L'art. 25-vicies è il nuovo articolo proposto introdotto dal decreto schema n. 418 nel D.Lgs. 231/2001 italiano. In base alle informazioni disponibili, integrerebbe la governance dell'IA, la sicurezza dei sistemi, la supervisione umana, il rischio deepfake e la prova documentale nel quadro della responsabilità degli enti. In pratica, ciò significa che un'organizzazione potrebbe dover dimostrare non solo che la propria IA ha funzionato, ma anche che è stata controllata, approvata e monitorata.
Per i team di cybersecurity, il termine è importante perché i controlli di sicurezza diventano prova legale. I log di accesso, i flussi di approvazione, i registri delle modifiche del modello e le note di revisione possono aiutare a dimostrare chi ha autorizzato un'azione e se un essere umano l'ha verificata. Questo è particolarmente rilevante quando gli attaccanti usano audio, video o testo sintetici per impersonare il personale, innescare frodi o spingere azioni di IA non autorizzate. Una difesa solida in base a una norma come l'art. 25-vicies è la tracciabilità: registrazioni chiare, supervisione umana e controlli verificabili.