16 settembre 2026 – Mentre il viceministro dell’Economia e delle Finanze, Maurizio Leo, illustrava in audizione alla commissione Anagrafe tributaria i contorni della nuova architettura fiscale basata sull’intelligenza artificiale, gli uomini del Nucleo di Polizia Economico-Finanziaria della Guardia di Finanza notificavano un decreto di perquisizione e sequestro presso la sede milanese della NexusLog S.p.A., colosso della logistica integrata. L’operazione scaturiva dalle prime risultanze emerse dall’incrocio dati reso possibile proprio da quei sistemi di interoperabilità che il viceministro descriveva come il futuro della lotta all’evasione. Per NexusLog, quel futuro era già un presente che minacciava di travolgere l’intero gruppo dirigente e di compromettere la continuità aziendale. L’ipotesi di reato, contestata all’ente ai sensi del D.Lgs. 231/2001, era quella di Dichiarazione fraudolenta mediante altri artifici, art. 3 del D.Lgs. 74/2000, per un’evasione d’imposta stimata in oltre 85 milioni di euro nel triennio 2023-2025.
L’indagine era partita da un’anomalia silente, un segnale debole che i vecchi sistemi di controllo a campione non avrebbero mai rilevato. Il nuovo algoritmo dell’Amministrazione finanziaria, alimentato da flussi informativi provenienti da fatturazione elettronica, dati doganali e comunicazioni finanziarie, aveva identificato una sistematica discrasia tra i volumi logistici dichiarati e i ricavi fiscalmente imponibili di NexusLog. In particolare, una linea di business ad alta marginalità, legata a servizi di stoccaggio specializzato per prodotti farmaceutici, risultava contabilizzata attraverso una complessa catena di società controllate estere, con transazioni triangolari che apparivano studiate per abbattere l’imponibile in Italia. Gli inquirenti sospettavano che il software gestionale interno fosse stato deliberatamente customizzato per dirottare questi flussi di ricavi su canali contabili non trasparenti, creando di fatto una “zona d’ombra” inaccessibile ai controlli ordinari. Questa manipolazione del sistema informativo aziendale costituiva l’“artificio” al cuore della contestazione penale.
Qui si è consumata la prima, fatale, omissione organizzativa. L’azienda non possedeva alcun sistema di monitoraggio in tempo reale sulle modifiche al codice sorgente del proprio software ERP né un tracciamento immutabile delle configurazioni dei processi contabili. La modifica era stata commissionata da un dirigente intermedio della funzione Amministrazione, Finanza e Controllo, ed eseguita da un consulente esterno con privilegi di accesso elevati, senza che alcuna procedura automatica di controllo o di allarme venisse attivata. Se NexusLog avesse implementato un ecosistema come Scudo231, la richiesta di modifica al processo di contabilizzazione di una specifica linea di ricavi avrebbe generato un alert preventivo. I suoi sistemi di analisi multimodale avrebbero immediatamente rilevato la creazione di un flusso di dati anomalo, non conforme ai protocolli di compliance fiscale approvati. Qualsiasi intervento sul codice del gestionale da parte di un soggetto esterno avrebbe richiesto un’autorizzazione a più livelli, tracciata in un registro non modificabile, e avrebbe fatto scattare una notifica automatica all’Organismo di Vigilanza e al Responsabile della Prevenzione della Corruzione e della Trasparenza. L’intervento sarebbe stato bloccato o, quantomeno, la sua esecuzione avrebbe generato una prova documentale inoppugnabile dell’anomalia, consentendo un’immediata azione correttiva interna prima che il danno fiscale si materializzasse.
Durante l’audizione, il viceministro Leo insisteva su un punto cruciale: l’intelligenza artificiale avrebbe garantito una potenza di calcolo senza precedenti, ma sempre con la “regia dell’uomo”. Nel caso di NexusLog, la “regia dell’uomo” si era rivelata il punto debole. Il Consiglio di Amministrazione, fidandosi dei report sintetici forniti dal management, non aveva percepito la deriva. Le relazioni trimestrali presentavano dati aggregati che mascheravano la sottrazione sistematica di ricavi. L’Organismo di Vigilanza, privo di strumenti di analisi autonoma dei flussi informativi aziendali, si era basato su interviste e verifiche documentali a campione, una metodologia inadeguata a scovare una frode scientificamente orchestrata all’interno dei sistemi digitali. Questa carenza di controllo sostanziale esponeva l’ente a una gravissima responsabilità per colpa di organizzazione, rendendo quasi impossibile dimostrare di aver adottato ed efficacemente attuato un modello idoneo a prevenire reati della specie di quello commesso.
