Quando la sorveglianza umana diventa norma penale: tre processi, e che cosa alla chiusura di redazione non era ancora in vigore

Situazione di partenza: una fattispecie penale che non è ancora in Gazzetta Ufficiale

L’Italia ha approvato la propria legge sull’intelligenza artificiale quasi un anno fa. La legge 132/2025 è entrata in vigore il 10 ottobre 2025 e ha delegato il Governo ad adeguare entro dodici mesi il diritto nazionale al regolamento europeo sull’IA e a disciplinare i casi di produzione e di impiego illeciti di sistemi di IA.⁴ Il 10 giugno 2026 il Consiglio dei ministri ha approvato in esame preliminare due schemi di decreto, poi il 4 agosto 2026 li ha approvati in esame definitivo.¹

Il nucleo è il nuovo articolo 437-bis del codice penale. Punisce chi, in un sistema di IA ad alto rischio, omette le misure tecniche di sicurezza prescritte oppure la sorveglianza umana e con ciò determina un pericolo concreto: da uno a cinque anni di reclusione quando sono in gioco la vita o l’incolumità di singole persone, da due a otto anni quando il pericolo riguarda la pubblica sicurezza o la sicurezza dello Stato. Accanto a questo arrivano il nuovo articolo 25-vicies, che colloca i reati in materia di IA fra i reati presupposto della responsabilità dell’ente prevista dal decreto legislativo 231 del 2001, e una disposizione del secondo decreto, che dichiara nullo il licenziamento fondato unicamente su un trattamento automatizzato.¹ La responsabilità da decreto 231 non colpisce la persona che ha agito ma l’organizzazione, e accanto alla sanzione pecuniaria conosce anche il divieto di contrattare con la pubblica amministrazione.³

E adesso la parte che un articolo sul nuovo diritto penale deve dire per prima. Alla chiusura di redazione, il 2 settembre 2026, i due decreti non erano pubblicati in Gazzetta Ufficiale.² Quello che il Consiglio dei ministri approva è un testo in cammino verso la Gazzetta: successione degli articoli, numerazione e formulazione diventano vincolanti solo con la pubblicazione, e fino ad allora in Italia non vige alcuna fattispecie penale in materia di IA. Chi oggi Le vende una lista di controllo già pronta sull’articolo 437-bis Le vende l’interpretazione di un testo di cui non conosce la versione definitiva. Verifichi il testo pubblicato prima di fondarci qualcosa. Questo articolo non sostituisce una consulenza legale.

Su questo sfondo vale la pena guardare la situazione del Paese. Secondo la rilevazione dell’Istat, condotta su un campione di 26.246 imprese e rappresentativa di 218.446 imprese con almeno dieci addetti, nel 2025 il 16,4% delle imprese usava almeno una tecnologia di IA; fra le grandi imprese la quota è del 53,1%, fra le piccole e medie del 15,7%, e la distanza fra le due è cresciuta da circa 20 punti percentuali nel 2023 a 37 punti percentuali.⁵ Per il nostro tema è più eloquente un altro dato della stessa rilevazione: il 33,4% delle imprese che usano l’IA non indica nessuno degli ambiti di applicazione proposti, e di queste l’83,3% ha da 10 a 49 addetti.⁶ Chi non sa dire per che cosa impiega l’IA non sa dire nemmeno se uno di quei sistemi ricade nell’ambito ad alto rischio.

Chi è interessato, e chi no

La fattispecie penale è appesa a una sola parola, e quella parola è alto rischio. Il regolamento europeo sull’IA, il regolamento 2024/1689, elenca nell’allegato I i sistemi che entrano in un prodotto come componente di sicurezza e nell’allegato III gli ambiti che valgono come ad alto rischio di per sé, fra cui occupazione e selezione del personale, valutazione del merito creditizio, infrastrutture critiche, istruzione e parti dell’attività di contrasto. L’articolo 14 chiede che questi sistemi siano costruiti in modo che le persone possano sorvegliarli in modo efficace, e l’articolo 26 chiede al deployer, cioè a chi li impiega, di affidare la sorveglianza a persone fisiche formate a questo scopo e dotate della relativa autorità.⁷

Questi obblighi, però, non si applicano ancora. Il Digital Omnibus, approvato come regolamento 2026/1744 e pubblicato il 24 luglio 2026 nella Gazzetta ufficiale dell’Unione europea, ha ristretto ulteriormente l’articolo sull’alto rischio e ne ha spostato l’applicazione: al 2 dicembre 2027 per i sistemi ad alto rischio autonomi e al 2 agosto 2028 per quelli incorporati in un prodotto.⁸ Come una fattispecie penale nazionale si rapporti a questo calendario spostato è una delle domande a cui risponderà soltanto il testo pubblicato. Lo mettiamo per iscritto, invece di far apparire l’urgenza più grande di quanto sia.

