Danni da intelligenza artificiale: prove, responsabilità e assicurazione dal 30 settembre

Dal 30 settembre 2026 una controversia per danni legati all’uso di un sistema di intelligenza artificiale può entrare nel merito dei suoi registri, della gestione dei rischi e della supervisione umana. Il D.Lgs. 9 settembre 2026, n. 160 introduce strumenti processuali che rendono più accessibili queste informazioni al danneggiato. Per le imprese, la capacità di conservarle e ricostruirle diventa una questione di difesa, oltre che di governo della tecnologia.

Il decreto è stato pubblicato nella Gazzetta Ufficiale del 15 settembre 2026 ed entra in vigore il 30 settembre 2026. Integra l’ordinamento italiano rispetto al Regolamento (UE) 2024/1689, noto come AI Act. Le sue disposizioni civili non attribuiscono automaticamente la responsabilità a chi utilizza l’AI: disciplinano, con ambiti diversi, l’accesso alle prove, il nesso causale, il valore della conformità e l’azione verso l’assicuratore.

Quali danni rientrano nelle nuove regole sulle prove

L’articolo 16 collega l’accesso alle prove dell’articolo 17 alle azioni di risarcimento, contrattuali o extracontrattuali, per un danno cagionato nell’utilizzo di un sistema di AI. Il danneggiato deve presentare fatti ed elementi che rendano verosimile la domanda, compreso il collegamento fra il risultato del sistema e il danno lamentato. Solo allora il giudice, su sua istanza, ordina alla controparte o al terzo che dispone delle informazioni di produrre gli elementi specificamente pertinenti.

Fra gli elementi indicati dalla legge vi sono i registri relativi al funzionamento del sistema, la documentazione del sistema di gestione dei rischi, le informazioni tecniche pertinenti e quelle sui parametri e sulle modalità di supervisione umana. L’ordine deve restare necessario e proporzionato alla domanda. Il giudice deve inoltre proteggere segreti commerciali e altre informazioni riservate: l’accesso alle prove non equivale a rendere pubblico l’intero patrimonio tecnico del fornitore.

Che cosa accade se la documentazione non viene prodotta

Se una parte non esegue senza giustificato motivo l’ordine di esibizione, il giudice può trarre argomenti di prova dal suo comportamento. Quando l’inadempimento riguarda la documentazione specificamente elencata dall’articolo 17, comma 2, la conseguenza è più incisiva: valutati gli altri elementi di prova, il giudice considera ammessi i fatti allegati dal richiedente. Per il terzo che non ottempera senza giustificazione è prevista una pena pecuniaria da 1.500 a 10.000 euro.

La ricaduta contrattuale è immediata. Se i log o le informazioni tecniche restano soltanto presso il fornitore, l’impresa che impiega il sistema deve sapere quali documenti esistono, chi li conserva, per quanto tempo e come potrà ottenerli in caso di contestazione. Una generica clausola di collaborazione rischia di essere poco utile quando occorre rispondere a un ordine del giudice entro tempi processuali.

La presunzione causale ha un ambito più ristretto

Il meccanismo probatorio dell’articolo 18 non vale per qualsiasi danno collegato all’AI. L’articolo 16, comma 2, lo riferisce alle azioni in cui il danno deriva dalla violazione di uno o più obblighi dell’AI Act. In questo perimetro, il nesso fra violazione e danno è presunto, salvo prova contraria. Occorre verificare anche che l’obbligo richiamato fosse applicabile al momento dei fatti, poiché l’AI Act prevede decorrenze differenziate. Non scompaiono quindi la necessità di individuare l’obbligo rilevante e il danno, né la possibilità per il convenuto di contestare il rapporto causale.

La stessa delimitazione riguarda l’articolo 19. La conformità del sistema all’AI Act, anche se certificata secondo le disposizioni richiamate dal decreto, non esclude di per sé la responsabilità del convenuto. È un elemento importante, ma il giudizio considera anche come il sistema sia stato utilizzato, le condotte delle parti e le altre regole applicabili. Il decreto lascia espressamente ferme le tutele previste dall’articolo 82 del GDPR e dalla disciplina nazionale di recepimento della nuova direttiva europea sulla responsabilità da prodotti difettosi.

