Tag: imprese

Pubblicato il

Danno causato dall’intelligenza artificiale: dal 30 settembre sarà più facile ottenere il risarcimento?

Il nuovo d.lgs. 160/2026 cambia le regole della prova nelle cause per danni da intelligenza artificiale: il giudice potrà ordinare l’esibizione dei log, il nesso causale potrà essere presunto e, in alcuni casi, sarà possibile agire direttamente contro l’assicurazione

Un sistema di intelligenza artificiale seleziona automaticamente i candidati per un posto di lavoro e discrimina qualcuno. Un software utilizzato da una banca attribuisce erroneamente un profilo di rischio e determina il rifiuto di un finanziamento. Un sistema impiegato da un’impresa produce un’informazione sbagliata che provoca un danno economico. Oppure un algoritmo utilizzato professionalmente prende parte a una decisione che danneggia una persona. Il problema, fino a oggi, era anche molto pratico: come fa il danneggiato a dimostrare che cosa è realmente accaduto dentro un sistema che non controlla e del quale non possiede né i dati né la documentazione tecnica?

Dal 30 settembre 2026 la risposta cambia in maniera significativa. È stato pubblicato sulla Gazzetta Ufficiale del 15 settembre il d.lgs. 9 settembre 2026, n. 160, che adegua la normativa italiana al Regolamento europeo sull’intelligenza artificiale e introduce, tra l’altro, specifici strumenti processuali per le azioni di risarcimento dei danni cagionati dall’utilizzo di sistemi di IA. Il decreto entrerà in vigore il 30 settembre. (Gazzetta Ufficiale)

La novità non consiste nell’introduzione di una responsabilità automatica di chi utilizza l’intelligenza artificiale. Sarebbe una lettura sbagliata. Il legislatore interviene soprattutto su uno dei problemi più difficili di queste controversie: la prova.

Il problema dell’“algoritmo che sa tutto e non dice niente”

Immaginiamo un consumatore che sostenga di aver subito un danno a causa di una decisione presa con l’ausilio di un sistema di IA. Il risultato finale è visibile: la domanda viene respinta, il contratto non viene concluso, un servizio viene negato oppure viene presa una decisione sfavorevole. Quello che spesso non è visibile è tutto ciò che è avvenuto prima: quali dati sono stati utilizzati, come ha funzionato il sistema, quali parametri sono stati applicati, quale intervento umano vi sia stato e quali controlli fossero previsti.

Quasi tutte queste informazioni sono normalmente nella disponibilità dell’impresa, del fornitore o del soggetto che utilizza la tecnologia, non della persona che lamenta il danno. È una evidente asimmetria informativa e il nuovo decreto prova a correggerla.

L’art. 17 stabilisce che, nelle azioni risarcitorie per danni cagionati nell’utilizzo di un sistema di intelligenza artificiale, il giudice possa ordinare all’altra parte, o anche al terzo che li possieda, di esibire gli elementi di prova pertinenti relativi al funzionamento del sistema, purché chi chiede l’esibizione presenti fatti ed elementi capaci di rendere verosimile la propria domanda, compreso il collegamento tra l’output dell’IA e il danno lamentato. (Leggi Edilizia.com)

Cosa potrà essere chiesto di esibire?

Il decreto è molto concreto. Tra i documenti e le informazioni che potranno essere acquisiti figurano i registri del sistema, i cosiddetti log, la documentazione relativa alla gestione dei rischi, la documentazione tecnica e le informazioni sui parametri e sulle modalità della sorveglianza umana. (Leggi Edilizia.com)

Questo passaggio, a mio avviso, è uno dei più importanti dell’intera riforma. Nei futuri contenziosi non sarà sufficiente dire: “Il software funzionava correttamente”. Potrebbe essere necessario dimostrarlo attraverso i dati che documentano concretamente il funzionamento del sistema.

Naturalmente il giudice non potrà ordinare indiscriminatamente la consegna di qualsiasi informazione. La richiesta deve essere necessaria e proporzionata e il decreto impone di tutelare i segreti commerciali e le altre informazioni riservate. Non viene quindi meno la protezione del know-how aziendale: si cerca piuttosto un equilibrio tra il diritto alla prova e la riservatezza delle informazioni tecniche. (Leggi Edilizia.com)

E se l’impresa non consegna i documenti?

Qui la disciplina diventa particolarmente incisiva.

