Chi controlla l’algoritmo? Il nuovo ruolo del collegio sindacale nell’era dell’AI

Per oltre vent’anni il nostro diritto societario ha affrontato il tema dei controlli attraverso una prospettiva prevalentemente organizzativa. Volendo semplificare, gli amministratori dovevano amministrare diligentemente la società, i sindaci dovevano vigilare sul rispetto della legge e dello statuto.

Il sistema, almeno nella sua impostazione tradizionale, era costruito “esclusivamente” sul principio di conformità alla legge, allo statuto e ai vincoli contrattuali. Poi qualcosa è cambiato. La crisi finanziaria del 2008, la pandemia, le tensioni geopolitiche, la digitalizzazione accelerata dell’economia, la sostenibilità, la cybersecurity e, più recentemente, l’intelligenza artificiale, hanno reso evidente che il vero punto cruciale delle imprese non è soltanto rispettare le regole ma governare l’incertezza – normativa, tecnologica, reputazionale e operativa – dovuta a cause esogene ed endogene.

È in questo contesto che deve essere letta una delle novità più interessanti introdotte dal D.Lgs. 47/2026 decreto attuativo della Legge Capitali (L. 5 marzo 2024, n. 21) (“Decreto”): il nuovo art. 2396-quinquies c.c., una disposizione che potrebbe rappresentare uno dei più significativi cambiamenti culturali della corporate governance degli ultimi anni in quanto comprende nella verifica sull’adeguatezza e sul concreto funzionamento dell’assetto organizzativo, amministrativo e contabile adottato dalla società anche “il sistema di controllo interno e di gestione dei rischi e il coordinamento delle sue funzioni”.

Per comprendere la portata della riforma occorre fare un passo indietro. La prima grande rivoluzione è stata introdotta dal Codice della Crisi. Con la modifica dell’art. 2086 c.c., il legislatore ha affermato un principio destinato a cambiare radicalmente il ruolo degli amministratori, l’impresa deve dotarsi di: “assetti organizzativi, amministrativi e contabili adeguati alla natura e alle dimensioni dell’impresa”. La adeguatezza della governance societaria diventa così un obbligo generale applicabile anche alle piccole e medie imprese secondo un approccio di proporzionalità. Negli ultimi anni la giurisprudenza e la prassi professionale hanno progressivamente ampliato il contenuto di tale disposizione. Gli assetti adeguati hanno così iniziato a comprendere le procedure decisionali, i sistemi di deleghe, i controlli interni, la pianificazione finanziaria, il monitoraggio della continuità aziendale e i sistemi di reporting.

L’ art. 2396-quinquies non nasce nel vuoto, al contrario, rappresenta, a mio vedere, il punto di convergenza di numerose evoluzioni normative europee, che negli ultimi anni ha dato alla luce nuove nozioni di rischi.

Negli ultimi cinque anni il consiglio di amministrazione è diventato il destinatario di una quantità crescente di responsabilità, frutto di un’intensa attività normativa a livello europeo. Basti pensare alla Direttiva CSRD (Corporate Sustainability Reporting Directive) con i relativi standard ESRS in materia di rendicontazione di sostenibilità, al Regolamento DORA (Digital Operational Resilience Act) sulla resilienza operativa digitale del settore finanziario, alla Direttiva NIS2 sulla sicurezza delle reti e dei sistemi informativi, all’AI Act che disciplina l’immissione sul mercato e l’utilizzo dei sistemi di intelligenza artificiale e, infine, alla normativa sulla supply chain sustainability che impone, con diversi livelli di applicazione, obblighi di due diligence lungo l’intera catena del valore. Normative apparentemente diverse, ma accomunate da un filo rosso: tutte chiedono agli amministratori di identificare, valutare, monitorare e gestire rischi quali: il rischio climatico, il rischio reputazionale, il rischio di transizione, il rischio cyber, il rischio tecnologico, il rischio relativo alla violazione dei diritti umani lungo la catena del valore ed infine il rischio derivante dall’utilizzo dell’intelligenza artificiale. Evidenza di questa convergenza è la previsione inclusa nella bozza di D.lgs. delegato, approvata dal Consiglio dei ministri del 10 giugno 2026 in materia di intelligenza artificiale, che introduce una disciplina che incide sulla gestione delle risorse umane attraverso il governo dei processi decisionali assistiti da AI in relazione alla costituzione, alla modifica e alla risoluzione del rapporto di lavoro, oltre ai provvedimenti disciplinari. Una società che utilizzi sistemi di AI classificati ad alto rischio ai sensi dell’art. 6 e dell’Allegato III dell’AI Act, quali i sistemi per la gestione delle risorse umane, è tenuta, ai sensi dell’AI Act, ad assolvere a una serie di obblighi sostanziali di conformità quali, ad esempio, documentazione tecnica, registri dei log, misure di supervisione umana che di fatto, come vedremo, diventano parte integrante degli adeguati assetti organizzativi.

