ROMA – C’è una differenza sostanziale tra il professionista e chi guida un’impresa. Al professionista, avvocato, notaio o commercialista che sia, la legge chiede essenzialmente di dirlo: se usa l’intelligenza artificiale nella prestazione, il cliente deve saperlo in modo chiaro e documentato. Un obbligo di trasparenza, che si assolve con una riga ben scritta nella lettera d’incarico. A chi siede al vertice di un’organizzazione la legge chiede qualcosa di più scomodo: non comunicare, ma governare. E gli toglie un privilegio che il diritto societario italiano ha concesso volentieri fino a pochi anni fa, la possibilità di non sapere. Molti consigli di amministrazione non l’hanno ancora messo a verbale.
Il rinvio che tutti hanno letto male
Nell’estate 2026 una notizia è circolata storta in metà delle sale riunioni d’Italia. Il Digital Omnibus, il Regolamento (UE) 2026/1744 pubblicato il 24 luglio ed entrato in vigore il 27, ha riscritto il calendario dell’AI Act: gli obblighi sui sistemi ad alto rischio slittano al 2 dicembre 2027 per i sistemi autonomi dell’Allegato III e al 2 agosto 2028 per quelli incorporati in prodotti regolamentati. In molti hanno letto “rinvio” e capito “pausa”. Il regolamento però non è stato sospeso: sono state spostate in avanti solo le prescrizioni più onerose. Dal 2 agosto 2026 si applicano gli obblighi di trasparenza dell’articolo 50 (chi espone un chatbot a clienti o dipendenti, o diffonde contenuti generati artificialmente, deve dichiararlo) ed è operativo l’impianto di vigilanza e sanzioni. Senza contare che dal 2 febbraio 2025 sono già in vigore i divieti dell’articolo 5 e l’obbligo di alfabetizzazione dell’articolo 4, che riguardano ogni impresa, qualunque tecnologia usi. Il rinvio apre una finestra, non concede una tregua.
L’alfabetizzazione non è un corso, è un assetto
L’articolo 4 viene spesso derubricato a voce di spesa formativa: due ore in aula, un attestato, pratica chiusa. Una lettura sbagliata e, per chi firma, pericolosa. La norma impone a fornitori e utilizzatori di garantire un livello di competenza adeguato ai rischi che i sistemi introducono nei processi dell’organizzazione. L’adeguatezza non si misura in ore erogate, ma sulla capacità concreta di chi sta davanti alla macchina di capire cosa sta facendo e, se serve, di fermarla. Qui si innesta l’articolo 26, con gli obblighi dell’utilizzatore professionale: uso conforme alle istruzioni del fornitore, misure tecniche e organizzative documentate, sorveglianza umana affidata a persone con competenza, formazione e autorità adeguate, monitoraggio del funzionamento, conservazione dei log, informazione dei lavoratori coinvolti. Per banche, assicurazioni e soggetti pubblici si aggiunge la valutazione d’impatto sui diritti fondamentali dell’articolo 27.
Il passaggio sull’autorità merita attenzione: non basta formare qualcuno, bisogna dargli il potere di dire di no alla macchina. E il potere, in un’organizzazione, lo distribuisce chi la guida, non l’ufficio IT.
La legge italiana: informare non è facoltativo
Sul piano nazionale, la legge 23 settembre 2025 n. 132, operativa dal 10 ottobre 2025, ha introdotto obblighi diretti in capo al datore di lavoro. Prima che un lavoratore interagisca con un sistema di IA che incide su assunzione, gestione o cessazione del rapporto, l’azienda deve comunicare per iscritto quali sistemi usa, con quali finalità, con quale logica di funzionamento e su quali categorie di dati, nei termini dell’articolo 1-bis del D.Lgs. 152/1997. C’è poi un profilo meno discusso e più insidioso: l’IA non può essere impiegata per sorvegliare o monitorare i lavoratori senza le garanzie di legge, nemmeno quando è stata introdotta per ottimizzare le prestazioni. Il che impone una revisione onesta dei software HR, dei sistemi di performance management e delle piattaforme di analisi comportamentale già in casa. Più di un’azienda scoprirà di avere in produzione strumenti di controllo che nessuno ha mai chiamato con il loro nome. La legge non chiede alle imprese di essere virtuose ma di essere dimostrabili: mappare i sistemi in uso, verificarne trasparenza e sicurezza, definire ruoli e responsabilità tra HR, IT e DPO, formare il personale, aggiornare informative e procedure di audit.
