La responsabilità degli amministratori per l’intelligenza artificiale

Il fondamento societario e il rischio algoritmico

L’intelligenza artificiale come fattore di rischio endosocietario

Deve, innanzi tutto, osservarsi come l’ingresso di sistemi di calcolo avanzato e di algoritmi predittivi nelle dinamiche d’impresa non rappresenti una mera evoluzione degli strumenti di supporto all’attività gestoria, bensì una mutazione strutturale del rischio. In tale prospettiva, l’amministratore è chiamato a governare una transizione verso modelli di governance che non possono prescindere dalla comprensione della natura del dato e della logica sottostante al sistema, atteso che l’opacità algoritmica incide direttamente sulla prevedibilità degli esiti e, di riflesso, sulla conservazione del patrimonio sociale.

Vi è che l’impiego di siffatti strumenti, pur nell’ottica di un efficientamento dei processi decisionali, determina un innalzamento della soglia di diligenza esigibile, ridisegnando i confini entro cui può oggi configurarsi la responsabilità degli amministratori per l’intelligenza artificiale. Come correttamente rilevato in dottrina da Frugiuele¹, il rischio non risiede più soltanto nell’an della scelta gestoria, ma si sposta sulla validità stessa del metodo decisionale adottato dall’organo amministrativo.

Occorre, infatti, distinguere tra l’alea fisiologica insita in ogni operazione economica e l’incertezza generata dall’adozione di una “scatola nera” decisionale. Mentre la prima è connaturata alla libertà d’impresa, la seconda si traduce in una vulnerabilità organizzativa che non può essere neutralizzata ex post, ma richiede un monitoraggio costante e preventivo. In ragione di quanto innanzi esposto, l’adeguatezza degli assetti non è più un concetto statico, ma diviene una funzione dinamica della complessità tecnologica assunta dall’ente.

Il precetto dell’art. 2086 c.c. e la cultura dell’adeguatezza

Occorre partire dal portato sistematico dell’art. 2086, comma 2, c.c., il quale ha definitivamente positivizzato il dovere di istituire assetti organizzativi, amministrativi e contabili commisurati alla natura e alle dimensioni dell’impresa. Deve ritenersi che tale prescrizione non esaurisca la propria valenza precettiva nella mera emersione tempestiva dei segnali di crisi, ma fondi una vera e propria cultura dell’adeguatezza, erigendosi a canone generale di misurazione della diligenza richiesta all’organo amministrativo in ogni fase della vita sociale.

In via preliminare, l’adozione di un sistema automatizzato per l’assunzione di decisioni aziendali incide in radice sull’impalcatura amministrativa della società. Non può non tener conto, al riguardo, come l’obbligo organizzativo imponga oggi al board di predisporre presidi idonei a decrittare, misurare e neutralizzare i fattori di opacità tecnologica. Se l’assetto risulta inidoneo a filtrare criticamente il flusso informativo algoritmico, viene compromessa la stessa funzione di controllo esigibile dall’organo gestorio, integrando un’ipotesi di inerzia imputabile.

Per altro, la clausola di adeguatezza deve essere costantemente riempita di contenuto sostanziale alla luce delle contingenze operative. In questo senso, Mantelero, Resta e Riccio² sottolineano l’urgenza di un approccio metodologico che integri l’esame dell’impatto tecnologico all’interno dei doveri fiduciari di matrice civilistica. Resta, comunque, fermo che la declinazione pratica di tali presidi costituisce l’esatto discrimine dogmatico tra la legittima assunzione di una scelta e la censurabilità per difetto di organizzazione.

La natura assoluta dell’obbligo: l’orientamento del Tribunale di Milano

Innanzi tutto, la giurisprudenza di merito ha da tempo chiarito i contorni applicativi del dovere organizzativo, sottraendolo al perimetro della mera discrezionalità. Il Tribunale di Milano, con la nota pronuncia del 18 ottobre 2019³, ha statuito che la predisposizione di assetti adeguati costituisce un precetto assoluto e inderogabile. La ratio decidendi dell’arresto meneghino si fonda sull’assunto per cui l’art. 2086 c.c. non rileva esclusivamente in fase di prossimità o emersione della crisi, ma opera quale canone di regolarità della gestione ordinaria dell’impresa.

