Negli assetti adeguati di una SRL che usa intelligenza artificiale, è utile che l'organo amministrativo conosca dove l'IA interviene, quali decisioni influenza e chi ne controlla i risultati. L'articolo 2086, secondo comma, del codice civile impone assetti proporzionati all'impresa: non prescrive una specifica policy IA, ma richiede un'organizzazione adeguata ai rischi aziendali.
Assetti adeguati e IA: cosa dicono gli articoli 2086 e 2475
L'articolo 2086, secondo comma, del codice civile chiede a chi opera in forma societaria un assetto organizzativo, amministrativo e contabile adeguato alla natura e alle dimensioni dell'impresa. Deve servire anche a rilevare tempestivamente la crisi e la perdita della continuità aziendale. Per una SRL che introduce un assistente di scrittura nelle offerte, adeguatezza significa anzitutto sapere che cosa può fare lo strumento, chi approva l'offerta e come si intercetta un prezzo errato prima che arrivi al cliente.
L'articolo 2475 c.c. riserva agli amministratori l'istituzione di tali assetti. Un responsabile commerciale, il referente informatico e il consulente esterno possono contribuire al progetto e svolgere verifiche operative; non sostituiscono l'organo amministrativo nella scelta dell'organizzazione. In presenza di più amministratori, è utile documentare proposte, decisioni e flussi informativi secondo il modello adottato. Se l'atto costitutivo prevede decisioni del consiglio mediante consultazione scritta o consenso espresso per iscritto, dai documenti sottoscritti dagli amministratori devono risultare chiaramente l'argomento e il consenso.
Non esiste un obbligo generale di acquistare un software o istituire un comitato IA. La domanda è se l'organizzazione effettiva regge i rischi prodotti dall'attività. Per collegare questa guida al tema più ampio dei costi e degli strumenti di governo, si può leggere come gestire i costi reali di una SRL. Qui il focus resta sulle decisioni degli amministratori quando entra l'IA nei flussi ordinari.
Codice della crisi e responsabilità dell'amministratore: due piani distinti
L'articolo 3, commi 2 e 3, del D.Lgs. 14/2019 collega gli assetti alla rilevazione tempestiva degli squilibri patrimoniali ed economico-finanziari, alla sostenibilità dei debiti e alle prospettive di continuità aziendale almeno per i dodici mesi successivi. L'articolo 375 dello stesso decreto ha introdotto il secondo comma dell'articolo 2086. Sono norme sull'organizzazione dell'impresa e sulla crisi, non una lista di adempimenti tecnici specifici per ogni applicazione IA.
Se un modello aiuta a preparare report di cassa, non basta che produca un grafico convincente: è utile che l'amministrazione possa risalire ai dati contabili, riconciliare gli incassi e rivedere le ipotesi della previsione. Una proiezione automatica non sostituisce i controlli sulla sostenibilità dei debiti. Quando l'IA è usata soltanto per riassumere appunti interni, il presidio sarà diverso da quello richiesto per previsioni finanziarie su cui si decide di pagare fornitori o rinviare investimenti.
L'articolo 2476 c.c. disciplina la responsabilità degli amministratori verso la società per danni da inosservanza dei doveri di legge o dell'atto costitutivo; distingue anche l'azione dei creditori per violazione degli obblighi di conservazione del patrimonio quando esso sia insufficiente. Un output sbagliato non equivale da solo a responsabilità personale: vanno esaminati dovere violato, condotta, danno e nesso causale. Allo stesso modo, un verbale non assolve da solo chi ha deliberato controlli rimasti soltanto sulla carta.
Inventario degli usi IA e mappa dei rischi per una SRL
La prima fotografia utile non è un catalogo di tecnologie, ma una mappa dei processi. Si parte da contabilità, offerte, assistenza clienti, acquisti e personale; per ciascuno si identificano strumenti acquistati dall'azienda e usi informali con account individuali. È utile capire quali dati entrano nel sistema, dove finiscono gli output, chi può cambiarli e quali effetti producono prima dell'intervento di una persona.
