Intelligenza artificiale e società non quotate: le ricadute della riforma del TUF

La recente circolare Assonime n. 24/2026, dedicata all’intelligenza artificiale e alla governance societaria nell’ambito della riforma del Testo Unico della Finanza (TUF), offre l’occasione per alcune riflessioni sulle implicazioni dell’utilizzo dell’IA nell’organizzazione delle imprese.

Il d.lgs. n. 47/2026, di riforma del TUF, interviene, tra l’altro, sull’art. 123-bis TUF, ampliando l’informativa sulle politiche eventualmente adottate in materia di utilizzo dell’IA e di gestione dei rischi informatici, e introduce l’art. 149-ter TUF, che riconduce l’eventuale utilizzo, ai fini del controllo interno, di sistemi di monitoraggio continuo e di strumenti di controllo automatici e predittivi ai principi di adeguatezza e proporzionalità. Come precisato dalla stessa Assonime, l’obbligo informativo riguarda le politiche eventualmente adottate e non comporta, di per sé, un obbligo di adottarle.

La circolare esamina, con riferimento alle società quotate, gli obblighi informativi introdotti dalla riforma, gli assetti organizzativi necessari a governare i rischi connessi all’utilizzo dell’IA e i profili di responsabilità degli amministratori. Le considerazioni sviluppate da Assonime assumono, tuttavia, una rilevanza più ampia, in quanto si inseriscono nel quadro dei doveri generali di organizzazione dell’impresa e, in particolare, di gestione dei rischi derivanti dalle tecnologie concretamente utilizzate.

Per comprendere le ricadute sulle società non quotate occorre muovere, come evidenziato dall’Associazione, dall’art. 2086, secondo comma, c.c., che impone all’imprenditore che operi in forma societaria o collettiva di istituire assetti organizzativi, amministrativi e contabili adeguati alla natura e alle dimensioni dell’impresa. Nella ricostruzione proposta, tale dovere richiede di tenere conto anche dei rischi derivanti dalle tecnologie impiegate nell’attività aziendale. Ne consegue che, pur restando gli specifici obblighi di comunicazione al mercato circoscritti alle società quotate, i principi di adeguatezza organizzativa e proporzionalità, così come l’esigenza di gestire i rischi tecnologici, rilevano anche per le società non quotate. Qualora una società utilizzi strumenti algoritmici nei propri processi, la valutazione dell’adeguatezza degli assetti deve pertanto comprendere i rischi connessi a tale utilizzo, tenendo conto delle caratteristiche dell’impresa e delle concrete modalità di impiego dei sistemi.

Sul piano operativo, la circolare richiama l’importanza

Le politiche aziendali dovrebbero, inoltre, disciplinare gli utilizzi consentiti, i limiti operativi, la sicurezza, la protezione dei dati, le procedure di monitoraggio e la gestione degli incidenti.

Particolare attenzione è dedicata anche alla responsabilità degli amministratori, rispetto alla quale Assonime distingue la scelta di introdurre sistemi di IA, generalmente riconducibile alla discrezionalità imprenditoriale, dall’obbligo di predisporre assetti idonei a governare i rischi connessi al loro utilizzo. La scelta di adottare tali tecnologie deve, in ogni caso, fondarsi su informazioni adeguate, su una valutazione dei rischi e su un percorso decisionale documentato.

Con riferimento ai presidi organizzativi, la circolare distingue l’ipotesi della loro totale assenza da quella in cui, pur essendo stati istituiti, risultino inadeguati. In entrambi i casi, le relative carenze possono assumere rilievo ai fini della responsabilità civilistica degli amministratori, ricorrendone i presupposti. La valutazione deve quindi estendersi alle modalità con cui i processi che prevedono l’impiego dell’IA vengono organizzati e monitorati, anche successivamente alla decisione iniziale di adottare tali strumenti.

In questo contesto, gli amministratori devono essere in grado di comprendere e valutare criticamente i risultati prodotti dai sistemi di IA. A tal fine, assume particolare importanza una formazione adeguata sulle caratteristiche e sui limiti degli strumenti adottati, unitamente alla predisposizione di flussi informativi idonei ad assicurare la tracciabilità delle informazioni ricevute.

Le politiche e le procedure relative all’IA devono, pertanto, trovare concreta attuazione nell’organizzazione aziendale, attraverso presidi coerenti con il modello di governance della società e idonei a dare effettiva applicazione ai principi enunciati. Occorre, inoltre, verificarne periodicamente l’efficacia e assicurarne l’aggiornamento nel tempo, tenendo conto dell’evoluzione tecnologica e dei rischi specifici dell’impresa.

___________

*Rebecca Pupella, POLLICINO & PARTNERS AIDVISORY