Le Linee guida di vigilanza del collegio sindacale sulla adozione dell’intelligenza artificiale: analisi sistematica, profili critici e ricadute operative alla luce del documento della Fondazione Nazionale dei Commercialisti

L’ingresso dell’intelligenza artificiale nei processi aziendali segna un passaggio storico che incide profondamente sulla struttura organizzativa dell’impresa e, conseguentemente, sulla funzione di controllo. L’IA non rappresenta soltanto una nuova tecnologia, bensì un diverso paradigma decisionale: essa interviene nella raccolta, nell’elaborazione e nell’interpretazione dei dati, incidendo sulla formazione della volontà gestoria e, in taluni casi, sostituendosi a valutazioni tradizionalmente umane.

In tale contesto, la pubblicazione del documento “Linee guida di vigilanza del collegio sindacale sulla adozione dell’intelligenza artificiale” da parte della Fondazione Nazionale di Ricerca dei Commercialisti, in collaborazione con il Consiglio Nazionale dei Dottori Commercialisti e degli Esperti Contabili, assume un rilievo sistematico di primario interesse. Si tratta di un elaborato che, pur non avendo natura normativa, si colloca nel solco delle norme di comportamento del collegio sindacale e offre una chiave interpretativa evolutiva dei doveri di vigilanza alla luce della trasformazione digitale.

Il presente contributo intende offrire un’analisi approfondita, in chiave giuridico-sistematica, del contenuto e delle implicazioni delle Linee guida, collocandole nel quadro normativo europeo e nazionale, e interrogandosi sulle ricadute in termini di responsabilità, assetti organizzativi e governo del rischio.

2. Il quadro regolatorio europeo: dall’approccio risk-based all’AI Act

L’adozione dell’IA da parte delle imprese non può essere analizzata prescindendo dall’evoluzione della regolazione europea, improntata a un approccio fondato sul rischio. L’iniziativa legislativa promossa dalla Commissione Europea e successivamente sviluppata dal Parlamento Europeo ha condotto all’approvazione del Regolamento europeo sull’intelligenza artificiale (AI Act), che introduce una classificazione dei sistemi di IA in funzione del loro impatto sui diritti fondamentali e sulla sicurezza.

Il modello europeo si fonda su alcuni principi cardine:

• centralità dell’essere umano;

• trasparenza;

• accountability;

• proporzionalità;

• sicurezza e robustezza tecnica.

Particolare rilievo assumono i sistemi ad “alto rischio”, per i quali sono previsti obblighi stringenti in materia di governance dei dati, documentazione tecnica, sorveglianza umana e monitoraggio post-immissione sul mercato.

Tale assetto normativo incide indirettamente ma profondamente sui doveri del collegio sindacale, chiamato a vigilare sull’adeguatezza degli assetti organizzativi rispetto a una regolazione tecnologica complessa e multilivello.

3. La ratio del documento della Fondazione Nazionale dei Commercialisti

Il documento elaborato dalla Fondazione e dal Consiglio Nazionale si inserisce nel solco delle norme di comportamento del collegio sindacale, ma ne rappresenta un’evoluzione tematica. Esso muove dalla constatazione che l’adozione dell’IA costituisce un fattore di trasformazione degli assetti organizzativi ex art. 2086 c.c. e, pertanto, ricade pienamente nell’ambito della vigilanza sindacale.

La ratio dell’elaborato può essere sintetizzata in tre direttrici:

1. Chiarire l’ambito oggettivo della vigilanza in relazione ai sistemi di IA.

2. Offrire strumenti metodologici per l’analisi del rischio tecnologico.

3. Integrare la dimensione tecnologica nei principi di corretta amministrazione.

Il documento non pretende di attribuire al collegio competenze tecniche di natura informatica; al contrario, ribadisce che la funzione di vigilanza conserva una dimensione giuridico-organizzativa. Ciò che rileva non è la bontà dell’algoritmo in sé, bensì il processo decisionale e organizzativo che conduce alla sua adozione e gestione.

