Il decreto legislativo 9 settembre 2026, n. 160 incide sul punto più sensibile delle controversie relative ai sistemi di intelligenza artificiale: la possibilità per il danneggiato di provare come il sistema abbia funzionato, quale ruolo abbia avuto l’output nella produzione del danno e se siano stati rispettati gli obblighi previsti dal regolamento (UE) 2024/1689, noto come AI Act.
La disciplina non si limita a introdurre regole processuali. Il decreto costruisce un modello più ampio, nel quale accesso alla prova, presunzione del nesso causale, tracciabilità, sorveglianza umana, gestione del rischio e responsabilità dell’organizzazione sono elementi collegati tra loro.
Il perimetro delle azioni risarcitorie
L’art. 16 individua l’ambito applicativo delle nuove regole. L’accesso agli elementi di prova riguarda le azioni di risarcimento fondate su responsabilità contrattuale e su responsabilità extracontrattuale, quando il danno sia conseguenza dell’utilizzo di un sistema di intelligenza artificiale.
La presunzione causale e il rilievo della conformità del sistema operano invece quando il pregiudizio derivi dalla violazione degli obblighi stabiliti dal regolamento (UE) 2024/1689. In questo modo il legislatore collega la tutela civilistica al rispetto delle regole europee sulla progettazione, sull’impiego e sul controllo dei sistemi di IA.
Restano espressamente salve due aree di responsabilità: quella relativa al trattamento illecito dei dati personali e quella prevista dalla disciplina nazionale sui prodotti difettosi. Per il consumatore danneggiato è inoltre previsto il foro della residenza o del domicilio, scelta che rafforza l’effettività dell’azione giudiziaria.
L’accesso alla prova nel giudizio civile
Il fulcro della disciplina processuale è l’art. 17. Su istanza del danneggiato, il giudice può ordinare alla controparte o a un terzo l’esibizione degli elementi pertinenti al funzionamento del sistema di intelligenza artificiale.
L’istanza non può essere meramente esplorativa. Chi agisce deve indicare fatti idonei a rendere verosimile la domanda e il collegamento tra l’output del sistema e il danno lamentato. La norma mira così a correggere l’asimmetria informativa tipica delle controversie tecnologiche, senza trasformare l’ordine di esibizione in uno strumento generalizzato di ricerca indiscriminata.
Quali documenti possono essere richiesti
Gli elementi oggetto di esibizione possono comprendere registri, documentazione relativa al sistema di gestione dei rischi, informazioni tecniche e dati concernenti la supervisione umana. Si tratta di materiale spesso decisivo, perché consente di ricostruire il funzionamento del sistema, le modalità di controllo, le verifiche effettuate e l’eventuale incidenza dell’intervento umano.
Il potere del giudice resta comunque subordinato ai criteri di necessità e proporzionalità. L’interesse del danneggiato alla prova deve essere bilanciato con la tutela dei segreti commerciali, secondo la disciplina prevista dal Codice della proprietà industriale.
Le conseguenze del mancato deposito
Il decreto distingue la posizione della parte processuale da quella del terzo. Se la parte destinataria dell’ordine non deposita la documentazione richiesta, il giudice può trarre argomenti di prova ai sensi dell’art. 116 c.p.c.
La conseguenza diventa più incisiva quando l’omissione riguarda la documentazione indicata dall’art. 17, comma 2. In tale ipotesi, il giudice può considerare ammessi i fatti allegati dall’istante. Se invece l’inadempimento è imputabile a un terzo, trova applicazione una pena pecuniaria.
La presunzione del nesso causale
L’art. 18 introduce una presunzione relativa del nesso causale tra la violazione degli obblighi previsti dal regolamento (UE) 2024/1689 e il danno. La presunzione opera salvo prova contraria.
La funzione della norma è impedire che l’opacità tecnica dei sistemi di intelligenza artificiale renda eccessivamente gravosa la posizione del danneggiato. La presunzione non elimina però l’onere di allegare il danno, la violazione degli obblighi regolatori e il collegamento fattuale con l’utilizzo del sistema. Interviene invece sul piano della causalità, riequilibrando il rapporto processuale tra chi subisce il pregiudizio e chi dispone delle informazioni tecniche.
Conformità del sistema e responsabilità
L’art. 19 precisa che la conformità del sistema alle regole europee, anche quando certificata, non è sufficiente a escludere la responsabilità del convenuto. La certificazione può avere rilievo probatorio, ma non determina automaticamente l’assenza di colpa o di responsabilità.
La regola è coerente con l’impostazione complessiva del decreto. La conformità formale non sostituisce la verifica concreta sul modo in cui il sistema è stato impiegato, monitorato e governato nel caso specifico.
Azione diretta contro l’assicuratore
L’art. 20 introduce la possibilità per il danneggiato di agire direttamente nei confronti dell’assicuratore della responsabilità civile. La norma delimita l’ambito di tale azione e inserisce la copertura assicurativa tra gli strumenti di effettività della tutela risarcitoria.
La previsione assume rilievo pratico soprattutto nelle controversie in cui il soggetto responsabile utilizza sistemi complessi o opera all’interno di catene organizzative e tecnologiche articolate.
Il collegamento con le altre parti del decreto
Le norme del Capo II non devono essere lette isolatamente. Nel Titolo I, dedicato all’uso dell’intelligenza artificiale nell’attività di polizia, ricorrono principi destinati ad assumere valore anche in chiave civilistica: revisione umana qualificata, documentazione dell’intervento umano, formazione del personale, valutazione d’impatto, file di log e controllo dei sistemi biometrici.
Anche quando tali regole riguardano il settore pubblico, esse confermano un dato centrale: la responsabilità per l’impiego dell’intelligenza artificiale presuppone tracciabilità, controllo e documentazione. Senza questi elementi diventa più difficile dimostrare la correttezza della condotta e la gestione effettiva del rischio.
I profili penali e organizzativi
Sul piano penale, il Capo I del Titolo II introduce l’art. 437 bis c.p., relativo all’omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale ad alto rischio e all’alterazione illecita dei sistemi. Il decreto interviene inoltre sul d.lgs. n. 231 del 2001 mediante l’art. 25 vicies.
Queste previsioni interessano anche il contenzioso civile. La medesima condotta che espone a conseguenze sanzionatorie può costituire, nel giudizio risarcitorio, un indice della violazione degli obblighi regolatori e contribuire all’operatività della presunzione causale prevista dall’art. 18.
Indicazioni operative per imprese e difensori
Per il danneggiato, la strategia processuale deve fondarsi su allegazioni circostanziate, sulla ricostruzione del rapporto tra output e danno e su richieste istruttorie mirate ai documenti realmente pertinenti.
Per chi utilizza o mette a disposizione sistemi di intelligenza artificiale, il punto decisivo diventa la capacità di dimostrare governance, tracciabilità, sorveglianza umana e controllo del rischio. Registri, procedure interne, valutazioni d’impatto, log e documentazione tecnica non sono soltanto strumenti di compliance, ma presidi difensivi nel contenzioso.
Il decreto sposta quindi l’attenzione dalla sola tecnologia alla qualità dell’organizzazione che la governa: nel giudizio sul danno da intelligenza artificiale, ciò che è stato registrato, verificato e controllato potrà assumere valore determinante.