Intelligenza Artificiale: finalmente anche in Italia la disciplina su danni e illecito civilistico

Il D.lgs 160/2026 attuativo del regolamento UE 1689/ 2024. Con il D.Lgs. 9 settembre 2026, n. 160, in vigore dal 30 settembre, il Legislatore interviene sull’attuazione dell’AI Act, concentrandosi principalmente sull’impiego dell’intelligenza artificiale nelle attività di polizia e sugli strumenti di tutela penale e civile connessi all’utilizzo illecito dei sistemi di IA. Il decreto non costituisce una disciplina generale dell’intelligenza artificiale, ma interviene in alcuni ambiti nei quali il regolamento europeo lascia spazio alla disciplina nazionale. La scelta è accompagnata dalla previsione secondo cui il decreto non introduce nuovi obblighi rispetto a quelli già stabiliti dall’AI Act, pur prevedendo specifiche procedure per l’utilizzo dei sistemi di IA da parte delle autorità pubbliche.
IA e attività di polizia
Particolare rilievo assumono le disposizioni sul trattamento dei dati biometrici. Il decreto disciplina l’etichettatura e categorizzazione dei dati biometrici, l’identificazione biometrica remota in tempo reale e il riconoscimento facciale a posteriori.
Per l’identificazione biometrica in tempo reale, l’art. 8 prevede un regime autorizzatorio per specifiche finalità, quali la prevenzione di minacce concrete alla vita o all’incolumità fisica e la ricerca di vittime di determinati reati. L’autorizzazione è affidata al procuratore della Repubblica, con una disciplina d’urgenza che consente, in determinate circostanze, l’attivazione immediata e la successiva convalida. Particolarmente significativa è la previsione di banche dati biometriche “non incrementali”: i dati utilizzati per il confronto devono essere predisposti per la singola autorizzazione e successivamente cancellati. La disposizione mira così a evitare la formazione progressiva di archivi permanenti di riconoscimento facciale. L’art. 10 disciplina invece il riconoscimento facciale a posteriori. Quando si tratta di ricercare un soggetto già individuato, è richiesta l’autorizzazione del giudice per le indagini preliminari. Diversamente, l’identificazione iniziale di un soggetto ancora ignoto può avvenire, alle condizioni previste dalla norma, senza preventiva autorizzazione giudiziale. La distinzione tra le due ipotesi rappresenterà uno dei principali profili destinati a essere chiariti nella prassi applicativa.
Nuove fattispecie penali e responsabilità degli enti
Il decreto introduce nel codice penale l’art. 437-bis, relativo all’omessa adozione di misure di sicurezza nei sistemi di IA e all’alterazione illecita degli stessi. La norma contempla anche ipotesi colpose e specifiche responsabilità dell’utilizzatore professionale in caso di mancata sorveglianza umana. Sul piano della responsabilità amministrativa degli enti, l’art. 15 inserisce nel D.Lgs. 231/2001 il nuovo art. 25-vicies. La responsabilità dell’ente viene collegata al nuovo art. 437-bis c.p. e al delitto di illecita diffusione di contenuti generati o alterati mediante IA previsto dall’art. 612-quater c.p. Per le imprese che sviluppano o utilizzano sistemi di IA, soprattutto ad alto rischio, diventa quindi necessario valutare l’aggiornamento dei Modelli 231, dei protocolli interni e dei sistemi di controllo, con particolare attenzione alle misure di sicurezza, alla supervisione umana e alla gestione dei contenuti sintetici.
Responsabilità civile e prova del danno
Il Titolo II interviene anche sul piano civilistico, senza introdurre una disciplina sostanziale autonoma della responsabilità per danni causati dall’IA. Il decreto interviene invece sugli strumenti processuali. Tra le principali novità figurano l’ordine di esibizione delle prove relative al funzionamento del sistema di IA, la presunzione relativa del nesso causale in presenza della violazione di obblighi previsti dall’AI Act, la previsione che la conformità al regolamento europeo non escluda automaticamente la responsabilità e l’azione diretta nei confronti dell’assicuratore. La presunzione di causalità, tuttavia, è circoscritta alle violazioni degli obblighi dell’AI Act e non riguarda ogni ipotesi di danno derivante dall’utilizzo dell’intelligenza artificiale. Restano pertanto centrali le regole generali della responsabilità civile e, in particolare, gli artt. 2043, 2050 e 2051 c.c.
A cura della Redazione












