A cura di: AI Legal Team EUCS
Revisione: Dr. Eric Falzone – Responsabile AI Advisors EUCS
Aggiornato:
Responsabilità Civile Intelligenza Artificiale: che cosa cambia con il D.lgs. 160/2026
Dal 30 settembre 2026 è in vigore il decreto legislativo n. 160/2026, la prima norma italiana che stabilisce chi risponde dei danni causati dall’intelligenza artificiale.
Il D.lgs. 160/2026 non introduce una responsabilità automatica a carico di chi utilizza l’intelligenza artificiale.
Continua a valere il principio generale del nostro ordinamento: risponde del danno chi non ha adempiuto a un’obbligazione contrattuale o chi lo ha causato per dolo o colpa (artt. 1218 e 2043 del codice civile).
Il D.lgs. 160/26 interviene però su tre fronti:
- sul piano civile rafforza la tutela di chi ha subito il danno;
- sul piano penale introduce un nuovo reato: chi omette le misure di sicurezza o la sorveglianza umana su un sistema di AI ad alto rischio è punito con la reclusione (art. 437-bis c.p.);
- sul piano della conformità chiarisce che il rispetto dell’AI Act non esclude di per sé la responsabilità.
RESPONSABILITÀ CIVILE INTELLIGENZA ARTIFICIALE: I FATTI CHIAVE
- Quale norma: il decreto legislativo n. 160/2026, in vigore dal 30 settembre 2026.
- Da dove nasce: attua la legge italiana sull’intelligenza artificiale (legge n. 132/2025) e si coordina con l’AI Act europeo.
- Che cosa cambia per chi subisce un danno: può chiedere al giudice di far esibire i registri e la documentazione del sistema; se l’impresa ha violato l’AI Act, il collegamento tra violazione e danno si presume; può chiedere il risarcimento direttamente all’assicurazione del responsabile.
- Che cosa cambia sul piano penale: nasce il reato di omessa sicurezza nei sistemi di AI ad alto rischio (art. 437-bis c.p.); per lo stesso reato risponde anche la società (D.lgs. 231/2001).
- Che cosa non cambia: essere conformi all’AI Act non esclude la responsabilità.
- Le date europee: gli obblighi per i sistemi ad alto rischio scattano il 2 dicembre 2027 (Allegato III) e il 2 agosto 2028 (Allegato I).
Che cos’è il D.lgs. 160/2026?
Il D.lgs. 160/2026 è il decreto che attua in Italia la legge sull’intelligenza artificiale (legge n. 132/2025) e la coordina con l’AI Act europeo. È stato pubblicato nella Gazzetta Ufficiale n. 214 del 15 settembre 2026 ed è in vigore dal 30 settembre 2026.
Si compone di due parti:
- Titolo I – Forze di polizia: regola l’uso dell’intelligenza artificiale nelle attività di polizia, compreso il riconoscimento facciale.
- Titolo II – Responsabilità Civile Intelligenza Artificiale: riguarda tutte le imprese e stabilisce chi risponde dei danni causati da un sistema di AI, come ottenere il risarcimento e quando l’uso dell’AI diventa reato.
A chi si applica il D.lgs. 160/2026?
A tutte le imprese e a tutti i professionisti che sviluppano, forniscono o utilizzano un sistema di intelligenza artificiale nella propria attività.
Le norme sul risarcimento dei danni si applicano a qualsiasi sistema di AI, mentre il nuovo reato (art. 437-bis c.p.) riguarda soltanto i sistemi ad alto rischio.
Non tutti i programmi sono «sistemi di AI».
Per l’AI Act lo è un sistema che, dai dati che riceve, ricava da solo come produrre un risultato: una previsione, un testo, un consiglio, una decisione.
Un programma tradizionale applica regole scritte da una persona, mentre un sistema di AI impara dai dati.
Un foglio di calcolo non è un sistema di AI, mentre lo sono un assistente conversazionale, un software che seleziona i curricula o un programma che valuta un prestito imparando dai casi passati.
La legge prevede due ruoli:
- Il Fornitore è chi crea il sistema e lo mette in commercio con il proprio nome o marchio
- Il Deployer è chi lo usa nella propria attività professionale.
Attenzione: chi mette il proprio marchio su un sistema ad alto rischio, lo modifica in modo sostanziale o lo usa per uno scopo che lo rende ad alto rischio è considerato fornitore e ne assume tutti gli obblighi.
Da quando si applica la Responsabilità Civile da Intelligenza Artificiale?
Il D.lgs. 160/2026 è in vigore dal 30 settembre 2026.
