Per anni, quando si parlava di intelligenza artificiale e responsabilità, la discussione finiva sempre nel civile e nell'amministrativo: danni, multe, sanzioni delle autorità. In Italia, dal 2025, il discorso è cambiato: nel codice penale sono entrate norme che riguardano direttamente l'uso e la gestione dei sistemi di IA.
Sono due, nate da due provvedimenti diversi, e conviene tenerle distinte perché colpiscono condotte molto diverse.
Articolo 612-quater: i contenuti falsificati
Introdotto dalla legge 132/2025, in vigore dal 10 ottobre 2025. Punisce con la reclusione da uno a cinque anni chi cagiona un danno ingiusto cedendo, pubblicando o comunque diffondendo, senza il consenso della persona, immagini, video o voci falsificati o alterati mediante sistemi di intelligenza artificiale e idonei a indurre in inganno sulla loro genuinità.
Gli elementi da tenere a mente sono due, e devono ricorrere insieme: il danno ingiusto e la lesione concreta di un diritto della persona rappresentata — reputazione, dignità, vita privata, identità personale. Non basta la modifica; serve il pregiudizio.
Si procede a querela della persona offesa, salvo i casi in cui la legge prevede la procedibilità d'ufficio, fra cui le ipotesi in cui la vittima è incapace o il fatto è commesso contro una pubblica autorità a causa delle sue funzioni.
Chi lavora con volti e voci — agenzie, produzione video, comunicazione — deve leggerla come un promemoria: il consenso scritto, con ambito e durata definiti, non è una formalità da rimandare.
Articolo 437-bis: le misure di sicurezza
Questo è più recente e meno conosciuto. È stato introdotto dal decreto legislativo attuativo della legge 132/2025 approvato in via definitiva dal Consiglio dei Ministri il 4 agosto 2026, e punisce l'omessa adozione di misure di sicurezza relative ai sistemi di IA ad alto rischio, oltre alla loro alterazione illecita.
La ratio è la stessa dei reati in materia di sicurezza sul lavoro: quando un sistema può produrre effetti gravi sulle persone, non adottare le misure previste non è una svista amministrativa.
Per un'impresa il cambio di prospettiva è netto. Fino a ieri il ragionamento era "se sbaglio prendo una sanzione". Sui sistemi ad alto rischio, adesso, la mancata adozione delle misure di sicurezza ha un profilo penale, che per definizione riguarda persone fisiche con nome e cognome dentro l'organizzazione.
Le aggravanti quando l'IA è lo strumento del reato
Oltre alle due fattispecie autonome, la legge 132/2025 ha previsto aggravanti per l'impiego di sistemi di IA nella commissione di altri reati. È il riconoscimento di un dato di realtà: la stessa condotta, se moltiplicata dall'automazione, produce danni di scala diversa.
Pensa alla sostituzione di persona, alla truffa, alla diffamazione: eseguite a mano hanno un perimetro; eseguite con strumenti che generano volti, voci e testi credibili in serie, ne hanno un altro.
Cosa ne ricava un'azienda, in pratica
Tre indicazioni concrete.
Sui contenuti: se usi volti o voci di persone reali, servono consenso scritto, ambito d'uso definito e dichiarazione della natura artificiale del contenuto. È anche l'obbligo dell'articolo 50 dell'AI Act dal 2 agosto 2026, quindi due problemi risolti insieme.
Sui sistemi ad alto rischio: le misure di sicurezza vanno individuate, adottate e documentate con date. La documentazione non serve a fare bella figura: serve a dimostrare che non c'è stata omissione.
Sull'organizzazione: individua per iscritto chi risponde di cosa. Nei reati omissivi la prima domanda che si fa chi indaga è "chi doveva farlo?". Se la risposta in azienda non esiste, se la costruirà qualcun altro.
Una nota personale
Io di mestiere costruisco sistemi IA privati per studi professionali e piccole imprese italiane. Non vendo corsi e non vendo pacchetti di conformità da 4.000 euro con la copertina lucida. I regolamenti li leggo perché mi tocca, e li racconto come li ho capiti. Se hai una domanda, sul gruppo Telegram di Super Squalo (t.me/Squalogruppo) si discute di questa roba ogni giorno, e si risponde gratis.
Quando una materia entra nel codice penale, smette di essere un tema da ufficio acquisti. Diventa un tema di chi firma.
Domande frequenti
Il reato di deepfake si applica anche se non c'era intenzione di danneggiare?
La fattispecie richiede che dalla diffusione derivi un danno ingiusto alla persona rappresentata. La valutazione è del giudice sul caso concreto: il punto è che la mancanza di consenso e l'idoneità a ingannare sono elementi centrali.
Chi risponde dell'omessa adozione delle misure di sicurezza?
Le responsabilità penali riguardano persone fisiche, individuate secondo i ruoli e le deleghe effettive nell'organizzazione. Per questo l'attribuzione formale dei compiti, con date, è una misura di tutela concreta.
Serve una policy interna specifica?
È fortemente consigliata: definire chi decide, chi controlla e chi documenta è il modo più efficace per evitare che un'omissione resti senza titolare.