Con l’entrata in vigore, il 30 settembre 2026, del decreto legislativo 9 settembre 2026, n. 160, il quadro normativo italiano in materia di intelligenza artificiale si arricchisce di nuove disposizioni in ambito penale, civile e di responsabilità amministrativa degli enti. L’intervento si inserisce in un contesto nel quale il Regolamento (UE) 2024/1689, noto come AI Act, ha introdotto regole armonizzate per lo sviluppo e l’impiego dei sistemi di IA in funzione del rischio, senza disciplinare in modo organico la responsabilità civile per i danni da essi provocati. Dopo il ritiro, nel febbraio 2025, della proposta europea di direttiva sulla responsabilità extracontrattuale connessa all’intelligenza artificiale, il legislatore italiano è intervenuto per disciplinare alcuni profili della responsabilità civile e penale derivante dall’utilizzo di tali sistemi.

Sul piano penale, il decreto introduce l’art. 437-bis del codice penale, che punisce l’omessa adozione delle misure tecniche di sicurezza previste per i sistemi di IA ad alto rischio e delle misure di sorveglianza umana, quando da tali omissioni derivi un pericolo per la vita o l’incolumità individuale o pubblica. La disposizione prevede una disciplina specifica anche per i casi in cui derivi un pericolo per la sicurezza dello Stato e punisce, a determinate condizioni, l’alterazione illecita dei sistemi. La fattispecie può riguardare i soggetti responsabili delle misure di sicurezza e della supervisione, in relazione alle condotte concretamente poste in essere. È inoltre prevista una riduzione della pena quando il fatto sia commesso per colpa grave. La rilevanza penale è dunque collegata alla creazione di una situazione di pericolo, senza che sia necessariamente richiesto il verificarsi di un danno concreto.

Occorre tuttavia considerare il coordinamento con le scadenze applicative dell’AI Act, differite, per determinate categorie di sistemi ad alto rischio, al 2 dicembre 2027 e al 2 agosto 2028. L’individuazione degli obblighi concretamente applicabili nei diversi periodi richiede pertanto un’attenta valutazione del quadro normativo, anche alla luce del principio di legalità e del primato del diritto dell’Unione europea.

Il decreto interviene anche sulla responsabilità amministrativa degli enti, introducendo l’art. 25-vicies nel D.lgs. 231/2001. La disposizione prevede sanzioni pecuniarie e interdittive in relazione a specifici reati, tra cui l’omessa adozione delle misure di sicurezza nei sistemi di IA e il delitto di illecita diffusione di contenuti generati o alterati mediante IA, previsto dall’art. 612-quater c.p. Quest’ultima fattispecie si inserisce nel quadro delle innovazioni introdotte dalla legge 23 settembre 2025, n. 132. Per le imprese diventa quindi opportuno verificare l’adeguatezza dei Modelli di organizzazione e gestione, mappando i rischi connessi all’utilizzo dell’intelligenza artificiale, individuando le responsabilità interne e documentando le procedure di approvazione, verifica e controllo dei sistemi impiegati. L’eventuale responsabilità dell’ente dovrà comunque essere valutata alla luce dei presupposti previsti dal D.lgs. 231/2001 e delle specifiche fattispecie richiamate dalla nuova disposizione.

Rilevanti sono anche le novità in materia di responsabilità civile. Il danneggiato può chiedere al giudice di ordinare l’esibizione di elementi di prova pertinenti al funzionamento del sistema, tra cui i registri degli eventi, la documentazione relativa alla gestione dei rischi, le informazioni contenute nella documentazione tecnica e gli elementi riguardanti le modalità di supervisione umana. L’ordine è subordinato alla presenza di elementi idonei a rendere verosimile la fondatezza della domanda ed è limitato a quanto necessario e proporzionato, tenendo conto anche della tutela dei segreti commerciali e delle informazioni riservate. In caso di inadempimento ingiustificato, il giudice può desumere argomenti di prova; quando l’inadempimento riguarda la documentazione specificamente indicata dalla norma, può ritenere ammessi i fatti allegati dall’istante, valutando anche gli altri elementi probatori. Se a non adempiere è un terzo, è prevista una sanzione pecuniaria.

Un ulteriore elemento riguarda la presunzione relativa del nesso causale: quando il danno deriva dalla violazione di uno o più obblighi previsti dall’AI Act, il collegamento causale tra la violazione e il danno si presume, salvo prova contraria. La disposizione mira a contenere le difficoltà probatorie che possono emergere quando il funzionamento del sistema e gli elementi tecnici rilevanti non sono direttamente accessibili al danneggiato. La conformità normativa, tuttavia, non esclude automaticamente la responsabilità civile. Il decreto riconosce inoltre al danneggiato la possibilità di chiedere informazioni sull’eventuale copertura assicurativa del soggetto ritenuto responsabile e di agire direttamente nei confronti dell’assicuratore, nei limiti previsti dal contratto.

A questo quadro si affianca la direttiva (UE) 2024/2853 sulla responsabilità per danno da prodotti difettosi, che include espressamente il software nella nozione di prodotto e deve essere recepita dagli Stati membri entro il 9 dicembre 2026.

Per le imprese, il nuovo assetto richiede un approccio coordinato tra funzioni legali, compliance e informatiche. Le priorità comprendono il censimento e la classificazione dei sistemi di IA, la conservazione della documentazione tecnica, la verifica e l’aggiornamento dei Modelli 231, la formazione del personale, la revisione delle coperture assicurative e l’analisi dei contratti con i fornitori. La governance dell’intelligenza artificiale assume così una dimensione che va oltre il semplice rispetto degli obblighi regolatori, diventando parte integrante della gestione dei rischi aziendali e della prevenzione delle responsabilità.

Visualizzazioni: 5