È stato pubblicato in Gazzetta ufficiale il primo dei due decreti legislativi di adeguamento all’AI Act approvati dal Consiglio dei ministri il 4 agosto. Si tratta del decreto legislativo n. 160 del 9 settembre 2026, che sarà in vigore dal 30 settembre. Il provvedimento riguarda l’utilizzo dei sistemi di intelligenza artificiale nell’attività di polizia e la responsabilità civile e penale. Ed è quest’ultima parte a interessare direttamente imprese e professionisti.
Il decreto sui poteri delle autorità nazionali, sulla formazione e sulle professioni segue un percorso separato: è quello che inciderà più direttamente sugli obblighi formativi degli ordini e sull’equo compenso modulato per classe di rischio.
Intelligenza artificiale, scatta un nuovo reato: cosa dice l’articolo 437-bis
Il decreto inserisce nel codice penale, dopo l’articolo 437, un nuovo articolo 437-bis rubricato “Omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi”.
Il primo comma punisce chiunque ometta di adottare le misure tecniche di sicurezza previste per la progettazione, l’addestramento, la produzione e l’immissione sul mercato di sistemi di intelligenza artificiale ad alto rischio, idonee a prevenire malfunzionamenti o alterazioni del funzionamento, ovvero ometta di adottare misure di sorveglianza umana. La pena è la reclusione da uno a cinque anni, ma solo quando da tali omissioni derivi un pericolo per la vita o l’incolumità pubblica o individuale. Se ne deriva un pericolo per la sicurezza dello Stato, la reclusione va da due a otto anni.
Il secondo comma colpisce chi altera sistemi di intelligenza artificiale ad alto rischio, con reclusione da due a sei anni, elevata da tre a dieci quando il pericolo riguardi la sicurezza dello Stato. Il terzo comma prevede che, se i fatti sono commessi per colpa grave, la pena sia ridotta da un terzo a un sesto.
Cosa rischia chi usa l’IA nella propria attività
Il quarto comma è quello che chiama in causa chi l’intelligenza artificiale la usa, anziché produrla. La disposizione stabilisce che l’utilizzatore professionale di sistemi di intelligenza artificiale ad alto rischio che omette intenzionalmente di adottare misure di sorveglianza umana è punito con le pene previste dal primo comma qualora da tale omissione derivi, rispettivamente, un pericolo per la vita, l’incolumità pubblica o individuale oppure un pericolo per la sicurezza dello Stato. Due elementi restringono il perimetro di applicazione:
- l’elemento soggettivo, visto che la norma richiede che l’omissione sia intenzionale. L’attenuazione per colpa grave prevista dal terzo comma è riferita ai fatti del primo comma, non a questa fattispecie;
- la classificazione del sistema. La disposizione riguarda soltanto i sistemi ad alto rischio. Un assistente conversazionale installato sul sito di uno studio, o un software di supporto alla redazione di testi, non rientra in quella categoria per il solo fatto di essere un sistema di intelligenza artificiale.
Resta un profilo che andrà chiarito: gli obblighi di sorveglianza umana su cui si regge la norma discendono dal regolamento europeo, la cui applicazione ai sistemi ad alto rischio è stata differita al dicembre 2027 e all’agosto 2028. La disposizione transitoria del decreto che rinvia ai termini del regolamento riguarda però soltanto il titolo sull’attività di polizia: le norme penali, nel Titolo II, non hanno un analogo rinvio.
La responsabilità degli enti
Il decreto interviene anche sul decreto legislativo 231/2001, inserendo dopo l’articolo 25-undevicies un nuovo articolo 25-vicies, dedicato ai reati commessi con l’uso di sistemi di intelligenza artificiale.
In relazione al delitto di cui all’articolo 437-bis si applica all’ente la sanzione pecuniaria da seicento a mille quote. In relazione al delitto previsto dall’articolo 612-quater del codice penale, la sanzione va da duecento a settecento quote. In entrambi i casi si applicano le sanzioni interdittive previste dall’articolo 9, comma 2, lettere b), c), d) ed e), del decreto 231.
Il rischio per chi produce e diffonde contenuti
L’articolo 612-quater merita molta attenzione, perché riguarda da vicino chi produce e diffonde contenuti. Introdotto dalla legge 132/2025, punisce con la reclusione da uno a cinque anni chiunque cagioni un danno ingiusto a una persona cedendo, pubblicando o altrimenti diffondendo, senza il suo consenso, immagini, video o voci falsificati o alterati con sistemi di intelligenza artificiale e idonei a indurre in inganno sulla loro genuinità. Il delitto è punibile a querela della persona offesa. Con il nuovo articolo 25-vicies quella condotta entra fra i reati che fanno scattare la responsabilità dell’ente.
Il risarcimento dei danni: cambia l’onere della prova
Il decreto detta strumenti processuali civili per il risarcimento dei danni cagionati dall’utilizzo di sistemi di intelligenza artificiale. A differenza della norma penale, questi strumenti non sono limitati ai sistemi ad alto rischio: si applicano alle azioni di risarcimento del danno, sia contrattuale sia extracontrattuale, cagionato nell’utilizzo di un sistema di intelligenza artificiale.
Il punto centrale è la presunzione del nesso di causalità: quando il danno deriva dalla violazione di uno o più obblighi previsti dal regolamento europeo, il nesso causale tra la violazione e il danno si presume, salvo prova contraria. È un’inversione che sposta sul convenuto l’onere di dimostrare che il danno non dipenda dalla violazione.
Il decreto precisa inoltre che la conformità del sistema agli obblighi del regolamento, anche se certificata, non esclude di per sé la responsabilità del convenuto.
L’ordine di esibizione e i documenti che servono
Il giudice può ordinare l’esibizione di documentazione specifica e l’elenco individua esattamente le carte che diventeranno decisive in giudizio: i registri previsti dall’articolo 12 del regolamento, la documentazione sul sistema di gestione dei rischi dell’articolo 9, le informazioni contenute nella documentazione tecnica dell’articolo 11 e le informazioni relative ai parametri e alle modalità di supervisione umana dell’articolo 14.
L’ordine è limitato a quanto necessario e proporzionato rispetto alla domanda e il giudice tiene conto degli interessi di tutte le parti, con particolare riguardo alla tutela dei segreti commerciali e delle informazioni riservate. Quando l’esecuzione comporta il rischio di divulgazione di segreti commerciali, il giudice adotta misure idonee a garantirne la tutela.
Le conseguenze dell’inadempimento sono però pesanti. Se la parte non adempie senza giustificato motivo, il giudice può desumerne argomenti di prova ai sensi dell’articolo 116 del codice di procedura civile. Quando l’inadempimento riguarda proprio quella documentazione, il giudice, valutato ogni altro elemento di prova, ritiene ammessi i fatti allegati dall’istante. Per il terzo che non adempie è prevista una pena pecuniaria da 1.500 a 10.000 euro.
È previsto, infine, che chi intende agire possa chiedere preventivamente al soggetto cui ritiene imputabile il danno se sia assistito da un contratto di assicurazione della responsabilità civile, con obbligo di risposta entro trenta giorni. La richiesta non costituisce condizione di procedibilità della domanda.
Ivana Zimbone
Direttrice responsabile