Gli obblighi europei dell’AI Act per i sistemi ad alto rischio scattano invece più avanti, secondo questo calendario:
- 2 dicembre 2027: sistemi elencati nell’Allegato III, come quelli usati per selezionare il personale, concedere un credito o valutare gli studenti.
- 2 agosto 2028: sistemi integrati in prodotti già regolati da norme europee, come i dispositivi medici (Allegato I).
C’è infine una terza data, il 9 dicembre 2026: da quel giorno si applicano le nuove regole europee sulla responsabilità per prodotti difettosi, che comprendono anche il software.
Chi risponde dei danni causati dall’intelligenza artificiale?
Risponde chi ha commesso l’errore, non «l’intelligenza artificiale».
Se tra le parti esiste un contratto, risponde chi non ha fornito il servizio o il prodotto promesso (art. 1218 c.c.).
In assenza di un contratto, risponde chi ha causato il danno con negligenza o intenzionalmente (art. 2043 c.c.).
Chi usa l’intelligenza artificiale non è responsabile per il solo fatto di usarla: il D.lgs. 160/2026 non prevede alcuna responsabilità automatica.
Su un sistema di AI intervengono più soggetti: chi lo sviluppa, chi lo integra, chi lo configura, chi lo utilizza. Il giudice valuta il comportamento di ciascuno e attribuisce la responsabilità di conseguenza.
Un esempio: se un software di selezione del personale scarta un candidato in base a un criterio discriminatorio, può rispondere l’azienda che lo ha usato senza controlli, il fornitore che lo ha progettato male, oppure entrambi.
DA FARE SUBITO
Per ogni sistema di AI serve un documento che indichi chi lo ha sviluppato, chi lo fornisce, chi lo configura e chi lo utilizza, con i relativi contratti. Senza, in caso di contenzioso l’impresa non può dimostrare il proprio ruolo né attribuire le responsabilità agli altri soggetti della catena. È il primo documento che il giudice chiederà.
La conformità all’AI Act esclude la Responsabilità Civile Intelligenza Artificiale?
No. Essere conformi all’AI Act, anche con una certificazione, non esclude di per sé la responsabilità (art. 19 D.lgs. 160/2026).
La certificazione fotografa il sistema in un dato momento: non prova che sia stato usato correttamente, aggiornato con cura o sorvegliato da una persona.
Resta una prova utile, non uno scudo.
Le altre tutele restano. Il D.lgs. 160/2026 non tocca il diritto al risarcimento per le violazioni della protezione dei dati personali, né le nuove regole europee sulla responsabilità per i prodotti difettosi, che includono il software (Direttiva UE 2024/2853).
Dove si fa causa. Se il danneggiato è un consumatore, può rivolgersi anche al giudice del luogo in cui risiede o ha il domicilio. È una possibilità in più, non un obbligo.
LA CERTIFICAZIONE DA SOLA NON BASTA: COSA CONSERVARE
- Documentazione tecnica e dichiarazioni di conformità del sistema
- Rapporti di prova e verifiche eseguite prima della messa in uso
- Istruzioni del fornitore e prova che sono state seguite
- Registro degli aggiornamenti, con le verifiche svolte dopo ciascuno
- Registro dei controlli umani: chi ha verificato, quando, con quale esito
In giudizio conta dimostrare come il sistema è stato usato ogni giorno, non solo che era certificato.
C’è un periodo di tolleranza per le imprese?
No. Le nuove regole sulla responsabilità civile per l’intelligenza artificiale (esibizione delle prove, presunzione del nesso di causalità, azione diretta contro l’assicuratore) si applicano dal 30 settembre 2026, senza alcun periodo transitorio.
L’anno di adeguamento previsto dall’art. 21 del D.lgs. 160/2026 riguarda soltanto i sistemi in uso presso le Forze di polizia.
Il nuovo reato e la responsabilità delle società ai sensi del D.lgs. 231/2001 valgono per i fatti commessi dal 30 settembre 2026.
Per le cause civili già in corso a quella data il decreto non detta regole transitorie: l’applicazione delle nuove norme va valutata caso per caso.
Che cosa fare ora: tre azioni
| N. | Azione | Risultato |
|---|---|---|
| 1 | Censire i sistemi di AI in uso e attribuire a ciascuno la classificazione di rischio prevista dall’AI Act | Registro dei sistemi di AI |
| 2 | Definire il ruolo dell’impresa per ogni sistema, fornitore o deployer; chi modifica un sistema o lo commercializza con il proprio marchio assume gli obblighi del fornitore (art. 25 AI Act) | Scheda dei ruoli e delle responsabilità |
| 3 | Pianificare le scadenze di ogni sistema, con un responsabile e una data di riesame | Calendario degli adempimenti |
La vostra impresa è pronta a difendersi in caso di danni causati dall’intelligenza artificiale?