Un inventario essenziale registra nome del servizio, fornitore, funzione aziendale, dati trattati, utente autorizzato, finalità, eventuali integrazioni, approvatore dell'output e data dell'ultima verifica. Un'applicazione che riordina testi pubblici non ha lo stesso impatto di una che suggerisce importi da fatturare, usa dati dei dipendenti o invia offerte senza revisione. Il rischio nasce dall'uso concreto e dal contesto, non dall'etichetta commerciale del prodotto.
| Area | Rischio concreto | Presidio documentabile |
|---|---|---|
| Contabilità e tesoreria | Scritture o previsioni errate adottate come definitive. | Riconciliazione con documenti e gestionale, approvazione del referente contabile, elenco delle rettifiche. |
| Offerte commerciali | Prezzi, sconti o condizioni inventati dal generatore. | Listino autorizzato, secondo controllo prima dell'invio, versione approvata dell'offerta. |
| Dati di clienti e dipendenti | Inserimento di dati personali o riservati in servizi non valutati. | Regole sui dati ammessi, autorizzazioni, valutazione del fornitore e istruzioni privacy. |
| Gestione del personale | Una valutazione automatizzata incide impropriamente su una decisione sul lavoro. | Verifica preventiva del caso d'uso, intervento effettivo di una persona, informativa quando dovuta. |
| Accessi e fornitori | Account condivisi, cambi di configurazione o perdita del controllo. | Registro utenti, ruoli, accordi contrattuali, procedura di sospensione e aggiornamento. |
La tabella è una proposta organizzativa, non un modulo ministeriale. Chi usa sistemi di IA qualificati ad alto rischio deve valutare separatamente gli obblighi del regolamento (UE) 2024/1689. Per classificazione, obblighi del deployer e quadro sanzionatorio c'è già la guida all'AI Act per SRL: qui non si presume che ogni assistente generativo sia un sistema ad alto rischio.
Policy IA, ruoli e verifiche che funzionano davvero
Una policy breve può indicare quali strumenti sono ammessi e per quali processi, quali dati non inserire, quando prevedere l'accesso aziendale anziché personale e chi può approvare un nuovo uso. Soprattutto, distingue tra una bozza generata dall'IA e un documento validato dall'azienda: una fattura, un report finanziario o un'offerta non diventano affidabili per il solo fatto di essere grammaticalmente corretti.
È utile assegnare il controllo a una persona che abbia tempo, informazioni e potere di fermare il processo. Nelle offerte, per esempio, il commerciale verifica listino, margine, consegna e clausole prima dell'invio; nella contabilità chi è incaricato riscontra i dati con documenti di origine e gestionale. Il fornitore informatico può spiegare il funzionamento del modello, ma non approva i prezzi per conto della società. Una sintesi periodica delle anomalie può aiutare l'amministratore a valutare il funzionamento dei controlli; contenuto e frequenza vanno definiti in relazione ai rischi e all'organizzazione della società.
Per la prima adozione sono utili quattro passaggi operativi:
- Intervistare chi prepara offerte, scritture e report, includendo gli usi informali già in corso.
- Abbinare ogni uso a un proprietario del processo e a un approvatore diverso quando il rischio lo richiede.
- Provare il flusso su casi reali depurati dei dati non necessari e annotare errori, correzioni e blocchi.
- Rivedere autorizzazioni, risultati e policy quando cambiano il fornitore, le funzioni o la destinazione dell'output.
Questi passaggi non hanno una cadenza mensile imposta per legge: frequenza e intensità si calibrano su dimensione della SRL e criticità del processo. Se serve collocare i controlli IA nel più ampio rapporto tra gestione interna ed esterna, è utile il confronto su contabilità interna o esterna per SRL. Una procedura scritta è utile soltanto se qualcuno ne verifica l'esecuzione e corregge le deviazioni.
Se una SRL vuole discutere come integrare questi presidi nell'amministrazione ordinaria, può richiedere un confronto sulla gestione societaria. La scelta documentale si può dimensionare sui rischi reali, non sul numero di moduli compilati.
GDPR, lavoro e legge italiana sull'IA: cosa cambia nel processo
La legge 23 settembre 2025, n. 132 disciplina l'intelligenza artificiale in Italia. Il suo articolo 3 richiama, tra gli altri, trasparenza, protezione dei dati e intervento umano. Il comma 5 precisa che la legge non produce nuovi obblighi rispetto a quelli previsti dal regolamento (UE) 2024/1689 per i sistemi di intelligenza artificiale e per i modelli di intelligenza artificiale per finalità generali. Non è la fonte di un obbligo autonomo di approvare una generica «delibera IA». L'articolo 11 riguarda invece l'impiego dell'IA nei rapporti di lavoro, con le informative nei casi previsti dalla disciplina richiamata.
