#Finsubito news dalla rete – le novità del D.Lgs. 160/2026

Introduzione

Uno degli aspetti che maggiormente sta interessando il dibattito dottrinale sul d.lgs. n. 160/2026, riguarda l’affiancamento, alla disciplina dell’impiego dell’IA nelle attività di polizia (Titolo I) e alle nuove fattispecie penali (Capo I del Titolo II, con l’art. 437-bis c.p. e l’art. 25-viciesd.lgs. n. 231/2001), di un Capo II dedicato agli «strumenti processuali civili per il risarcimento dei danni cagionati dall’utilizzo di sistemi di intelligenza artificiale». La scelta è significativa principalmente per ciò che il legislatore non fa: non introduce un nuovo criterio di imputazione, né una responsabilità oggettiva da IA, ma lascia intatte le regole sostanziali (artt. 1218, 2043, 2050 c.c.) e interviene sul piano della prova e dell’effettività della tutela. Il problema affrontato è quello, ben noto e ampiamente affrontato nella letteratura non solo giuridica, dell’opacità dei sistemi e dell’asimmetria informativa tra danneggiato e soggetti che dispongono del sistema e della relativa documentazione.

La lettura, per dir così, sovranazionale della nuova normativa non può non notare che il Capo II recupera, sul piano nazionale, i due architravi della proposta di direttiva sulla responsabilità da IA (c.d. AILD), poi ritirata: la divulgazione degli elementi di prova e la presunzione relativa del nesso causale. Come molti lettori ricorderanno senz’altro, l’art. 3 della proposta disciplinava la divulgazione degli elementi di prova relativi ai sistemi ad alto rischio, l’art. 4, invece, la presunzione relativa del nesso di causalità in caso di colpa. La legislazione italiana aggiunge, però, due soluzioni proprie: l’irrilevanza esimente della conformità e l’azione diretta contro l’assicuratore. La disciplina si colloca inoltre in parallelo con la nuova direttiva sulla responsabilità da prodotto difettoso (Direttiva 2024/2853), con la quale andrà coordinata in sede di recepimento, atteso che il testo unionale ricomprende espressamente il software tra i prodotti e prevede, agli artt. 9 e 10, la divulgazione degli elementi di prova e presunzioni di difettosità e di nesso causale. Lo Stato italiano, al pari di tutti gli altri Stati membri, ha tempo fino al 9 dicembre 2026 per il recepimento, con la speranza che non si registrino – in sede di trasposizione – discrepanze significative tra i diversi ordinamenti, in un contesto, quello digitale, nel quale l’Unione europea da anni ha preferito intervenire ricorrendo ai regolamenti in luogo delle direttive (inutile dire che, in questo caso, era impossibile, tenuto conto che la nuova direttiva si inserisce come passaggio ulteriore che sostituisce la precedente sulla responsabilità da prodotto difettoso).

Ambito di applicazione

L’art. 16, a una prima lettura, sembra ridisegnare un perimetro a geometria variabile. L’accesso alle prove si applica a tutte le azioni risarcitorie, contrattuali ed extracontrattuali, per danni derivanti dall’utilizzo di un sistema di IA; la presunzione eziologica e la regola sulla conformità operano invece soltanto quando il danno derivi dalla violazione di obblighi previsti dal Regolamento (UE) 2024/1689 (AI Act). Per le nozioni di sistema di IA, fornitore, deployer, importatore e distributore il decreto, correttamente, rinvia all’art. 3 del Regolamento, mentre il riferimento all’utilizzo, anziché alla sola immissione sul mercato, estende la disciplina a tutta la catena del valore, compresi gli utilizzatori professionali. Quest’ultimo profilo potrebbe avere una ricaduta pratica significativa: basti pensare al professionista (avvocato, medico, e così via enumerando) che, in qualità di deployer, impiega uno strumento di IA nell’esecuzione della prestazione: la sua responsabilità contrattuale verso il cliente, a parere di chi scrive, dovrebbe rientrare pienamente nel perimetro dell’art. 16.

