Anche le società possono essere coinvolte

Le conseguenze non ricadono necessariamente soltanto sulle persone fisiche. Il decreto legislativo n. 160/2026 ha inserito l’articolo 437-bis tra i reati che, alle condizioni previste dal decreto legislativo 231/2001, possono determinare la responsabilità dell’ente per condotte commesse da dirigenti o da soggetti sottoposti alla loro direzione e vigilanza.

Per le società sono possibili sanzioni economiche e misure interdittive. Tra queste rientrano la sospensione o la revoca di autorizzazioni e licenze, oltre al divieto di stipulare contratti con la pubblica amministrazione.