Il nuovo d.lgs. 160/2026 cambia le regole della prova nelle cause per danni da intelligenza artificiale: il giudice potrà ordinare l’esibizione dei log, il nesso causale potrà essere presunto e, in alcuni casi, sarà possibile agire direttamente contro l’assicurazione

Un sistema di intelligenza artificiale seleziona automaticamente i candidati per un posto di lavoro e discrimina qualcuno. Un software utilizzato da una banca attribuisce erroneamente un profilo di rischio e determina il rifiuto di un finanziamento. Un sistema impiegato da un’impresa produce un’informazione sbagliata che provoca un danno economico. Oppure un algoritmo utilizzato professionalmente prende parte a una decisione che danneggia una persona. Il problema, fino a oggi, era anche molto pratico: come fa il danneggiato a dimostrare che cosa è realmente accaduto dentro un sistema che non controlla e del quale non possiede né i dati né la documentazione tecnica?

Dal 30 settembre 2026 la risposta cambia in maniera significativa. È stato pubblicato sulla Gazzetta Ufficiale del 15 settembre il d.lgs. 9 settembre 2026, n. 160, che adegua la normativa italiana al Regolamento europeo sull’intelligenza artificiale e introduce, tra l’altro, specifici strumenti processuali per le azioni di risarcimento dei danni cagionati dall’utilizzo di sistemi di IA. Il decreto entrerà in vigore il 30 settembre. (Gazzetta Ufficiale)

La novità non consiste nell’introduzione di una responsabilità automatica di chi utilizza l’intelligenza artificiale. Sarebbe una lettura sbagliata. Il legislatore interviene soprattutto su uno dei problemi più difficili di queste controversie: la prova.

Il problema dell’“algoritmo che sa tutto e non dice niente”

Immaginiamo un consumatore che sostenga di aver subito un danno a causa di una decisione presa con l’ausilio di un sistema di IA. Il risultato finale è visibile: la domanda viene respinta, il contratto non viene concluso, un servizio viene negato oppure viene presa una decisione sfavorevole. Quello che spesso non è visibile è tutto ciò che è avvenuto prima: quali dati sono stati utilizzati, come ha funzionato il sistema, quali parametri sono stati applicati, quale intervento umano vi sia stato e quali controlli fossero previsti.

Quasi tutte queste informazioni sono normalmente nella disponibilità dell’impresa, del fornitore o del soggetto che utilizza la tecnologia, non della persona che lamenta il danno. È una evidente asimmetria informativa e il nuovo decreto prova a correggerla.

L’art. 17 stabilisce che, nelle azioni risarcitorie per danni cagionati nell’utilizzo di un sistema di intelligenza artificiale, il giudice possa ordinare all’altra parte, o anche al terzo che li possieda, di esibire gli elementi di prova pertinenti relativi al funzionamento del sistema, purché chi chiede l’esibizione presenti fatti ed elementi capaci di rendere verosimile la propria domanda, compreso il collegamento tra l’output dell’IA e il danno lamentato. (Leggi Edilizia.com)

Cosa potrà essere chiesto di esibire?

Il decreto è molto concreto. Tra i documenti e le informazioni che potranno essere acquisiti figurano i registri del sistema, i cosiddetti log, la documentazione relativa alla gestione dei rischi, la documentazione tecnica e le informazioni sui parametri e sulle modalità della sorveglianza umana. (Leggi Edilizia.com)

Questo passaggio, a mio avviso, è uno dei più importanti dell’intera riforma. Nei futuri contenziosi non sarà sufficiente dire: “Il software funzionava correttamente”. Potrebbe essere necessario dimostrarlo attraverso i dati che documentano concretamente il funzionamento del sistema.

Naturalmente il giudice non potrà ordinare indiscriminatamente la consegna di qualsiasi informazione. La richiesta deve essere necessaria e proporzionata e il decreto impone di tutelare i segreti commerciali e le altre informazioni riservate. Non viene quindi meno la protezione del know-how aziendale: si cerca piuttosto un equilibrio tra il diritto alla prova e la riservatezza delle informazioni tecniche. (Leggi Edilizia.com)

E se l’impresa non consegna i documenti?

Qui la disciplina diventa particolarmente incisiva.

Se la parte non esegue senza giustificato motivo l’ordine di esibizione, anche soltanto in parte, il giudice può trarne argomenti di prova ai sensi dell’art. 116 c.p.c. Ma quando l’inadempimento riguarda proprio la documentazione espressamente indicata dalla legge — log, gestione dei rischi, documentazione tecnica e sorveglianza umana — il giudice, dopo aver valutato gli altri elementi disponibili, può ritenere ammessi i fatti allegati dal danneggiato. (Leggi Edilizia.com)

Per un’impresa è una conseguenza da non sottovalutare. Non conservare correttamente la documentazione sul funzionamento di un sistema di IA potrebbe quindi diventare un problema non soltanto organizzativo o regolatorio, ma direttamente processuale.

