Data di invio:
L’informativa periodica dedicata alle novità legislative e gli aggiornamenti di interesse per imprese e professionisti.
Il panorama normativo muta ad un ritmo sempre più incalzante, il susseguirsi di nuove norme nel tempo necessita di un costante aggiornamento, a cui a volte seguono i dovuti adempimenti, ma anche nuove opportunità.
Il presente contributo intende portare alla Vostra attenzione le più recenti novità normative, con l’obiettivo di offrire un aggiornamento sulle disposizioni di maggior interesse in ambito societario, giuslavoristico, ESG e 231.
I focus d’interesse:
1. ARTIFICIAL INTELLIGENCE
1.1 ATTUAZIONE DELL’AI ACT: QUADRO AGGIORNATO SUGLI OBBLIGHI DI TRASPARENZA, DIFFERIMENTO DEI TERMINI ED ADEMPIMENTI SOCIETARI A PARTIRE DAL 2 AGOSTO 2026;
2. D.LGS. 231/2001
2.1 CYBERSECURITY, NIS 2 e IA: L’EVOLUZIONE NORMATIVA E L’IMPATTO SUL MODELLO 231;
3. ESG
3.1 NUOVI ESRS SEMPLIFICATI: MENO DATI, PIÙ ATTENZIONE A CIÒ CHE CONTA;
4. DIRITTO SOCIETARIO
4.1 SANZIONI AGCM SE VENGONO ASSUNTI OBBLIGHI NEI CONFRONTI DEI CONSUMATORI, IN ASSENZA DI MODALITÀ OPERATIVE PER REALIZZARLI.
1. ARTIFICIAL INTELLIGENCE
1.1 ATTUAZIONE DELL’AI ACT: QUADRO AGGIORNATO SUGLI OBBLIGHI DI TRASPARENZA, DIFFERIMENTO DEI TERMINI ED ADEMPIMENTI SOCIETARI A PARTIRE DAL 2 AGOSTO 2026;
L’entrata in vigore del Regolamento UE 2024/1689, noto come AI Act, ha segnato il 2 agosto 2026 una tappa cruciale del suo percorso di attuazione. La normativa definisce un quadro comune per lo sviluppo, la commercializzazione e l’uso dell’intelligenza artificiale nell’Unione Europea, fondandosi su un modello proporzionale al rischio: l’intensità dei requisiti cresce infatti al crescere dei potenziali impatti sulla sicurezza, sulla salute e sui diritti fondamentali dei cittadini. Questo impianto regolatorio ha visto una prima applicazione il 2 febbraio 2025 con il divieto di determinate pratiche e l’introduzione di obblighi in materia di alfabetizzazione sull’IA, seguita il 2 agosto 2025 dalle regole sui modelli di intelligenza artificiale per finalità generali.
Dal 2 agosto 2026 è diventata operativa la maggior parte delle disposizioni previste, avviando contestualmente una fase più incisiva di vigilanza da parte delle autorità di controllo nazionali ed europee.
Tra le novità principali figurano i rigorosi obblighi di trasparenza previsti dall’articolo 50, voluti per contrastare frodi, disinformazione e pratiche manipolative. I fornitori devono ora garantire che chiunque interagisca con un sistema automatizzato — quali chatbot o assistenti virtuali — ne sia chiaramente informato, a meno che il contesto non renda evidente la natura della comunicazione. Inoltre, audio, video, immagini e testi generati o alterati mediante IA devono essere dotati di sistemi di marcatura leggibili dalle macchine per assicurarne l’immediata tracciabilità.
La normativa impone la trasparenza anche nell’uso dei deepfake e dei testi sintetici diffusi su temi d’interesse generale in assenza di controllo editoriale, nonché nell’impiego di tecnologie per la categorizzazione biometrica o il riconoscimento delle emozioni, che richiedono un’adeguata informativa preventiva. Per i sistemi già sul mercato prima del 2 agosto 2026 è stata stabilita una fase di adeguamento che si estenderà fino al 2 dicembre 2026.