Se la parte non esegue senza giustificato motivo l’ordine di esibizione, anche soltanto in parte, il giudice può trarne argomenti di prova ai sensi dell’art. 116 c.p.c. Ma quando l’inadempimento riguarda proprio la documentazione espressamente indicata dalla legge — log, gestione dei rischi, documentazione tecnica e sorveglianza umana — il giudice, dopo aver valutato gli altri elementi disponibili, può ritenere ammessi i fatti allegati dal danneggiato. (Leggi Edilizia.com)

Per un’impresa è una conseguenza da non sottovalutare. Non conservare correttamente la documentazione sul funzionamento di un sistema di IA potrebbe quindi diventare un problema non soltanto organizzativo o regolatorio, ma direttamente processuale.

Se a non adempiere all’ordine è invece un terzo, il decreto prevede una sanzione pecuniaria da 1.500 a 10.000 euro. (Leggi Edilizia.com)

La novità più forte: il nesso causale può essere presunto

Chi chiede un risarcimento deve normalmente dimostrare non soltanto il danno, ma anche che quel danno sia stato causato dalla condotta del soggetto convenuto. Nelle vicende che coinvolgono sistemi complessi di intelligenza artificiale questa prova può diventare estremamente difficile.

L’art. 18 introduce allora una presunzione importante: quando il danno deriva dalla violazione di uno o più obblighi previsti dall’AI Act, il nesso di causalità tra la violazione e il danno si presume, salvo prova contraria. (Leggi Edilizia.com)

La precisazione è fondamentale. Non significa che in qualunque controversia nella quale compaia un algoritmo il nesso causale sia automaticamente presunto. La regola opera quando il danno deriva dalla violazione di uno degli obblighi previsti dal Regolamento europeo.

Sarà quindi necessario individuare prima quale obbligo sia stato violato e dimostrare che quella violazione sia effettivamente rilevante rispetto al danno contestato. Solo allora opererà l’inversione prevista dalla norma, lasciando alla controparte la possibilità di fornire prova contraria.

“Il mio sistema era certificato”: potrebbe non bastare

Un altro passaggio merita attenzione. L’art. 19 stabilisce espressamente che la conformità del sistema agli obblighi previsti dal Regolamento europeo, anche quando sia certificata, non esclude di per sé la responsabilità del convenuto. (Leggi Edilizia.com)

È una regola ragionevole. Una certificazione dimostra il rispetto di determinati requisiti, ma non può trasformarsi automaticamente in una immunità civile rispetto a qualsiasi danno concreto.

Il principio ricorda, sotto certi aspetti, quello che già conosciamo in altri settori: rispettare uno standard costituisce certamente un elemento importante, ma il giudice deve comunque verificare ciò che è realmente accaduto nel caso specifico.

Si potrà agire direttamente contro l’assicurazione

Il decreto introduce anche un meccanismo particolarmente interessante sul piano pratico. Chi intende promuovere un’azione per danni da IA può chiedere preventivamente al soggetto ritenuto responsabile se disponga di una polizza di responsabilità civile relativa a quel danno.

Il destinatario della richiesta deve comunicare entro trenta giorni l’esistenza della polizza, i suoi estremi e la compagnia assicuratrice. In caso di mancata o incompleta risposta, il giudice potrà tenerne conto sul piano probatorio. Soprattutto, il nuovo art. 20 attribuisce al danneggiato azione diretta contro l’impresa di assicurazione, nei limiti del massimale previsto dal contratto. (Leggi Edilizia.com)

Anche questa è una novità destinata ad avere conseguenze concrete. La solvibilità del responsabile diventa meno centrale quando esiste una copertura assicurativa direttamente azionabile dal danneggiato.

Naturalmente l’assicurazione può opporre le eccezioni derivanti dal contratto anteriori al sinistro e conserva, nei casi previsti, il diritto di rivalsa nei confronti dell’assicurato. (Leggi Edilizia.com)

Un esempio pratico

Immaginiamo che un’impresa utilizzi un sistema di IA per valutare automaticamente determinate richieste dei clienti e che un errore produca un danno economico significativo.

Il cliente vede soltanto il risultato finale. Non sa quali dati siano stati utilizzati, quale versione del sistema fosse operativa, se vi siano stati errori, se fosse prevista una verifica umana o se qualcuno abbia modificato successivamente l’output.

Con la nuova disciplina, se riesce a fornire elementi sufficienti a rendere plausibile che il danno sia collegato al funzionamento del sistema, potrà chiedere al giudice di acquisire proprio queste informazioni.

Se poi emerge che è stato violato uno degli obblighi imposti dall’AI Act e che da quella violazione deriva il danno, il collegamento causale sarà presunto fino a prova contraria.

