Italia | Novità in materia di intelligenza artificiale

In data 15 settembre 2026 è stato pubblicato in Gazzetta Ufficiale il D.Lgs. 160/2026. Il provvedimento costituisce un primo blocco di norme in attuazione delle deleghe previste dalla L. 132/2025 ("Disposizioni e deleghe al Governo in materia di intelligenza artificiale") e sarà applicabile dal prossimo 30 settembre.

Il decreto 160/2016 prevede novità di rilievo in ambito IA destinate a incidere su imprese e professionisti. Vengono in particolare introdotte nuove regole in materia di: (i) responsabilità penale; (ii) responsabilità degli enti ai sensi del D.Lgs. 231/2001 e (iii) responsabilità civile, tutte connesse all'utilizzo dei sistemi di IA.

Nuove regole su responsabilità penale connessa all'utilizzo dei sistemi di IA

Il decreto introduce nel codice penale il nuovo art. 437-bis, rubricato "Omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi".

Le condotte punite sono le seguenti:

• Omessa adozione di misure di sicurezza (comma 1): è punito (reclusione da uno a cinque anni) chiunque omette di adottare le misure tecniche di sicurezza previste per la progettazione, l'addestramento, la produzione e l'immissione sul mercato di sistemi di IA ad alto rischio, idonee a prevenire malfunzionamenti o alterazioni del funzionamento, ovvero omette di adottare misure di sorveglianza umana, qualora da tale omissione derivi un pericolo per la vita o l'incolumità pubblica o individuale. La pena è aggravata (reclusione da due a otto anni) qualora ne derivi un pericolo per la sicurezza dello Stato.
• Alterazione illecita dei sistemi di IA (comma 2): è punito (reclusione da due a sei anni) chiunque altera sistemi di IA ad alto rischio, qualora dal fatto derivi un pericolo per la vita o l'incolumità pubblica o individuale. Anche in tal caso, la pena è aggravata (reclusione da tre a dieci anni)  qualora ne derivi un pericolo per la sicurezza dello Stato.
• Reato proprio dell'utilizzatore professionale (comma 4): è punito (con i due periodi reclusione previsti al primo comma) l'utilizzatore professionale di sistemi di IA ad alto rischio che omette intenzionalmente di adottare misure di sorveglianza umana, qualora da tale omissione derivi un pericolo per la vita o l'incolumità pubblica o individuale, oppure per la sicurezza dello Stato.
   

Nota bene: le condotte di omessa adozione di misure di sicurezza (comma 1) sono punite anche se commesse per colpa grave. Il perimetro della responsabilità penale si estende dunque oltre il dolo: chi progetta, produce o immette sul mercato sistemi di IA ad alto rischio senza presidiare adeguatamente sicurezza e sorveglianza umana è esposto a conseguenze penali anche in assenza di un'intenzione criminosa.

Nuove regole su responsabilità degli enti ex D.Lgs. 231/2001 connessa all'utilizzo dei sistemi di IA

Il decreto introduce nel D.Lgs. 231/2001 il nuovo art. 25-vicies, che estende la responsabilità amministrativa degli enti ai reati commessi nell'ambito dell'utilizzo di sistemi di IA.

I nuovi reati-presupposto sono:

• il reato di omessa adozione di misure di sicurezza e alterazione illecita di sistemi di IA (nuovo art. 437-bis c.p., di cui sopra) con sanzione pecuniaria da seicento a mille quote;
• il reato di illecita diffusione di contenuti generati o alterati con sistemi di IA (art. 612-quater c.p., cd. deep fake) ) con sanzione pecuniaria da duecento a settecento quote.

In entrambi i casi, oltre alle sanzioni pecuniarie, sono applicabili all'ente talune sanzioni interdittive, tra cui: divieto di contrattare con la pubblica amministrazione, esclusione da agevolazioni, finanziamenti e contributi, divieto di pubblicizzare beni o servizi.

Nota bene: l'introduzione del nuovo art. 25-vicies impone una revisione dei modelli organizzativi e di gestione adottati ai sensi del D.Lgs. 231/2001, che dovranno includere protocolli specifici per la prevenzione dei nuovi reati-presupposto connessi all'utilizzo dei sistemi di IA.