Non tutte le scadenze inizialmente previste per il 2026 sono tuttavia rimaste invariate. A seguito della pubblicazione del Regolamento (UE) 2026/1744 il 24 luglio 2026, l’applicazione della disciplina inerente ai sistemi ad alto rischio descritti nel Capo III è stata ufficialmente posticipata. I relativi adempimenti seguiranno due nuovi orizzonti temporali: il 2 dicembre 2027 per i sistemi dell’Allegato III utilizzati in settori sensibili quali occupazione, istruzione, infrastrutture critiche, biometria e gestione dei flussi migratori; il 2 agosto 2028 per i sistemi dell’Allegato I incorporati in prodotti già soggetti a specifiche normative di sicurezza dell’Unione, tra cui macchinari e dispositivi medici.
Questo rinvio concede alle organizzazioni un importante margine temporale per pianificare con precisione la propria conformità ed evitare sanzioni. Per farsi trovare pronte, le aziende devono innanzitutto censire i sistemi di IA impiegati e determinare il proprio ruolo normativo, sia come sviluppatori sia come utilizzatori. Risulta indispensabile aggiornare la documentazione contrattuale e le procedure interne, verificare il livello di conformità garantito dai fornitori terzi, rivedere le informative fornite agli utenti e definire una chiara governance aziendale.
Investire tempestivamente nella formazione del personale e nella definizione delle responsabilità interne consentirà di gestire la transizione tecnologica in modo consapevole, assicurando un utilizzo dell’intelligenza artificiale pienamente conforme ai principi di trasparenza e tutela delle persone.
2. D.LGS. 231/2001
2.1 CYBERSECURITY, NIS 2 e IA: L’EVOLUZIONE NORMATIVA E L’IMPATTO SUL MODELLO 231
L’imponente evoluzione del quadro normativo in materia di sicurezza informatica e tecnologie emergenti ridisegna la mappa dei rischi penali per le imprese. L’introduzione della legge sulla cybersicurezza nazionale (L. 90/2024), il recepimento della Direttiva NIS 2 (D.Lgs. 138/2024) e l’approvazione della disciplina sull’Intelligenza Artificiale (L. 132/2025) richiedono una revisione attenta del sistema di controllo interno. Un tempestivo aggiornamento del Modello 231 è la condizione essenziale per mantenerne intatta l’efficacia esimente e tutelare l’ente dalle severe sanzioni del D.Lgs. 231/2001.
1. Cybersecurity e nuovi reati informatici (L. 90/2024)
La Legge 90/2024, volta a rafforzare la cybersicurezza nazionale e il contrasto al cybercrime, ha introdotto nel codice penale il reato di estorsione informatica (art. 629, c. 3, c.p.), contestualmente inserito tra i reati-presupposto dell’art. 24-bis D.Lgs. 231/2001.
La responsabilità dell’ente si configura qualora condotte come attacchi ransomware, minacce di blocco dell’operatività di reti e sistemi o ricatti legati alla diffusione di dati riservati siano commesse da soggetti apicali o sottoposti alla vigilanza di questi, nell’interesse o a vantaggio dell’ente.
-Interventi sul Modello 231: Si rende necessaria la revisione della mappatura dei rischi-reato, l’aggiornamento dei protocolli di risposta agli incidenti informatici, la definizione di chiare procedure operative di crisi e una formazione mirata per il personale.
2. Direttiva NIS 2 (D.Lgs. 138/2024): standard di sicurezza e idoneità preventiva
Il D.Lgs. 138/2024, attuativo della Direttiva (UE) 2022/2555 (NIS 2), ha notevolmente innalzato gli standard di sicurezza per i soggetti operanti in settori essenziali e importanti. La norma impone l’adozione di rigorose misure di gestione del rischio informatico, specifici obblighi di notifica tempestiva degli incidenti alle autorità e un attento controllo della sicurezza lungo l’intera supply chain.
Tale disciplina, pur non modificando direttamente il catalogo dei reati-presupposto del D.Lgs. 231/2001, impone, tra l’altro, l’adozione di adeguate misure di gestione del rischio, la predisposizione di procedure di risposta agli incidenti, specifici obblighi di notifica alle autorità competenti e una particolare attenzione alla sicurezza della supply chain.