Quando gli input contengono dati personali, la SRL deve verificare finalità e base giuridica, minimizzare i dati, definire accessi e tempi di conservazione, e accertare il ruolo del fornitore. Il regolamento (UE) 2016/679, in particolare gli articoli 5, 6, 28, 32 e 35, distingue l'accordo con un responsabile del trattamento dalle misure di sicurezza e dalla valutazione d'impatto, richiesta quando il trattamento può presentare un rischio elevato. Una DPIA non è automaticamente obbligatoria per ogni uso dell'IA. Valutare il contesto prima di caricare dati di clienti in un assistente esterno evita di confondere comodità tecnica e liceità del trattamento.
Se si introducono sistemi IA nelle decisioni sul rapporto di lavoro, vale anche il D.Lgs. 7 ottobre 2026, n. 179, articolo 41: per le decisioni finali ivi indicate, come provvedimenti disciplinari e valutazioni delle prestazioni, è richiesta una persona fisica con potere effettivo e autonomo. La norma distingue espressamente ricerca e selezione delle candidature dalle decisioni finali sulla costituzione del rapporto: non va estesa meccanicamente a ogni filtro di CV. Per un assistente impiegato solo per offerte e contabilità, questa regola lavoristica non è il motivo della policy; restano da valutare gli altri obblighi applicabili al caso.
Esempio: 15 dipendenti, offerte e contabilità assistite dall'IA
Immaginiamo una SRL di servizi con 15 dipendenti. Il commerciale usa un generatore per le bozze di offerta; l'amministrazione usa una funzione del gestionale che propone classificazioni di spesa e sintetizza lo scaduto. La società non affida al sistema l'invio automatico delle offerte né la registrazione definitiva delle fatture. L'amministratore incarica i responsabili di confrontare gli output con listino, contratti, fatture e scadenziario; chiede inoltre che gli scostamenti siano portati al riesame periodico.
La società emette ipoteticamente 100 offerte al mese. Il controllo umano richiede sei minuti per offerta: 100 × 6 = 600 minuti, cioè 10 ore. Su cinque anomalie si impiegano altri 24 minuti ciascuna: 5 × 24 = 120 minuti, cioè due ore. Il costo di tempo, a 25 euro per ora come ipotesi interna, è (10 + 2) × 25 = 300 euro al mese. Non è un tariffario né un costo aggiuntivo necessario per legge: è una stima per decidere come organizzare il presidio.
Supponiamo che tre offerte contengano prezzi errati per 500 euro ciascuna, intercettati prima dell'invio: la differenza potenziale è 3 × 500 = 1.500 euro, non un «risparmio certo» né un ricavo da contabilizzare. La metrica significativa è quante anomalie sfuggono dopo il controllo e quali correzioni sono richieste; se gli errori aumentano, si modifica il processo o si sospende la funzione. Per la contabilità si registra separatamente il numero di proposte respinte e la causa degli scostamenti, senza confondere una classificazione proposta con una registrazione approvata.
L'organo amministrativo può quindi approvare uno schema semplice: utilizzi ammessi, responsabili, controllo prima dell'effetto esterno, registro sintetico degli errori, canale per segnalare incidenti e data del prossimo riesame. Con i dati del mese successivo verifica se i controlli reggono. Deliberare una policy senza leggere i risultati non è monitorare l'assetto.
Verbale dell'organo amministrativo e tracciabilità delle decisioni
Il verbale non è un'autorizzazione amministrativa all'uso dell'IA. Può rendere ricostruibile una decisione di gestione: perché si adotta uno strumento, su quali attività, quali rischi sono stati considerati, quali verifiche sono affidate a chi e quali situazioni impongono di fermarsi. Con un consiglio di amministrazione si segue la procedura prevista dallo statuto e dall'articolo 2475; con un amministratore unico si può conservare una determinazione datata insieme alla documentazione di supporto, secondo le modalità appropriate al caso.
Nel fascicolo è utile mantenere la scheda del fornitore, la versione della policy comunicata ai dipendenti, esempi di verifiche, modifiche agli accessi e sintesi degli incidenti. Se il sistema modifica previsioni finanziarie, il fascicolo dovrebbe permettere di distinguere dati di origine, ipotesi e approvazione finale dell'amministrazione. Se lo strumento cambia funzione, è opportuno riesaminare la valutazione e decidere se il controllo resta adeguato.
La documentazione può distinguere due momenti, senza trasformarli in un adempimento standardizzato:
- Prima dell'uso: descrizione del caso, dati ammessi, fornitore, rischi rilevanti, persona che autorizza l'output.
