L’adozione di strumenti AI nel board reporting non è solo una scelta tecnologica: genera obblighi giuridici precisi in capo agli amministratori, che restano responsabili delle decisioni anche quando delegate a sistemi automatizzati. Il codice civile e il D.Lgs. 231/2001 già forniscono la cornice; l’AI Act europeo aggiunge obblighi di tracciabilità e supervisione umana che i CdA non possono ignorare. Chi assiste società di capitali deve aggiornare i propri template di delibera e i modelli organizzativi in tempi brevi.
Punti chiave
- Gli amministratori restano responsabili ex art. 2381 c.c. anche se la decisione è supportata da AI.
- Il Regolamento UE 2024/1689 (AI Act) impone tracciabilità e supervisione umana per sistemi ad alto rischio.
- I modelli 231 vanno aggiornati per includere i rischi introdotti da strumenti AI nel processo decisionale.
Chi assiste società di capitali deve ragionare subito su un dato concreto: l’adozione di strumenti di intelligenza artificiale nel processo di board reporting non neutralizza la responsabilità degli amministratori, la sposta. Il CdA che si affida a dashboard AI per analisi di rischio e scenari previsionali non delega la decisione, delega l’istruttoria — e resta esposto alle stesse regole di sempre in caso di scelta errata.
L’evoluzione del board reporting verso strumenti AI-driven è al centro di un’analisi pubblicata da Agenda Digitale: dossier statici sostituiti da sistemi capaci di collegare dati, rischi e scenari in tempo reale. Il tema interessa direttamente chi redige statuti, modelli organizzativi 231 e pareri sulla governance societaria.
Il contesto normativo
L’art. 2381 c.c. stabilisce che il consiglio di amministrazione valuta l’adeguatezza dell’assetto organizzativo, amministrativo e contabile della società. Questa norma è già sufficiente per fondare una responsabilità degli amministratori che adottino sistemi AI senza presidi adeguati: l’assetto organizzativo include oggi anche i processi decisionali digitali. La Cassazione, con la sentenza n. 1664/2023, ha ribadito che la diligenza dell’amministratore si misura sulla qualità del processo decisionale, non solo sull’esito.
Sul versante europeo, il Regolamento UE 2024/1689 (AI Act), in vigore dal 2 agosto 2024 con applicazione progressiva, classifica come ad alto rischio i sistemi AI usati per decisioni critiche in ambito gestionale. Per questi sistemi scattano obblighi precisi: documentazione tecnica, registri delle attività, supervisione umana obbligatoria e valutazione di conformità. Parallelamente, il D.Lgs. 231/2001 già prevede che i modelli organizzativi coprano i processi a rischio: un sistema AI che orienta decisioni del CdA rientra a pieno titolo in quel perimetro.
Cosa cambia per lo studio
- Revisione dei modelli 231: i protocolli esistenti vanno integrati con una sezione dedicata all’uso di strumenti AI nel processo decisionale del CdA, con presidio sull’input dei dati e sul controllo umano dell’output.
- Clausole statutarie e regolamenti interni: conviene introdurre disposizioni che definiscano chi approva l’adozione di sistemi AI, con quale procedura e quali limiti, evitando zone grigie sulla competenza organo per organo.
- Due diligence nelle operazioni straordinarie: nelle M&A che coinvolgono target con AI integrata nel board reporting, la due diligence deve verificare la conformità all’AI Act e l’esistenza di log di tracciabilità delle decisioni assistite.
- Aggiornamento delle delibere tipo: ogni delibera che recepisca analisi prodotte da sistemi AI dovrebbe documentare la revisione umana dell’output, per costruire prova della diligenza ex art. 2381 c.c.
- Formazione del CdA: chi assiste il board in qualità di consulente legale ha oggi un ruolo attivo nell’informare gli amministratori sugli obblighi dell’AI Act, in particolare per i sistemi classificati ad alto rischio.
Attenzione a
Tracciabilità degli output AI: il rischio principale non è l’errore dell’algoritmo, ma l’assenza di documentazione che dimostri la supervisione umana. In caso di contestazione, se il CdA non conserva evidenza del processo di revisione dell’analisi AI, la responsabilità ex art. 2392 c.c. diventa difficile da escludere. Servono log, verbali che richiamino espressamente la fonte informativa e la verifica effettuata.
Falsa sicurezza da compliance formale: adottare una policy sull’uso dell’AI non basta. L’AI Act richiede misure tecniche concrete — non solo documenti. Un modello 231 aggiornato sulla carta ma non operativo espone la società alle stesse sanzioni di chi non ha fatto nulla.
Domande frequenti
Gli amministratori sono responsabili delle decisioni prese con il supporto di AI?
Sì. L’art. 2381 c.c. e l’art. 2392 c.c. non distinguono tra decisioni autonome e decisioni assistite da sistemi automatizzati. L’amministratore risponde del processo decisionale nel suo complesso, inclusa la scelta di affidarsi a uno strumento AI e la mancata verifica critica dell’output. La Cassazione n. 1664/2023 ha confermato che la diligenza si valuta sul processo, non solo sul risultato.
Il modello organizzativo 231 deve essere aggiornato se la società usa AI nel CdA?
In pratica sì, anche se non esiste ancora una norma che lo imponga esplicitamente. Il D.Lgs. 231/2001 richiede che il modello copra i processi a rischio-reato. Un sistema AI che orienta decisioni strategiche o finanziarie del CdA introduce rischi nuovi che un modello datato non presidia. L’aggiornamento protegge anche la società in sede di verifica da parte dell’organismo di vigilanza.
Cosa prevede l’AI Act per i sistemi AI usati nella governance societaria?
Il Regolamento UE 2024/1689 classifica come ad alto rischio i sistemi AI impiegati in processi decisionali critici. Per questi strumenti scattano obblighi di documentazione tecnica, tenuta di registri delle attività, supervisione umana obbligatoria e, in alcuni casi, valutazione di conformità prima della messa in uso. Le disposizioni si applicano progressivamente dal 2025 al 2027 a seconda della categoria di rischio.
Fonte di riferimento: AgendaDigitale