Il decreto pubblicato il 24 giugno 2026 e reso operativo il 30 settembre 2026 rappresenta il punto di arrivo del percorso di adeguamento italiano al Regolamento (UE) 2024/1689 comunemente noto come AI Act. Oltre a recepire le disposizioni europee, il provvedimento apre la strada a nuove fattispecie penali e a un ampliamento della responsabilità amministrativa 231/2001 coinvolgendo direttamente le imprese che progettano, producono o utilizzano sistemi di intelligenza artificiale.
Nuove fattispecie penali per i sistemi IA ad alto rischio
L’articolo 12 del provvedimento inserisce nel codice penale il nuovo art. 437-bis denominato “Omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi”. La norma si concentra sui sistemi di IA ad alto rischio e penalizza chi, nella fase di progettazione, addestramento, produzione o immissione sul mercato, non adotta le misure tecniche di sicurezza previste o non garantisce una adeguata sorveglianza umana. La reclusione prevista varia da uno a cinque anni, con aggravio fino a otto anni quando il pericolo riguarda la sicurezza dello Stato.
Il ruolo dell’utilizzatore professionale
L’ultimo comma dell’art. 437-bis definisce una disciplina autonoma per l’utilizzatore professionale di sistemi ad alto rischio. Se l’operatore, in maniera intenzionale, omette la sorveglianza umana e da tale omissione deriva un pericolo per la vita, l’incolumità o la sicurezza nazionale, si applicano le stesse pene previste per i produttori. Per le imprese, questo significa dover documentare con precisione i protocolli di monitoraggio umano, dimostrando la loro effettiva operatività in caso di contenzioso.
Estensione della responsabilità amministrativa 231/2001
L’articolo 15 introduce il nuovo art. 25-vicies al d.lgs. 231/2001, dedicato ai “Reati commessi con l’uso di sistemi di intelligenza artificiale”. In particolare, il provvedimento prevede una sanzione pecuniaria per l’ente compresa tra 600 e 1.000 quote per le violazioni dell’art. 437-bis, e tra 200 e 700 quote per il reato di diffusione illecita di contenuti generati da IA (art. 612-quater). Inoltre, si applicano le tradizionali sanzioni interdittive previste dal comma 2 dell’art. 9.
Impatto sui Modelli di Organizzazione 231
Le aziende già dotate di un Modello di organizzazione, gestione e controllo ai sensi del d.lgs. 231/2001 dovranno integrare nella loro mappatura dei rischi le specificità dei sistemi IA. Ciò comporta l’inclusione di valutazioni di rischio tecnico di sorveglianza umana e di monitoraggio post-vendita, al fine di prevenire le fattispecie prescritte dall’art. 25-vicies. La disciplina non si limita ai sistemi ad alto rischio: la fattispecie dell’art. 612-quater penalizza anche la diffusione di deepfake o di contenuti falsificati, indipendentemente dalla classificazione di rischio dello strumento utilizzato.
Nuove regole civili per l’accesso alle prove e il risarcimento
Il Titolo II, articoli 16-18, fornisce strumenti processuali specifici per le azioni di risarcimento danni derivanti dall’uso di IA. L’art. 16 stabilisce il campo di applicazione, lasciando intendere che le norme sul accesso alle prove (art. 17) si applicano sia ai danni contrattuali sia a quelli extracontrattuali, senza limitarsi ai soli sistemi ad alto rischio.
Documentazione richiesta dal giudice
Il giudice, su richiesta della parte danneggiata, può ordinare l’esibizione di log di conservazione (art. 12 AI Act), della documentazione di gestione del rischio (art. 9 AI Act), dei dati tecnici (art. 11 AI Act) e dei parametri di sorveglianza umana (art. 14 AI Act). L’ordine è conferito a patto di necessità e proporzionalità, con particolare attenzione alla tutela dei segreti commerciali. La mancata collaborazione comporta, per le parti, la possibilità che il giudice desuma i fatti dal comportamento di chi non ha ottemperato, mentre per i terzi è prevista una sanzione pecuniaria da 1.500 a 10.000 euro.
Presunzione di causalità
L’art. 18 introduce una presunzione di causalità quando il danno è riconducibile a una violazione degli obblighi dell’AI Act. La norma non crea una responsabilità automatica, ma sposta l’onere della prova sulla parte convenuta, la quale dovrà dimostrare l’assenza di nesso causale. Di nuovo, la capacità dell’impresa di ricostruire i log e le misure di sicurezza adottate diventa un elemento fondamentale della difesa.
Le imprese devono quindi rivedere i propri processi di sviluppo e utilizzo dell’IA, implementare sistemi di sorveglianza umana documentati e mantenere una governance documentale capace di sostenere sia gli obblighi di conformità che le eventuali richieste probatorie delle autorità giudiziarie.
