Il D.Lgs. 9 settembre 2026, n. 160, pubblicato nella Gazzetta Ufficiale n. 214 del 15 settembre 2026, introduce nuove disposizioni in materia di intelligenza artificiale e responsabilità civile e penale, adeguando l’ordinamento nazionale al Regolamento (UE) 2024/1689, il cosiddetto AI Act.
Il provvedimento, che entrerà in vigore il 30 settembre 2026, interviene su ambiti differenti ma strettamente collegati: l’utilizzo dei sistemi di AI nelle attività di polizia, la responsabilità penale connessa ai sistemi di intelligenza artificiale, la responsabilità amministrativa degli enti ai sensi del D.Lgs. 231/2001 e gli strumenti processuali a disposizione di chi richiede il risarcimento di un danno derivante dall’impiego dell’AI.
Per imprese e organizzazioni assumono particolare rilievo le nuove disposizioni in materia di sistemi AI ad alto rischio, sicurezza, sorveglianza umana, responsabilità 231 e risarcimento del danno.
1. Intelligenza artificiale e responsabilità civile e penale: il nuovo art. 437-bis c.p.
Una delle principali novità è l’introduzione nel Codice penale dell’art. 437-bis, rubricato “Omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi”.
La disposizione punisce chi omette di adottare le misure tecniche di sicurezza previste per la progettazione, l’addestramento, la produzione o l’immissione sul mercato di sistemi di intelligenza artificiale ad alto rischio, idonee a prevenire malfunzionamenti o alterazioni del loro funzionamento, oppure omette di adottare le necessarie misure di sorveglianza umana, quando da tali omissioni derivi un pericolo per la vita o per l’incolumità pubblica o individuale.
La pena prevista è la reclusione da uno a cinque anni. Quando dall’omissione deriva un pericolo per la sicurezza dello Stato, la pena è elevata alla reclusione da due a otto anni.
Il nuovo articolo disciplina inoltre l’alterazione dei sistemi di AI ad alto rischio: quando dall’alterazione derivi un pericolo per la vita o l’incolumità pubblica o individuale, la reclusione è da due a sei anni, mentre può arrivare da tre a dieci anni quando il pericolo riguarda la sicurezza dello Stato.
La norma contempla anche l’ipotesi della colpa grave per alcuni dei fatti previsti e interviene specificamente sull’utilizzatore professionale di sistemi di AI ad alto rischio che ometta intenzionalmente di adottare misure di sorveglianza umana.
La rilevanza della disposizione è evidente: le misure di sicurezza e la human oversight previste dalla disciplina europea acquistano anche una specifica dimensione penalistica quando ricorrono i presupposti individuati dalla nuova norma.
2. AI e responsabilità degli enti: il nuovo art. 25-vicies del D.Lgs. 231/2001
Il D.Lgs. 160/2026 modifica anche il D.Lgs. 8 giugno 2001, n. 231, introducendo il nuovo art. 25-vicies, dedicato ai “Reati commessi con l’uso di sistemi di intelligenza artificiale”.
Per il delitto previsto dal nuovo art. 437-bis c.p. viene prevista a carico dell’ente una sanzione pecuniaria da seicento a mille quote.
Il nuovo articolo considera inoltre il delitto previsto dall’art. 612-quater c.p., prevedendo in questo caso una sanzione pecuniaria da duecento a settecento quote.
Per entrambe le fattispecie possono trovare applicazione anche le sanzioni interdittive indicate dall’art. 9, comma 2, lettere b), c), d) ed e), del D.Lgs. 231/2001.
La modifica assume particolare importanza sul piano della compliance aziendale. Le organizzazioni che progettano, producono, commercializzano o utilizzano sistemi di intelligenza artificiale dovranno valutare le conseguenze delle nuove fattispecie sulla propria esposizione al rischio 231 e sull’adeguatezza dei relativi presidi organizzativi e di controllo.
In questa prospettiva, governance dell’AI e Modello 231 sono destinate a interagire in maniera sempre più stretta.
3. Risarcimento dei danni da AI e accesso alle prove
Il Decreto introduce una disciplina specifica degli strumenti processuali civili per il risarcimento dei danni cagionati dall’utilizzo di sistemi di intelligenza artificiale.
L’art. 17 interviene anzitutto sull’accesso alle prove.
Nelle controversie risarcitorie, il giudice può ordinare alla controparte o a un terzo l’esibizione degli elementi di prova specificamente pertinenti relativi al funzionamento del sistema di AI, quando il soggetto che afferma di aver subito il danno presenti fatti ed elementi tali da rendere verosimile la fondatezza della domanda, anche rispetto al collegamento tra l’output prodotto dal sistema e il danno lamentato.
Tra gli elementi che possono essere oggetto dell’ordine di esibizione rientrano espressamente:
- i registri previsti dall’art. 12 dell’AI Act;
- la documentazione relativa al sistema di gestione dei rischi;
- le informazioni pertinenti contenute nella documentazione tecnica;
- le informazioni sui parametri e sulle modalità di supervisione umana.
La disciplina attribuisce quindi anche alla documentazione richiesta dall’AI Act una funzione potenzialmente decisiva sul piano probatorio.
L’ordine del giudice deve comunque essere necessario e proporzionato e deve tenere conto della tutela dei segreti commerciali e delle informazioni riservate.
Particolarmente rilevanti sono inoltre le conseguenze della mancata esibizione: se una parte non adempie senza giustificato motivo all’ordine del giudice, quest’ultimo può trarne argomenti di prova e, quando l’inadempimento riguarda la documentazione espressamente individuata dalla norma, può, valutato ogni altro elemento, ritenere ammessi i fatti allegati dall’istante.
