di Lara Conticello, Founder L&C Governance Generativa*
Un lunedì mattina, in una piccola impresa manifatturiera, il gestionale si aggiorna da solo: lo prevede il contratto con il fornitore, nessuno deve autorizzare nulla. Con l’aggiornamento entra nel processo un algoritmo che ricalcola i tempi ciclo e riassegna i carichi fra le linee. Non propone e non segnala: decide, e il processo va avanti.
I volumi crescono. Il direttore di produzione presenta al consiglio di amministrazione un report che migliora il profilo dell’impresa agli occhi delle banche; il consiglio approva la semestrale e presenta agli istituti il nuovo piano finanziario.
Dodici mesi dopo, alla revisione degli affidamenti, la banca chiede di ricostruire come si è arrivati a quei numeri. Chi ha verificato che il sistema calcolasse correttamente i volumi? Nessuno lo sa. Non c’è un documento da cui risulti che qualcuno abbia rivisto le scelte della macchina. Il consiglio si rivolge al fornitore e scopre che il contratto ne limita la responsabilità: dell’uso del sistema risponde chi lo utilizza.
Qui il problema ha due fronti, e nei consigli se ne vede quasi sempre uno solo. Il primo è penale. Il decreto legislativo 9 settembre 2026, n. 160, in vigore dal 30 settembre, ha introdotto l’articolo 437-bis del codice penale e lo ha inserito fra i reati presupposto del D.Lgs. 231/2001 con l’articolo 25-vicies. È punito anche l’utilizzatore professionale di un sistema ad alto rischio che omette intenzionalmente la sorveglianza umana, quando ne deriva un pericolo per le persone. Se il reato è commesso nell’interesse o a vantaggio dell’impresa, ne risponde anche l’impresa: e una semestrale migliore del previsto è un vantaggio difficile da negare. Un algoritmo che pianifica i carichi difficilmente è ad alto rischio. Ma basta che l’aggiornamento tocchi la funzione che ferma, o non ferma, una macchina: per l’AI Act può esserlo il componente di sicurezza di un prodotto soggetto a certificazione di terzi. Il calendario europeo fa scattare gli obblighi per questi sistemi fra la fine del 2027 e l’agosto 2028; il reato è già in vigore, e una sorveglianza che funziona non si costruisce nell’ultimo mese.
Il secondo fronte non ha bisogno né di un reato né di un sistema ad alto rischio, ed è già aperto: per questo è il più insidioso. L’articolo 2086 del codice civile chiede assetti adeguati alla natura e alle dimensioni dell’impresa: un assetto che non sa spiegare come si è formato il dato su cui chiede credito non è adeguato, anche se ci sono un organigramma e delle procedure. La banca può rivedere le condizioni, e il consiglio deve rispondere dei propri assetti.
E l’esimente dell’articolo 6 del D.Lgs. 231/2001? Qui non si prova un comportamento isolato, ma il governo di un processo. Se non c’è traccia di come l’impresa governa l’intelligenza artificiale, non c’è nulla da esibire. Chi siede in un organismo di vigilanza sa che quel giorno la domanda non sarà «lo sapevate?», ma «quando l’avete scritto?».
La stessa storia può avere un altro finale, fatto di atti ordinari e databili. Una riga nella delibera sulla semestrale, con cui il consiglio prende atto che nei processi è entrata l’intelligenza artificiale e se ne assume il governo. Il mandato a mappare sistemi, accessi e utilizzi, con controlli sugli esiti. Una sorveglianza umana vera: una persona che può dire basta, e la cui decisione prevale su quella del sistema. Infine l’aggiornamento della valutazione dei rischi e del Modello 231. È la stessa documentazione che serve a rispondere a un’autorità, a sostenere il piano davanti alla banca e a dimostrare che gli assetti sono adeguati. Tre domande, un solo fascicolo.
Perché ciò che l’impresa deve dimostrare non è che la decisione fosse giusta, ma come ci si è arrivati. Una decisione sbagliata ma tracciata si può difendere; una decisione giusta di cui nessuno sa rendere conto, no. La domanda che i consigli si porteranno dietro nei prossimi mesi è una sola: chi firma, quando decide l’algoritmo?
*Lara Conticello è founder di L&C Governance Generativa, realtà specializzata in governance, controllo e progettazione organizzativa. Revisore Legale dal 2008 e membro di Organismi di Vigilanza ex D.Lgs. 231/2001, affianca consigli di amministrazione, imprese e gruppi multinazionali nella costruzione di assetti decisionali solidi, tracciabili e coerenti con l’evoluzione normativa. Dall’aggiornamento dei modelli 231 agli adeguati assetti organizzativi, dalla pay transparency alla governance delle decisioni supportate dall’intelligenza artificiale, il suo lavoro integra rigore tecnico, visione strategica e attenzione alle dinamiche umane delle organizzazioni.