- Durante l'uso: esito dei controlli, anomalie, interventi correttivi, modifiche tecniche e motivi delle eventuali sospensioni.
Domande frequenti
Una SRL deve adottare una policy scritta sull'intelligenza artificiale?
L'articolo 2086 c.c. richiede assetti adeguati, ma non impone un documento con questo nome a ogni società. Una policy scritta è spesso un modo pratico per delimitare strumenti, dati e approvazioni, soprattutto se più persone usano l'IA. L'adeguatezza si giudica sul funzionamento del processo, non sulla presenza del file.
L'amministratore risponde personalmente di ogni errore prodotto dall'IA?
No. L'articolo 2476 c.c. riguarda i danni derivanti dall'inosservanza dei doveri degli amministratori verso la società, con le condizioni previste dalla norma; per i creditori opera una fattispecie distinta. Bisogna valutare condotta, obbligo, danno e nesso causale. Un errore corretto prima di produrre danni non equivale di per sé a responsabilità.
Basta delegare il controllo dell'IA al responsabile informatico?
Il referente tecnico può verificare accessi, configurazioni e funzionamento, ma non sostituisce il commerciale nelle offerte né l'amministrazione nei conti. L'articolo 2475 attribuisce agli amministratori l'istituzione degli assetti. La delega operativa ha senso se competenze, poteri di intervento, flussi informativi e riesame dell'organo amministrativo sono chiari e funzionano.
Il verbale sull'IA è obbligatorio in ogni SRL?
Non esiste un obbligo generale di tenere un verbale separato denominato «delibera IA». Se l'uso dello strumento cambia processi significativi, documentare la valutazione e le decisioni dell'organo amministrativo aiuta a governare l'assetto. Forma e percorso decisionale dipendono anche dal modello di amministrazione e dall'atto costitutivo della società.
L'IA che aiuta a fare offerte commerciali è automaticamente ad alto rischio?
No. La qualificazione nel regolamento (UE) 2024/1689 dipende dalla destinazione concreta del sistema e dalle fattispecie previste dal regolamento, non dal fatto che generi testo. Anche se non ricade nell'alto rischio, una bozza con prezzi inventati può creare problemi contrattuali e di margine: è prudente prevedere un controllo proporzionato prima dell'invio.
Posso inserire fatture e dati dei dipendenti in un assistente IA esterno?
Prima va verificato se i documenti contengono dati personali o informazioni riservate, chi è il fornitore, come tratta i dati e quali accordi e misure sono necessari. La SRL titolare deve rispettare il GDPR; non basta una licenza commerciale. Ridurre gli input ai dati necessari e limitare gli accessi è più prudente che caricare archivi interi.
La valutazione d'impatto privacy serve per qualunque applicazione IA?
No. L'articolo 35 del GDPR richiede una valutazione d'impatto quando un trattamento può presentare un rischio elevato per diritti e libertà delle persone. Si esamina il caso concreto, anche alla luce delle tipologie individuate dal Garante. Un uso su dati pubblici e uno su valutazioni sistematiche del personale non hanno lo stesso profilo.
Che rapporto c'è tra IA e rilevazione della crisi d'impresa?
L'articolo 3 del D.Lgs. 14/2019 richiede assetti capaci di cogliere squilibri, sostenibilità dei debiti e prospettive di continuità almeno per i dodici mesi successivi. Un software può aiutare a elaborare informazioni, ma dati incompleti o previsioni non verificate non assolvono il dovere organizzativo. Per controllare le previsioni, è utile che l'amministrazione possa risalire alle fonti e correggere gli errori.
Fonti e aggiornamento
- Codice civile, articoli 2086, 2475 e 2476; testo dell'art. 2475 richiamato nelle note al D.Lgs. 183/2021.
- D.Lgs. 12 gennaio 2019, n. 14, articoli 3 e 375.
- Legge 23 settembre 2025, n. 132, articoli 3 e 11 e D.Lgs. 7 ottobre 2026, n. 179, articolo 41.
- Regolamento (UE) 2024/1689, testo consolidato al 27 luglio 2026 e regolamento (UE) 2016/679 (GDPR).
Quadro consultato il 6 novembre 2026. La guida è informativa e non sostituisce la consulenza sul caso concreto. Per valutare gli assetti della propria SRL e l'impiego di strumenti IA nei processi societari, si può contattare SRLOnline.