Del resto, calando tale coordinata ermeneutica nel contesto dell’innovazione tecnologica, emerge con evidenza come l’omessa mappatura dei processi decisionali automatizzati non possa essere scriminata invocando l’insindacabilità nel merito. L’impostazione giurisprudenziale citata impone, infatti, di qualificare la carenza di presidi di monitoraggio sulle intelligenze artificiali non quale mero errore di valutazione commerciale, bensì quale violazione di legge. Vi è, però, che il board non è chiamato a garantire l’infallibilità dell’operazione, ma è obbligato a dotarsi degli strumenti conoscitivi essenziali per comprenderne le logiche e arginarne le derive.

In ragione di quanto innanzi esposto, l’assenza di un’istruttoria permanente sulle matrici algoritmiche adottate dall’ente tramuta l’azzardo tecnologico in un illecito endosocietario. La frammentazione degli interessi che permea il diritto societario esige che l’amministratore mantenga il dominio informativo sul processo, pena la degradazione dell’attività d’impresa a negligenza strutturale.

L’integrazione normativa: AI Act e Data Protection

Il sistema di gestione dei rischi nel Regolamento (UE) 2024/1689

Passando ora al versante eurounitario, deve ritenersi che le recenti disposizioni in materia di intelligenza artificiale non configurino meri adempimenti settoriali, ma fungano da parametri di validità per misurare la tenuta dell’architettura organizzativa dell’impresa. Occorre partire dall’art. 9 del Regolamento (UE) 2024/1689 (cd. AI Act), il quale prescrive l’istituzione, l’attuazione e il mantenimento di un sistema di gestione dei rischi per i sistemi ad alto rischio. Tale prescrizione normativa si salda in via diretta con l’art. 2086 c.c., trasformando la gestione del rischio tecnologico in un preciso obbligo fiduciario dell’organo amministrativo.

Vi è, però, che la disciplina europea non si limita a imporre un generico dovere di cautela, ma tipizza le procedure di controllo esigibili. Il legislatore ha inteso codificare un onere di istruttoria permanente, richiedendo che il sistema di gestione consista in un processo iterativo continuo, volto a identificare e mitigare gli effetti distorsivi lungo l’intero ciclo di vita dell’algoritmo. Non può non tenersi conto, al riguardo, di come l’adozione di modelli decisionali opachi, privi di siffatto presidio procedimentale, esponga la società non solo a sanzioni amministrative, ma al concreto pericolo di una dispersione patrimoniale.

Del resto, l’osmosi tra la regola di fonte europea e la dogmatica societaria palesa i propri effetti proprio sul terreno della colpa. L’inosservanza dell’art. 9 dell’AI Act non rappresenta un mero illecito amministrativo, ma integra la prova principe dell’inadeguatezza degli assetti, elidendo ogni margine di discrezionalità gestoria. Resta, comunque, fermo che la strutturazione di presidi idonei non è delegabile in toto alle funzioni tecniche, ma deve essere incardinata e sorvegliata dal vertice strategico, al quale compete l’allocazione finale dei rischi endosocietari.

Il paradigma della sorveglianza umana (human-in-the-loop)

Procedendo nella scomposizione dell’architettura europea, occorre soffermarsi sull’art. 14 del Regolamento (UE) 2024/1689, il quale erige a principio cardine l’obbligo di sorveglianza umana (cd. human-in-the-loop) per i sistemi ad alto rischio. Deve ritenersi che tale disposizione non configuri un mero orpello tecnico o una cautela formale, bensì un presidio giuridico inderogabile, volto a impedire che l’automazione trasmodi in una delega in bianco alla macchina, sottraendo il processo formativo della volontà alla fisiologica dialettica societaria.

