Concessione abusiva di credito e risarcimento del danno da violazione di norme di condotta

Sommario: 1. Le funzioni degli strumenti di intelligenza artificiale nel governo delle società di capitali. - 2. I rischi (tecnologici e gestionali) nell’utilizzo dei sistemi di IA. - 3. Responsabilità degli amministratori e “business judgement rule”. - 4. Intelligenza artificiale ed interesse sociale: quale scopo per le società? - 5. Dovere di diligenza ed intelligenza artificiale. - 6. Conclusioni.

1. Le funzioni degli strumenti di intelligenza artificiale nel governo delle società di capitali

 Il tema dell’intelligenza artificiale nel governo dell’impresa si iscrive nel più ampio quadro dell’evoluzione tecnologica, la quale costituisce il principale fattore di discontinuità e cambiamento strategico dell’impresa (dalla rivoluzione industriale alla rivoluzione digitale), originando profondi mutamenti di natura gestionale e manageriale[1].

La prima funzione[2] che i sistemi di IA possono assumere nel processo decisionale del board è quella di assistenza alle decisioni. In altri termini, l’IA può essere coinvolta nel processo gestionale della società, fornendo “consigli”, “pareri” e strumenti tecnici utili nell’assunzione di scelte di gestione, le quali, comunque, rimangono nella sfera dell’autonomia decisionale dell’organo deliberante. Il sistema di IA permette quindi agli amministratori di assisterli nella migliore rilevazione ed elaborazione dei fatti di gestione, divenendo parte integrante dell’assetto organizzativo, amministrativo e contabile della società, fungendo da strumento tecnologico di supporto per garantire il rispetto della legge e della regolamentazione interna. In questo senso, l’IA riveste un ruolo nella “catena del valore”; cioè fornisce un ausilio al board nella compliance aziendale, nel rispetto delle norme, elaborando dati provenienti dalla società, dalle interazioni della società con i terzi e da fonti esterne. In questi ambiti, l’IA può rappresentare uno strumento di supporto per l’organo amministrativo in ragione della capacità di elaborare un’enorme quantità di dati, consentendo di accertare più agevolmente il rispetto di determinati requisiti, nonché di verificare che le scelte organizzative e di gestione consentano di raggiungere gli obiettivi prefissati. Le tecnologie sviluppate con l’IA possono pertanto contribuire ad espletare i compiti di monitoraggio e controllo tipicamente connaturati ai sistemi di controllo interno, sia alle conseguenti scelte che derivano dai risultati di tale attività di controllo. Particolare rilevanza, parimenti, assumono anche i sistemi di ausilio all’organo amministrativo nei gruppi societari, ove l’IA può servire a monitorare il rispetto delle direttive impartite dalla società capogruppo ai sensi dell’art. 2497-ter c.c.

Sul piano della compliance, ad esempio, la Direttiva (UE) 2022/2464 sul nuovo obbligo di rendicontazione in materia di sostenibilità che modifica gli attuali requisiti di rendicontazione della NFRD, richiede alle società di “etichettare” digitalmente le informazioni riportate, in modo da renderle leggibili e da inserirle nel punto di accesso unico europeo previsto dal piano d'azione dell'Unione dei mercati dei capitali (ESAP). A tal fine gli amministratori possono utilmente avvalersi di blockchain che garantiscono l’autenticità e accessibilità del dato con funzione di notarizzazione.

I sistemi di IA possono assolvere, inoltre, al perseguimento di obiettivi di sostenibilità ambientale[3]; nella prassi, alcune imprese adottano le tecnologie dell’IA per indurre le loro organizzazioni all’ottenimento di cambiamenti graduali in relazione all’efficienza e alla riduzione delle emissioni.

Altro campo di applicazione consiste nel supporto delle decisioni del management per porre in essere azioni correttive[4]. L’esempio è rappresentato dai sistemi di IA basati sul machine learning in grado di raccogliere in tempo reale dati ed informazioni utili agli amministratori. Rimanendo nell’ambito dei fattori ESG, si pensi, ad esempio, al monitoraggio del consumo d’energia o delle emissioni di gas serra.