Nuove regole su responsabilità civile connessa all'utilizzo dei sistemi di IA

Il decreto introduce una serie di strumenti a favore di chi ha subito un danno dall'utilizzo di sistemi di IA, con un impatto rilevante sull'equilibrio processuale nelle controversie risarcitorie.

Accesso alle prove: i poteri istruttori del giudice

Nelle azioni di risarcimento del danno (contrattuale o extracontrattuale) derivanti dall'utilizzo di sistemi di IA, il giudice può, su istanza del danneggiato, ordinare l'esibizione degli elementi di prova relativi al funzionamento del sistema, a condizione che il richiedente abbia presentato elementi idonei a rendere verosimile la fondatezza della domanda.

L'ordine di esibizione può avere ad oggetto: i registri di log (art. 12 AI Act), la documentazione sul sistema di gestione dei rischi (art. 9 AI Act), la documentazione tecnica (art. 11 AI Act) e le informazioni sui parametri e le modalità di supervisione umana (art. 14 AI Act).

La mancata esibizione senza giustificato motivo consente al giudice di trarre argomenti di prova a sfavore della parte inadempiente. Qualora l'ordine di esibizione sia rivolto a un terzo, l'inadempimento senza giustificato motivo comporta la condanna a una pena pecuniaria da euro 1.500 a euro 10.000.

Nota bene: chi sviluppa, produce o impiega sistemi di IA dovrà conservare con cura tutta la documentazione tecnica richiesta dall'AI Act. In caso di contenzioso, quella documentazione potrà essere acquisita dal giudice su richiesta del danneggiato.

Presunzione del nesso causale

Quando il danno deriva dalla violazione di uno o più obblighi previsti dall'AI Act, il nesso di causalità tra la violazione e il danno si presume, salvo prova contraria a carico del convenuto.

Nota bene: la non conformità all'AI Act ha una rilevante ricaduta processuale: grava sul convenuto l'onere di provare che il danno non è stato causato dall'utilizzo del sistema di IA in violazione del Regolamento.

La certificazione di conformità non esonera dalla responsabilità

La conformità del sistema di IA agli obblighi dell'AI Act, anche se certificata secondo le procedure previste dal Regolamento, non esclude di per sé la responsabilità civile del convenuto.

Nota bene: non è sufficiente ottenere una certificazione di conformità per essere al riparo da azioni risarcitorie. La certificazione potrà essere valutata dal giudice in sede processuale, ma non costituisce uno scudo automatico.

Azione diretta nei confronti dell'assicuratore

Il danneggiato dispone di azione diretta per il risarcimento nei confronti dell'impresa di assicurazione che presta la copertura RC al presunto responsabile, nei limiti del massimale contrattuale.

Prima di agire, il danneggiato può interpellare il presunto responsabile per conoscere se è coperto da polizza RC: l'interpellato ha 30 giorni per rispondere, indicando gli estremi del contratto e il nome dell'assicuratore. L'omessa o incompleta risposta può essere valutata dal giudice come argomento di prova a sfavore dell'interpellato.

Nota bene: l'introduzione dell'azione diretta amplia le possibilità di recupero del credito da parte del danneggiato. Per le imprese che sviluppano o utilizzano sistemi di IA, diventa essenziale verificare l'adeguatezza della copertura assicurativa RC ai nuovi scenari introdotti dalla normativa. 

Foro del consumatore e concorso con altri regimi di responsabilità

Quando il danneggiato è una persona fisica che agisce per scopi estranei all'attività imprenditoriale o professionale, è competente anche il giudice del luogo di residenza o domicilio del danneggiato.

Restano inoltre ferme le disposizioni in materia di risarcimento previste dal GDPR e le norme di recepimento della Dir. UE 2024/2853 sulla responsabilità da prodotti difettosi: il danneggiato potrà avvalersi cumulativamente dei diversi regimi, ove ne ricorrano i rispettivi presupposti.

Nota bene: la competenza territoriale alternativa rafforza la posizione processuale del danneggiato-consumatore. Il concorso con gli altri regimi di responsabilità amplia ulteriormente le opzioni a disposizione di chi ha subito un danno da sistemi di IA.