4. IA e adeguatezza degli assetti organizzativi

L’art. 2086, secondo comma, c.c., come riformato dal Codice della crisi d’impresa, impone agli amministratori di istituire assetti organizzativi, amministrativi e contabili adeguati alla natura e alle dimensioni dell’impresa. L’introduzione dell’IA rappresenta un banco di prova per tale obbligo.

Le Linee guida evidenziano che l’adeguatezza deve essere valutata alla luce di:

• complessità del sistema adottato;

• livello di autonomia decisionale dell’algoritmo;

• incidenza sui diritti di terzi;

• rilevanza economica delle decisioni automatizzate.

Il collegio sindacale deve verificare che l’adozione dell’IA sia preceduta da:

• analisi preventiva del rischio;

• definizione di ruoli e responsabilità;

• previsione di meccanismi di controllo e revisione periodica.

La carenza di tali presidi può integrare una violazione dell’obbligo di adeguatezza organizzativa, con possibili riflessi sulla responsabilità degli amministratori.

5. La vigilanza sull’osservanza della legge

L’IA interseca una pluralità di normative: protezione dei dati personali, disciplina antidiscriminatoria, tutela dei consumatori, normativa finanziaria, cybersecurity.

Il collegio sindacale deve accertare che l’organo amministrativo abbia valutato:

• la necessità di effettuare una valutazione d’impatto sulla protezione dei dati;

• la conformità alle norme sul trattamento automatizzato;

• l’eventuale classificazione del sistema come “ad alto rischio” ai sensi dell’AI Act;

• la compatibilità con le regole settoriali applicabili.

Non si tratta di una verifica meramente formale, ma sostanziale: la vigilanza deve estendersi all’effettività delle misure adottate.

6. Principi di corretta amministrazione e decisioni algoritmiche

Uno dei profili più delicati riguarda la relazione tra decisione umana e decisione automatizzata. Il principio di corretta amministrazione implica che gli amministratori adottino decisioni informate e consapevoli.

L’affidamento a un sistema di IA non può tradursi in una delega in bianco alla macchina. Le Linee guida sottolineano la necessità di un controllo umano significativo (“human oversight”), quale elemento essenziale per preservare la responsabilità gestoria.

Il collegio sindacale dovrà verificare:

• che gli amministratori comprendano le logiche di funzionamento del sistema;

• che siano previste procedure di revisione delle decisioni automatizzate;

• che esistano meccanismi di segnalazione delle anomalie.

In mancanza, si rischia di svuotare di contenuto il principio di responsabilità personale degli amministratori.

7. La gestione del rischio algoritmico

L’IA introduce un rischio specifico, distinto dal rischio operativo tradizionale: il rischio algoritmico. Esso comprende:

• bias nei dati di addestramento;

• errori sistemici;

• opacità decisionale;

• vulnerabilità informatiche;

• effetti discriminatori non intenzionali.

Le Linee guida propongono un approccio strutturato alla gestione di tale rischio, fondato su:

1. mappatura dei sistemi di IA;

2. classificazione per livello di rischio;

3. definizione di presidi di controllo;

4. monitoraggio continuo.

Il collegio sindacale deve vigilare sull’esistenza di un framework di governance dell’IA integrato nel sistema di controllo interno.

8. IA e sistema di controllo interno

Un profilo particolarmente innovativo dell’elaborato concerne l’integrazione dell’IA nel sistema di controllo interno. Il documento distingue tra:

• IA come oggetto di controllo;

• IA come strumento di controllo.

Nel primo caso, il sistema algoritmico deve essere sottoposto a verifiche periodiche, audit indipendenti e validazioni tecniche. Nel secondo, l’IA può essere utilizzata per rafforzare i presidi di compliance (ad esempio, nel monitoraggio delle operazioni anomale).

Il collegio sindacale deve assicurarsi che l’utilizzo dell’IA non generi un affidamento eccessivo (automation bias) e che resti garantita la supervisione umana.

