Riceviamo e pubblichiamo a firma di Giuseppe Vaciago, partner di 42 Law Firm
Dal 30 settembre l’Italia ha regole proprie per chi chiede il risarcimento di un danno causato dall’intelligenza artificiale, introdotte dal decreto legislativo 160/2026. È una scelta che va oltre il quadro europeo, dove una regola comune sulla responsabilità per l’IA ancora non c’è.
Tre strumenti per sfidare la black box
Il cuore della disciplina sulla responsabilità civile è negli articoli da 16 a 20 del D.lgs. 160/26, che introducono tre strumenti per ridurre lo squilibrio tra chi subisce un danno da un sistema di IA e chi ne controlla informazioni e funzionamento.
Il primo è l’accesso alle prove (art. 17): se la domanda è verosimile, il giudice può ordinare l’esibizione di registri, documentazione tecnica e informazioni sul sistema. Un rifiuto ingiustificato può portare a ritenere ammessi i fatti allegati dal danneggiato.
Il secondo è la presunzione del nesso causale (art. 18): quando il danno deriva dalla violazione di un obbligo dell’AI Act, il collegamento causale si presume, salvo prova contraria, senza che il danneggiato debba ricostruire il funzionamento dell’algoritmo. Inoltre, la conformità all’AI Act, anche certificata, non esclude automaticamente la responsabilità (art. 19).
Il terzo è l’azione diretta contro l’assicuratore (art. 20), che consente al danneggiato di conoscere entro trenta giorni l’esistenza di una copertura e di agire direttamente contro la compagnia, nei limiti del massimale.
La novità è che il decreto trasforma gli obblighi dell’AI Act, nato come disciplina di sicurezza e vigilanza, in parametri per accertare la responsabilità civile. Rispetto all’approccio europeo, più prudente nell’accesso alle prove e nell’applicazione delle presunzioni, il legislatore italiano sceglie così una tutela più incisiva del danneggiato, introducendo anche un’azione diretta contro l’assicuratore che non trova equivalenti nella disciplina europea sull’IA.
Prodotti difettosi: dentro software e IA, fuori le imprese
Il secondo tassello è europeo. La direttiva (UE) 2024/2853 considera prodotto anche il software, compresi i sistemi di IA, e si applicherà ai prodotti immessi sul mercato dopo il 9 dicembre 2026. L’Italia la sta recependo con uno schema di decreto (Atto del Governo n. 434), all’esame delle Camere.
Il produttore risponderà anche dei difetti emersi dopo la vendita: quelli causati da un aggiornamento, dalla mancata patch di sicurezza o da una modifica sostanziale, finché il prodotto resta sotto il suo controllo. Conta anche la capacità del sistema di continuare ad apprendere.
Il perimetro, però, è stretto, e diverso da quello del decreto. La direttiva prevede una responsabilità senza colpa del produttore, compreso il fornitore del sistema di IA, ma può agire solo la persona fisica, per morte, lesioni, danni a beni non destinati esclusivamente a uso professionale o distruzione di dati non professionali; restano fuori i danni puramente economici. Il decreto, invece, rafforza le azioni già esistenti, vale anche per le imprese, non limita i danni risarcibili, compresi fermo dell’attività e mancati guadagni, e riguarda chiunque violi l’AI Act.
In concreto, se un robot domestico immesso sul mercato dopo il 9 dicembre si guasta per un aggiornamento difettoso e ferisce qualcuno, la vittima potrà invocare la direttiva senza dover provare la colpa del produttore. Se è stato violato anche un obbligo dell’AI Act, potrà affiancarle gli strumenti del decreto: le due discipline non si escludono, perché il decreto fa salve le norme di recepimento della direttiva e la direttiva lascia spazio alle regole nazionali fondate sulla colpa o sul contratto. Per un’impresa, invece, resta solo la seconda strada: le regole ordinarie del codice civile, rafforzate dal decreto.
Quando il danno colpisce un’impresa
Quest’estate OpenAI e Anthropic hanno comunicato che loro modelli, in test di sicurezza informatica, sono entrati senza autorizzazione nei sistemi di Hugging Face e di altre tre organizzazioni. Si trattava di test, ma le vittime erano imprese: se un sistema di IA difettoso corrompe le foto di famiglia di un consumatore, la direttiva lo tutela; se compromette il gestionale di una PMI, no.
All’impresa restano il contratto, con clausole che spesso limitano la responsabilità del fornitore, e l’illecito civile, che impone di provare colpa e nesso causale dentro sistemi opachi. NIS2, Cyber Resilience Act e AI Act prevedono obblighi e sanzioni milionarie, non risarcimenti: le sanzioni puniscono, ma non risarciscono. Il decreto 160 colma in parte il vuoto, però solo dove si applica la legge italiana.
Anche per questo il tema è tornato a Bruxelles, che nell’ottobre 2025 aveva ritirato la proposta di direttiva sull’IA: il 16 settembre quattro eurodeputati di gruppi diversi hanno chiesto un “AI Liability Act” che faccia rispondere chi sviluppa i sistemi più avanzati. Il rischio è che intanto ogni Stato colmi il vuoto da sé, come l’Italia, lasciando chi opera in più Paesi tra 27 regimi diversi.
Da allora il quadro è cambiato. Il regolamento (UE) 2026/1744 ha spostato gli obblighi per l’alto rischio al dicembre 2027 e all’agosto 2028: meno prevenzione rende più importante il rimedio.
Il 16 settembre quattro eurodeputati di gruppi diversi, Axel Voss, Brando Benifei, Kim van Sparrentak e Michael McNamara, hanno chiesto alla Commissione un “AI Liability Act“. L’obiettivo è far rispondere chi sviluppa i sistemi più avanzati, alleggerendo l’onere della prova dei danneggiati. Il rischio è che intanto ogni Stato colmi il vuoto da sé, come ha appena fatto l’Italia.
La scelta italiana ha, quindi, un merito evidente: affronta l’asimmetria informativa, il vero ostacolo per chi subisce un danno da un sistema opaco. Senza log e documentazione, il diritto al risarcimento resta sulla carta. E il decreto copre imprese e contratti, dove l’Europa tace. Proprio per questo è una scelta delicata, per tre ragioni.
La prima è il tempo: molti obblighi richiamati, come log e supervisione umana nei sistemi ad alto rischio, si applicheranno solo dal 2027-2028. Oggi la presunzione può scattare soprattutto per divieti, trasparenza e modelli per finalità generali.
La seconda è l’intensità. Una presunzione legata a qualunque obbligo dell’AI Act sposta molto il baricentro del processo. E il peso può ricadere sull’impresa che usa l’IA, spesso priva della documentazione di un fornitore extraeuropeo, che una sanzione da 1.500 a 10.000 euro difficilmente indurrà a collaborare.
La terza è la frammentazione: chi sviluppa o usa l’IA in Italia affronta un rischio di contenzioso diverso dai concorrenti di altri Stati membri. E l’azione diretta funziona solo se una polizza esiste.
Nulla di questo rende sbagliata la scelta italiana, che può anzi diventare un laboratorio per una regola europea uniforme, estesa alle imprese. Tuttavia, c’è il rischio che diventi un ostacolo allo sviluppo di soluzioni AI nel nostro Paese, favorendo la nascita di nuove start-up in altri Stati membri.
Intanto il decreto è in vigore: conviene mappare i sistemi, conservare log e documentazione, rivedere contratti e polizze. In tribunale conterà meno che cosa sa fare l’algoritmo, e più la capacità di ricostruire che cosa ha fatto e perché.
