Il D.Lgs. 231/2001 attraversa una delle fasi di revisione più ampie e strutturali dalla sua entrata in vigore. Lo schema di disegno di legge approvato dal Consiglio dei Ministri il 4 agosto 2026 intende rispondere alle sfide della transizione digitale e definire con maggiore precisione i confini della responsabilità degli enti. Per i professionisti della sicurezza, i consulenti e i componenti dell’Organismo di Vigilanza (OdV), l’intervento non rappresenta un semplice adeguamento formale, ma un significativo mutamento di prospettiva, che colloca la colpa di organizzazione al centro del sistema. In questo scenario, l’efficacia esimente del Modello di Organizzazione, Gestione e Controllo (MOG) dipende sempre più dalla capacità dell’impresa di individuare, prevenire e governare in modo tempestivo i rischi tecnologici e organizzativi. La compliance, pertanto, supera la dimensione del mero adempimento burocratico e assume una funzione strategica nel rafforzamento della capacità di adattamento e della continuità aziendale.
La novità di maggiore rilievo è rappresentata dall’introduzione dell’articolo 25-vicies, volto ad armonizzare l’ordinamento nazionale con le rigorose disposizioni del Regolamento europeo sull’intelligenza artificiale (AI Act). Le nuove disposizioni, pubblicate con il D.Lgs. 9 settembre 2026, n. 160 e destinate a entrare in vigore il 30 settembre 2026, includono nel catalogo della responsabilità amministrativa degli enti specifici reati presupposto individuati dal nuovo articolo 25-vicies e introducono nuove fattispecie penali. Tra queste assumono particolare importanza l’articolo 437-bis, che sanziona l’omessa adozione, la rimozione, l’alterazione o l’elusione delle misure o dei dispositivi di sicurezza, protezione o controllo previsti per i sistemi di intelligenza artificiale classificati ad alto rischio, e l’articolo 612-quater, che punisce l’illecita diffusione di contenuti generati o alterati mediante sistemi di intelligenza artificiale, quali i deepfake, idonei a indurre in errore i destinatari. Si consolida, in tal modo, il legame tra rischio cibernetico e responsabilità organizzativa: le imprese che utilizzano algoritmi nei propri processi sono chiamate a predisporre presidi adeguati, fondati su una costante supervisione umana, su una documentazione tecnica trasparente e su verifiche periodiche indipendenti.
Parallelamente alle innovazioni in campo digitale, lo schema di disegno di legge interviene sul tradizionale ambito della salute e sicurezza sul lavoro, proponendo di recepire sul piano normativo l’orientamento consolidato dalla sentenza ThyssenKrupp delle Sezioni Unite. Il previsto inserimento del comma 1-bis nell’articolo 5 del decreto chiarirebbe che, per i reati colposi contemplati dall’articolo 25-septies – tra cui l’omicidio colposo e le lesioni personali gravi o gravissime commessi in violazione della disciplina antinfortunistica – i criteri dell’interesse o del vantaggio dell’ente devono essere riferiti non all’evento lesivo, ma alla condotta che ha determinato l’inosservanza delle regole cautelari. La responsabilità amministrativa dell’ente può quindi configurarsi quando tale condotta sia orientata a conseguire un apprezzabile risparmio sui costi dei presidi di sicurezza obbligatori oppure un aumento della produttività fondato sulla sistematica elusione delle misure di tutela. La formulazione proposta contribuirebbe così a superare le residue incertezze interpretative, indirizzando l’accertamento giudiziario verso l’effettiva politica aziendale in materia di sicurezza e le concrete scelte organizzative del management.