La seconda domanda è quante imprese saprebbero anche solo dire di essere interessate. I dati solidi in materia sono pochi: la rilevazione più nota sulla governance dell’IA nelle grandi imprese italiane, l’Osservatorio Artificial Intelligence del Politecnico di Milano, è finanziata da sponsor e non rende noto il campione, e per questo non ne riprendiamo qui le quote.⁹ Dalla stessa direzione arriva un dato dell’Istat che nella cronaca italiana viene riportato con regolarità in modo scorretto: fra le imprese che non usano l’IA, l’11,5% ne ha almeno preso in considerazione l’adozione, e solo a questo sottogruppo si riferiscono gli ostacoli riportati, cioè la mancanza di competenze con il 58,6% e la mancanza di chiarezza normativa con il 47,3%.¹⁰ Non è un’affermazione sull’economia italiana nel suo insieme, e chi la usa così si costruisce un problema più grande di quello che è.

Il quadro che segue ordina le voci in base a chi deve condurre la verifica, non in base a chi sbaglia qualcosa. Nella colonna di destra c’è soltanto ciò che una piattaforma può aggiungere, cioè elementi di prova. La valutazione in sé spetta alla Sua impresa e, negli ambiti regolati, anche ai Suoi legali.

Caso d’uso 1: organizzare la sorveglianza umana in modo da poterla dimostrare

Nella maggior parte delle imprese la sorveglianza avviene già da tempo. Una persona esperta guarda che cosa propone un sistema e decide. Solo che non ne resta nulla: nessuna data, nessun riferimento alla fonte, nessuna annotazione, niente che due anni dopo si possa mostrare a un’autorità. Nella postazione di lavoro con l’IA questo passaggio si svolge in un unico procedimento. La proposta del sistema specialistico viene aperta insieme ai documenti su cui si fonda, la persona competente fissa verifica e decisione nello stesso procedimento, e la chiamata compare con data e ora, account e strumento nel registro di audit, cioè nel verbale continuo di tutti gli accessi, che Lei può esportare come file.

Due impostazioni decidono se da tutto questo nasce una prova utilizzabile. Le prime sono i diritti: valgono nell’ordine utente, ruolo, gruppo, impostazione predefinita del server, e gli accessi in scrittura ai sistemi collegati vanno autorizzati a parte. I secondi sono i riferimenti alla fonte: le risposte tratte da una base di conoscenza, cioè dai documenti della Sua impresa, riportano il punto in cui si trovano. Così più tardi si può mostrare non solo che qualcuno ha verificato, ma anche su che cosa. Quali impostazioni l’amministrazione fissa a questo scopo è descritto in Governance.

Il limite, ed è il più importante di tutto l’articolo: il prodotto non produce la sorveglianza umana, la rende dimostrabile. Chi conferma una proposta senza leggerla genera una voce di registro e non una sorveglianza. Se una sorveglianza basti nel merito lo giudicano alla fine un’autorità di vigilanza e un giudice, non un registro.

Caso d’uso 2: un elenco di ciò che sta davvero girando

La prima domanda di una verifica non è mai se la Sua impresa usa l’IA, ma quale. Si può rispondere soltanto se gli accessi convergono in un unico punto. Con Kisuno il personale raggiunge i modelli attraverso un unico accesso: i modelli attuali di OpenAI (ChatGPT) e Anthropic (Claude), che vengono eseguiti nel data center AWS di Francoforte. AWS è un’azienda statunitense, quindi lo US CLOUD Act si applica anche con server a Francoforte, e lo diciamo apertamente. Per i clienti con requisiti elevati di protezione dei dati sono disponibili modelli aperti di punta come GLM, Kimi e DeepSeek, gestiti da aziende europee su server in Europa; lì il CLOUD Act non si applica. I sistemi di terzi si collegano tramite MCP, il Model Context Protocol, uno standard aperto per il collegamento a programmi esterni; una singola connessione di questo tipo si chiama connettore, e i diritti valgono per singolo strumento.