Tali adempimenti assumono un rilievo significativo ai fini della responsabilità amministrativa degli enti, in quanto incidono sulla valutazione dell’idoneità del Modello 231 a prevenire i reati informatici e, più in generale, sull’adeguatezza del sistema di controllo interno.
-Interventi sul Modello 231: Allineamento delle procedure preventive agli standard NIS 2, revisione dei contratti con i fornitori di servizi IT e potenziamento dei flussi informativi verso l’Organismo di Vigilanza (OdV).
3. Intelligenza Artificiale (L. 132/2025): fattispecie attuali e sviluppi futuri
L’impiego di sistemi di intelligenza artificiale nei processi aziendali introduce nuovi profili di rischio che assumono rilievo anche ai fini del D.Lgs. 231/2001. Già oggi, infatti, l’estrazione e la riproduzione non autorizzata di testi e dati da opere protette, anche mediante sistemi di IA, può integrare il reato di cui all’art. 171, comma 1, lett. a-ter, L. 633/1941, rilevante ai sensi dell’art. 25-novies del D.Lgs. 231/2001.
In tale contesto, la L. 132/2025, pur non introducendo, allo stato, nuovi reati-presupposto ai sensi del D.Lgs. 231/2001, presenta significativi profili di interesse ai fini della compliance 231. In particolare, tale legge:
• ha introdotto all’art. 61, n. 11-undecies, c.p. una nuova circostanza aggravante applicabile ai reati commessi mediante sistemi di intelligenza artificiale, con la conseguenza che l’impiego di IA nella commissione di reati economici (quali frodi, truffe, reati informatici e talune ipotesi di reati societari) può incidere sulla valutazione del rischio-reato e sull’adeguatezza dei presidi richiesti ai fini del D.Lgs. 231/2001;
• ha delegato il Governo all’introduzione di autonome fattispecie di reato connesse all’omessa adozione di misure di sicurezza nell’impiego dei sistemi di IA, prospettando un possibile ampliamento del catalogo dei reati-presupposto.
-Interventi sul Modello 231: Introduzione di una policy aziendale per la governance dell’IA, verifica della legalità e della tracciabilità dei dataset utilizzati e previsione di un rigoroso controllo umano (human-in-the-loop) sui processi decisionali automatizzati.
Il quadro normativo delineato impone di considerare l’aggiornamento del Modello 231 non come un adempimento meramente documentale, ma come parte integrante del più ampio processo di adeguamento degli assetti organizzativi dell’impresa.
In tale prospettiva, gli amministratori, nell’esercizio dei doveri di cui all’art. 2086 c.c., sono chiamati ad assicurare che l’assetto organizzativo, amministrativo e contabile della società sia idoneo a presidiare i rischi derivanti dalla cybersicurezza, dall’attuazione della disciplina NIS2 e dall’utilizzo dei sistemi di intelligenza artificiale. Il mancato adeguamento del Modello 231 e del sistema di controllo interno potrebbe incidere non solo sulla sua idoneità a svolgere la funzione esimente prevista dal D.Lgs. 231/2001, ma anche sulla valutazione dell’adeguatezza degli assetti organizzativi predisposti dalla società, con i conseguenti profili di responsabilità in capo agli amministratori.
Per tali ragioni, si ritiene opportuno che le imprese procedano a una tempestiva verifica dell’adeguatezza del Modello 231 e degli assetti organizzativi, al fine di assicurarne la coerenza con il mutato quadro normativo e l’idoneità a presidiare i nuovi profili di rischio.
Il nostro Studio è a disposizione per affiancare le Società nelle attività di gap analysis, nella revisione integrata dei presidi 231 e nell’aggiornamento del Modello di Organizzazione.
3. ESG
3.1 NUOVI ESRS SEMPLIFICATI: MENO DATI, PIÙ ATTENZIONE A CIÒ CHE CONTA
La Commissione Europea ha revisionato gli ESRS, ovvero il set di standard tecnici definiti dall’European Financial Reporting Advisory Group (EFRAG) per consentire alle imprese soggette alla CSRD di redigere l’informativa di sostenibilità.