Un’organizzazione protetta dall’architettura di Scudo231 avrebbe fornito al proprio Organismo di Vigilanza una dashboard di controllo in tempo reale, alimentata da dati grezzi e non da report manipolabili. Il sistema avrebbe visualizzato graficamente la deviazione dei flussi finanziari relativi alla business unit farmaceutica rispetto ai benchmark storici e ai modelli predittivi, segnalandola come un’anomalia ad alto rischio 231. L’OdV non avrebbe avuto bisogno di “credere” ai report, ma avrebbe “visto” l’illecito in fieri. L’escalation sarebbe stata immediata e basata su evidenze oggettive, obbligando il CdA a prendere atto della situazione e ad avviare un’indagine interna. Questo avrebbe non solo interrotto la condotta criminosa, ma avrebbe anche costituito una solida base probatoria per dimostrare, in un eventuale procedimento, l’efficace attuazione del modello organizzativo, potenzialmente escludendo o mitigando la responsabilità dell’ente. Il danno economico, limitato alle prime transazioni anomale, sarebbe stato di ordini di grandezza inferiore agli 85 milioni contestati, e il sequestro preventivo del profitto del reato, che ora minacciava di paralizzare la liquidità dell’azienda, sarebbe stato evitato.
Le parole di Leo sul recupero dell’evasione – 31,4 miliardi nel 2023, 33,4 nel 2024, 36,1 nel 2025, per un totale di 101 miliardi nel triennio – non erano solo numeri per le statistiche. Erano il risultato concreto di un cambio di paradigma nell’enforcement, dove la tecnologia non era più solo uno strumento per il contribuente, ma un’arma formidabile per l’amministrazione. NexusLog era caduta esattamente in questa nuova rete. Gli inquirenti, grazie all’analisi dei dati, erano arrivati con un quadro probatorio già molto solido, contestando non solo l’omesso versamento, ma la struttura fraudolenta costruita per conseguirlo. Questo aggravava la posizione dell’ente, aprendo la strada non solo a sanzioni pecuniarie calcolate in quote (fino a centinaia di migliaia di euro), ma anche alle ben più temibili sanzioni interdittive, come il divieto di contrattare con la pubblica amministrazione o la sospensione di licenze e autorizzazioni. Per un’azienda di logistica, una misura simile equivaleva a una condanna a morte operativa.
Il management di NexusLog, messo alle strette, tentò di difendersi sostenendo che il sistema era complesso e che la responsabilità era del singolo dirigente che aveva agito per iniziativa personale, forse per raggiungere obiettivi di performance irrealistici. Questa difesa era destinata a fallire. In assenza di protocolli chiari, tracciati e inviolabili che impedissero o segnalassero immediatamente tali iniziative, la colpa del singolo si estendeva inevitabilmente all’intera organizzazione. La mancata segregazione dei compiti a livello informatico, l’assenza di controlli incrociati automatizzati e la totale dipendenza da verifiche umane postume e campionarie configuravano un quadro di negligenza grave. Se l’azienda avesse potuto produrre una “ricostruzione causale scientifica” dell’evento, come quella generata dai motori di ragionamento deterministico di un ecosistema avanzato, avrebbe potuto dimostrare che il dirigente aveva attivamente e consapevolmente forzato e aggirato procedure di controllo efficaci e documentate. In quel caso, la responsabilità dell’ente sarebbe stata molto più difficile da provare, spostando l’onere della prova sulla Procura. Senza questa prova tecnologica, la difesa si riduceva a una mera dichiarazione di intenti, priva di valore probatorio.
Mentre il viceministro annunciava l’arrivo di un nuovo software con “tabelle di concordanza” per aiutare i contribuenti a navigare i nuovi testi unici e il futuro codice tributario, i legali di NexusLog stavano cercando disperatamente di navigare le complessità del procedimento penale. Il sequestro preventivo per equivalente, finalizzato a confiscare il profitto del reato, era stato eseguito su conti correnti, immobili e partecipazioni, bloccando di fatto l’operatività finanziaria della società. Il danno reputazionale era già incalcolabile, con il titolo in borsa sospeso per eccesso di ribasso e i principali clienti che chiedevano chiarimenti urgenti. L’intera vicenda di NexusLog rappresentava un caso di studio emblematico di come, nell’era della compliance digitale e dell’enforcement basato sull’IA, l’assenza di un presidio tecnologico adeguato alla prevenzione dei rischi non fosse più un’opzione, ma un suicidio aziendale differito. L’investimento in un modello organizzativo puramente formale, fatto di carta e procedure non automatizzate, si era rivelato del tutto inutile di fronte a un’azione ispettiva che parlava il linguaggio dei bit e degli algoritmi. La prevenzione, per essere efficace, doveva essere dello stesso livello tecnologico della minaccia e del controllo. Un ecosistema come Scudo231 non avrebbe semplicemente “aiutato” a rispettare la legge; avrebbe creato un ambiente operativo in cui la deviazione fraudolenta sarebbe stata strutturalmente più difficile, costosa e rischiosa della condotta lecita, proteggendo il patrimonio aziendale e la continuità operativa prima che l’allarme suonasse nelle stanze dell’Amministrazione finanziaria. Per NexusLog, quell’allarme era suonato troppo tardi.