Quello che ne nasce non è un documento, ma un’analisi: quali modelli sono davvero disponibili nella Sua istanza, cioè nella Sua installazione del software, quale modello è l’impostazione predefinita del server, quali basi di conoscenza esistono e chi può leggerle, quali connettori sono configurati, quali strumenti questi abilitano e chi ne fa davvero uso. Il consumo è indicato per singolo modello. Quali software si possono collegare oggi è riportato nella pagina Integrazioni.

Il limite: non nasce alcun inventario automatico dell’IA. La piattaforma vede ciò che passa da lei, e nient’altro. Un’estensione nel browser, un account privato sul telefono, un modello dentro un applicativo di settore, tutto questo resta invisibile. Proprio per questo il 33,4% di utilizzatori che non indica alcun ambito di applicazione dice quanto passa accanto ai percorsi ufficiali.⁶ Un elenco che regga una verifica ai sensi del decreto 231 o del regolamento europeo sull’IA è più ampio e lo tengono delle persone.

Caso d’uso 3: preparare le decisioni sul personale senza prenderle in modo automatizzato

Un annuncio porta più candidature di quante se ne possano leggere in un pomeriggio. La strada abituale è un ordinamento automatico. Non è a questa che guarda la nuova disposizione italiana: secondo il comunicato ufficiale le attività di ricerca e selezione delle candidature non rientrano fra le decisioni finali sulla costituzione del rapporto di lavoro, nemmeno quando comportano la mancata ammissione alle fasi successive.¹ Resta invece l’articolo 22 del regolamento generale sulla protezione dei dati, che non guarda al nome del passaggio ma al suo effetto.¹³ Il percorso che regge su entrambi i fronti è questo: l’ufficio competente fissa i criteri tratti dall’annuncio e li approva. Il collega IA raccoglie poi, per ogni candidatura, quello che i documenti dicono su quei criteri, ogni volta con il punto in cui è scritto, e quello che manca. Non ordina, non pondera, non scarta nulla.

La decisione resta a una persona e viene registrata come decisione sua, con motivazione, data e nome. Il regolamento generale sulla protezione dei dati vieta la decisione fondata unicamente su un trattamento automatizzato che produce effetti significativi, non il supporto a chi decide.¹³ La disposizione approvata del secondo decreto traccia questa linea in modo più netto per il licenziamento, perché non mette la conseguenza in una sanzione pecuniaria ma nella nullità.¹ Vi si aggiunge un obbligo che in Italia vige già: la legge 132/2025 impone di informare per iscritto le persone occupate sull’impiego di sistemi di IA nel rapporto di lavoro.⁴

Il limite, e qui aiuta un caso italiano. Il 14 maggio 2026 il Garante ha rivolto un avvertimento formale al fornitore di un’estensione che dai messaggi nei programmi di chat avrebbe dovuto ricavare lo stress delle persone occupate; decisiva non è stata l’intenzione, ma il fatto che le analisi aggregate potessero mettere il datore di lavoro, anche solo in via indiretta, nella condizione di sapere qualcosa sullo stato d’animo dei singoli. L’avvertimento si fonda espressamente anche sull’articolo 5, paragrafo 1, lettera f) del regolamento sull’IA, che vieta i sistemi per inferire le emozioni sul luogo di lavoro.¹⁴ Tradotto: una firma sotto una graduatoria che di fatto ha già deciso non è una decisione umana. Chi restringe la preselezione fino a lasciare una sola persona ha deciso in modo automatizzato e ha fatto firmare un essere umano.

I limiti: che cosa qui non viene affermato

Prima di tutto la limitazione che toglie ampiezza a tutto l’articolo. La fattispecie penale riguarda i sistemi ad alto rischio. Un normale assistente di chat con cui qualcuno abbozza un testo, prepara una sintesi o pone una domanda ai propri documenti di norma non lo è. Chi lascia intendere che da subito ogni impresa sia interessata non è serio, e il Digital Omnibus ha per giunta ristretto l’articolo sull’alto rischio e spostato più avanti la sua applicazione.⁸ La verifica se uno dei Suoi sistemi ricada in questa categoria resta comunque sensata, ed è una verifica giuridica e non tecnica.

In secondo luogo: nessun prodotto rende conforme un Modello 231. Quello che una piattaforma fornisce sono la registrazione degli accessi e il controllo dei diritti, cioè elementi di prova. Il modello di organizzazione in sé è fatto di un’analisi dei rischi per la Sua impresa, di procedure, di un organismo di vigilanza e di un sistema disciplinare, e sulla sua idoneità decide in caso di contenzioso un giudice. La conformità non si realizza introducendo un software, e un fornitore che lo lasci intendere Le sta vendendo un problema per dopo.

