Danni causati dall'intelligenza artificiale: responsabilità, nuovi reati e come chiedere il risarcimento

Chi paga se un sistema di intelligenza artificiale provoca un danno? E cosa succede quando un sistema di IA ad alto rischio viene alterato oppure utilizzato senza adottare le necessarie misure di sicurezza?

Sono alcune delle questioni affrontate dal decreto legislativo 9 settembre 2026, n. 160, pubblicato nella Gazzetta Ufficiale n. 214 del 15 settembre 2026.

Accanto alle regole sull'intelligenza artificiale utilizzata dalle Forze di polizia, il decreto introduce infatti disposizioni penali e nuovi strumenti processuali civili destinati a chi chiede il risarcimento di un danno collegato all'utilizzo dell'IA.

La novità più interessante per cittadini e imprese è probabilmente questa: quando un algoritmo è complesso e le informazioni necessarie per capire cosa è accaduto sono nelle mani dell'azienda o di un altro soggetto, il danneggiato può chiedere al giudice di ordinare l'esibizione di documenti e informazioni sul funzionamento del sistema.

Non è “l'intelligenza artificiale” che finisce sotto processo

Prima di tutto bisogna chiarire un equivoco.

Il decreto non attribuisce una responsabilità giuridica autonoma all'algoritmo.

La questione rimane legata alle persone e ai soggetti giuridici coinvolti nella progettazione, produzione, immissione sul mercato e utilizzo dei sistemi, secondo le condizioni stabilite dalla normativa.

In altre parole, davanti a un danno non basta dire: “È stato l'algoritmo”.

Occorre ricostruire cosa è successo, quali obblighi erano applicabili, chi disponeva delle informazioni e se il funzionamento del sistema ha avuto un collegamento con il danno.

Nuovo reato per la sicurezza dei sistemi di IA ad alto rischio

Il decreto introduce nel codice penale l'articolo 437-bis, dedicato all'omessa adozione delle misure di sicurezza nei sistemi di intelligenza artificiale e alla loro alterazione illecita.

La norma riguarda in particolare i sistemi di IA ad alto rischio.

Con questa espressione si indicano i sistemi classificati come ad alto rischio secondo il regolamento europeo sull'intelligenza artificiale.

La nuova disposizione punisce chi omette di adottare le misure tecniche di sicurezza previste per progettazione, addestramento, produzione o immissione sul mercato di questi sistemi, quando da questa omissione deriva un pericolo per la vita o per l'incolumità pubblica o individuale.

La stessa norma riguarda l'omissione delle misure di sorveglianza umana.

In questi casi è prevista la reclusione da uno a cinque anni.

Se dall'omissione deriva invece un pericolo per la sicurezza dello Stato, la pena prevista sale da due a otto anni.

Anche alterare il sistema può diventare reato

Il nuovo articolo 437-bis prende in considerazione anche l'alterazione dei sistemi di IA ad alto rischio.

Salvo che il fatto costituisca un reato più grave, chi altera uno di questi sistemi e provoca un pericolo per la vita o per l'incolumità pubblica o individuale rischia la reclusione da due a sei anni.

Se il pericolo riguarda la sicurezza dello Stato, la pena prevista va da tre a dieci anni.

Il decreto prende quindi in considerazione non soltanto ciò che viene fatto attraverso un sistema di IA, ma anche la sicurezza stessa della tecnologia.

Cosa significa concretamente

Immaginiamo, a puro titolo di esempio, un sistema di IA ad alto rischio utilizzato professionalmente in un settore nel quale un malfunzionamento può incidere sulla sicurezza delle persone.

La legge non considera irrilevante il fatto che il problema sia stato provocato “dal computer”.

Se ricorrono tutte le condizioni previste dalla norma, diventa importante capire se le misure tecniche di sicurezza obbligatorie sono state adottate e se era garantita la necessaria sorveglianza umana.

Il punto è quindi spostare l'attenzione dall'idea generica di “errore dell'algoritmo” alle responsabilità concrete di chi deve governare e rendere sicuro il sistema.