Non significa che il cliente abbia automaticamente vinto la causa. Significa però che non dovrà più affrontare da solo la quasi impossibile impresa di dimostrare dall’esterno ciò che è avvenuto all’interno di un sistema tecnologico controllato esclusivamente dalla controparte.

Il decreto riguarda soltanto le grandi piattaforme tecnologiche?

No, ed è forse uno degli equivoci più pericolosi.

Le nuove regole processuali dell’art. 17 riguardano le azioni, contrattuali o extracontrattuali, per danni cagionati nell’utilizzo di un sistema di intelligenza artificiale. Non sono quindi pensate soltanto per i grandi produttori internazionali di software. Possono interessare anche imprese che utilizzano professionalmente sistemi di IA nei propri processi decisionali o nei rapporti con clienti e utenti. (Leggi Edilizia.com)

Naturalmente gli obblighi concretamente applicabili dipenderanno dal tipo di sistema, dal ruolo ricoperto dal soggetto e dalle disposizioni dell’AI Act. Ma è un errore pensare che “noi usiamo soltanto software comprato da altri” sia sufficiente per escludere qualsiasi problema.

La questione sarà sempre: chi ha fatto cosa, con quale sistema e in violazione di quale obbligo?

Cosa dovrebbero fare adesso le imprese

Non credo serva reagire alla nuova normativa con il panico né con centinaia di pagine di procedure inutili. Serve però sapere quali sistemi di intelligenza artificiale vengono effettivamente utilizzati, per quali finalità e con quali conseguenze sulle persone.

Diventa soprattutto importante conservare la documentazione relativa al loro funzionamento, alle versioni utilizzate, agli eventuali controlli umani, agli incidenti e alle decisioni adottate. Se tra alcuni anni nasce una causa, sarà difficile ricostruire a posteriori ciò che un sistema faceva oggi se nessuno ne ha conservato traccia.

Le imprese dovrebbero inoltre verificare le proprie coperture assicurative. Il nuovo diritto di azione diretta del danneggiato rende ancora più importante comprendere se e in quale misura la polizza di responsabilità civile copra effettivamente danni connessi all’utilizzo dell’intelligenza artificiale. (Leggi Edilizia.com)

E il decreto contiene anche novità penali

Il d.lgs. n. 160/2026 non riguarda soltanto la responsabilità civile. Introduce e coordina anche disposizioni penali e modifica il d.lgs. n. 231/2001 sulla responsabilità degli enti, inserendo il nuovo art. 25-vicies relativo a reati commessi con l’uso di sistemi di intelligenza artificiale. Tra questi rientrano il nuovo art. 437-bis c.p., relativo a determinate omissioni e alterazioni riguardanti sistemi di IA ad alto rischio, e il reato di diffusione illecita di contenuti generati o alterati con l’intelligenza artificiale previsto dall’art. 612-quater c.p. (Cosimo.dev)

È però un capitolo diverso e merita un approfondimento autonomo. Per chi si occupa di responsabilità civile, la novità più immediata resta il nuovo sistema della prova.

Attenzione: non nasce una responsabilità automatica per l’intelligenza artificiale

È probabilmente la precisazione più importante.

Dal 30 settembre non sarà sufficiente dire: “Mi ha danneggiato un algoritmo, quindi devo essere risarcito”.

Il danneggiato dovrà comunque allegare fatti concreti, individuare il danno e costruire una domanda sufficientemente plausibile. L’ordine di esibizione non è uno strumento esplorativo senza limiti: il giudice deve verificare pertinenza, necessità e proporzionalità e proteggere le informazioni riservate. Anche la presunzione del nesso causale opera soltanto nelle condizioni espressamente previste dalla legge. (Leggi Edilizia.com)

La riforma cerca quindi di riequilibrare la posizione delle parti senza trasformare chi sviluppa o utilizza sistemi di IA in un assicuratore universale di qualsiasi risultato negativo.

In conclusione

Il d.lgs. 9 settembre 2026, n. 160, pubblicato appena due giorni fa e destinato a entrare in vigore il 30 settembre, segna un passaggio importante nella responsabilità civile legata all’intelligenza artificiale. (Gazzetta Ufficiale)

La vera novità non è una nuova definizione astratta di responsabilità. È molto più concreta: chi lamenta un danno potrà accedere più facilmente alle prove che normalmente sono esclusivamente nelle mani di chi controlla il sistema; in presenza della violazione degli obblighi dell’AI Act il nesso causale potrà essere presunto; la certificazione di conformità non basterà da sola a escludere la responsabilità e, se esiste una polizza, il danneggiato potrà agire direttamente contro l’assicuratore.