9. Profili di responsabilità degli amministratori e dei sindaci

L’adozione di sistemi di IA inadeguati o non conformi può generare responsabilità civile e, in taluni casi, penale.

Gli amministratori rispondono ex art. 2392 c.c. per violazione del dovere di diligenza qualificata. In un contesto tecnologicamente evoluto, la diligenza esige competenze adeguate o, quanto meno, il ricorso a consulenze specialistiche.

Il collegio sindacale, a sua volta, risponde per omessa vigilanza qualora non abbia rilevato o segnalato carenze organizzative manifeste. Le Linee guida insistono sulla necessità di una vigilanza attiva, documentata e proporzionata al rischio.

10. IA, protezione dei dati e decisioni automatizzate

Molti sistemi di IA si fondano sul trattamento massivo di dati personali. Ciò implica l’applicazione del GDPR e il coinvolgimento dell’Autorità Garante per la Protezione dei Dati Personali in caso di violazioni.

Particolare attenzione merita il tema delle decisioni automatizzate che producono effetti giuridici significativi. L’impresa deve garantire:

• trasparenza;

• possibilità di intervento umano;

• diritto alla contestazione.

Il collegio sindacale deve vigilare sull’adeguatezza delle misure organizzative predisposte a tutela degli interessati.

11. Il principio di proporzionalità nella vigilanza

Uno degli aspetti più condivisibili del documento è il richiamo al principio di proporzionalità. Non tutte le applicazioni dell’IA comportano lo stesso livello di rischio.

L’intensità della vigilanza deve essere modulata in funzione:

• della dimensione dell’impresa;

• del settore di attività;

• dell’impatto del sistema sui diritti fondamentali;

• del grado di autonomia decisionale.

Un approccio eccessivamente formalistico rischierebbe di trasformare la vigilanza in un adempimento burocratico; uno troppo indulgente, invece, comprometterebbe la tutela degli interessi sociali.

12. IA e sostenibilità: il collegamento con i fattori ESG

L’uso responsabile dell’IA si inserisce nella più ampia tematica della sostenibilità e dei fattori ESG. Bias algoritmici o discriminazioni possono incidere negativamente sul profilo sociale e reputazionale dell’impresa.

Il collegio sindacale, nell’ambito della vigilanza sull’adeguatezza degli assetti, deve considerare anche tali profili, valutando l’impatto dell’IA sulla creazione di valore nel lungo periodo.

13. Profili 231 e aggiornamento dei modelli organizzativi

L’introduzione dell’IA può incidere sui rischi rilevanti ai fini del d.lgs. 231/2001. L’eventuale utilizzo improprio di sistemi algoritmici potrebbe facilitare:

• reati informatici;

• frodi;

• manipolazioni di mercato;

• violazioni in materia di trattamento dati.

Le Linee guida suggeriscono l’aggiornamento dei modelli organizzativi e dei protocolli di controllo. Il collegio sindacale, specie quando coincida con l’Organismo di Vigilanza, deve verificare tale adeguamento.

14. Documentazione e accountability

Un aspetto centrale della vigilanza è la tracciabilità delle attività svolte. I verbali del collegio sindacale dovrebbero dare conto:

• delle informazioni ricevute dagli amministratori;

• delle verifiche effettuate;

• delle raccomandazioni formulate;

• delle eventuali criticità riscontrate.

La documentazione costituisce presidio essenziale sia in funzione preventiva sia difensiva.

15. Considerazioni conclusive: verso una cultura della vigilanza tecnologica

Il documento della Fondazione Nazionale dei Commercialisti rappresenta un passaggio importante nel processo di adattamento del diritto societario alla trasformazione digitale. Esso non introduce nuovi obblighi, ma offre una lettura evolutiva di quelli esistenti.

L’IA non attenua la responsabilità umana; al contrario, la rende più esigente. Gli amministratori devono governare la tecnologia, non subirla. Il collegio sindacale, dal canto suo, è chiamato a esercitare una vigilanza consapevole, informata e proporzionata.