Non è un caso che proprio la crescente adozione dell’AI ha portato al riformato articolo 123 -bis del D.lgs. 24 febbraio 1998, n. 58 (“TUF”) che include, tra le informazioni riportate nella relazione sul governo societario una descrizione delle politiche della società in materia di utilizzo e di monitoraggio delle nuove tecnologie e, in particolare, dei sistemi di intelligenza artificiale - ove adottate - negli assetti amministrativi, organizzativi e contabili nonché, sempre se adottate, una descrizione delle politiche di gestione e di monitoraggio dei rischi informatici, inclusi i rischi di sicurezza cibernetica e i rischi derivanti dall’integrazione di nuove tecnologie negli assetti amministrativi, organizzativi e contabili.

In questo contesto, la vera novità dell’art. 2396-quinquies c.c. è che il legislatore sembra aver compiuto un salto concettuale: dall’adeguatezza degli assetti ex art. 2086 c.c. alla necessità di verificare l’effettivo funzionamento del Sistema di Controllo Interno e Gestione dei Rischi (SCIGR). In altre parole: non basta più avere procedure e policy ma occorre dimostrare che i rischi siano identificati, monitorati, governati e riportati agli organi sociali. Il concetto di SCIGR proviene dalle migliori pratiche internazionali e dai modelli di governance delle società quotate. In Italia il riferimento più noto è rappresentato dal Codice di Corporate Governance promosso da Borsa Italiana, secondo cui il sistema di controllo interno e gestione dei rischi è costituito dall’insieme di regole, procedure e strutture organizzative finalizzate a consentire l’identificazione, la misurazione, la gestione e il monitoraggio dei principali rischi aziendali. L’aspetto più interessante è che tale sistema di governance esce ora dal perimetro delle società quotate e tende a diventare un parametro generale di buona amministrazione.

Il messaggio del legislatore è chiaro: il collegio sindacale dovrà, ora, vigilare non solo sull’adeguatezza del sistema di controllo interno e sul funzionamento del sistema ma anche sulla gestione dei nuovi rischi – climatici, cyber, tecnologici, reputazionali e derivanti dall’utilizzo dell’intelligenza artificiale – che le riforme europee hanno posto al centro della responsabilità degli organi sociali. Affinché il collegio sindacale possa svolgere tale funzione, il consiglio di amministrazione deve prima identificare i rischi, attribuirne la responsabilità, monitorarli e ricevere reporting periodici. Questo approccio innegabilmente amplia il focus della governance da una logica documentale ad una logica di accountability richiedendo una revisione complessiva della capacità dell’organizzazione di identificare e gestire i rischi, garantendo non una semplice verifica documentale, ma una vera radiografia del modello di governance che cambia la domanda da “gli assetti esistono?” a “gli assetti funzionano?” e se sì, “come funzionano in particolare in relazione all’immissione sul mercato e all’utilizzo di sistemi di intelligenza artificiale?”. Ed è qui che entra in gioco la potenzialità dell’art. 2396-quinquies.

La vigilanza del collegio sindacale sul funzionamento del Sistema di Controllo Interno e Gestione dei Rischi nell’applicazione nella governance dei sistemi di AI si sostanzia su tre piani complementari:

(i) la verifica che il consiglio di amministrazione abbia strutturato un modello organizzativo adeguato, articolato su livelli progressivi di responsabilità;

(ii) il controllo sulla completezza e tempestività dei flussi informativi;

(iii) l’accertamento che i presidi di human oversight siano effettivamente operativi e proporzionati ai rischi assunti.

Il collegio sindacale è così chiamato a verificare che il consiglio di amministrazione abbia adottato un assetto organizzativo per la governance dell’AI articolato su almeno tre piani di vigilanza, in linea con le migliori prassi internazionali.

Il primo piano di vigilanza riguarda la verifica che il consiglio di amministrazione abbia strutturato un modello organizzativo adeguato per la governance dell’AI, articolato su tre livelli progressivi di responsabilità:

(i) l’AI Committee, quale comitato operativo multidisciplinare con funzioni di presidio quotidiano;

(ii) l’Executive AI Committee, con compiti di valutazione strategica dei progetti e dei rischi;

(iii) il Board Oversight, quale livello apicale di supervisione e definizione dell’indirizzo strategico.

Questo livello operativo coinvolge necessariamente figure provenienti da diverse aree aziendali: business, IT, compliance e data scientist. È qui che si svolge l’attività di presidio quotidiano sull’utilizzo dei sistemi AI, garantendo che le singole applicazioni siano conformi alle policy aziendali e alle normative applicabili.

Il secondo livello normalmente è composto dal Chief AI Officer, dal Chief Legal Officer e dal top management, questo comitato esecutivo valuta i progetti e i rischi AI a livello strategico. È la sede in cui le decisioni operative vengono tradotte in indirizzi gestionali coerenti con la strategia aziendale e con il risk appetite definito dal consiglio.

Il Consiglio di Amministrazione riceve reporting strutturato e supervisiona i rischi AI. A questo livello si definiscono il risk appetite, la strategia AI, i KPI e le modalità di reporting. È importante sottolineare che la responsabilità della governance dell’AI non può essere delegata a una singola funzione: non è l’IT, non è il Legal, non è il Data Scientist. Si tratta di una responsabilità condivisa che coinvolge il Consiglio di Amministrazione, Compliance, Medical Affairs, Market Access, Marketing, Data Office e Quality.