In un settore nel quale spesso il principale ostacolo non è sapere che un danno si è verificato, ma riuscire a capire perché si è verificato, il cambiamento è tutt’altro che marginale.

E c’è una conseguenza pratica anche per chi utilizza professionalmente sistemi di intelligenza artificiale: in futuro non sarà importante soltanto poter dire di aver rispettato le regole. Sarà importante essere in grado di dimostrarlo.

Per informazioni e assistenza sull’argomento, info@studiotantalofornari.it e 0632609190 (anche Whatsapp).

Tag: intelligenza artificiale, AI Act, responsabilità civile, danni da intelligenza artificiale, risarcimento danni, prova, algoritmi, imprese, assicurazione, d.lgs. 160/2026, diritto civile, Luca Tantalo, ADR Center

Pubblicato il

Modello 231: perché un’azienda dovrebbe pensarci prima di avere un problema

Non è solo un documento di compliance: può proteggere l’impresa da sanzioni, danni reputazionali e rischi nei rapporti con clienti, banche e Pubblica Amministrazione

Molte imprese sentono parlare del Modello 231 solo quando devono partecipare a una gara, quando un grande cliente lo richiede, quando una banca o un partner commerciale chiede garanzie organizzative, oppure quando emerge un problema interno. In realtà, il D.Lgs. 8 giugno 2001, n. 231 dovrebbe essere conosciuto molto prima, perché riguarda un tema essenziale per qualsiasi azienda strutturata: la possibilità che anche la società risponda per alcuni reati commessi nel suo interesse o vantaggio da amministratori, dirigenti, dipendenti o collaboratori.

La responsabilità prevista dal D.Lgs. 231/2001 viene definita “responsabilità amministrativa degli enti”, ma nasce da un reato, viene accertata nel processo penale e può comportare conseguenze molto pesanti per l’impresa. Non è, quindi, una questione puramente formale. Il Ministero della Giustizia richiama espressamente il decreto come disciplina della responsabilità amministrativa delle persone giuridiche, delle società e delle associazioni anche prive di personalità giuridica; la stessa disciplina prevede anche specifiche esclusioni, come lo Stato, gli enti pubblici territoriali, gli enti pubblici non economici e gli enti che svolgono funzioni di rilievo costituzionale.

Il meccanismo, in termini semplici, è questo: se una persona che opera nell’organizzazione commette uno dei reati previsti dal decreto nell’interesse o a vantaggio dell’ente, non risponde soltanto la persona fisica che ha materialmente commesso il fatto. Può essere chiamata a rispondere anche l’impresa. Pensiamo, per esempio, a ipotesi di corruzione, reati societari, reati tributari, violazioni in materia di sicurezza sul lavoro, reati ambientali, riciclaggio, autoriciclaggio, reati informatici o altre fattispecie che nel tempo sono state inserite nel catalogo dei cosiddetti reati-presupposto. Il catalogo è stato progressivamente ampliato e continua a essere aggiornato, con nuove aree di rischio che possono incidere su settori molto diversi dell’attività aziendale.

Questo è il primo punto da chiarire: la 231 non riguarda solo le grandi società o le imprese che lavorano stabilmente con la Pubblica Amministrazione. Può interessare anche PMI, imprese familiari strutturate, società edili, aziende con dipendenti, imprese che partecipano ad appalti o subappalti, società che ricevono contributi pubblici, realtà esposte a rischi ambientali o di sicurezza, enti del terzo settore, società sportive e organizzazioni che si avvalgono di consulenti, agenti, fornitori o collaboratori esterni.

Le conseguenze possono essere molto serie. Oltre alle sanzioni pecuniarie, la società può subire sanzioni interdittive, come il divieto di contrattare con la Pubblica Amministrazione, la sospensione o revoca di autorizzazioni, l’esclusione da agevolazioni, finanziamenti o contributi, il divieto di pubblicizzare beni o servizi e, nei casi più gravi, l’interdizione dall’esercizio dell’attività. A queste conseguenze possono aggiungersi la confisca del profitto del reato e la pubblicazione della sentenza. Il problema, quindi, non è solo pagare una sanzione: per un’impresa, una contestazione 231 può significare perdita di commesse, blocco operativo, danno reputazionale, difficoltà nei rapporti con banche, clienti, fornitori e partner commerciali.