La vera sfida non è tecnica, ma culturale: integrare l’innovazione nell’ordinamento senza sacrificare i principi di legalità, correttezza e tutela degli interessi sociali.

In questa prospettiva, le Linee guida costituiscono un punto di riferimento prezioso per la prassi professionale e per l’elaborazione dottrinale, contribuendo a delineare i confini di una nuova stagione della vigilanza societaria nell’era dell’intelligenza artificiale.

16. La disciplina nazionale dell’intelligenza artificiale (Legge n. 132/2025) e il coordinamento con il quadro europeo

L’analisi delle Linee guida di vigilanza non può prescindere dalla sopravvenuta approvazione della Legge 23 dicembre 2025, n. 132. Tale intervento si configura come una legge quadro di coordinamento interno rispetto al Regolamento europeo (AI Act), con una funzione essenziale di raccordo ordinamentale, organizzativo e sanzionatorio. La normativa nazionale non si limita a un recepimento passivo, ma introduce disposizioni specifiche per rendere operativo il modello europeo nel contesto italiano.

16.1. Natura, struttura e autorità di vigilanza

La legge n. 132/2025 definisce un assetto di vigilanza plurimo, valorizzando le competenze settoriali già esistenti e creando un sistema di controlli multilivello. Le autorità individuate sono:

• L’Autorità Garante per la Protezione dei Dati Personali, per i profili relativi al trattamento dei dati e alla privacy;

• L’Agenzia per l’Italia Digitale (AgID), per gli aspetti tecnologici e l’interoperabilità, con particolare focus sulla PA;

• Le Autorità settoriali (Banca d’Italia, Consob, ecc.), per i comparti regolamentati.

Il Collegio Sindacale è pertanto chiamato a vigilare non solo sulla conformità tecnica, ma anche sulla corretta gestione dei flussi informativi e dei rapporti con tali autorità, assicurando la tempestività delle comunicazioni obbligatorie.

16.2. Il rafforzamento dell’accountability e degli assetti organizzativi

Se l’AI Act si fonda su un approccio risk-based, la legge italiana accentua la dimensione dell’accountability organizzativa. L’adeguatezza degli assetti ex art. 2086 c.c. viene reinterpretata come una capacità dinamica dell’impresa di documentare e tracciare ogni scelta relativa ai sistemi di IA. Per le imprese che sviluppano o utilizzano sistemi ad “alto rischio”, la legge impone:

• Procedure strutturate di valutazione e gestione del rischio algoritmico;

• Sistemi di monitoraggio continuo e meccanismi di tracciabilità;

• Presidi di supervisione umana significativa (human oversight), per evitare che l’autonomia dell’algoritmo svuoti la responsabilità gestoria.

Le Linee guida della Fondazione trovano qui una conferma strutturale: ciò che nell’elaborato professionale assumeva la forma di raccomandazione, nella legge n. 132/2025 diviene un precetto legale che il Collegio deve verificare in termini di effettiva implementazione.

16.3. Riflessi sulla responsabilità degli amministratori e regime sanzionatorio

La normativa nazionale rafforza la posizione di garanzia degli amministratori. La violazione degli obblighi di governance dell’IA non rileva solo come inadempimento ai doveri di diligenza qualificata (art. 2392 c.c.), ma espone l’ente a un doppio binario sanzionatorio:

1. Sanzioni amministrative: L’apparato sanzionatorio nazionale integra quello europeo, con pene pecuniarie proporzionate alla gravità della violazione e alla dimensione dell’impresa, incidendo potenzialmente sulla continuità aziendale.

2. Responsabilità civile: La legge qualifica la responsabilità verso terzi per danni derivanti da decisioni algoritmiche illegittime, rendendo la corretta gestione del rischio tecnologico un elemento essenziale della corretta amministrazione.