Polizza e azione diretta contro l’assicuratore

L’articolo 20 consente a chi intende agire di chiedere preventivamente al soggetto ritenuto responsabile se esista una polizza di responsabilità civile relativa al danno. Il destinatario deve comunicare entro 30 giorni l’esistenza della copertura, gli estremi del contratto e il nome dell’assicuratore. La richiesta preventiva non è una condizione per avviare la causa; una risposta omessa o incompleta può assumere rilievo nella valutazione delle prove.

Il danneggiato può agire direttamente contro l’impresa assicuratrice nei limiti delle somme assicurate. La polizza conta però nei suoi termini effettivi: l’assicuratore può opporre le eccezioni contrattuali anteriori al sinistro e, nei casi previsti, esercitare rivalsa verso l’assicurato. Il soggetto individuato come responsabile deve partecipare al giudizio. Per un’impresa, il controllo utile non si ferma alla presenza di una polizza: richiede di esaminare attività coperte, esclusioni, massimali, obblighi di comunicazione e rapporto fra fornitore, utilizzatore e assicuratori.

Quando il rischio supera il processo civile

Il decreto introduce nel codice penale l’articolo 437-bis. La norma riguarda specifiche omissioni di misure tecniche di sicurezza o di sorveglianza umana nella progettazione, nell’addestramento, nella produzione o nell’immissione sul mercato di sistemi di AI ad alto rischio, quando ne derivi il pericolo per la vita o l’incolumità pubblica o individuale, oppure per la sicurezza dello Stato. Disciplina anche l’alterazione illecita di tali sistemi e, a condizioni proprie, l’omissione intenzionale della supervisione umana da parte dell’utilizzatore professionale. È prevista una pena ridotta per alcune condotte commesse per colpa grave.

L’articolo 15 aggiunge il nuovo articolo 25-vicies al D.Lgs. 231/2001. Per il delitto dell’articolo 437-bis prevede, nei presupposti generali della responsabilità dell’ente, una sanzione da 600 a 1.000 quote e specifiche sanzioni interdittive. Non ogni malfunzionamento o errore prodotto dall’AI diventa dunque un reato o un illecito 231. Occorrono la condotta, il tipo di sistema, il pericolo e gli altri presupposti richiesti dalle rispettive norme.

Le decisioni che un’impresa può prendere prima di una contestazione

La prima verifica riguarda l’uso concreto del sistema. Chi sceglie il modello? Per quale processo aziendale? Chi controlla l’output e può interrompere o correggere una decisione? Le risposte aiutano a distinguere la posizione del fornitore da quella dell’impresa utilizzatrice, senza presumere che il contratto trasferisca a una sola parte ogni responsabilità.

La seconda riguarda la prova. Occorre individuare registri, versioni, istruzioni, segnalazioni di anomalie, interventi umani e documenti di gestione del rischio effettivamente disponibili. Periodi di conservazione, accessi e procedure di preservazione vanno coordinati con sicurezza informatica, protezione dei dati e segreto commerciale. Una raccolta indiscriminata non è la soluzione: servono documenti pertinenti, integri e recuperabili.

La terza riguarda i contratti e la copertura del rischio. Nei rapporti con il fornitore è utile disciplinare disponibilità dei log, assistenza tecnica in giudizio, notifiche di incidenti, audit e cooperazione tra assicuratori. La contrattualistica d’impresa e il contenzioso commerciale si incontrano qui: ciò che non è accessibile durante il rapporto può diventare decisivo quando nasce la lite. Nei casi ad alto rischio va coordinata anche la valutazione dei profili di penale dell’economia e del modello 231.

Il punto non è produrre documenti per dimostrare una conformità astratta. È poter ricostruire una decisione reale: quale sistema era in funzione, quali limiti erano conosciuti, quale controllo umano era previsto e che cosa è successo quando il risultato è stato usato. È su questa ricostruzione che si misureranno molte delle future controversie sull’AI.

Fonti primarie: D.Lgs. 9 settembre 2026, n. 160, in particolare articoli 12 e 15-20; Regolamento (UE) 2024/1689. Quadro verificato al 29 settembre 2026; il decreto entra in vigore il 30 settembre 2026.