La responsabilità può riguardare anche le società

Il decreto modifica anche il decreto legislativo n. 231 del 2001 sulla responsabilità amministrativa degli enti.

È la disciplina che, in presenza delle condizioni previste dalla legge, permette di applicare sanzioni anche a società ed enti per determinati reati.

Il nuovo articolo 25-vicies inserisce tra i reati rilevanti anche fattispecie commesse con l'utilizzo di sistemi di intelligenza artificiale.

Per il delitto previsto dall'articolo 437-bis del codice penale, all'ente può essere applicata una sanzione pecuniaria da 600 a 1.000 quote.

Per il delitto richiamato dall'articolo 612-quater del codice penale è prevista una sanzione da 200 a 700 quote.

Sono inoltre previste, nei casi indicati dalla norma, sanzioni interdittive.

Questo significa che l'utilizzo dell'intelligenza artificiale entra anche nel sistema di prevenzione dei rischi che interessa organizzazioni e imprese.

Quando l'IA provoca un danno: arriva una disciplina specifica sulle prove

La seconda grande novità riguarda il processo civile.

Gli articoli da 16 a 20 introducono strumenti processuali per le azioni di risarcimento relative ai danni provocati nell'utilizzo di sistemi di intelligenza artificiale.

La disciplina sull'accesso alle prove riguarda sia la responsabilità contrattuale sia quella extracontrattuale.

La responsabilità contrattuale riguarda, in termini generali, un danno collegato all'inadempimento di un rapporto contrattuale.

La responsabilità extracontrattuale riguarda invece il danno provocato al di fuori di uno specifico rapporto contrattuale, secondo le regole previste dall'ordinamento.

Il problema: come dimostrare cosa ha fatto l'algoritmo?

Qui emerge uno dei problemi più concreti dell'intelligenza artificiale.

Immaginiamo che un cittadino ritenga di avere subito un danno causato dall'utilizzo di un sistema di IA.

Come può dimostrare cosa è realmente accaduto?

I registri informatici, la documentazione tecnica, le procedure di gestione dei rischi e le informazioni sulla supervisione umana potrebbero essere nelle mani dell'impresa che ha utilizzato il sistema o di un altro soggetto.

Il cittadino normalmente non dispone di questi elementi.

Il decreto interviene proprio su questa asimmetria informativa.

Il giudice può ordinare di mostrare le prove

L'articolo 17 prevede l'accesso alle prove.

La persona che sostiene di avere subito un danno può chiedere al giudice di ordinare all'altra parte, oppure a un terzo che dispone delle informazioni, di esibire elementi di prova specificamente pertinenti relativi al funzionamento del sistema di intelligenza artificiale.

Non basta però una semplice affermazione.

Chi presenta la richiesta deve fornire fatti ed elementi capaci di rendere verosimile la fondatezza della domanda, anche rispetto al collegamento tra il risultato prodotto dall'IA e il danno lamentato.

Quali documenti possono essere richiesti?

Tra gli elementi indicati dal decreto rientrano i registri previsti dal regolamento europeo sull'IA.

Possono inoltre essere richieste informazioni sulla gestione dei rischi, parti pertinenti della documentazione tecnica e informazioni sui parametri e sulle modalità della supervisione umana.

Sono elementi che possono diventare decisivi per ricostruire ciò che è successo.

Pensiamo a una sorta di “scatola nera” dell'algoritmo: non necessariamente un singolo file, ma un insieme di documenti e registrazioni che può aiutare il giudice a capire come il sistema è stato gestito.

Ma non significa poter ottenere qualsiasi segreto aziendale

Il diritto alle prove non è illimitato.

L'ordine del giudice deve essere limitato a ciò che è necessario e proporzionato rispetto alla domanda.

Il giudice deve considerare gli interessi di tutte le parti, con particolare attenzione alla protezione dei segreti commerciali e delle informazioni riservate.

Quando esiste il rischio che l'esibizione riveli informazioni protette, devono quindi essere adottate misure adeguate per tutelarle.

E se l'azienda non consegna i documenti?