Se a non adempiere all’ordine è invece un terzo, il decreto prevede una sanzione pecuniaria da 1.500 a 10.000 euro. (Leggi Edilizia.com)

La novità più forte: il nesso causale può essere presunto

Chi chiede un risarcimento deve normalmente dimostrare non soltanto il danno, ma anche che quel danno sia stato causato dalla condotta del soggetto convenuto. Nelle vicende che coinvolgono sistemi complessi di intelligenza artificiale questa prova può diventare estremamente difficile.

L’art. 18 introduce allora una presunzione importante: quando il danno deriva dalla violazione di uno o più obblighi previsti dall’AI Act, il nesso di causalità tra la violazione e il danno si presume, salvo prova contraria. (Leggi Edilizia.com)

La precisazione è fondamentale. Non significa che in qualunque controversia nella quale compaia un algoritmo il nesso causale sia automaticamente presunto. La regola opera quando il danno deriva dalla violazione di uno degli obblighi previsti dal Regolamento europeo.

Sarà quindi necessario individuare prima quale obbligo sia stato violato e dimostrare che quella violazione sia effettivamente rilevante rispetto al danno contestato. Solo allora opererà l’inversione prevista dalla norma, lasciando alla controparte la possibilità di fornire prova contraria.

“Il mio sistema era certificato”: potrebbe non bastare

Un altro passaggio merita attenzione. L’art. 19 stabilisce espressamente che la conformità del sistema agli obblighi previsti dal Regolamento europeo, anche quando sia certificata, non esclude di per sé la responsabilità del convenuto. (Leggi Edilizia.com)

È una regola ragionevole. Una certificazione dimostra il rispetto di determinati requisiti, ma non può trasformarsi automaticamente in una immunità civile rispetto a qualsiasi danno concreto.

Il principio ricorda, sotto certi aspetti, quello che già conosciamo in altri settori: rispettare uno standard costituisce certamente un elemento importante, ma il giudice deve comunque verificare ciò che è realmente accaduto nel caso specifico.

Si potrà agire direttamente contro l’assicurazione

Il decreto introduce anche un meccanismo particolarmente interessante sul piano pratico. Chi intende promuovere un’azione per danni da IA può chiedere preventivamente al soggetto ritenuto responsabile se disponga di una polizza di responsabilità civile relativa a quel danno.

Il destinatario della richiesta deve comunicare entro trenta giorni l’esistenza della polizza, i suoi estremi e la compagnia assicuratrice. In caso di mancata o incompleta risposta, il giudice potrà tenerne conto sul piano probatorio. Soprattutto, il nuovo art. 20 attribuisce al danneggiato azione diretta contro l’impresa di assicurazione, nei limiti del massimale previsto dal contratto. (Leggi Edilizia.com)

Anche questa è una novità destinata ad avere conseguenze concrete. La solvibilità del responsabile diventa meno centrale quando esiste una copertura assicurativa direttamente azionabile dal danneggiato.

Naturalmente l’assicurazione può opporre le eccezioni derivanti dal contratto anteriori al sinistro e conserva, nei casi previsti, il diritto di rivalsa nei confronti dell’assicurato. (Leggi Edilizia.com)

Un esempio pratico

Immaginiamo che un’impresa utilizzi un sistema di IA per valutare automaticamente determinate richieste dei clienti e che un errore produca un danno economico significativo.

Il cliente vede soltanto il risultato finale. Non sa quali dati siano stati utilizzati, quale versione del sistema fosse operativa, se vi siano stati errori, se fosse prevista una verifica umana o se qualcuno abbia modificato successivamente l’output.

Con la nuova disciplina, se riesce a fornire elementi sufficienti a rendere plausibile che il danno sia collegato al funzionamento del sistema, potrà chiedere al giudice di acquisire proprio queste informazioni.

Se poi emerge che è stato violato uno degli obblighi imposti dall’AI Act e che da quella violazione deriva il danno, il collegamento causale sarà presunto fino a prova contraria.

Non significa che il cliente abbia automaticamente vinto la causa. Significa però che non dovrà più affrontare da solo la quasi impossibile impresa di dimostrare dall’esterno ciò che è avvenuto all’interno di un sistema tecnologico controllato esclusivamente dalla controparte.

Il decreto riguarda soltanto le grandi piattaforme tecnologiche?

No, ed è forse uno degli equivoci più pericolosi.