In terzo luogo: è vietata la decisione sul personale unicamente automatizzata, non l’assistenza. Chi ne deduce che l’IA sia diventata inutilizzabile nelle risorse umane legge la norma troppo estesamente; chi ne deduce che basti una firma la legge troppo strettamente. Conta se una persona ha davvero valutato il caso e se ha potuto valutarlo, e per questo le servono tempo, accesso ai documenti e il potere di decidere diversamente dalla proposta.

In quarto luogo il punto in cui la nostra stessa offerta non va bene. Il regolamento cloud dell’ACN per la pubblica amministrazione classifica dati e servizi come ordinari, critici o strategici, dove strategico significa che una compromissione può toccare la sicurezza nazionale. Per i dati e i servizi strategici richiede che tutte le tipologie di metadati siano trattate su infrastrutture ubicate nel territorio dell’Unione europea; il requisito porta il numero 8_S nell’allegato 2 e il numero 17_S nell’allegato 3, e sono esclusi soltanto i metadati necessari all’erogazione dei servizi lì espressamente indicati.¹¹ La Svizzera non appartiene al territorio dell’Unione. Secondo il testo, per questo caso il nostro servizio gestito nei data center di Green a Lupfig, certificati ISO 27001, proprio non basta, e la certificazione di quei centri non cambia nulla, perché riguarda la sicurezza dell’esercizio e non l’ubicazione. La risposta onesta qui si chiama self-hosting: Lei gestisce il software sulla Sua infrastruttura nel territorio dell’Unione, anche il percorso dei modelli resta all’interno dell’Unione, e noi non vi prendiamo parte. La base LibreChat è rilasciata con licenza MIT, il repository con le nostre estensioni seguirà a breve.

In quinto luogo la direzione opposta, perché non ne nasca una paura sbagliata. Questo regolamento cloud vale per la pubblica amministrazione e per chi la fornisce, non per le imprese private. Per un’impresa privata è un metro di paragone e non un obbligo. E dove un bando chiede un data center in Italia, di regola è un criterio della stazione appaltante e non una prescrizione di legge. Che cosa valga per Lei dipende dalla Sua classificazione, dal Suo settore e dai Suoi contratti. Questo articolo non sostituisce una consulenza legale.

Domande frequenti su articolo 437-bis, Modello 231 e sorveglianza umana

Fonti

Tutti i dati, i termini e le formulazioni riportati in questo articolo provengono dalle fonti seguenti, verificate da ultimo il 2 settembre 2026. A quella data i due decreti attuativi erano approvati ma non pubblicati; le indicazioni che li riguardano si basano sul comunicato ufficiale del Consiglio dei ministri e su un commento di studio legale allo schema. La numerazione e la formulazione definitive risulteranno soltanto dalla pubblicazione in Gazzetta Ufficiale.