Le modifiche illustrate acquistano particolare rilevanza quando trovano concreta applicazione nell’organizzazione aziendale. L’adozione di modelli organizzativi e di sistemi di gestione adeguati, infatti, non risponde soltanto a esigenze di prevenzione e conformità normativa, ma può generare benefici operativi ed economici, soprattutto per le imprese di minori dimensioni. Per le micro, piccole e medie imprese restano disponibili le procedure semplificate per l’adozione e l’efficace attuazione dei modelli di organizzazione e gestione della salute e sicurezza sul lavoro previsti dall’articolo 30 del D.Lgs. 81/2008, recepite con il D.M. 13 febbraio 2014 e finalizzate alla prevenzione dei reati richiamati dall’articolo 25-septies del D.Lgs. 231/2001. Tali procedure mirano a ridurre la complessità applicativa nelle realtà meno strutturate e mettono a disposizione strumenti operativi per la mappatura dei rischi, la definizione delle procedure, l’attribuzione delle responsabilità e la tracciabilità dei controlli, attraverso schemi e liste di verifica adattabili alle specificità aziendali. Eventuali benefici assicurativi o finanziamenti INAIL restano subordinati ai requisiti e alle procedure previsti dai relativi strumenti vigenti e non derivano automaticamente dalla sola adozione del modello. Negli enti di piccole dimensioni, infine, l’articolo 6, comma 4, del D.Lgs. 231/2001 consente che le funzioni dell’Organismo di Vigilanza siano svolte direttamente dall’organo dirigente; sul piano applicativo, resta comunque opportuno assicurare autonomia, continuità d’azione e tracciabilità delle attività di controllo.
Il nuovo assetto richiede agli Organismi di Vigilanza di aggiornare in modo sostanziale le proprie metodologie di verifica e controllo. Per evitare che l’invio indiscriminato di registri informatici e documenti privi di concreta rilevanza produca sovraccarichi informativi e rallentamenti operativi, l’OdV deve concordare con le funzioni aziendali criteri chiari per selezionare i flussi in base alla loro tempestività, pertinenza e significatività, tenendo conto dell’effettiva esposizione dell’ente ai diversi fattori di rischio. In questa prospettiva, la compliance ai sensi del D.Lgs. 231/2001 abbandona una dimensione esclusivamente formale e si configura come un sistema integrato di prevenzione, nel quale la sicurezza sul lavoro, il governo delle tecnologie e la protezione dei dati concorrono a preservare la solidità giuridica, organizzativa ed economica dell’impresa.
In definitiva, lo schema di riforma segna un passaggio decisivo verso un sistema di responsabilità degli enti più coerente con la complessità dell’impresa contemporanea. L’integrazione dei rischi legati all’intelligenza artificiale, alla sicurezza digitale, alla tutela dei lavoratori e alla sostenibilità organizzativa impone l’adozione di MOG dinamici, effettivamente attuati e sottoposti a verifiche periodiche. Per imprese, consulenti e Organismi di Vigilanza, la sfida non si esaurisce nell’aggiornamento di procedure e protocolli, ma richiede la costruzione di una cultura aziendale capace di anticipare i rischi, documentare le decisioni e definire con precisione responsabilità e controlli. In attesa che l’INAIL emetta le nuove procedure semplificate – secondo quanto previsto dallo schema di disegno di legge approvato dal Consiglio dei Ministri nella seduta del 4 agosto 2026 – per le piccole imprese continuano a trovare applicazione i modelli semplificati di cui al D.M. 13 febbraio 2014.
Soltanto un sistema di compliance proporzionato, verificabile e pienamente integrato nei processi decisionali potrà rafforzare la funzione preventiva del D.Lgs. 231/2001 e trasformare l’adeguamento normativo in un fattore di affidabilità e competitività. Il Modello 231 smette così di essere un mero adempimento burocratico per diventare un pilastro della governance societaria. Solo attraverso il coinvolgimento attivo di tutte le funzioni aziendali la compliance cessa di essere un costo, tramutandosi in un asset strategico capace di tutelare il valore dell’impresa e di consolidare il suo posizionamento sul mercato.
Avv. Cristina Contuzzi
Legal & Compliance Office INGEST
Comments are closed.