16.4. Coordinamento con il D.Lgs. 231/2001 e settori pubblici

Un punto di convergenza fondamentale è l’aggiornamento dei Modelli di Organizzazione e Gestione (MOG). La legge n. 132/2025 prevede espressamente che i modelli 231 debbano includere protocolli di prevenzione per i rischi connessi all’uso dell’IA (reati informatici, frodi, manipolazioni di mercato). Il Collegio Sindacale, specie se coincidente con l’OdV, deve monitorare che tale adeguamento non sia meramente formale.

Infine, nei settori sensibili e nelle società a partecipazione pubblica, la legge impone standard di trasparenza e motivazione degli algoritmi ancora più stringenti, al fine di tutelare i principi costituzionali di imparzialità e buon andamento (art. 97 Cost.). In questi casi, la vigilanza sindacale assume una valenza quasi para-regolatoria, a presidio dei diritti dei cittadini e della corretta erogazione dei servizi.

17. Sintesi sistematica: la convergenza verso una vigilanza tecnologica

Il combinato disposto tra regolazione europea, legge italiana n. 132/2025 e norme di comportamento professionali del CNDCEC delinea un modello di vigilanza integrato, proporzionato e dinamico. L’intelligenza artificiale cessa di essere un ambito tecnico separato per divenire parte integrante della legalità societaria.

Il ruolo del Collegio Sindacale si consolida come snodo cruciale di questa governance: non è richiesto un controllo tecnico sulla bontà dell’algoritmo, ma una vigilanza “aumentata” sulla tenuta dei processi organizzativi e sulla capacità dell’organo amministrativo di governare l’innovazione senza diventarne succube.

Considerazione conclusiva integrativa

Alla luce della legge n. 132/2025 sull’IA, il ruolo del collegio sindacale si consolida quale snodo cruciale del sistema di governance tecnologica. L’intelligenza artificiale non costituisce un ambito separato dal diritto societario, ma ne diviene parte integrante.

La vera innovazione non risiede nell’introduzione di nuovi doveri, bensì nella reinterpretazione evolutiva di quelli esistenti. L’adeguatezza degli assetti organizzativi, la corretta amministrazione e l’osservanza della legge assumono oggi una dimensione tecnologicamente qualificata.

Il collegio sindacale è così chiamato a esercitare una vigilanza “aumentata”: non tecnica, ma consapevole della complessità algoritmica; non invasiva, ma strutturata; non meramente formale, ma sostanziale.

Solo in questa prospettiva l’innovazione digitale potrà essere governata entro i confini dello Stato di diritto societario.

18. La disciplina nazionale dell’intelligenza artificiale tra integrazione multilivello e ridefinizione degli assetti organizzativi d’impresa

La legge italiana sull’intelligenza artificiale (legge n. 132/2025), approvata dal Parlamento Italiano nel 2025, si configura come legge quadro di coordinamento interno rispetto al Regolamento europeo sull’IA (AI Act), con funzione di raccordo ordinamentale, organizzativo e sanzionatorio.

Pur operando in un ambito ormai in larga parte armonizzato a livello unionale, il legislatore nazionale è intervenuto per:

• individuare le autorità nazionali competenti per la vigilanza sui sistemi di IA;

• disciplinare i poteri ispettivi e sanzionatori;

• coordinare la nuova materia con la normativa vigente in tema di responsabilità civile, penale e amministrativa;

• regolare l’uso dell’IA nella pubblica amministrazione e nei settori sensibili.

18.1. Natura e struttura della legge

La legge presenta una struttura articolata in più capi, dedicati rispettivamente a:

1. Principi generali e definizioni, in coerenza con il lessico europeo;

2. Autorità competenti e coordinamento istituzionale;

3. Sistemi di IA ad alto rischio e obblighi di governance;

4. Regime sanzionatorio nazionale integrativo;

5. Disposizioni in materia di IA nella pubblica amministrazione;

6. Clausole di coordinamento con il d.lgs. 231/2001 e con il codice civile.

Essa si pone, dunque, come legge di sistema, priva di ambizione esaustiva, ma destinata a rendere operativo il quadro europeo nel contesto ordinamentale interno.

