Il D.Lgs. 47/2026 trasferisce la responsabilità su AI e cybersecurity direttamente in capo agli amministratori, che devono mappare i rischi digitali e strutturare flussi informativi adeguati. Gli avvocati societari devono aggiornare i modelli organizzativi dei clienti e verificare che i CdA abbiano presidio concreto su questi temi. Chi assiste società come advisor esterno deve già oggi segnalare i gap di governance digitale come profili di rischio legale.
Punti chiave
- Punto 1 — Il D.Lgs. 47/2026 impone agli amministratori di mappare i rischi digitali in modo documentato.
- Punto 2 — La delega agli specialisti IT non esonera più il CdA dalla responsabilità su AI e cybersecurity.
- Punto 3 — I modelli organizzativi ex D.Lgs. 231/2001 vanno aggiornati per includere i presidi digitali richiesti.
Se assisti società di medie o grandi dimensioni, dal 2026 la governance digitale smette di essere un tema da rimandare al reparto IT. Gli amministratori che non strutturano flussi informativi su AI e cybersecurity espongono la società — e se stessi — a responsabilità diretta. Il tuo compito, come consulente legale, è anticipare il problema prima che diventi contenzioso.
Secondo quanto riportato da Agenda Digitale, il D.Lgs. 47/2026 porta privacy, cybersecurity e intelligenza artificiale dentro la governance d’impresa: non più deleghe agli specialisti, ma obbligo per il CdA di mappare i rischi digitali, strutturare i flussi informativi interni e garantire controlli adeguati e trasparenti.
Il contesto normativo
Il quadro si innesta su una struttura già esistente. L’art. 2381 c.c. impone agli amministratori deleganti di valutare l’adeguatezza dell’assetto organizzativo, amministrativo e contabile della società. Con il D.Lgs. 47/2026, questo obbligo si estende esplicitamente agli assetti digitali: il CdA non può più limitarsi a ricevere rassicurazioni informali dal responsabile IT. Deve invece ricevere reportistica strutturata su rischi cyber, incidenti e utilizzo di sistemi AI, e dimostrare di aver deliberato in modo informato. Sul piano della responsabilità degli amministratori, il richiamo all’art. 2392 c.c. — che fissa il dovere di agire con la diligenza richiesta dalla natura dell’incarico — diventa il parametro con cui i giudici misureranno eventuali omissioni in materia digitale. Chi ha già familiarità con i modelli organizzativi ex D.Lgs. 231/2001 riconoscerà la logica: presidiare significa documentare, non solo delegare.
Cosa cambia per lo studio
- Aggiornamento dei modelli 231: i protocolli relativi a reati informatici vanno integrati con le nuove prescrizioni su AI governance e cybersecurity, verificando che i flussi verso l’OdV includano anche gli incidenti digitali rilevanti.
- Revisione dei patti parasociali e dei regolamenti consiliari: nei clienti strutturati, conviene inserire clausole che definiscano la periodicità e il contenuto dei report su rischi digitali da portare in CdA.
- Due diligence nelle operazioni M&A: dal 2026 il gap di governance digitale è un rischio legale quantificabile, non solo un problema tecnico; va mappato nelle fasi di vendor due diligence e pesato nelle garanzie contrattuali.
- Responsabilità degli amministratori: nei mandati di assistenza agli organi societari, occorre documentare di aver portato all’attenzione del CdA gli obblighi del D.Lgs. 47/2026, a tutela tua e del cliente.
- Aggiornamento delle polizze D&O: verifica che le coperture assicurative degli amministratori includano i sinistri derivanti da violazioni in materia di AI e cybersecurity governance; molte polizze esistenti hanno esclusioni specifiche per danni da cyberattacchi.
Attenzione a
Il rischio più comune sarà la delega formale senza presidio sostanziale: il CdA nomina un Chief Information Security Officer o un AI Officer, ma non struttura alcun flusso informativo verso il consiglio. Questa configurazione non soddisfa i requisiti del D.Lgs. 47/2026 e lascia gli amministratori esposti in caso di incidente, esattamente come accade oggi con i modelli 231 adottati pro forma.
Attenzione anche alla sovrapposizione con il Regolamento UE sull’AI Act, già in vigore con applicazione progressiva fino al 2027: le due fonti si integrano ma non coincidono, e un sistema AI classificato ad alto rischio ai sensi dell’AI Act richiede misure ulteriori rispetto al solo presidio di governance interno imposto dal decreto nazionale. Confondere i due livelli genera lacune che emergono solo al momento del controllo o del sinistro.
Domande frequenti
Cosa prevede il D.Lgs. 47/2026 per gli amministratori di società?
Il D.Lgs. 47/2026 impone agli amministratori di integrare la governance aziendale con presidi specifici su AI e cybersecurity. Il CdA deve mappare i rischi digitali, ricevere reportistica strutturata sugli incidenti e deliberare in modo informato. La delega agli specialisti IT non è più sufficiente a escludere la responsabilità degli amministratori ai sensi dell’art. 2392 c.c.
Il modello organizzativo 231 va aggiornato con il D.Lgs. 47/2026?
Sì. I protocolli relativi ai reati informatici nei modelli ex D.Lgs. 231/2001 devono essere integrati con le nuove prescrizioni su AI governance e cybersecurity. In particolare, i flussi informativi verso l’Organismo di Vigilanza devono includere anche gli incidenti digitali rilevanti e le misure adottate in risposta.
Come incide il D.Lgs. 47/2026 sulla due diligence nelle operazioni M&A?
Dal 2026 il gap di governance digitale è un rischio legale misurabile nelle operazioni straordinarie. Nella vendor due diligence occorre verificare che la target abbia strutturato i presidi richiesti su AI e cybersecurity. Le lacune vanno pesate nelle dichiarazioni e garanzie contrattuali, perché possono tradursi in responsabilità post-closing per violazioni già in corso prima del closing.
Fonte di riferimento: AgendaDigitale