Il precedente NIS2
Chi vuole capire dove sta andando la responsabilità del vertice non deve guardare all’AI Act, ma al D.Lgs. 138/2024, il recepimento italiano della direttiva NIS2, in vigore dal 16 ottobre 2024.
L’articolo 23 di quel decreto ha attribuito agli organi di amministrazione e direttivi tre doveri non delegabili: approvare le modalità di implementazione delle misure di gestione del rischio, sovrintendere alla loro attuazione, partecipare personalmente a percorsi di formazione promuovendo quella del personale. E ha stabilito che amministratori delegati, rappresentanti legali e componenti degli organi possono essere ritenuti personalmente responsabili dell’inadempimento. Il perimetro, secondo le stime dell’Agenzia per la Cybersicurezza Nazionale, riguarda circa cinquantamila organizzazioni italiane. L’esecuzione si può delegare, la supervisione no. È il modello che il legislatore sta replicando su ogni dossier tecnologico, e l’intelligenza artificiale è il prossimo.
L’obbligo che nell’AI Act non è scritto
Il punto che conta più di tutti, però, non ha una scadenza in calendario, e proprio per questo nessuno lo mette all’ordine del giorno. L’articolo 2086, comma 2, del codice civile impone agli amministratori di istituire assetti organizzativi, amministrativi e contabili adeguati alla natura e alle dimensioni dell’impresa. È una clausola generale, e le clausole generali si riempiono di contenuto con il tempo. Oggi si stanno riempiendo di tecnologia: gli adeguati assetti non riguardano più soltanto bilanci e flussi finanziari, ma dati, sistemi informativi, fornitori ICT e strumenti di intelligenza artificiale.
La dottrina più avvertita è arrivata a una conclusione che dovrebbe far riflettere chi presiede un consiglio: le prescrizioni dell’AI Act e le garanzie del GDPR non sono meri obblighi di conformità, ma concorrono a riempire di contenuto tecnico proprio la clausola dell’articolo 2086. Un assetto è adeguato solo se è capace di governare la complessità tecnologica, e la delega alla macchina, in assenza di un effettivo potere di intervento umano, vizia in radice l’istruttoria dell’ente.
Tradotto per chi decide: la business judgment rule, lo scudo che protegge la discrezionalità imprenditoriale dal sindacato del giudice, regge finché la scelta è stata preceduta da un’istruttoria congrua. Se l’istruttoria l’ha fatta un modello di cui nessuno in azienda sa spiegare il funzionamento, e nessuno aveva l’autorità per fermarlo, lo scudo si assottiglia. Il Tribunale di Milano già nel 2019 aveva qualificato la predisposizione di assetti adeguati come precetto inderogabile; nel marzo 2024 il Tribunale di Torino ha condannato un amministratore al risarcimento dei danni per non averli istituiti.
C’è infine il rovescio della medaglia. Secondo autorevole dottrina, una società di dimensioni medio-grandi che non si sia attrezzata per gestire attività e rischi con il supporto di sistemi di intelligenza artificiale efficienti difficilmente potrà dirsi dotata di un assetto adeguato ai sensi dell’articolo 2086. Non usarla sta diventando rischioso quanto usarla male.