Restano ferme le regole in materia di responsabilità per trattamento illecito dei dati personali e danno da prodotti difettosi: la clausola di salvezza depone per il cumulo, e non per l’alternatività, dei regimi, lasciando al danneggiato la scelta del titolo più favorevole. Al consumatore è – ovviamente, verrebbe da dire – riconosciuto il foro della propria residenza o del proprio domicilio, con evidente funzione di agevolazione dell’accesso alla giustizia.

Aspetti probatori

Probabilmente l’art. 17 è il cuore operativo del Capo in esame: le nuove regole prevedono che, su istanza del danneggiato, il giudice possa ordinare alla controparte o a un terzo l’esibizione degli elementi pertinenti al funzionamento del sistema, purché l’istante alleghi fatti idonei a rendere verosimile la domanda e il collegamento tra l’output del sistema e il danno. Il comma 2 tipizza alcuni elementi che rientrano nel campo probatorio: registri (log), documentazione sul sistema di gestione dei rischi, informazioni contenute nella documentazione tecnica, informazioni su parametri e modalità della supervisione umana. Si tratta, in sostanza, dei documenti che l’AI Act impone di redigere e conservare, come nel caso dell’art. 9 (sistema di gestione dei rischi), dell’art. 11 (documentazione tecnica), dell’art. 12 (conservazione delle registrazioni), dell’art. 14 (sorveglianza umana) e dell’art. 26, par. 6 (conservazione dei log da parte dei deployer).

L’ordine giudiziale è governato dai criteri di necessità e proporzionalità e il giudice deve bilanciare l’interesse probatorio con la tutela dei segreti commerciali secondo la disciplina del codice della proprietà industriale, con riferimento agli artt. 98, 99 e 121-terD. Lgs. 10 febbraio 2005, n. 30. La soglia di accesso, ancorata alla verosimiglianza, segna una netta discontinuità rispetto all’art. 210 c.p.c., la cui applicazione è tradizionalmente circoscritta dalla giurisprudenza; in questo caso, il modello di riferimento appare piuttosto quello, già sperimentato, della disclosure nel contenzioso industrialistico e antitrust (cfr. art. 121 c.p.i. e artt. 3 ss. D. Lgs. 19 gennaio 2017, n. 3).

Il regime dell’inottemperanza, poi, è differenziato. Se la parte non esibisce senza giustificato motivo, il giudice può trarne argomenti di prova ai sensi dell’art. 116 c.p.c. e, ove l’ordine abbia a oggetto la documentazione del comma 2, ritenere ammessi i fatti allegati dall’istante. Al terzo inadempiente può invece essere comminata una sanzione pecuniaria da 1.500 a 10.000 euro.

A tal riguardo, meritano di essere sottolineati due aspetti. Anzitutto, gli obblighi documentali più pregnanti gravano sui sistemi ad alto rischio: per gli altri sistemi la documentazione può semplicemente non esistere, e l’ordine rischia di restare privo di oggetto. In secondo luogo, la sanzione per il terzo appare modesta se rapportata ai fornitori di modelli di grandi dimensioni, spesso stabiliti fuori dall’Unione, rispetto ai quali si porranno anche problemi di esecuzione.

Presunzione del nesso causale

Proseguendo nell’esame della nuova disciplina, attenzione deve essere dedicata anche all’art. 18, che presume, salvo prova contraria, il nesso di causalità tra la violazione di obblighi dell’AI Act e il danno. La presunzione è relativa e non esonera il danneggiato dall’allegazione e dalla prova del danno e della violazione, riequilibrando il processo esclusivamente sul versante della causalità. Rispetto all’art. 4 della proposta AILD, che collegava la presunzione alla colpa e all’output e la subordinava a condizioni ulteriori differenziate per livello di rischio, la formula italiana è più lineare e, per ciò stesso, più ampia.

