Il D.Lgs. 27 marzo 2026, n. 47, attuativo della cosiddetta Legge Capitali, non nasce come una riforma di diritto della tecnologia. Eppure, letto in modo sistematico, produce un effetto molto rilevante sul rapporto tra impresa, dati, sicurezza informatica e intelligenza artificiale.
La riforma interviene sul Codice civile e sul Testo Unico della Finanza, rafforzando il ruolo degli amministratori nella gestione e nell’organizzazione dell’impresa e introducendo, per le società quotate, specifici profili di disclosure sulle politiche relative alle nuove tecnologie, ai sistemi di intelligenza artificiale e ai rischi informatici e di cybersecurity.
Governare i rischi digitali entra nella governance d’impresa
La conseguenza pratica è chiara: privacy, cybersecurity e AI non possono più essere considerate funzioni specialistiche isolate, delegate a uffici tecnici o a presidi di compliance verticale. Diventano componenti dell’assetto organizzativo, amministrativo e contabile dell’impresa, cioè del sistema attraverso il quale la società identifica, governa e controlla i propri rischi.
Questo passaggio non è solo formale. Per gli organi amministrativi, significa dover dimostrare che i rischi digitali sono stati mappati, valutati, integrati nei flussi informativi, monitorati nel tempo e ricondotti alle responsabilità aziendali corrette. Per DPO, CISO, responsabili AI e compliance officer, significa uscire dalla logica del documento isolato e costruire un modello di governance digitale leggibile dal board.
Adeguatezza organizzativa: una responsabilità degli amministratori
Il punto di partenza della riforma è la nuova formulazione dell’art. 2380-bis c.c., secondo cui la gestione e l’organizzazione dell’impresa, inclusa l’istituzione dell’assetto organizzativo, amministrativo e contabile, spettano esclusivamente agli amministratori.
La norma rafforza una linea già presente nel diritto societario italiano: l’adeguatezza degli assetti non è un tema meramente gestionale, né un adempimento documentale. È un presidio di governo dell’impresa. Gli amministratori devono strutturare l’organizzazione in modo coerente con natura, dimensioni, complessità e rischi dell’attività esercitata.
I rischi digitali diventano elementi strutturali
In questo scenario, i rischi digitali assumono una posizione centrale. Un’impresa che tratta grandi volumi di dati personali, utilizza sistemi di AI nei processi decisionali, dipende da fornitori cloud critici, opera in settori essenziali o rilevanti ai sensi della disciplina NIS2, oppure rientra nel perimetro DORA, non può considerare dati, cyber e tecnologie come semplici fattori abilitanti. Sono elementi strutturali del modello operativo.
La domanda che il consiglio di amministrazione deve porsi non è più soltanto: “Siamo conformi al GDPR?” oppure “Abbiamo una policy cyber?”. La domanda diventa: “Il nostro assetto organizzativo consente di identificare, prevenire, gestire e rendicontare i rischi derivanti da dati, tecnologie, cybersecurity e intelligenza artificiale?”
Strutturare flussi informativi coerenti
Il nuovo impianto del Codice civile valorizza anche il ruolo del consiglio nella valutazione dell’adeguatezza degli assetti e quello degli organi delegati nella loro cura concreta. Gli organi delegati devono riferire periodicamente al consiglio e all’organo di controllo.
Questo rafforza il principio dell’agire informato. Gli amministratori non possono limitarsi a confidare genericamente nelle funzioni tecniche. Devono ricevere informazioni sufficienti, comprensibili e aggiornate per valutare l’esposizione dell’impresa ai rischi rilevanti.
Sul piano digitale, ciò implica la costruzione di flussi informativi periodici verso il board su almeno cinque aree:
- La gestione deisistemi di intelligenza artificiale;
- L’efficacia dei sistemi di cybersecurity;
- La conformità alle normative sui dati;
- I rischi derivanti dal contesto tecnologico;
- Le iniziative d’innovazione tecnologica e i loro impatti.
La compliance non può restare frammentata. Un registro dei trattamenti aggiornato ma non collegato ai rischi cyber, una DPIA non condivisa con le funzioni di sicurezza, un inventario AI non integrato con procuredi controlli interni, o un piano di risposta agli incidenti non riportato al board sono tutti segnali di una governance digitale immatura.
Quotazione e rilevanza per investitori e stakeholder
Per le società quotate, la riforma assume un rilievo ulteriore attraverso la modifica dell’art. 123-bis TUF. La relazione sul governo societario e sugli assetti proprietari deve includere, ove adottate, informazioni sulle politiche relative all’uso e al monitoraggio delle nuove tecnologie, in particolare dei sistemi di intelligenza artificiale negli assetti amministrativi, organizzativi e contabili.
La disclosure riguarda anche le politiche di gestione e monitoraggio dei rischi informatici, inclusi i rischi di cybersecurity e quelli derivanti dall’integrazione di nuove tecnologie.
Questa previsione segna un salto qualitativo. Le tecnologie digitali entrano nella narrazione pubblica della governance societaria. Non sono più confinate alla funzione IT, alla privacy notice o ai manuali interni. Diventano informazioni rilevanti per mercato, investitori, organi di controllo e stakeholder.
La società quotata dovrà quindi essere in grado di spiegare, in modo coerente e verificabile:
- Quali tecnologie sono utilizzate;
- Quali dati vengono processati e come;
- Come vengono gestiti i rischi digitali;
- Come la governance include le tecnologie.
Monitoraggio continuo e strumenti predittivi
Non si tratta necessariamente di pubblicare ogni dettaglio tecnico. Ma la società deve poter dimostrare che esiste un modello di governo delle tecnologie proporzionato e coerente con la propria esposizione al rischio.
Un altro elemento di forte interesse è il nuovo art. 149-ter TUF, dedicato all’utilizzo di sistemi di monitoraggio continuo e strumenti di controllo automatici e predittivi nell’ambito del controllo interno.
La norma richiede che tali strumenti siano adeguati e proporzionati alla natura e alle dimensioni dell’impresa e ai rischi cui essa è esposta. Il messaggio è rilevante: l’impiego di tecnologie avanzate nei controlli interni non è vietato, né guardato con sfavore. Ma deve essere governato.
Nel concreto, questo significa che sistemi di anomaly detection, strumenti predittivi di rischio, piattaforme di continuous monitoring, algoritmi di scoring o dashboard automatizzate non possono essere introdotti senza una valutazione preliminare del loro impatto.