4. La presunzione del nesso di causalità
L’art. 18 introduce uno degli aspetti più significativi del nuovo sistema.
Quando il danno deriva dalla violazione di uno o più obblighi previsti dall’AI Act, il nesso di causalità tra la violazione e il danno è presunto, salvo prova contraria.
La disposizione può assumere una particolare rilevanza nei contenziosi relativi ai sistemi di intelligenza artificiale, nei quali la complessità tecnologica può rendere particolarmente difficile per il danneggiato ricostruire il funzionamento del sistema e dimostrare il rapporto causale tra una violazione e il danno subito.
Per le organizzazioni diventa quindi ancora più importante poter dimostrare non soltanto la conformità formale alla normativa, ma anche l’effettivo funzionamento dei sistemi di controllo, gestione dei rischi e sorveglianza umana.
5. La conformità all’AI Act non esclude automaticamente la responsabilità
Il successivo art. 19 contiene un principio destinato ad assumere notevole importanza pratica.
La conformità di un sistema di intelligenza artificiale agli obblighi dell’AI Act, anche quando certificata secondo le procedure previste dal Regolamento europeo, non esclude di per sé la responsabilità del convenuto.
Essere conformi alla normativa europea rappresenta quindi un elemento fondamentale della governance del sistema, ma non costituisce automaticamente un’esimente rispetto ad ogni possibile responsabilità civile.
La disposizione rafforza una lettura sostanziale della compliance: progettazione, gestione e utilizzo dell’AI dovranno essere valutati anche considerando concretamente i rischi e le conseguenze prodotte dal sistema.
6. Azione diretta nei confronti dell’assicurazione
Un’ulteriore novità riguarda il rapporto tra responsabilità per danni da AI e copertura assicurativa.
Prima di promuovere l’azione risarcitoria, il danneggiato può chiedere al soggetto al quale ritiene imputabile il danno se disponga di una copertura assicurativa per la responsabilità civile relativa al danno stesso.
Il destinatario della richiesta deve comunicare entro trenta giorni l’esistenza del contratto, i relativi estremi e la denominazione dell’impresa di assicurazione.
Il Decreto riconosce inoltre al danneggiato un’azione diretta nei confronti dell’impresa di assicurazione, entro i limiti delle somme previste dal contratto.
La disciplina apre quindi un ulteriore fronte di interesse anche per il mercato assicurativo, destinato a confrontarsi sempre maggiormente con la valutazione e la copertura dei rischi derivanti dall’impiego dell’intelligenza artificiale.
7. AI nelle attività di polizia: biometria, controllo umano e formazione
Una parte consistente del D.Lgs. 160/2026 è dedicata all’utilizzo dei sistemi di intelligenza artificiale nelle attività delle Forze di polizia.
Il Decreto ribadisce un’impostazione antropocentrica e fondata sul rischio e stabilisce che i sistemi e i relativi output debbano svolgere una funzione strumentale e di supporto all’attività umana.
Prima che i risultati delle elaborazioni automatiche vengano impiegati in atti o provvedimenti incidenti sulla sfera giuridica degli interessati devono essere previste adeguate forme di revisione umana qualificata, che devono essere documentate in maniera tale da garantirne la tracciabilità.
Per i sistemi ad alto rischio deve inoltre essere assicurata una sorveglianza umana effettiva secondo quanto previsto dall’art. 14 dell’AI Act.
Specifiche disposizioni regolano poi l’identificazione biometrica remota in tempo reale e il riconoscimento facciale a posteriori, prevedendo condizioni, autorizzazioni, delimitazioni temporali e territoriali, valutazioni preventive e obblighi di registrazione.
Il Decreto vieta espressamente l’utilizzo di banche dati biometriche alimentate mediante scraping non mirato e impedisce l’impiego delle tecnologie di riconoscimento facciale per forme generalizzate o indiscriminate di identificazione biometrica.
Particolare attenzione viene infine riservata alla formazione del personale. Le Forze di polizia dovranno attivare specifici corsi sull’intelligenza artificiale applicata alle proprie attività, comprendenti conoscenza del funzionamento dei sistemi, dei loro limiti e bias, capacità di interpretazione critica degli output, sorveglianza umana, implicazioni giuridiche ed etiche e rischi di cybersicurezza.
Dalla conformità normativa alla governance dell’AI
Il D.Lgs. 160/2026 conferma come l’attuazione dell’AI Act stia progressivamente trasformando l’intelligenza artificiale da tema prevalentemente tecnologico a questione di governance, responsabilità e organizzazione aziendale.
Per le imprese, l’introduzione di nuove fattispecie penali e di nuovi reati presupposto 231, insieme alle disposizioni sul risarcimento del danno e sull’accesso alle prove, rende ancora più importante costruire un sistema documentato di governo dell’AI.
La gestione dei sistemi di intelligenza artificiale richiederà quindi un coordinamento sempre maggiore tra organi societari, compliance, legal, risk management, internal audit, cybersecurity e funzioni ICT, con particolare attenzione ai sistemi ad alto rischio.
Non sarà sufficiente verificare la conformità tecnica del sistema: occorrerà poter dimostrare l’effettività delle misure di sicurezza, dei controlli, della gestione dei rischi, della sorveglianza umana e della tracciabilità delle decisioni.
Il nuovo Decreto rappresenta, sotto questo profilo, un ulteriore passaggio verso una vera e propria governance integrata dell’intelligenza artificiale.