1. Presidenza del Consiglio dei ministri, Comunicato stampa del Consiglio dei ministri n. 185 del 4 agosto 2026, esame definitivo dei due decreti di adeguamento del diritto nazionale al regolamento (UE) 2024/1689, con il nuovo articolo 437-bis del codice penale, che punisce l’omessa adozione di misure di sicurezza con una pena graduata secondo il bene giuridico messo in pericolo, e con la nullità della decisione sulla costituzione, la modifica o la risoluzione del rapporto di lavoro fondata unicamente su un trattamento automatizzato, precisando espressamente il comunicato che le attività di ricerca e selezione delle candidature non rientrano fra tali decisioni, anche quando comportano la mancata ammissione alle fasi successive: governo.it; commento dello studio legale Gianni & Origoni allo schema di decreto penale, con l’elemento dell’omessa sorveglianza umana, le pene da uno a cinque e da due a otto anni e il nuovo articolo 25-vicies del decreto legislativo 231/2001: gop.it. Il numero di quote da 600 a 1.000 e le sanzioni interdittive sono nell’articolo 17 dello schema trasmesso al Parlamento, Atto del Governo n. 418 della XIX legislatura; fino alla pubblicazione ufficiale il testo può ancora cambiare: sistemapenale.it
2. Gazzetta Ufficiale della Repubblica Italiana, Serie Generale: spoglio dei sommari della Serie Generale dal n. 177 al n. 203, dal 1° agosto al 2 settembre 2026; l’ultimo decreto legislativo pubblicato porta il numero 151 del 30 luglio 2026, e i due decreti approvati il 4 agosto 2026 non vi compaiono: gazzettaufficiale.it
3. Decreto legislativo 8 giugno 2001, n. 231, articolo 9 sulle sanzioni interdittive, compreso il divieto di contrattare con la pubblica amministrazione, e articolo 10 sulla sanzione pecuniaria con un importo della quota da 258 a 1.549 euro: normattiva.it
4. Legge 23 settembre 2025, n. 132, Disposizioni e deleghe al Governo in materia di intelligenza artificiale, pubblicata nella Gazzetta Ufficiale n. 223 del 25 settembre 2025, in vigore dal 10 ottobre 2025, articolo 11 sull’informazione scritta alle persone occupate e norme di delega al Governo: normattiva.it
5. Istat, Statreport Imprese e ICT, Anno 2025, pubblicato il 15 dicembre 2025, campione di 26.246 imprese, rappresentativo di 218.446 imprese con almeno dieci addetti: 16,4% di utilizzo di almeno una tecnologia di IA, 53,1% nelle grandi imprese, 15,7% nelle piccole e medie, distanza cresciuta da circa 20 punti percentuali nel 2023 a 37 punti percentuali nel 2025: istat.it
6. Istat, Statreport Imprese e ICT, Anno 2025, stessa rilevazione: il 33,4% delle imprese che usano l’IA non indica nessuno degli ambiti di applicazione proposti, e di queste l’83,3% ha da 10 a 49 addetti: istat.it
7. Regolamento (UE) 2024/1689 sull’intelligenza artificiale, articolo 6 con allegato I e allegato III sulla classificazione come ad alto rischio, articolo 14 sulla sorveglianza umana e articolo 26 sugli obblighi dei deployer: eur-lex.europa.eu
8. Regolamento (UE) 2026/1744 di semplificazione delle norme sull’intelligenza artificiale, pubblicato nella Gazzetta ufficiale dell’Unione europea il 24 luglio 2026, con le nuove date di applicazione 2 dicembre 2027 per i sistemi ad alto rischio autonomi e 2 agosto 2028 per quelli incorporati in un prodotto: eur-lex.europa.eu
9. Osservatorio Artificial Intelligence del Politecnico di Milano, rilevazione sulla governance dell’IA nelle grandi imprese italiane, finanziata da sponsor e senza campione reso noto; le quote lì riportate non le riprendiamo, perché non sono verificabili sulla pubblicazione accessibile: osservatori.net
10. Istat, Statreport Imprese e ICT, Anno 2025, stessa rilevazione: fra le imprese che non usano l’IA, l’11,5% ne ha preso in considerazione l’adozione; gli ostacoli mancanza di competenze con il 58,6% e mancanza di chiarezza normativa con il 47,3% si riferiscono esclusivamente a questo sottogruppo e non a tutte le imprese che non usano l’IA: istat.it
11. Agenzia per la cybersicurezza nazionale, Regolamento per le infrastrutture digitali e per i servizi cloud per la pubblica amministrazione, in vigore dal 1° agosto 2024, categoria PR.DS-01, requisito 8_S nell’allegato 2 e requisito 17_S nell’allegato 3: per i dati e i servizi strategici tutte le tipologie di metadati vanno trattate su infrastrutture ubicate nel territorio dell’Unione europea, eccettuati quelli necessari ai servizi lì indicati: acn.gov.it
12. Agenzia per la cybersicurezza nazionale, Determinazione n. 379907/2025 del 19 dicembre 2025, applicabile dal 15 gennaio 2026, con un termine di 18 mesi dalla notifica per le misure di base; sostituisce la precedente Determinazione 164179/2025: acn.gov.it
13. Regolamento (UE) 2016/679, regolamento generale sulla protezione dei dati, articolo 22 sulla decisione fondata unicamente sul trattamento automatizzato che produce effetti giuridici o in modo analogo significativi: eur-lex.europa.eu
14. Garante per la protezione dei dati personali, Provvedimento n. 342 del 14 maggio 2026, avvertimento ai sensi dell’articolo 58, paragrafo 2, lettera a) del regolamento generale sulla protezione dei dati nei confronti del fornitore di un’estensione che dai messaggi nei programmi di chat avrebbe dovuto ricavare il carico di stress delle persone occupate; l’avvertimento si fonda espressamente anche sull’articolo 5, paragrafo 1, lettera f) del regolamento (UE) 2024/1689, che vieta i sistemi per inferire le emozioni sul luogo di lavoro: garanteprivacy.it