#Finsubito news dalla rete – IA e governance societaria: assetti, controlli e gestione dei rischi nel TUF

Assonime ha pubblicato la circolare n. 24 del 15 ottobre dal titolo “Intelligenza artificiale e governance societaria nella riforma del TUF: assetti, controlli e gestione dei rischi” con cui analizza le principali aree in cui le nuove tecnologie possono rendere più efficiente la gestione dell’impresa, i rischi da presidiare e i riflessi sull’organizzazione aziendale, sul sistema dei controlli interni, sul ruolo e le responsabilità degli organi sociali.

In particolare, il decreto:

i) introduce le definizioni di “sistema di intelligenza artificiale” e di “rischio informatico“;

ii) amplia il contenuto della relazione sul governo societario, che dovrà indicare – ove esistenti – le politiche di utilizzo e monitoraggio delle nuove tecnologie e dei sistemi di IA negli assetti, nonché le politiche di gestione dei rischi informatici;

Assonime mette in risalto che l’intelligenza artificiale sta assumendo un ruolo crescente nell’organizzazione e nella gestione delle imprese. Sistemi algoritmici sempre più evoluti possono essere impiegati per elaborare grandi quantità di dati, formulare previsioni, individuare anomalie e supportare – e, in alcuni casi, automatizzare – attività e processi decisionali. Il loro utilizzo può quindi incidere sia sull’efficienza operativa, sia sulle modalità con cui sono organizzati i processi aziendali, vengono assunte le decisioni e sono identificati, valutati e gestiti i rischi.

Questa evoluzione pone nuove questioni anche sul piano della corporate governance. L’impresa è chiamata, da un lato, a valutare le opportunità offerte dall’intelligenza artificiale e il suo possibile impatto sulla strategia e sulla competitività e, dall’altro, a governare i nuovi rischi derivanti dal suo utilizzo. L’integrazione dell’IA nell’attività d’impresa richiede che le scelte tecnologiche siano inserite nei processi di pianificazione, organizzazione e controllo e accompagnate, ove necessario, da adeguati presidi organizzativi e di gestione del rischio.

Le nuove disposizioni non impongono alle società di adottare sistemi di IA, ma riconoscono il fenomeno e ne disciplinano alcuni riflessi sugli assetti organizzativi, sulla trasparenza verso il mercato e sul sistema dei controlli interni.

La portata delle nuove disposizioni non si esaurisce, tuttavia, nei singoli obblighi introdotti nel TUF. Il loro rilievo sistematico consiste soprattutto nell’esplicito raccordo tra innovazione tecnologica, assetti societari e sistema di controllo interno. L’utilizzo dell’intelligenza artificiale entra così nel perimetro delle valutazioni che gli organi sociali sono chiamati a compiere in materia di organizzazione dell’impresa e gestione dei rischi, secondo principi di adeguatezza, proporzionalità e corretta amministrazione.

Le disposizioni del TUF si applicano direttamente alle società quotate. I problemi organizzativi che esse pongono assumono, tuttavia, una rilevanza più generale. Quando sistemi di intelligenza artificiale sono integrati nei processi aziendali, la valutazione e la gestione dei rischi che ne derivano si inseriscono infatti nel più ampio dovere di istituire e mantenere assetti organizzativi, amministrativi e contabili adeguati alla natura e alle dimensioni dell’impresa. Sotto questo profilo, i principi esplicitati dalle nuove norme possono assumere rilievo anche per le società non quotate, pur in assenza degli specifici obblighi di disclosure previsti dal TUF.

Ciò non significa che dall’attuale quadro normativo discenda, in termini generali, un obbligo di implementare sistemi di intelligenza artificiale nell’esercizio delle funzioni di amministrazione e controllo. La scelta se e in quale misura ricorrere a tali strumenti rimane una decisione organizzativa e strategica dell’impresa, da assumere tenendo conto della natura e delle dimensioni dell’attività, del contesto competitivo, dei benefici attesi, dei costi e dei rischi connessi. Una volta adottati sistemi di IA, diviene invece necessario governarne l’utilizzo attraverso assetti, processi e controlli coerenti con le caratteristiche e con il livello di rischio delle tecnologie impiegate.

Secondo Assonime, la governance dell’intelligenza artificiale deve inoltre essere collocata all’interno di un quadro normativo più ampio, nel quale convergono discipline diverse ma complementari. Assumono particolare rilievo il Regolamento europeo sull’intelligenza artificiale (IA Act), la disciplina in materia di cybersicurezza derivante dalla direttiva NIS 2, il Regolamento DORA per il settore finanziario e il GDPR. Pur perseguendo finalità differenti, tali discipline condividono un approccio fondato sulla valutazione e sulla gestione del rischio e contribuiscono a definire i parametri rispetto ai quali deve essere valutata l’adeguatezza degli assetti organizzativi nell’impiego delle nuove tecnologie.

In merito alle nuove disposizioni, per Assonime pur essendo apprezzabile l’intento del legislatore di promuovere una maggiore consapevolezza delle opportunità e dei rischi connessi all’impiego dell’intelligenza artificiale nella governance societaria, merita invece una valutazione critica la scelta di intervenire attraverso disposizioni di rango primario, diversamente da quanto avviene a livello europeo e internazionale. La rapidità dell’evoluzione tecnologica e l’esigenza di adattare i presidi organizzativi alle caratteristiche delle singole imprese avrebbero potuto suggerire di affidare all’autodisciplina indicazioni più puntuali sull’utilizzo dell’IA nella governance e nei controlli, nell’ambito della cornice già delineata dai principi generali del diritto societario e dalle discipline europee applicabili.

Il modello italiano si distingue, dunque, per l’introduzione nella disciplina primaria del mercato dei capitali di specifici riferimenti all’intelligenza artificiale, accompagnati da obblighi di trasparenza e da principi relativi al suo impiego nei sistemi di controllo interno. Nell’interpretazione delle nuove disposizioni appare pertanto essenziale preservare la flessibilità organizzativa e il principio di proporzionalità, evitando che il riconoscimento delle potenzialità dell’IA si traduca nell’affermazione di obblighi generalizzati di adozione di specifiche soluzioni tecnologiche.

Copyright © – Riproduzione riservata