Quanto costa non decidere
L’articolo 99 dell’AI Act prevede sanzioni fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le pratiche vietate, fino a 15 milioni o al 3% per la violazione degli altri obblighi, compresi quelli dell’utilizzatore, e fino a 7,5 milioni o all’1,5% per informazioni inesatte fornite alle autorità. In Italia la vigilanza è affidata all’Agenzia per la Cybersicurezza Nazionale, con il Garante privacy, la Banca d’Italia, la Consob e l’Ivass nei rispettivi settori.
Ma la sanzione è il rischio meno interessante. Il rischio vero è l’azione di responsabilità, ed è personale.
Nelle arti marziali giapponesi si insegna la sequenza shu-ha-ri: prima si obbedisce alla forma, poi la si rompe, infine la si supera. Nessun maestro ha mai concesso a un allievo di partire dal terzo stadio perché aveva fretta. L’errore più frequente ai vertici aziendali è proprio saltare lo shu: adottare strumenti potenti senza aver costruito la forma, cioè la mappatura, i ruoli, la formazione vera, il potere di intervento, la documentazione delle decisioni. Salvo scoprire, quando qualcosa va storto, che quella forma era l’unica cosa che davanti a un giudice distingue un rischio d’impresa legittimo da una negligenza organizzativa.
L’intelligenza artificiale può istruire una pratica, redigere un’analisi, suggerire una decisione, e lo farà sempre meglio. Ma non firma i verbali del consiglio, non risponde ai soci, non compare in udienza. Quella firma resta di chi guida. Ed è la prova che il vertice conta ancora.
Fonti
Normativa europea Regolamento (UE) 2024/1689 (AI Act), artt. 4, 5, 26, 27, 50, 99 e 113 · Regolamento (UE) 2026/1744 (“Digital Omnibus on AI”), in GUUE 24 luglio 2026, in vigore dal 27 luglio 2026 · Direttiva (UE) 2022/2555 (NIS2).
Normativa italiana Legge 23 settembre 2025, n. 132 (disposizioni e deleghe in materia di intelligenza artificiale), in vigore dal 10 ottobre 2025 · D.Lgs. 4 settembre 2024, n. 138 (recepimento NIS2), art. 23 · D.Lgs. 26 maggio 1997, n. 152, art. 1-bis · Codice civile, artt. 2086, comma 2, e 2381 · D.Lgs. 12 gennaio 2019, n. 14 (Codice della crisi), art. 3.
Giurisprudenza Trib. Milano, 18 ottobre 2019 · Trib. Torino, 29 marzo 2024.
Dottrina e approfondimenti Intelligenza artificiale e corporate governance, ADVANT Nctm, in Diritto Bancario, 14 luglio 2026 (dirittobancario.it) · La responsabilità degli amministratori per l’intelligenza artificiale, Metodo Giuridico, 5 maggio 2026 (metodogiuridico.it) · F. M. Frassanito, L’intelligenza artificiale nei processi decisionali, Rivista di Corporate Governance · Adeguati assetti nel 2026, Commercialista Telematico, 25 giugno 2026 (commercialistatelematico.com) · Assetti organizzativi ex art. 2086 c.c. e Business Judgment Rule, Studio Cerbone, 24 giugno 2026 (studiocerbone.com).
Stampa e fonti tecniche AI Act, dal 2 agosto debuttano la vigilanza e i doveri di trasparenza, Il Sole 24 Ore, luglio 2026 · AI Act: che cosa cambia davvero dal 2 agosto 2026, Altalex, 31 luglio 2026 · AI Omnibus in vigore dal 27 luglio 2026, Federprivacy · AI Act, il rinvio è una trappola per le PMI e NIS 2: guida pratica per la governance, Agenda Digitale · NIS 2, il nuovo ruolo dei CdA, TeamSystem Magazine · Legge 132/2025: nuovi obblighi per i datori di lavoro, GDPR.it · Intelligenza Artificiale e Legge 132/2025, Paradigma, 21 luglio 2026.