Tuttavia, l’amministratore il quale recepisca acriticamente l’output algoritmico, rinunciando a esercitare un vaglio critico sulle premesse logiche e sui risultati generati dal sistema, pone in essere una vera e propria abdicazione della funzione gestoria. In tale ottica, il precetto eurounitario impone di mantenere una costante capacità di intervento sulle logiche della “scatola nera”, affinché l’organo amministrativo non venga degradato a mero esecutore di un calcolo probabilistico le cui metriche risultino imperscrutabili.

D’altronde, la conformità al dettato normativo esige che l’assetto organizzativo preveda, quale sua componente ineliminabile, il potere di interruzione del processo automatizzato o la sua motivata disapplicazione in presenza di anomalie. Resta, comunque, fermo che la mancanza di siffatti meccanismi di controllo o di arresto priva l’operazione della necessaria copertura deliberativa, trasformando l’affidamento sull’intelligenza artificiale in una palese e colposa violazione del dovere di agire in modo informato ex art. 2381, ultimo comma, c.c.

Accountability e protezione dei dati: il prisma del GDPR

Sotto altro profilo, l’adeguatezza dell’assetto organizzativo non può prescindere dal paradigma della protezione dei dati personali, assurgendo il Regolamento (UE) 2016/679 (cd. GDPR) a ulteriore metro di misurazione della diligenza gestoria. Occorre muovere dall’art. 24 del citato Regolamento, il quale, codificando il principio di accountability, impone al titolare del trattamento di mettere in atto misure tecniche e organizzative idonee. Deve ritenersi che tale precetto, letto in combinato disposto con l’art. 2086 c.c., oneri il board di una prova di resistenza preventiva: l’architettura aziendale deve dimostrare strutturalmente la propria capacità di presidiare il flusso del dato prima ancora che la sua elaborazione algoritmica abbia inizio.

Va peraltro considerato che l’impiego di sistemi automatizzati ad elevata capacità predittiva attiva inevitabilmente l’obbligo di cui all’art. 35 del GDPR. La mancata esecuzione di una rigorosa valutazione d’impatto (DPIA) sulle logiche della macchina esorbita dal perimetro della mera irregolarità formale, per tramutarsi in un’omissione istruttoria di natura endosocietaria. Innanzi tutto, l’amministratore che deleghi l’elaborazione massiva a un’intelligenza artificiale opaca, in assenza di una previa declinazione dei controlli ai sensi dell’art. 25 (privacy by design), espone colposamente il patrimonio sociale alla magnitudo sanzionatoria prevista dalle autorità di settore.

La tutela dei diritti fondamentali degli interessati diviene, in definitiva e nella prospettiva del diritto societario della crisi, una variabile critica di sostenibilità economico-finanziaria. Resta, comunque, fermo che la mancata integrazione dei presidi di data protection nel più ampio perimetro del sistema di controllo interno certifica l’inadeguatezza dell’assetto, precludendo all’organo amministrativo qualsivoglia esimente fondata sulla ragionevolezza economica della scelta imprenditoriale.

Casi patologici e risultanze delle Autorità indipendenti

A riprova della saldatura dogmatica sin qui delineata, soccorre l’esame della recente prassi sanzionatoria, la quale offre un campionario empirico delle ricadute distruttive legate alla mancata conformazione degli assetti. La vicenda esaminata dall’Autorità Garante per la protezione dei dati personali con il Provvedimento del 12 marzo 2026⁴ restituisce, in tal senso, un paradigma perfetto. La censura mossa al primario istituto di credito non attiene a un isolato incidente informatico, ma colpisce un’intera operazione societaria di trasferimento di clientela, fondata su un’illecita profilazione massiva demandata a filtri automatizzati.