18.2. Autorità di vigilanza

La legge individua un assetto di vigilanza plurimo, valorizzando le competenze già esistenti:

• l’Autorità Garante per la Protezione dei Dati Personali per i profili relativi al trattamento dei dati;

• l’Agenzia per l’Italia Digitale per gli aspetti tecnologici e di interoperabilità nella PA;

• le autorità settoriali (ad esempio, Banca d’Italia e Consob) per i comparti regolati.

Tale assetto implica che le imprese debbano interagire con un sistema di controlli multilivello. Il collegio sindacale è pertanto chiamato a vigilare sulla corretta gestione dei rapporti con le autorità e sulla tempestività delle eventuali comunicazioni obbligatorie.

18.3. Obblighi organizzativi e governance dell’IA

Uno dei profili centrali della legge riguarda l’obbligo, per le imprese che sviluppano o utilizzano sistemi di IA ad alto rischio, di adottare:

• procedure di valutazione e gestione del rischio algoritmico;

• sistemi di monitoraggio continuo;

• meccanismi di tracciabilità delle decisioni;

• presidi di supervisione umana significativa.

Tali obblighi si riflettono direttamente sull’art. 2086 c.c. e rafforzano il contenuto dell’“adeguatezza” degli assetti organizzativi. Il collegio sindacale, in tale contesto, non può limitarsi a un controllo formale, ma deve verificare la concreta implementazione delle misure richieste.

18.4. Regime sanzionatorio

La legge introduce un sistema sanzionatorio amministrativo che integra quello previsto dall’AI Act, prevedendo sanzioni pecuniarie proporzionate alla gravità della violazione e alle dimensioni dell’impresa.

La presenza di un doppio livello sanzionatorio (europeo e nazionale) accresce il rischio legale per le imprese. Ne deriva un ampliamento della sfera di attenzione del collegio sindacale, il quale deve considerare il rischio sanzionatorio come elemento rilevante ai fini della continuità aziendale e della corretta amministrazione.

18.5. Coordinamento con la responsabilità amministrativa degli enti

La legge interviene altresì sul sistema del d.lgs. 231/2001, prevedendo che i modelli organizzativi debbano includere specifici protocolli di prevenzione dei rischi connessi all’uso dell’IA.

Tale previsione rafforza il ruolo del collegio sindacale, specie nei casi in cui esso svolga anche le funzioni di Organismo di Vigilanza. L’aggiornamento del modello 231 diviene un indicatore significativo dell’adeguatezza dell’assetto organizzativo.

18.6. IA nella pubblica amministrazione e società partecipate

Particolare rilievo assumono le disposizioni relative all’impiego dell’IA nei procedimenti amministrativi. La legge impone:

• trasparenza degli algoritmi decisionali;

• possibilità di intervento umano;

• obbligo di motivazione comprensibile.

Per le società a partecipazione pubblica, tali obblighi si intrecciano con il diritto societario e con i principi costituzionali di imparzialità e buon andamento. Il collegio sindacale è chiamato a una vigilanza rafforzata in presenza di sistemi algoritmici incidenti su diritti soggettivi o interessi legittimi.

19. Valutazione sistematica conclusiva

Gli estremi della legge italiana sull’intelligenza artificiale confermano la centralità della dimensione organizzativa nella regolazione dell’innovazione tecnologica. L’IA non è più considerata un mero strumento tecnico, ma un fattore strutturale di rischio giuridico.

Le Linee guida elaborate dalla Fondazione Nazionale di Ricerca dei Commercialisti e dal Consiglio Nazionale dei Dottori Commercialisti e degli Esperti Contabili risultano pienamente coerenti con questo impianto normativo: esse anticipano e sistematizzano, sul piano professionale, le esigenze di governance e controllo ora rafforzate dalla legge statale.

