Non è una nuova legge sull’intelligenza artificiale. È bene dirlo subito, perché la comunicazione di questi giorni sta già producendo l’equivoco opposto. Il decreto dà attuazione alla delega contenuta nella legge n. 132/2025 e interviene su ambiti specifici: impiego dell’IA da parte delle Forze di polizia, riconoscimento biometrico, responsabilità penale e risarcimento dei danni causati dai sistemi di intelligenza artificiale.
Chi si aspetta una disciplina generale non la troverà. Troverà, però, quattro novità che incidono in modo diretto su chi l’intelligenza artificiale la usa per lavorare.
1. Un nuovo reato: l’art. 437-bis c.p.
Il decreto introduce nel codice penale la fattispecie di omessa adozione di misure di sicurezza nei sistemi di IA e alterazione illecita dei sistemi. Chi omette le misure tecniche di sicurezza previste per i sistemi ad alto rischio, o le misure di sorveglianza umana, rischia la reclusione da uno a cinque anni quando dall’omissione derivi un pericolo per la vita o l’incolumità pubblica o individuale; la pena sale da due a otto anni se il pericolo riguarda la sicurezza dello Stato. L’alterazione di un sistema ad alto rischio è punita fino a sei anni, e fino a dieci se è messa in pericolo la sicurezza dello Stato.
Il punto che interessa l’impresa è un altro, ed è meno visibile: la norma coinvolge anche l’utilizzatore professionale del sistema ad alto rischio che ometta intenzionalmente la necessaria sorveglianza umana. Non risponde solo chi il sistema lo produce. Risponde anche chi lo adotta e non lo presidia.
2. Il ponte con il d.lgs. 231/2001.
Viene inserito nel d.lgs. 231/2001 il nuovo art. 25-vicies: l’ente risponde per il nuovo reato dell’art. 437-bis c.p. e per il delitto di illecita diffusione di contenuti generati o alterati con sistemi di IA (art. 612-quater c.p.). Per il primo la sanzione pecuniaria va da 600 a 1.000 quote, per il secondo da 200 a 700 quote, con sanzioni interdittive.
Una sanzione da 600 quote non è un dettaglio tecnico: è un rischio di bilancio. E significa che il Modello Organizzativo adottato nel 2019 o nel 2022 è, oggi, incompleto: non contempla una famiglia di reati che da fine settembre esiste.
3. La parte destinata a generare il contenzioso: la prova.
Qui il decreto è più incisivo di quanto la cronaca abbia raccontato. Chi afferma di aver subito un danno da un sistema di IA può chiedere al giudice di ordinare alla controparte o a un terzo l’esibizione delle prove sul funzionamento del sistema — registri, documentazione di gestione dei rischi, documentazione tecnica, informazioni sulla supervisione umana. Se la parte non esegue l’ordine senza giustificato motivo, il giudice può trarne argomenti di prova e, in determinate ipotesi, considerare ammessi i fatti allegati dal danneggiato; per il terzo non collaborativo è prevista una sanzione da 1.500 a 10.000 euro.
E soprattutto: quando il danno deriva dalla violazione di obblighi previsti dall’AI Act, il nesso di causalità tra violazione e danno è presunto, salvo prova contraria. Chi conosce il contenzioso sa che è in quel punto — la prova del nesso — che le cause si vincono e si perdono. La regola sposta il baricentro.
Un avvertimento contro la falsa sicurezza: la semplice conformità del sistema agli obblighi dell’AI Act, anche se certificata, non esclude automaticamente la responsabilità. La certificazione non è uno scudo.
4. L’azione diretta contro l’assicuratore.
Il danneggiato può chiedere al presunto responsabile se disponga di una polizza di responsabilità civile relativa al danno; il destinatario deve comunicare entro 30 giorni l’esistenza della copertura, gli estremi della polizza e l’impresa assicuratrice. In presenza di copertura, il danneggiato può agire direttamente contro l’assicurazione nei limiti del massimale.
Un meccanismo noto a chi si occupa di circolazione stradale, esteso a un terreno nuovo.
Che cosa fare, concretamente, prima del 30 settembre.
- Censire i sistemi di IA effettivamente in uso in azienda, compresi quelli adottati dai singoli reparti senza passare dall’IT.
- Verificare quali ricadano nella categoria “alto rischio” ai sensi dell’AI Act.
- Documentare la sorveglianza umana: non basta che esista, deve essere tracciabile. Dopo l’introduzione della presunzione di nesso causale, il registro vale quanto la difesa.
- Aggiornare il Modello 231 e la mappatura dei rischi con la nuova famiglia di reati.
- Verificare se le polizze RC aziendali coprano il danno da sistemi automatizzati. Molte, oggi, non lo dicono.
Il punto che non convince.
La presunzione di nesso causale è tecnicamente comprensibile e processualmente pesante. Sposta su chi utilizza il sistema un onere probatorio che in molti casi è materialmente insostenibile: l’utilizzatore professionale non ha accesso al funzionamento interno del modello che ha acquistato. Si rischia una responsabilità che si ferma sull’anello più debole e più visibile della filiera, non su quello che il rischio lo ha creato. Sarà la giurisprudenza a dire quanto sia rigorosa la “prova contraria”.
Lo Studio Legale Liut Giraldo & Partners assiste imprese e professionisti nell’adeguamento dei Modelli Organizzativi (MOGC) previsti dal d.lgs. 231/2001 e nella gestione del contenzioso in materia di responsabilità dell’ente da reato.
STUDIO LEGALE LIUT GIRALDO & PARTNERS
Padova Via degli Zabarella 57 +390495732243
Portogruaro (VE) Corso Martiri della Libertà 156 +39042171802
info@liutgiraldo.it liutgiraldo.it
STUDIO LEGALE LIUT GIRALDO & PARTNERS
Ti ascoltiamo Ti consigliamo Ti difendiamo
STUDIO LEGALE LIUT GIRALDO & PARTNERS
Dall’Avvocato bisogna andare prima.
Dopo, costa di più e potrebbe essere tardi.
Tutti i diritti riservati. Riproduzione consentita a condizione di citare la fonte [“Dal 30 settembre l’intelligenza artificiale entra nel codice penale. E nel processo civile. Che cosa cambia per imprese e professionisti con il D.Lgs. 160/2026”, STUDIO LEGALE LIUT GIRALDO & PARTNERS AVVOCATI GIANLUCA LIUT ILARIA GIRALDO PADOVA PORTOGRUARO liutgiraldo.it]. Il presente contributo ha finalità divulgativa e non costituisce parere legale. Per una valutazione della singola fattispecie è necessaria un’analisi puntuale della documentazione contrattuale e assicurativa, nonché della legge applicabile al caso concreto.