Sapete quali dei vostri strumenti sono «sistemi di AI»? Per ciascuno, siete fornitori o deployer? In caso di causa, siete in grado di esibire registri e documentazione? Le polizze coprono i danni causati da sistemi automatizzati? Il Modello 231 contempla i nuovi reati?
Basta una risposta negativa perché l’impresa sia esposta. Dal 30 settembre 2026 queste domande le rivolge un giudice.
Domande frequenti sul D.lgs. 160/2026
No. Il D.lgs. 160/2026 non introduce una responsabilità automatica: i danni si risarciscono secondo le regole ordinarie del codice civile (artt. 1218 e 2043 c.c.). Il decreto cambia invece il modo di provare il danno (art. 17), presume il collegamento tra violazione e danno (art. 18), stabilisce che la conformità non basta (art. 19) e consente di agire direttamente contro l’assicuratore (art. 20).
Sì, in parte. Le regole sul risarcimento valgono per qualsiasi sistema di AI. Il reato di omessa sicurezza (art. 437-bis c.p.) riguarda solo i sistemi ad alto rischio. Il reato di deepfake (art. 612-quater c.p.) e la responsabilità della società che ne deriva riguardano invece qualsiasi contenuto generato o alterato con l’AI e diffuso senza consenso, se provoca un danno a una persona.
No. La conformità, anche certificata, non esclude la responsabilità (art. 19 del D.lgs. 160/2026). È una prova utile, non uno scudo: l’impresa deve comunque dimostrare di avere usato il sistema correttamente e con controllo umano.
No. La Direttiva (UE) 2024/2853 sarà recepita con un atto separato, in corso di approvazione. Le sue regole si applicano ai prodotti immessi sul mercato dopo il 9 dicembre 2026.
Alle norme civili e penali sì. La responsabilità ai sensi del D.lgs. 231/2001 non si applica allo Stato, agli enti pubblici territoriali e agli altri enti pubblici non economici (art. 1, comma 3); si applica invece agli enti pubblici economici e alle società a partecipazione pubblica.
Nella Gazzetta Ufficiale n. 214 del 15 settembre 2026 e su Normattiva, il portale della legge vigente.
Glossario D.lgs. 160/2026
| Termine | Significato | Riferimento |
|---|---|---|
| Fornitore | Chi sviluppa un sistema di AI o lo immette sul mercato con il proprio nome o marchio | Art. 3.3 del AI Act |
| Deployer | Chi usa un sistema di AI sotto la propria autorità, nell’ambito di un’attività professionale | Art. 3.4 del AI Act |
| Sistema ad Alto Rischio | Sistema che è componente di sicurezza di prodotti regolati (Allegato I) oppure è impiegato negli usi dell’Allegato III | Art. 6 del AI Act |
| Responsabilità Oggettiva | Responsabilità che prescinde dalla colpa; il decreto non la introduce in via generale per l’AI | Artt. 2050 e 2051 c.c. |
| Convenuto | Il soggetto citato in giudizio | Art. 19 del D.lgs. 160/2026 |
| Foro Aggiuntivo | Ulteriore criterio per individuare il giudice competente, che si aggiunge a quelli ordinari | Art. 16.c. del D.lgs. 160/2026 |
Fonti e Riferimenti su Responsabilità Civile Intelligenza Artificiale
[1] Decreto legislativo 9 settembre 2026, n. 160, Gazzetta Ufficiale n. 214 del 15 settembre 2026; artt. 1, 11, 16, 19 e 21. Gazzetta Ufficiale (PDF) · Normattiva
[2] Legge 23 settembre 2025, n. 132, Gazzetta Ufficiale n. 223 del 25 settembre 2025; art. 24.Normattiva
[3] Regolamento (UE) 2024/1689 (AI Act); artt. 3, 6, 25, 111 e 113. EUR-Lex
[4] Regolamento (UE) 2026/1744 dell’8 luglio 2026 (Omnibus digitale sull’IA), GUUE L del 24 luglio 2026; considerando 38, 39 e 40; art. 1. EUR-Lex · Commissione europea
[5] Direttiva (UE) 2024/2853 sulla responsabilità per danno da prodotti difettosi; artt. 2 e 22. EUR-Lex
[6] Codice civile, artt. 1218, 2043, 2050 e 2051; codice penale, art. 2; Costituzione, art. 25, secondo comma; d.lgs. n. 231/2001, artt. 1 e 2; Regolamento (UE) 2016/679, art. 82. Normattiva
Richiedi informazioni
Compila il Form per ricevere Informazioni.