Ulteriore funzione è quella di c.d. supporto istruttorio[5], nell’adozione delle decisioni relative alla gestione dell’impresa. L’utilizzo dei sistemi di IA è orientato pertanto a formulare “previsioni”. Esempi applicativi possono consistere, a titolo esemplificativo, nel predire l’esito di una futura controversia tra la società ed un fornitore e/o un cliente, oppure prefigurare le conseguenze – anche sanzionatorie – partendo da una sequenza di dati ipotizzati.

A prescindere dalla funzione che si voglia assegnare ai sistemi di IA, emerge con evidenza l’impatto che tale tecnologia può avere nel processo decisionale delle imprese, perché è quasi inevitabile che nel CdA si decidano questioni legate all’IA o da queste influenzate, o che, altresì, si debba tenere conto nelle decisioni gestionali dei risultati dei relativi algoritmi generati dall’IA.

 

2. I rischi (tecnologici e gestionali) nell’utilizzo dei sistemi di IA

 L’uso delle nuove tecnologie nel processo decisionale dell’impresa implica, di per sé, dei rischi che devono essere necessariamente ponderati con un elevato grado di attenzione, cautela e diligenza dagli amministratori, cioè di coloro che, quali utilizzatori (e/o fruitori di tali tecnologie) orientano le loro decisioni in base ai risultati delle risposte fornite da tali sistemi di IA (a prescindere dalla specifica funzione assolta dalla tecnologia utilizzata).

Non può anzitutto mancarsi di evidenziare come il processo decisionale dell’IA sia orientato tipicamente al passato, basandosi su un set standardizzato di dati storici, i quali costituiscono la “libreria” di contenuti, ovvero l’unica fonte informativa per l’elaborazione dell’output richiesto dall’utente/amministratore.

Ciò apre necessariamente a pregiudizi sistemici che non sono privi di conseguenze negative. Infatti, non è improbabile immaginare che, per loro stessa natura, le tecnologie di IA siano portate a discriminare in base a condizioni, per ipotesi, fondate su motivi sociali e razziali[6]. Altra difficoltà consiste nella ricostruzione dell’iter logico (rectius: della ricostruzione degli eventi e istruzioni che hanno condotto ad una determinata decisione) del sistema di IA. La principale obiezione ai sistemi di IA è quindi senz’altro la sua grande opacità, dovuta all’impossibilità di ricostruire quella relazione causa-effetto dalla risposta data dalla tecnologia all’interrogazione dell’utente[7].        

Sotto altro profilo, e volendo tentare una categorizzazione dei rischi associati all’IA, si suole distinguere tra i rischi tipicamente “tecnologici” da quelli più propriamente legati alla “gestione” dei sistemi di IA.

Nella prima categoria – ovvero tra i rischi “tecnologici” [8] -  annoveriamo gli aspetti legati alla sicurezza informatica e, più in generale, alla tutela dei dati. E’ pur vero che l’evoluzione tecnologica, elevando il grado di affidabilità dei sistemi informatici, garantisce ex se un certo stardard di affidabilità, tuttavia non può nemmeno negarsi che tali sistemi siano comunque soggetti a potenziali attacchi informatici.[9] La perdita dei dati, correlata ad iniziative fraudolente di terzi (si pensi ai casi di ramsoware e similari) od anche accidentali, è fenomeno certamente impattante sull’impresa, arrivando financo a comportare interruzioni dell’attività senza contare le ricadute reputazionali e d’immagine, di notevole pregiudizio economico, per la società, i suoi amministratori e gli stakeholder.

L’elevato grado di specializzazione richiesto per la fornitura di sistemi tecnologici funzionali a garantire la sicurezza informatica presenta ulteriori implicazioni nella gestione dell’impresa. Infatti, mentre da un lato, l’outsorcing di servizi altamente specializzati quali quello della sicurezza informatica presenta indubbi vantaggi di tipo organizzativo, dall’altro lato, comporta alcuni ulteriori rischi di elevata concentrazione sui fornitori che devono però essere attentamente vagliati e gestiti dal board.

Ulteriori criticità sono rappresentate dal rischio sanzionatorio per mancato rispetto della normativa privacy, se l’impresa ha adottato sistemi di IA per il trattamento (e/o tracciamento) dei dati[10].