Qui il decreto introduce una conseguenza particolarmente importante.

Se una parte, senza un giustificato motivo, non rispetta anche parzialmente l'ordine di esibizione, il giudice può ricavarne argomenti di prova.

Quando l'inadempimento riguarda la specifica documentazione tecnica indicata dal decreto, il giudice, dopo aver valutato gli altri elementi di prova, può ritenere ammessi i fatti allegati dalla persona che ha chiesto l'esibizione.

Se invece a non rispettare l'ordine è un terzo, il giudice può condannarlo a una sanzione pecuniaria compresa tra 1.500 e 10.000 euro.

La grande novità: la presunzione sul nesso di causalità

L'articolo 18 introduce un'altra tutela importante.

Quando il danno deriva dalla violazione di uno o più obblighi previsti dal regolamento europeo sull'intelligenza artificiale, il nesso di causalità tra violazione e danno è presunto, salvo prova contraria.

Il nesso di causalità è, semplificando, il collegamento tra una determinata condotta o violazione e il danno che si sostiene di avere subito.

Normalmente dimostrare questo collegamento può essere particolarmente difficile quando tra la decisione umana e il risultato finale interviene un sistema tecnologico complesso.

La presunzione prevista dalla norma non significa però che ogni problema provocato da un algoritmo produca automaticamente un risarcimento.

La disposizione opera nelle condizioni indicate dall'articolo 18 e ammette prova contraria.

Un esempio semplice

Immaginiamo un sistema di intelligenza artificiale soggetto a specifici obblighi previsti dal regolamento europeo.

Una persona subisce un danno e riesce a dimostrare che uno di quegli obblighi è stato violato e che il danno deriva da tale violazione secondo le condizioni previste dalla nuova disciplina.

Il decreto stabilisce la presunzione del nesso causale, salvo che la controparte riesca a fornire prova contraria.

È un meccanismo importante perché affronta una delle difficoltà tipiche delle controversie tecnologiche: il cittadino spesso vede il risultato finale, ma non può osservare direttamente tutto ciò che è accaduto all'interno del sistema.

“Il nostro sistema è certificato”: non basta per escludere la responsabilità

Un altro passaggio importante si trova nell'articolo 19.

Il fatto che un sistema di intelligenza artificiale sia conforme agli obblighi del regolamento europeo, anche quando questa conformità è certificata, non esclude automaticamente la responsabilità del convenuto.

È una distinzione importante.

Una certificazione di conformità dimostra il rispetto di determinati requisiti, ma non costituisce da sola uno scudo assoluto contro qualsiasi domanda di risarcimento.

Il singolo caso deve comunque essere valutato.

Il cittadino può agire direttamente contro l'assicurazione

L'articolo 20 introduce poi una possibilità particolarmente concreta.

Prima di promuovere l'azione, chi ritiene di avere subito il danno può chiedere al soggetto considerato responsabile se dispone di una polizza di responsabilità civile relativa a quel danno.

Il soggetto deve comunicare entro 30 giorni l'esistenza della copertura, gli estremi del contratto e il nome dell'impresa assicuratrice.

La richiesta preventiva non è però una condizione obbligatoria per poter iniziare la causa.

Il risarcimento può essere chiesto direttamente all'assicurazione

Quando esiste la copertura prevista dalla norma, il danneggiato dispone di un'azione diretta nei confronti dell'impresa assicuratrice che copre la responsabilità civile del convenuto.

L'azione vale nei limiti delle somme assicurate dal contratto.

Il soggetto individuato come responsabile deve comunque partecipare al giudizio come litisconsorte necessario.

Significa che la causa non riguarda soltanto danneggiato e assicurazione: anche il soggetto indicato come responsabile deve far parte del processo.

L'assicuratore può inoltre opporre al danneggiato le eccezioni derivanti dal contratto purché siano anteriori al sinistro.

Cosa cambia per un normale cittadino

La parte più importante della riforma civile può essere riassunta con una domanda: come può una persona dimostrare di essere stata danneggiata da una tecnologia che non può ispezionare?