In definitiva, il combinato disposto tra:

• regolazione europea (AI Act),

• legge italiana di coordinamento,

• norme di comportamento professionali,

delinea un modello di vigilanza societaria nel quale il collegio sindacale assume un ruolo di presidio della legalità tecnologica.

L’adeguatezza degli assetti organizzativi diviene così il punto di convergenza tra diritto societario, regolazione dell’innovazione e responsabilità d’impresa: un terreno sul quale la funzione sindacale è destinata a misurarsi con crescente intensità negli anni a venire.

Allegati

LINEE GUIDA DI VIGILANZA DEL COLLEGIO SINDACALE SULLA ADOZIONE DELL’INTELLIGENZA ARTIFICIALE

Check-list di Vigilanza: Governance e Sistemi di IA

(Riferimenti: Art. 2086 c.c. – Linee Guida CNDCEC – Legge n. 132/2025)

AREA 1: ASSETTI ORGANIZZATIVI E GOVERNANCE

[ ] Censimento e Mappatura Verificare se l’organo amministrativo ha censito tutti i sistemi di IA in uso o in fase di implementazione. Note: __________________________________________________________________

[ ] Policy Aziendale Accertare l’esistenza di una “AI Policy” approvata che definisca le linee guida etiche e operative dell’impresa. Note: __________________________________________________________________

[ ] Definizione delle Responsabilità Verificare l’individuazione di figure responsabili (es. AI Officer o referenti interni) per la gestione del rischio algoritmico. Note: __________________________________________________________________

[ ] Classificazione del Rischio Controllare che i sistemi siano stati classificati in base al rischio (Basso, Medio, Alto) secondo i criteri dell’AI Act e della normativa nazionale. Note: __________________________________________________________________

AREA 2: CORRETTA AMMINISTRAZIONE E PROCESSI DECISIONALI

[ ] Istruttoria e Due Diligence Verificare la presenza di documentazione relativa alla scelta dei fornitori e alla valutazione d’impatto tecnologico. Note: __________________________________________________________________

[ ] Supervisione Umana (Human Oversight) Accertare che l’assetto garantisca un controllo umano effettivo e che l’algoritmo non abbia autonomia decisionale assoluta. Note: __________________________________________________________________

[ ] Formazione degli Amministratori Verificare se i componenti del CdA hanno ricevuto informativa o formazione adeguata per comprendere le logiche di funzionamento dell’IA adottata. Note: __________________________________________________________________

AREA 3: COMPLIANCE LEGALE E MODELLI 231

[ ] Protezione Dati (GDPR) Verificare l’avvenuta redazione o aggiornamento della DPIA (Valutazione d’impatto sulla protezione dei dati). Note: __________________________________________________________________

[ ] Aggiornamento Modello 231 Accertare che l’Organismo di Vigilanza (o il CdA) abbia aggiornato il Modello Organizzativo includendo i protocolli per i rischi connessi all’IA. Note: __________________________________________________________________

[ ] Cybersecurity Verificare che i protocolli di sicurezza informatica proteggano i dati di addestramento da manipolazioni o attacchi esterni. Note: __________________________________________________________________

AREA 4: SISTEMA DI CONTROLLO INTERNO

[ ] Monitoraggio dei Bias Accertare l’esistenza di test periodici per individuare eventuali distorsioni (discriminazioni) prodotte dall’algoritmo. Note: __________________________________________________________________

[ ] Tracciabilità e Log Verificare che il sistema conservi i log di funzionamento per consentire la ricostruzione “ex post” del processo decisionale automatizzato. Note: __________________________________________________________________

[ ] Flussi Informativi verso i Sindaci Accertare che l’organo amministrativo riferisca periodicamente al Collegio sulle criticità o anomalie riscontrate nell’uso dell’IA. Note: __________________________________________________________________

CONCLUSIONE DELLA VERIFICA

Sulla base dell’analisi svolta, gli assetti organizzativi risultano: [ ] Adeguati [ ] Parzialmente Adeguati [ ] Inadeguati

Azioni suggerite dal Collegio Sindacale: