L’evoluzione della normativa italiana sull’intelligenza artificiale pone alle organizzazioni dotate di un Modello 231 una nuova esigenza: comprendere come l’utilizzo dei sistemi AI incida sulla propria esposizione ai rischi-reato e aggiornare di conseguenza il sistema dei controlli.
Il decreto legislativo di adeguamento dell’ordinamento nazionale all’AI Act prevede infatti un ampliamento del catalogo dei reati-presupposto del D.Lgs. 231/2001, creando un collegamento ancora più diretto tra governance dell’intelligenza artificiale e responsabilità amministrativa degli enti.
Per le organizzazioni significa intervenire su più elementi contemporaneamente: mappatura dei processi, risk assessment, protocolli, controlli, responsabilità, documentazione e flussi informativi verso l’Organismo di Vigilanza.
C*RA permette di gestire questi elementi all’interno del modulo dedicato al D.Lgs. 231/2001 e, grazie alla presenza nella stessa suite del modulo AI Act, di mettere in relazione la governance dell’intelligenza artificiale con il sistema di prevenzione dei rischi-reato.
Aggiornare il risk assessment 231 partendo dai processi
L’introduzione di nuove fattispecie nel catalogo 231 rappresenta il punto di partenza per valutare l’eventuale aggiornamento del Modello.
L’analisi deve però essere condotta sulla realtà dell’organizzazione.
Quali processi utilizzano sistemi di intelligenza artificiale? Quali attività sensibili vengono interessate? Quali funzioni aziendali utilizzano questi strumenti? Quali controlli sono già presenti?
Attraverso il modulo 231 di C*RA è possibile mappare processi e attività sensibili, associarli alle fattispecie di reato rilevanti e sviluppare la relativa valutazione del rischio.
L’introduzione dei nuovi rischi collegati all’AI può quindi essere inserita nel sistema già utilizzato per governare il Modello, mantenendo una visione coerente dell’intero catalogo dei reati-presupposto.
Il vantaggio è particolarmente evidente quando uno stesso processo presenta più profili di esposizione: il rischio legato all’AI viene letto insieme agli altri rischi 231 già associati all’attività aziendale.
Dal rischio ai protocolli e ai controlli
L’identificazione del rischio rappresenta soltanto una parte del processo di adeguamento.
Una volta individuate le aree esposte, l’organizzazione deve verificare se i protocolli e i controlli esistenti siano ancora adeguati oppure se l’utilizzo dell’intelligenza artificiale richieda nuove misure.
C*RA consente di collegare alle aree di rischio i presidi adottati dall’organizzazione, le procedure applicabili, i soggetti responsabili e le evidenze che permettono di documentarne l’effettiva attuazione.
Eventuali gap possono essere tradotti in azioni di adeguamento, assegnati ai relativi owner e monitorati attraverso scadenze e workflow.
L’aggiornamento del Modello diventa così un processo tracciabile: dall’identificazione della nuova esposizione fino alla definizione e al monitoraggio delle misure necessarie per ridurla.
I flussi informativi verso l’Organismo di Vigilanza
L’Organismo di Vigilanza rappresenta uno degli elementi centrali del sistema 231 e l’evoluzione dei rischi legati all’intelligenza artificiale rende ancora più importante strutturare correttamente i flussi informativi.
La presenza di sistemi AI in determinati processi, l’introduzione di nuovi strumenti, eventuali anomalie o violazioni delle procedure interne possono diventare informazioni rilevanti per l’attività dell’OdV.
Il modulo 231 di C*RA permette di gestire i flussi informativi e di mantenere traccia delle comunicazioni e delle informazioni necessarie all’attività di vigilanza.
In questo modo il patrimonio informativo relativo al Modello rimane centralizzato e consultabile, agevolando l’OdV nelle attività di controllo e consentendo all’organizzazione di documentare nel tempo il funzionamento del proprio sistema di prevenzione.
Quando AI Act e Modello 231 incontrano gli stessi processi
L’aspetto più interessante emerge quando si osserva l’intelligenza artificiale da una prospettiva multi-compliance.
Un sistema AI può essere rilevante contemporaneamente sotto diversi profili.
Ai fini dell’AI Act occorre comprenderne caratteristiche, finalità, ruolo dell’organizzazione e classificazione. Dal punto di vista 231 occorre invece valutare se il suo utilizzo interessi attività sensibili e possa incidere sull’esposizione a specifici rischi-reato.
Sono prospettive differenti che partono però dallo stesso oggetto: il sistema AI utilizzato dall’organizzazione e il processo nel quale opera.
La presenza nella suite C*RA sia del modulo 231 sia del modulo AI Act permette di costruire una governance più coerente, mettendo in relazione le informazioni sui sistemi di intelligenza artificiale con processi, rischi e responsabilità già censiti.
La mappatura realizzata per governare gli adempimenti dell’AI Act può quindi diventare una fonte informativa utile anche per il risk assessment 231.
Una visione integrata riduce duplicazioni e attività manuali
Uno dei rischi che accompagna ogni nuova normativa è la creazione di un ulteriore livello di compliance separato dagli altri.
Il responsabile 231 costruisce la propria mappatura. Chi segue l’AI Act censisce nuovamente i sistemi. L’IT mantiene un ulteriore inventario. L’OdV riceve informazioni attraverso documenti e comunicazioni separati.
Con il tempo aumentano duplicazioni, disallineamenti e difficoltà nel comprendere quale informazione sia realmente aggiornata.
L’approccio multi-compliance di C*RA consente invece di partire dagli elementi comuni dell’organizzazione – processi, ruoli, sistemi, rischi e controlli – e utilizzarli nei diversi ambiti normativi.
Quando cambia un processo o viene introdotto un nuovo sistema AI, diventa così più semplice comprenderne le implicazioni anche rispetto agli altri framework gestiti.
Storicizzazione e reporting per un Modello che evolve
Il Modello 231 deve poter dimostrare la propria evoluzione nel tempo.
Per questo C*RA consente di mantenere lo storico delle valutazioni, delle attività svolte, dei controlli e delle evidenze raccolte, rendendo ricostruibile il percorso seguito dall’organizzazione.
Dashboard e report permettono inoltre di avere una visione aggiornata delle aree di rischio, delle attività di adeguamento e dello stato dei controlli, supportando sia le funzioni interne sia l’Organismo di Vigilanza.
Questo assume particolare importanza in un ambito come quello dell’intelligenza artificiale, nel quale tecnologie, modalità di utilizzo e quadro regolatorio stanno evolvendo rapidamente.
L’organizzazione deve poter comprendere quando un cambiamento tecnologico produce anche un cambiamento nella propria esposizione al rischio.
Dalla compliance AI e 231 alla governance integrata
L’evoluzione normativa rende sempre più stretto il rapporto tra governance tecnologica e Modello 231.
Censire i sistemi AI, comprenderne l’utilizzo, collegarli ai processi, valutare i rischi, definire controlli e garantire flussi informativi adeguati permette di affrontare questa evoluzione attraverso un modello organizzativo strutturato.
È in questo collegamento che la presenza dei moduli 231 e AI Act all’interno della stessa suite C*RA esprime il proprio valore: le informazioni raccolte per rispondere a un requisito normativo diventano parte di un patrimonio comune utilizzabile anche dagli altri processi di governance.
C*RA accompagna così l’evoluzione del Modello 231 mantenendolo collegato alla realtà operativa dell’organizzazione e alle tecnologie che stanno progressivamente trasformando i suoi processi.
👉 Scopri come C*RA può supportare l’aggiornamento del Modello 231 e integrare la gestione dei nuovi rischi legati all’intelligenza artificiale in un unico sistema di governance – https://www.grccora.com/cora-ai/; https://www.grccora.com/cora-231/
Scopri come utilizzare C*RA per la gestione del Modello Organizzativo 231 nel nostro prossimo webinar – https://meet.zoho.eu/zkkl-gbr-neo