Le nuove regole processuali dell’art. 17 riguardano le azioni, contrattuali o extracontrattuali, per danni cagionati nell’utilizzo di un sistema di intelligenza artificiale. Non sono quindi pensate soltanto per i grandi produttori internazionali di software. Possono interessare anche imprese che utilizzano professionalmente sistemi di IA nei propri processi decisionali o nei rapporti con clienti e utenti. (Leggi Edilizia.com)

Naturalmente gli obblighi concretamente applicabili dipenderanno dal tipo di sistema, dal ruolo ricoperto dal soggetto e dalle disposizioni dell’AI Act. Ma è un errore pensare che “noi usiamo soltanto software comprato da altri” sia sufficiente per escludere qualsiasi problema.

La questione sarà sempre: chi ha fatto cosa, con quale sistema e in violazione di quale obbligo?

Cosa dovrebbero fare adesso le imprese

Non credo serva reagire alla nuova normativa con il panico né con centinaia di pagine di procedure inutili. Serve però sapere quali sistemi di intelligenza artificiale vengono effettivamente utilizzati, per quali finalità e con quali conseguenze sulle persone.

Diventa soprattutto importante conservare la documentazione relativa al loro funzionamento, alle versioni utilizzate, agli eventuali controlli umani, agli incidenti e alle decisioni adottate. Se tra alcuni anni nasce una causa, sarà difficile ricostruire a posteriori ciò che un sistema faceva oggi se nessuno ne ha conservato traccia.

Le imprese dovrebbero inoltre verificare le proprie coperture assicurative. Il nuovo diritto di azione diretta del danneggiato rende ancora più importante comprendere se e in quale misura la polizza di responsabilità civile copra effettivamente danni connessi all’utilizzo dell’intelligenza artificiale. (Leggi Edilizia.com)

E il decreto contiene anche novità penali

Il d.lgs. n. 160/2026 non riguarda soltanto la responsabilità civile. Introduce e coordina anche disposizioni penali e modifica il d.lgs. n. 231/2001 sulla responsabilità degli enti, inserendo il nuovo art. 25-vicies relativo a reati commessi con l’uso di sistemi di intelligenza artificiale. Tra questi rientrano il nuovo art. 437-bis c.p., relativo a determinate omissioni e alterazioni riguardanti sistemi di IA ad alto rischio, e il reato di diffusione illecita di contenuti generati o alterati con l’intelligenza artificiale previsto dall’art. 612-quater c.p. (Cosimo.dev)

È però un capitolo diverso e merita un approfondimento autonomo. Per chi si occupa di responsabilità civile, la novità più immediata resta il nuovo sistema della prova.

Attenzione: non nasce una responsabilità automatica per l’intelligenza artificiale

È probabilmente la precisazione più importante.

Dal 30 settembre non sarà sufficiente dire: “Mi ha danneggiato un algoritmo, quindi devo essere risarcito”.

Il danneggiato dovrà comunque allegare fatti concreti, individuare il danno e costruire una domanda sufficientemente plausibile. L’ordine di esibizione non è uno strumento esplorativo senza limiti: il giudice deve verificare pertinenza, necessità e proporzionalità e proteggere le informazioni riservate. Anche la presunzione del nesso causale opera soltanto nelle condizioni espressamente previste dalla legge. (Leggi Edilizia.com)

La riforma cerca quindi di riequilibrare la posizione delle parti senza trasformare chi sviluppa o utilizza sistemi di IA in un assicuratore universale di qualsiasi risultato negativo.

In conclusione

Il d.lgs. 9 settembre 2026, n. 160, pubblicato appena due giorni fa e destinato a entrare in vigore il 30 settembre, segna un passaggio importante nella responsabilità civile legata all’intelligenza artificiale. (Gazzetta Ufficiale)

La vera novità non è una nuova definizione astratta di responsabilità. È molto più concreta: chi lamenta un danno potrà accedere più facilmente alle prove che normalmente sono esclusivamente nelle mani di chi controlla il sistema; in presenza della violazione degli obblighi dell’AI Act il nesso causale potrà essere presunto; la certificazione di conformità non basterà da sola a escludere la responsabilità e, se esiste una polizza, il danneggiato potrà agire direttamente contro l’assicuratore.

In un settore nel quale spesso il principale ostacolo non è sapere che un danno si è verificato, ma riuscire a capire perché si è verificato, il cambiamento è tutt’altro che marginale.

E c’è una conseguenza pratica anche per chi utilizza professionalmente sistemi di intelligenza artificiale: in futuro non sarà importante soltanto poter dire di aver rispettato le regole. Sarà importante essere in grado di dimostrarlo.

Per informazioni e assistenza sull’argomento, info@studiotantalofornari.it e 0632609190 (anche Whatsapp).

Tag: intelligenza artificiale, AI Act, responsabilità civile, danni da intelligenza artificiale, risarcimento danni, prova, algoritmi, imprese, assicurazione, d.lgs. 160/2026, diritto civile, Luca Tantalo, ADR Center