L’istruttoria ha infatti disvelato come la selezione dei correntisti da migrare verso la banca interamente digitale fosse avvenuta assumendo acriticamente parametri algoritmici (età, abitudini digitali, soglie patrimoniali), in assenza di un’idonea base giuridica e, soprattutto, di informative trasparenti. Tale modus operandi certifica un cortocircuito ai vertici della catena di comando: l’impiego del sistema automatizzato ha prodotto un impatto rilevantissimo sulle posizioni contrattuali dei terzi senza che la struttura amministrativa avesse preventivamente misurato la liceità e l’affidabilità del criterio di selezione.

Il precipitato societario di tale inerzia è dirimente. La massiva riorganizzazione dei rapporti, affidata alla macchina e priva di un’effettiva valutazione d’impatto, fuoriesce dal novero delle legittime scelte di convenienza commerciale per trasmodare in colpa grave. La sanzione milionaria irrogata dall’Autorità non rappresenta, dunque, un rischio calcolato, ma la conseguenza diretta di una falla organizzativa che l’organo amministrativo aveva il dovere primario di neutralizzare prima di avviare l’operazione.

Profili di responsabilità e tutela del patrimonio

L’opacità algoritmica come vizio procedimentale della gestione

Varcando la soglia dei profili di imputabilità, l’innesto dell’automazione avanzata nei processi decisionali aziendali altera profondamente i tradizionali paradigmi di misurazione della diligenza esigibile. Il cuore della problematica non risiede nell’errore della macchina in sé, bensì nell’incapacità dell’organo gestorio di ricostruirne a posteriori l’iter logico. L’opacità algoritmica, ove non temperata da idonei presidi di trasparenza interna, si traduce immancabilmente in un vizio procedimentale dell’istruttoria, precludendo in radice la validità dell’azione amministrativa.

Proprio su tale crinale si fonda la responsabilità degli amministratori per l’intelligenza artificiale, la quale emerge ogniqualvolta la delega tecnologica si trasformi in una rinuncia al governo dei rischi. L’ordinamento societario ammette l’alea fisiologica dell’iniziativa economica, ma ripudia l’ignoranza colpevole sui mezzi impiegati per condurla. L’amministratore che si affidi a un sistema le cui metriche sfuggano alla sua capacità di decifrazione contravviene al primario dovere di agire in modo informato, sancito dall’art. 2381 c.c., degradando la scelta imprenditoriale a mero azzardo.

La razionalità del processo decisionale costituisce il presupposto ineludibile per l’esenzione da colpa. L’assenza di un’architettura organizzativa capace di monitorare criticamente le raccomandazioni della “scatola nera” certifica un difetto strutturale dell’impresa. Ne consegue che l’eventuale depauperamento del patrimonio sociale derivante da tale inerzia non potrà mai essere ricondotto nell’alveo delle sfortune fisiologiche della gestione, radicando piuttosto un addebito diretto e personale a carico dei componenti del vertice strategico.

L’erosione della Business Judgment Rule di fronte all’automazione

Il presidio giurisprudenziale storicamente accordato alla discrezionalità gestoria, cristallizzato nel principio della Business Judgment Rule, postula la rigorosa sussistenza di un’istruttoria adeguata e di una deliberazione informata. Dinanzi all’impiego di architetture di calcolo complesse, tale insindacabilità del merito cede inevitabilmente il passo al sindacato sul metodo. L’organo amministrativo non può trincerarsi dietro la natura squisitamente tecnica del processo automatizzato per rivendicare l’immunità dalle conseguenze patrimoniali avverse, poiché l’esimente richiede il pieno dominio logico sulle variabili assunte a base della scelta d’impresa.

Sotto questa luce, l’incomprensibilità dell’algoritmo non funge da scudo, ma si ribalta in prova della colpa. L’introduzione di una “scatola nera” nel circuito decisionale aziendale rileva non quale mera opzione tecnologica, bensì come radicale scelta organizzativa, soggetta al vaglio stringente dell’art. 2086 c.c. Qualora difettino protocolli di tracciamento e verifica umana sulle indicazioni fornite dal sistema, si configura una palese violazione dei doveri fiduciari, precludendo l’invocabilità della regola di salvaguardia dinanzi a qualsivoglia contestazione per mala gestio.

L’erosione di tale franchigia di responsabilità restituisce, dunque, centralità alla diligenza procedimentale. Affidare l’allocazione delle risorse sociali a un’entità artificiale non presidiata svuota di senso il potere-dovere di amministrare. Ne discende che la giurisdizione non è chiamata a sindacare l’opportunità economica di essersi avvalsi dell’intelligenza artificiale, bensì a censurare la macroscopica negligenza di averne subito passivamente gli output, abdicando in tal guisa alla funzione protettiva del capitale.

L’azione dei creditori sociali e la lesione della garanzia patrimoniale

La prospettiva di indagine sin qui condotta sul versante endosocietario dispiega le sue conseguenze più dirompenti nei rapporti con i terzi. Il depauperamento del patrimonio cagionato dall’adozione di sistemi automatizzati non presidiati attiva, infatti, la tutela prevista dall’art. 2394 c.c. a salvaguardia dei creditori sociali. Deve precisarsi come l’insufficienza patrimoniale non derivi, in questo perimetro, da una sfortuna di mercato, ma discenda direttamente dall’incapacità dell’organo gestorio di governare la variabile tecnologica, la quale assurge essa stessa a causa efficiente del danno.

Entro siffatto quadro ermeneutico, la responsabilità degli amministratori per l’intelligenza artificiale acquisisce una fisionomia rigorosa: il creditore che agisce non è onerato dalla prova della malafede nella scelta dell’algoritmo, essendo sufficiente allegare la macroscopica violazione del dovere organizzativo che ha tollerato l’emorragia finanziaria. L’assenza dei dovuti filtri umani di controllo si cristallizza in colpa grave, impedendo al board di rifugiarsi dietro la complessità dell’architettura informatica o di invocare l’affidamento a presunti standard di efficienza ingegneristica.

Il rischio d’impresa non può, in definitiva, tradursi in un trasferimento occulto di diseconomie in capo ai terzi finanziatori. Qualora l’assetto si riveli inidoneo a mappare e neutralizzare le distorsioni della macchina, la lesione della garanzia patrimoniale si configura quale illecito direttamente imputabile ai componenti del vertice strategico. In tale dimensione, la carente conformità ai precetti algoritmici europei cessa di essere una mera imperfezione burocratica per divenire il fatto genetico della responsabilità illimitata e solidale verso l’intero ceto creditorio.

Conclusioni

In ragione di quanto innanzi esposto, la problematica impone una riflessione conclusiva che, sebbene meritevole di futuri e più estesi approfondimenti — non potendo essere questa la sede per esaurirne ogni implicazione dogmatica —, consente sin d’ora di trarre alcune deduzioni di sistema circa la responsabilità degli amministratori per l’intelligenza artificiale.

1. Sull’integrazione del precetto organizzativo. Deve ritenersi che le prescrizioni dell’AI Act e le garanzie dettate dal GDPR non operino quali meri obblighi di conformità amministrativa, bensì concorrano a riempire di contenuto tecnico la clausola generale dell’art. 2086 c.c. L’assetto organizzativo si palesa adeguato solo ove strutturalmente capace di governare la complessità tecnologica.
2. Sull’arretramento dell’insindacabilità. Vi è che la delega alla macchina, in assenza di un effettivo potere di intervento umano, vizia in radice l’istruttoria dell’ente. Tale omissione procedimentale disinnesca il presidio della Business Judgment Rule, degradando l’adozione del sistema da scelta gestoria a colpa organizzativa grave.
3. Sulla tutela del ceto creditorio. Resta, comunque, fermo che l’eventuale traslazione dei costi dell’inefficienza algoritmica sui terzi configura una lesione colposa della garanzia patrimoniale. L’azione ex art. 2394 c.c. si conferma il principale strumento di ripristino dell’equilibrio endosocietario violato da una rincorsa tecnologica priva di adeguati contrappesi.