Proprio l’ampiezza della previsione normativa pone il principale problema interpretativo: non tutti gli obblighi dell’AI Act sono funzionalmente orientati a prevenire il danno lamentato (si pensi agli obblighi di alfabetizzazione dell’art. 4 o a taluni obblighi di trasparenza dell’art. 50). Appare quindi necessaria una lettura teleologica, che limiti la presunzione alle violazioni di norme il cui scopo di protezione ricomprenda il pregiudizio concretamente verificatosi, secondo un criterio familiare alla dottrina della causalità normativa.

L’art. 19 stabilisce, inoltre, che la conformità del sistema al reg. (UE) 2024/1689, anche se certificata, non esclude di per sé la responsabilità, in linea con quanto disposto, seppur indirettamente, dall’AI Act. La regola, coerente con l’orientamento che nega efficacia esimente al rispetto di standard tecnici nell’ambito dell’art. 2050 c.c. e della responsabilità da prodotto, impedisce che la compliance funzioni da scudo, determinando però un’asimmetria non priva di effetti pratici: la non conformità aggrava la posizione del convenuto attraverso la presunzione causale, mentre la conformità non vale a liberarlo, pur restando un elemento valutabile ai fini della prova liberatoria.

Azione diretta contro l’assicuratore

Il successivo art. 20 attribuisce al danneggiato, prima dell’azione, la facoltà di chiedere al presunto responsabile se sia coperto da assicurazione della responsabilità civile: il destinatario, in tale circostanza, deve rispondere entro trenta giorni indicando gli estremi del contratto e l’impresa, e il silenzio o la risposta incompleta sono valutabili ai sensi dell’art. 116 c.p.c. La richiesta non è però condizione di procedibilità e, quindi, il danneggiato ha azione diretta contro l’assicuratore, nei limiti del massimale. Il responsabile è litisconsorte necessario, mentre la prescrizione è quella dell’azione verso il responsabile. L’assicuratore può opporre soltanto le eccezioni contrattuali anteriori al sinistro, salva la rivalsa verso l’assicurato, restando escluse, come già si è fatto notare dai primi commentatori, le eccezioni fondate su fatti successivi al sinistro, quali l’omessa o tardiva denuncia ex artt. 1913–1915 c.c.

Il modello che si determina evoca la RC auto e la responsabilità sanitaria (rispettivamente art. 144 del codice delle assicurazioni private e art. 12l. 8 marzo 2017, n. 24), ma ne è privo dei presupposti di sistema: manca un obbligo assicurativo, manca un obbligo a contrarre, mancano contenuti minimi delle polizze. L’azione diretta opera, dunque, solo se una copertura esiste e nei limiti negoziati, con incertezze sull’effettività della tutela e sull’esposizione di polizze nate per altri rischi (RC generale, RC prodotti, cyber, RC professionale). Resta poi aperta l’individuazione del soggetto responsabile nella catena fornitore-deployer, in assenza di criteri di allocazione della responsabilità tra i diversi operatori.

Considerazioni conclusive

Il Capo II pare spostare il baricentro della responsabilità civile da IA dalla valutazione dell’output alla governance del sistema: tracciabilità, gestione del rischio e sorveglianza umana divengono, ad un tempo, adempimenti regolatori e oggetto di prova.

Per il danneggiato, la strategia processuale dovrà muovere da allegazioni verosimili e richieste istruttorie mirate, mentre, per fornitori e deployer, la qualità della documentazione diventa una variabile decisiva del contenzioso. L’effettività della disciplina dipenderà tuttavia da fattori in parte esterni al decreto: il calendario di applicazione degli obblighi dell’AI Act, il coordinamento con il recepimento della dir. (UE) 2024/2853, le risposte del mercato assicurativo e, non da ultimo, la capacità dei giudici di governare strumenti istruttori che presuppongono competenze tecniche specialistiche.

Copyright © – Riproduzione riservata