Tale provvedimento si inserisce nel pacchetto Omnibus I, il percorso di semplificazione avviato da Bruxelles al fine di ridurre la complessità degli obblighi di rendicontazione di sostenibilità.
La revisione introduce una significativa riduzione degli oneri informativi: i datapoint obbligatori diminuiscono di oltre il 60%, mentre il numero complessivo delle informazioni richieste si riduce di oltre il 70%.
La semplificazione, tuttavia, non riguarda solo la quantità delle informazioni richieste, ma anche le modalità con cui le imprese devono selezionarli.
Rimane centrale il principio della doppia materialità: le imprese infatti continueranno a rendicontare sia gli effetti delle questioni ESG sulle proprie attività e performance, sia gli impatti dell’organizzazione su ambiente e persone.
Tale nuovo approccio consente, però, di distinguere con maggiore chiarezza tra informazioni obbligatorie e facoltative, favorendo una maggiore attenzione ai dati quantitativi e realmente rilevanti.
L’obiettivo è quello di evitare l’accumulo di informazioni poco significative che rischiano di appesantire i bilanci di sostenibilità senza aumentarne l’utilità per i destinatari, siano essi investitori, banche o partner commerciali.
I nuovi ESRS prevedono inoltre una maggiore convergenza con gli standard internazionali ISSB, orientati principalmente a fornire agli investitori informazioni sui rischi e opportunità finanziarie connesse alla sostenibilità.
Gli standard si applicheranno alle imprese che resteranno nel perimetro della CSRD, oggi circoscritto alle aziende con più di 1.000 dipendenti e oltre 450 milioni di euro di ricavi netti annui.
4. DIRITTO SOCIETARIO
4.1 SANZIONI AGCM SE VENGONO ASSUNTI OBBLIGHI NEI CONFRONTI DEI CONSUMATORI, IN ASSENZA DI MODALITÀ OPERATIVE PER REALIZZARLI;
Nel mese di agosto l’AGCM ha concluso un’istruttoria avviata nel 2025, irrogando sanzioni per un valore complessivo di 2,675 milioni di euro nei confronti di tre società che, dopo aver assunto obblighi formali nei confronti degli utenti, non avevano tradotto i medesimi in modalità operative materiali.
In particolare, l’Antitrust, nel corso del procedimento, ha rilevato che le suddette società – attive nell’offerta di servizi di noleggio di bici e monopattini elettrici – avevano ostacolato la fruizione di specifici pacchetti di corse gratuite, concessi esclusivamente ad utenti portatori di determinati requisiti.
Le società coinvolte, tuttavia, pur avendo promesso tali agevolazioni, non avrebbero adottato alcun tipo di apparato organizzativo, nonché alcuna procedura idonea a gestire l’accesso dell’utente alla medesima, impedendone così l’utilizzo e pregiudicando i diritti a tutela dei consumatori.
All’esito di una lunga attività istruttoria, pertanto, l’AGCM – oltre ad aver irrogato le anzidette sanzioni – ha riscontrato come rientrino nell’ambito delle pratiche commerciali scorrette tutte le ipotesi ove la concreta fruibilità di un vantaggio previsto contrattualmente – al momento della sottoscrizione del servizio – venga compromesso dall’adozione di modalità organizzative inadeguate.
La vicenda in esame mette in luce un principio di particolare rilevanza: non è sufficiente che gli operatori si limitino ad assumere degli obblighi formali nei confronti degli utenti, ma è necessario che tali impegni si traducano nell’adozione di modalità operative materiali che permettano di usufruire concretamente dei servizi offerti.
Il caso si configura, pertanto, come un precedente di particolare interesse non soltanto nell’ambito della sharing mobility, ma anche nel rapporto tra gli obblighi assunti dagli operatori sul mercato e l’effettiva tutela dei diritti degli utenti.
***
Ogni novità normativa può avere effetti concreti sulla vostra attività, per valutarne l’impatto nel vostro caso specifico, il nostro Studio è a vostra disposizione.