Con riferimento ai rischi c.d. gestionali, la valutazione della scelta di adoperare (o meno) il sistema di IA da parte del consiglio di amministrazione rientra nell’alveo delle decisioni  per le quali vale la regola della insindacabilità delle scelte gestionali (c.d. business judgement rule), con la conseguenza che le stesse potrebbero essere sindacate dal giudice e configurarsi come fonte di responsabilità solo qualora si dimostri che la decisione sia stata assunta senza un’adeguata informazione e valutazione dei rischi[11].

 

3. Responsabilità degli amministratori e “business judgement rule”

Dopo aver fornito un quadro necessariamente esemplificativo dei rischi insiti nei sistemi di IA, ci si pone la questione dell’individuazione dei parametri della resposabilità degli ammistratori che utilizzano (o, viceversa, scelgano di non utilizzare) una specifica tecnologia per supportarli nell’assunzione delle decisioni di natura organizzativa o strategica.

Al fine di delimitare i termini della questione con i principi noti, si rammenta come la decisione dell’organo gestionale sia tipicamente connotata da un elevato grado di discrezionalità, proprio perché costituisce la risultante di un processo nel quale l’amministratore è chiamato a valutare una serie di fattori (umani / relazionali) non facilmente misurabili.

Secondo l’orientamento dottrinale più accreditato[12], le decisioni – sia di natura strategica, sia organizzative – relative all’uso delle nuove tecnologie a supporto delle deliberazioni del board, ricadrebbero nell’alveo della business judgement rule; pertanto, non sarebbe sindacabile nel merito la decisione dell’organo gestorio che decidesse di orientare la sua decisione (strategica e/o organizzativa) sulla scorta delle indicazioni provenienti da un sistema di IA o, che, piuttosto, scegliesse invece, di discostarsi – consapevolmente – dalle raccomandazioni formulate da tali tecnologie, salvo però che la decisione sia stata assunta senza un’adeguata informazione e valutazione dei rischi e senza l’assunzione delle opportune cautele.

Il riferimento alle “cautele” chiama in causa, poi, i doveri imposti agli amministratori dalla legge e dallo statuto di cui all’art. 2392 c.c. e ss.; norma che prevede appunto che gli amministratori devono adempiere i doveri ad essi imposti dalla “legge e dallo statuto” con la diligenza richiesta dalla natura dell’incarico e dalle “loro specifiche competenze”, rispondendo dei danni cagionati alla società, ai creditori o ai singoli soci o terzi, in caso di comportamenti negligenti o imperiti.

Nella prospettiva della responsabilità, oltre al rispetto del dovere di diligenza, gli amministratori sono tenuti altresì a osservare obblighi specifici.

Si pensi, al riguardo, al dovere di fedeltà nei confronti della società, quelli in materia di conflitto di interesse e divieto di concorrenza (artt. 2391, e 2390 c.c.); si pensi inoltre alle norme che prevedono tutele a favore dei creditori (in materia di formazione dei conferimenti, sulla distribuzione degli utili d’impresa, e sulla conservazione del capitale sociale) oppure dei soci (diritto d’opzione) oppure le norme in materia di fusione sulla determinazione del rapporto di cambio[13].

Altro obbligo consiste nell’implementazione di assetti organizzativi adeguati. Si consideri che la precondizione per l’operatività della regola dell’insidacabilità delle scelte imprenditoriali consiste nell’aver adottato, a cura degli amministratori, un processo decisionale appropriato, tale da essere esente da un giudizio di irrazionalità della scelta; processo decisionale che si pensa non possa prescindere dall’adozione di “adeguati assetti”, ora di grande attualità, soprattutto dopo la riforma dell’art. 2086 c.c. introdotto dal codice della crisi e dell’insolvenza, il quale ha imposto nuovi obblighi organizzativi/gestionali agli amministratori, a prescindere dalla dimensione e dalla natura dell’impresa.

Quest’impostazione non è tuttavia nuova, essendo emersa con grande evidenza già dalla riforma del diritto societario del 2003, manifestandosi soprattutto nella disciplina delle società azionarie; ed è da lì che viene invocata la nozione di “adeguato” assetto organizzativo, amministrativo e contabile.

Specifico obbligo organizzativo si rinviene nell’art. 2381, quinto comma, c.c., secondo cui degli adeguati assetti se ne devono curare gli organi delegati del consiglio di amministrazione; il precedente terzo comma chiariva che il cda nella sua interezza deve valutarla, sulla base delle informazioni fornite dagli organi delegati[14].

