L’Intelligenza Artificiale quale supporto nella redazione dei modelli 231: quali rischi e quali vantaggi?
La recente esplosione di servizi basati sulla tecnologia dell’Intelligenza Artificiale (di seguito anche “IA) e, nello specifico sulla IA generativa, ha coinvolto non solo il mondo dell’arte, ma anche il mondo dei c.d. “colletti bianchi”. Infatti, la capacità di IA generative come ChatGPT di produrre dei voluminosi testi in pochi minuti, se non addirittura in pochi secondi, potrebbe portare a vedere tali IA come sostituti in molte attività di massiccia produzione documentale, oltre al supporto nell’attività giudiziale, avvocati e giuristi d’impresa si avvalgono della IA anche per rispondere alle richieste avanzate dal mondo della compliance e, in particolare, dalle richieste – sempre più frequenti – relative alla redazione di Modelli Organizzativi ai sensi del d.lgs. 231/01.
Alla luce di tale premessa, viene spontaneo chiedersi: quale supporto può dare una IA generativa nella redazione dei MOG? E, in particolare, se l’attività dell’IA possa addirittura sostituire il professionista.
La redazione di un MOG prevede, nella Parte Speciale, l’analisi dei rischi di commissione dei reati-presupposto indicati dal d.lgs. 231/01.
Tuttavia, essendo tale valutazione dei rischi diversa a seconda delle realtà degli Enti e dell’esposizione al rischio di ciascuno di questi al reato presupposto, si può – a primo impatto – ritenere che l’IA possa solo parzialmente considerare tutte le variabili in gioco, non avendo la stessa sensibilità che, invece, possiede un professionista in carne ed ossa. Infatti, egli aggiunge, alla mera analisi matematica, la propria esperienza maturata sia in ambito giudiziario che stragiudiziale.
L'attenuazione del divario ora descritto potrebbe forse aumentare nel caso in cui si ipotizzi di sviluppare una IA generativa che è stata “addestrata” e “acculturata” tramite l’analisi di tutti i MOG pubblicati in rete attraverso una massiccia operazione di data scraping. Ma ciò sarebbe sufficiente?
Senza entrare nel dettaglio degli eventuali trattamenti leciti o meno di dati personali coinvolti in tale operazione, a nostro avviso, non appare possibile che tale IA possa restituire, a livello qualitativo, un MOG che sia fedele alla realtà del singolo cliente, che presenti e consideri le novità dettate dalle innovazioni tecnologiche intervenute e analizzi il rischio di commissione dei nuovi reati-presupposto non inseriti nei MOG fino ad allora redatti e pubblicati, dovendo, altresì, tener conto – cosa alquanto improbabile – del continuo aggiornamento imposto dagli orientamenti giurisprudenziali intervenuti nel merito e nella legittimità.
Infatti, l’organizzazione alla quale pertiene tale MOG non potrà di certo opporre nell’eventuale giudizio che “l’IA non ha avuto abbastanza tempo per aggiornarsi sulla recente normativa”, ciò inficiando quel dovere di aggiornamento del modello stesso quale elemento, tra gli altri, di prova utile a scongiurare la c.d. “colpa in organizzazione”.
(Nella foto: l'Avv. Matteo Alessandro Pagani, speaker al Privacy Day Forum 2024)
Tuttavia, se addirittura ci spingessimo a considerare un’IA in grado di analizzare, comprendere e applicare all’aggiornamento dei MOG nuovi reati-presupposto o i riflessi delle nuove tecnologie sulle valutazioni dei rischi nell’ambito della normale attività dell’Ente, siamo certi che tale IA potrà essere in grado di differenziare tra le “sfumature” di cui si compone il mondo reale? Sarà, ad esempio, in grado di comprendere la differenza tra semplice regalia e tentativo di corruzione?
Ed ancora, in ambito di salute e sicurezza sul lavoro è prevedibile immaginare un’IA che nel proprio freddo calcolo contempli quelle condotte, ad esempio, “abnormi ed imprevedibili” poste in essere dal lavoratore?
Ed infine, oltre ai due esempi sommariamente sopracitati, quali sono e saranno i riflessi privacy per il trattamento dei numerosi dati personali effettuato dall’IA? Dall'informativa alla valutazione d’impatto, dalla nomina a responsabile del trattamento per la società che fornirà l’IA a diritti come quello di non essere soggetto a decisioni basate unicamente sul trattamento automatizzato, la compliance privacy per questo genere di attività è vasta e richiede sforzi e professionalità non indifferenti.
In conclusione, è chiaro come l’IA svolgerà, almeno nell’ambito della redazione documentale relativa alla compliance 231, un ruolo ancillare al professionista umano e qualunque tentativo di sostituirlo comporterà di dover sopportare rilevanti rischi, di cui si è detto sopra, tra i quali vale evidenziare soprattutto quello relativo ad un diritto fondamentale come è quello della protezione dei dati personali.