Il collegio sindacale dovrà quindi verificare che tale architettura esista e funzioni, richiedendo evidenza della composizione dei comitati, della frequenza delle riunioni, della formalizzazione delle decisioni e della tracciabilità delle escalation. Utili spunti in tal senso si ritrovato nelle Linee Guida di Vigilanza del Collegio Sindacale sulla Adozione dell’Intelligenza Artificiale elaborate dal Consiglio Nazionale dei Dottori Commercialisti e degli Esperti Contabili e pubblicate nel dicembre 2025.

Sia ben chiaro, l’art. 2381 c.c. non richiede che ogni amministratore sia un esperto di AI, richiede però che il Consiglio sia messo in condizione di valutare l’adeguatezza dell’organizzazione e di agire informato. Il board non deve conoscere ogni dettaglio tecnico del modello, ma deve poter valutare se il sistema di governance dell’AI sia adeguato rispetto ai rischi dell’impresa. In questa prospettiva, il Consiglio deve pretendere flussi informativi comprensibili e funzionali al processo decisionale. Volendo schematizzare, ogni consigliere dovrebbe poter rispondere a domande fondamentali, articolate su sei dimensioni:

- Strategia: per quali processi utilizziamo l’AI?

- Dati: qual è la provenienza dei dati?

- Compliance: abbiamo classificato i sistemi secondo l’AI Act?

- Rischio: quali sono i rischi etici e reputazionali?

- Accountability: chi è responsabile delle decisioni dell’algoritmo?

- Monitoraggio: come controlliamo le performance del modello nel tempo?

Il collegio sindacale deve quindi verificare che il reporting verso il board includa informazioni relative a:

- quali sistemi AI sono utilizzati;

- in quali processi aziendali,

- con quale livello di rischio;

- quali dati alimentano il sistema;

- quali controlli sono previsti;

- chi valida gli output;

- quando l’output può essere usato automaticamente e quando no;

- quali incidenti o near misses sono stati rilevati;

a seconda delle dimensioni della impresa, quali funzioni aziendali sono coinvolte: legal, compliance, regulatory, data protection, IT/security, internal audit.

Il terzo livello di verifica riguarda l’effettività dei presidi di supervisione umana, che rappresentano il cuore della governance AI e il punto di connessione con il Modello 231, la governance aziendale e il sistema di controlli interni.

I principi fondamentali che il collegio sindacale deve verificare sono quindi:

- Human Oversight: la supervisione umana effettiva sui sistemi AI;

- Explainability: la capacità di spiegare le decisioni algoritmiche;

- Accountability: la chiara attribuzione delle responsabilità.

E’ qui che entra in gioco l’importanza dell’human-in-the-loop che non significa semplicemente “mettere una persona alla fine del processo” ma costruire un presidio reale ingaggiando una persona competente, dotata di informazioni sufficienti, potere decisionale, tempo e accountability, che possa bloccare, correggere o rivalutare l’output dell’AI. In altre parole, l’essere umano non è una formalità di compliance: è il punto in cui l’organizzazione dimostra di aver mantenuto il controllo sul rischio, connotando così la propria adeguatezza.

Nel quadro dell’art. 2381 c.c., l’human-in-the-loop è quindi il presidio organizzativo che consente agli amministratori di dimostrare che l’AI non è stata delegata al posto dell’uomo, ma inserita in un assetto controllato, proporzionato ai rischi dell’impresa e idoneo a garantire decisioni informate.

Questo significa che la verifica consiliare è, per sua natura, una verifica ex ante e procedurale: il consiglio non è chiamato a prevedere ogni errore specifico che l’AI potrà commettere, ma deve valutare se l’impresa ha istituito un sistema ragionevolmente idoneo a governare quei rischi prima che si materializzino.

Il collegio sindacale, nell’esercizio della vigilanza prevista dal nuovo art. 2396-quinquies c.c., dovrà quindi accertare che tale verifica sia effettivamente svolta dal consiglio di amministrazione e che il sistema di governance dell’AI sia non solo adeguato sulla carta, ma operativamente funzionante.

In definitiva, il nuovo art. 2396-quinquies c.c. segna un passaggio epocale nella cultura della corporate governance italiana: dalla conformità alla gestione sostanziale del rischio. In un momento storico in cui l’intelligenza artificiale sta ridefinendo i confini dell’attività d’impresa, la sfida per amministratori e sindaci non è più semplicemente dotarsi di assetti adeguati, ma dimostrare che tali assetti siano vivi, capaci di adattarsi all’evoluzione tecnologica e idonei a garantire che l’uomo – e non la macchina – resti al centro delle decisioni che incidono sui diritti, sulla reputazione e sulla sostenibilità dell’impresa. È questa, in ultima analisi, la vera misura dell’adeguatezza nell’era dell’AI.

_________

*Avv. Milena Prisco, Partner e Head of ESG di Pavia e Ansaldo