 

4. Intelligenza artificiale ed interesse sociale: quale scopo per le società?

L’utilizzo dell’IA nel governo dell’impresa pone il fondamentale interrogativo relativo alla definizione dell’obiettivo da assegnare a tali sistemi tecnologici.

Sgombando il campo da equivoci, è bene ricordare come l’IA sia comunque uno strumento di soluzione dei problemi, mentre non può essere considerato un mezzo a cui delegare integralmente le scelte gestionali, senza la necessaria intermediazione dell’essere umano.

Si pensi ai casi in cui gli amministratori deleghino le decisioni all’IA. In tal ipotesi, gli amministratori dovranno formalizzare lo scopo che la società si prefigge nonché i criteri per il suo raggiungimento. Il classico esempio è quello della decisione di delegare ad un algoritmo la guida d’un automobile. Come è stato rilevato[15], l’algoritmo responsabile dei sistemi di guida autonoma adotterà delle scelte sulla base di variabili che sono individuate ex ante dall’umano, tenendo conto di criteri che necessariamente implicano la scelta di preferenza tra chi salvare o chi sacrificare in una situazione di potenziale sinistro stradale.

La scelta dei criteri – unitamente alla definizione ex ante dello scopo della delega al sistema di IA della decisione – implica alcune conseguenze, che possono essere negative o positive. Negative, nella misura in cui il sistema di IA abbia prodotto un danno e lo stesso sia riconducibile, secondo una ricostruzione causa-effetto, al criterio specificamente fissato dagli amministratori. Viceversa, gli aspetti positivi potrebbero essere rappresentati dall’azzeramento delle distorsioni generate da potenziali pregiudizi soggettivi del singolo amministratore; ciò ovviamente soltanto se i dataset su cui si fonda la decisione del sistema di IA non incorporino già di per sé i pregiudizi che si vogliono eliminare con la tecnologia.

Per sua stessa natura, la decisione presa dai sistemi di IA non è spiegabile ex post. Ciò rende difficile, ad esempio anche nella prospettiva giudiziaria, verificare l’iter logico-motivazionale dell’output, in quanto l’IA ragiona per correlazioni, non per rapporto causale, e quando adotta tecniche di machine learning, non è possibile riprodurre “a ritroso” le correlazioni usate[16].

All’IA non pare potersi affidare la questione del bilanciamento degli interessi. E’ bene ribadire che l’IA è un mero strumento, non potendosi e non dovendosi rimettere alle sue decisioni l’impostazione e la soluzioni di alcuni temi e scelte di vertice.

Il tema non è quindi se gli algoritmi siano permeabili alle istanze sociali ma su quali obiettivi impostarli ed in particolare se devono essere programmati per soddisfare gli interessi degli stakeholder[17].

 

5. Dovere di diligenza ed intelligenza artificiale

E’ noto che il parametro per misurare la correttezza dell’operato dell’organo amministrativo risiede nella rigorosa osservanza del dovere generico di diligenza. Nell’ambito delle tecnologie dell’innovazione, occorre quindi chiedersi se agli amministratori si debba pretendere la conoscenza della materia tecnologica. In altre parole, ci si chiede se nel prisma della valutazione del grado di diligenza si debba pretendere dagli amministratori uno standard elevato di diligenza in ragione delle “specifiche conoscenze”.

Ora, posto che pare potersi escludere che gli organi gestori della maggior parte delle società di capitali dispongano di approfondite conoscenze della materia tecnologica, ciò che rileva è che gli amministratori, per dimostrarsi diligenti, abbiano quantomeno cura di affidare l’incarico di verifica della funzionalità degli algoritmi ad esperti di settore, interni o estranei all’organo gestorio.

Si è detto in precedenza come l’IA possa essere utilizzata, nella maggior parte dei casi, come ausilio nello svolgimento dell’attività della società, oppure nel supporto dell’organo amministrativo rispetto all’adempimento di obblighi di compliance normativa[18]. Altra funzione che “intercetta” il dovere di diligenza è quello di supporto istruttorio, di cui abbiamo già detto. Senza contare, infine, il campo di applicazione più tradizionale dell’IA, ovvero le applicazioni “predittive”.