Il decreto prova a rispondere introducendo quattro strumenti molto concreti.

Il giudice può ordinare l'accesso alle prove tecniche.

La mancata consegna della documentazione può produrre conseguenze processuali.

In determinate circostanze opera una presunzione sul nesso di causalità.

E, quando esiste la relativa copertura, il danneggiato può agire direttamente nei confronti dell'assicurazione.

Cosa cambia per imprese e professionisti

Per imprese e utilizzatori professionali il messaggio è altrettanto importante.

Utilizzare l'intelligenza artificiale non significa poter trasferire ogni responsabilità alla tecnologia.

La sicurezza dei sistemi ad alto rischio, la sorveglianza umana e la conservazione della documentazione diventano elementi che possono avere conseguenze concrete anche davanti a un giudice.

Per le società entra inoltre in gioco il sistema della responsabilità degli enti previsto dal decreto legislativo n. 231 del 2001 per le nuove fattispecie richiamate dal decreto.

FAQ – Domande frequenti

Se un'intelligenza artificiale mi provoca un danno, posso chiedere un risarcimento?

Il decreto disciplina specifici strumenti processuali per le azioni di risarcimento, contrattuali ed extracontrattuali, relative a danni cagionati nell'utilizzo di sistemi di intelligenza artificiale. La presenza dell'IA, naturalmente, non significa che il risarcimento sia automatico: devono ricorrere i presupposti previsti dalla legge.

Come posso provare cosa ha fatto l'algoritmo se i documenti sono in possesso dell'azienda?

Puoi chiedere al giudice, nelle condizioni previste dall'articolo 17, di ordinare l'esibizione degli elementi di prova pertinenti relativi al funzionamento del sistema.

Quali prove possono essere richieste?

Tra quelle indicate dalla norma ci sono registri del sistema, documentazione sulla gestione dei rischi, informazioni pertinenti della documentazione tecnica e informazioni sulla supervisione umana.

Cosa succede se l'azienda non consegna i documenti ordinati dal giudice?

La mancata esibizione senza giustificato motivo può produrre conseguenze probatorie. Per la documentazione specificamente indicata dalla norma, il giudice, valutati gli altri elementi, può ritenere ammessi i fatti allegati dall'istante.

Devo sempre dimostrare da zero che la violazione ha provocato il danno?

Quando il danno deriva dalla violazione di uno o più obblighi del regolamento europeo sull'IA, l'articolo 18 prevede una presunzione del nesso di causalità, salvo prova contraria.

Se il sistema IA è certificato, l'azienda è automaticamente esente da responsabilità?

No. Il decreto precisa espressamente che la conformità al regolamento europeo, anche se certificata, non esclude di per sé la responsabilità del convenuto.

Posso chiedere direttamente i soldi all'assicurazione del responsabile?

Nelle condizioni previste dall'articolo 20, sì. Il danneggiato dispone di un'azione diretta contro l'impresa che assicura la responsabilità civile del convenuto, entro i limiti della copertura.

Un'impresa può essere sanzionata per reati collegati all'IA?

Il decreto inserisce nel d.lgs. 231/2001 il nuovo articolo 25-vicies, che prevede responsabilità dell'ente per le fattispecie espressamente indicate e relative sanzioni pecuniarie e interdittive.

Paragone semplice per capire la norma

Immaginiamo di comprare un elettrodomestico molto sofisticato che provoca un danno in casa.

Per capire cosa è successo, un tecnico può aprire l'apparecchio, controllarne i componenti e ricostruire il guasto.

Con un sistema di intelligenza artificiale la situazione può essere molto più difficile: il cittadino vede il danno, ma registri, documentazione tecnica, procedure di gestione dei rischi e informazioni sulla supervisione possono essere nelle mani dell'azienda.

Il decreto cerca quindi di fornire al giudice gli strumenti per “aprire la scatola” e verificare gli elementi pertinenti.

L'idea può essere riassunta così: la complessità dell'algoritmo non deve trasformarsi automaticamente in un ostacolo insuperabile per chi sostiene di avere subito un danno.