Il tema problematico attiene alla domanda se gli amministratori possono far affidamento (acritico) sulle indicazioni di questi sistemi tecnologici senza correre il rischio di vedersi imputata una responsabilità per una scelta gestionale “azzardata” e “irrazionale”.

Coloro i quali si sono posti questo interrogativo, lo hanno risolto applicando la regola della business judgement rule[19]. In particolare, si è affermato che, una volta esaurite le verifiche, ex ante, sull’adeguatezza dell’algoritmo, resterebbe da verificare se gli amministratori abbiano agito in modo informato. Pertanto, in caso di adeguata informazione (ed assenza di conflitti di interesse), opererà la business judgement rule, con conseguente insindacabilità della scelta gestionale.

Tuttavia, non pare agevole garantire l’osservanza del dovere di informazione, presupposto per l’applicazione della regola di insindacabilità della scelta gestionale assunta sulla base dell’output generato dal sistema di IA. Anzitutto, tale dovere sembra gravare esclusivamente sugli amministratori esecutivi, almeno secondo l’opinione largamente prevalente. Ciò comporta, come inevitabile conseguenza, che gli amministratori non esecutivi, non avendo poteri diretti di accesso all’informazione, vadano esenti da responsabilità per mala gestio. Il dovere d’informare, codificato dall’art. 2381 c.c., impone infatti una maggiore responsabilità all’amministratore esecutivo che si avvale dell’IA, in quanto, pur senza pretendere la completezza né la veridicità dell’informazione, è quantomeno richiesto di dimostrare di essersi adoperato diligentemente affinchè sia raggiunto quel livello di adeguatezza postulato dalla norma.

 

6. Conclusioni

Le considerazioni che precedono portano a ritenere che l’applicazione dell’IA nel governo dell’impresa sia suscettibile di influenzare l’ampiezza (e la natura) dei doveri degli amministratori, senza tuttavia avere un impatto significativo sulla natura della loro responsabilità.

Ciò che pare possibile pronosticare a medio-lungo termine è la compressione dei margini all’improvvisazione e all’intuizione nei processi decisionali del consiglio di amministrazione, in ragione di una crescente tendenza alla procedimentalizzazione dell’iter decisionale aziendale.

Sul versante dei doveri, è certo che gli amministratori, al fine di ridurre il rischio di responsabilità, dovranno implementare un sistema di governance adeguato che includa controlli interni rigorosi sui sistemi di IA. Questo può includere la creazione di comitati di supervisione dell'IA, l'adozione di codici etici specifici per l'utilizzo di queste tecnologie, e la conduzione di audit periodici per verificare l'allineamento dei sistemi con le normative e le policy aziendali.

In tal senso, coerente a questa linea di indirizzo, si veda il recentissimo Regolamento (UE) n. 2024/1689 (IA ACT), il quale stabilisce norme armonizzate sull'intelligenza artificiale, fornendo agli sviluppatori e agli operatori di IA requisiti e obblighi chiari per quanto riguarda gli usi specifici dell'IA. L’IA ACT, pur non prevedendo norme specifiche sull’impiego degli strumenti di IA nei consigli di amministrazione, consente comunque di ricavare indicazioni nel senso della responsabilizzazione e trasparenza dell’intelligenza artificiale, imponendo che tali sistemi tecnologici siano “testati” per i rischi specifici.

La procedimentalizzazione non deve, poi, essere letta come un mero costo[20], bensì come opportunità per rendere maggiormente accountable l’uso degli strumenti di IA, indirizzando verso un modello di “corporate digital responsibility”, “da intendersi quale sottocategoria della corporate social responsibility, relativa alla responsabilità sociale delle imprese di strutturare e utilizzare correttamente le tecnologie societarie, avendo attenzione ai possibili impatti sociali e ambientali delle stesse”.[21]

Solo l’esperienza pratica ci insegnerà se la direzione tracciata – ovvero la tendenza a implementare l’uso di questi sistemi tecnologici – ridurrà effettivamente i margini di errore nelle decisioni degli amministratori, magari ampliando il campo di applicazione della regola della business judgement rule, esonerando gli amministratori delle conseguenti responsabilità per aver utilizzato strumenti tecnologici idonei allo scopo perseguito, riducendo, in tal guisa, lo spazio dell’irragionevolezza nelle scelte gestionali.