Lo strumento principale previsto dal decreto è il Modello di organizzazione, gestione e controllo, comunemente chiamato Modello 231. Si tratta di un sistema organizzativo costruito sulla specifica realtà aziendale, con l’obiettivo di individuare le aree a rischio e adottare procedure idonee a prevenire la commissione dei reati. Le Linee Guida di Confindustria, aggiornate nel 2021 e approvate dal Ministero della Giustizia, rappresentano uno dei riferimenti più utilizzati per la costruzione dei modelli organizzativi.

Un Modello 231 serio non è un documento standard da copiare e firmare. Deve partire da una mappatura concreta dell’attività aziendale: come vengono gestiti acquisti, pagamenti, consulenze, appalti, rapporti con la Pubblica Amministrazione, sicurezza sul lavoro, adempimenti fiscali, gestione ambientale, flussi finanziari, deleghe, procure, poteri decisionali e rapporti con soggetti esterni. Solo dopo questa analisi si possono costruire procedure realmente utili. Un modello generico, non aggiornato o non applicato rischia di non servire proprio nel momento in cui dovrebbe proteggere l’impresa.

Di solito, un Modello 231 comprende una parte generale, una o più parti speciali dedicate alle aree di rischio, un Codice Etico, un sistema disciplinare, protocolli operativi, flussi informativi verso l’Organismo di Vigilanza, procedure di controllo e attività di formazione. L’efficace attuazione del modello richiede anche verifiche periodiche e aggiornamenti quando cambiano l’organizzazione, l’attività aziendale o il quadro normativo. Questo è un punto spesso trascurato: adottare un modello e lasciarlo fermo per anni significa indebolirne la funzione preventiva.

Oggi il Modello 231 deve dialogare anche con il tema del whistleblowing. Il D.Lgs. 24/2023 ha introdotto regole specifiche sui canali interni di segnalazione e l’ANAC ha approvato, con delibera n. 478 del 26 novembre 2025, Linee Guida sui canali interni di segnalazione, con l’obiettivo di favorire un’applicazione uniforme ed efficace della normativa. Per molte imprese, quindi, compliance 231 e whistleblowing non sono mondi separati: devono essere coordinati in modo coerente, chiaro e concretamente utilizzabile.

È importante chiarire un altro equivoco frequente: il Modello 231, in linea generale, non è obbligatorio per tutte le imprese. Questo però non significa che sia irrilevante. In molti casi può diventare fortemente opportuno e, nella pratica, quasi necessario. Può essere richiesto nei rapporti con grandi clienti, nelle gare, nei rapporti con gruppi societari, banche, investitori o partner commerciali. Soprattutto, può rappresentare uno strumento difensivo fondamentale se l’azienda viene coinvolta in un procedimento. La domanda, quindi, non è solo “sono obbligato ad adottarlo?”, ma “la mia azienda può permettersi di non averlo?”.

Per questo, il primo servizio utile per un’azienda non è sempre la predisposizione immediata di un Modello 231 completo, ma un check-up preliminare. Una verifica iniziale consente di capire se l’impresa è esposta a rischi significativi, quali aree sono più sensibili, quali procedure esistono già, quali mancano e dove si trovano le principali criticità. Da questa analisi può emergere la necessità di adottare un modello completo, aggiornare un modello già esistente, predisporre nuove procedure interne, rivedere il Codice Etico, formare il personale, istituire o rafforzare l’Organismo di Vigilanza, adeguare il sistema whistleblowing o inserire clausole 231 nei contratti con fornitori, consulenti, agenti e appaltatori.

Un profilo spesso sottovalutato è proprio quello contrattuale. L’impresa può ridurre i rischi anche attraverso clausole che impongano a fornitori, consulenti, agenti, appaltatori e partner il rispetto del Codice Etico, del Modello 231, delle norme anticorruzione, delle regole in materia di sicurezza, ambiente, tracciabilità dei pagamenti e correttezza nei rapporti commerciali. In determinati casi può essere opportuno prevedere obblighi informativi, dichiarazioni di conformità, facoltà di audit e clausole risolutive espresse in caso di violazioni gravi. La 231, quindi, non riguarda solo l’organizzazione interna: incide anche sul modo in cui l’azienda costruisce i propri rapporti commerciali.

La formazione è un altro elemento decisivo. Un Modello 231 non funziona se resta sconosciuto a chi lavora nell’impresa. Amministratori, dirigenti, dipendenti e collaboratori devono sapere quali comportamenti sono vietati, quali procedure devono seguire, a chi devono segnalare anomalie e quali conseguenze possono derivare da una violazione. La formazione non deve essere solo una riunione formale con firma di presenza, ma un momento realmente utile per far comprendere i rischi concreti dell’attività aziendale.

In sintesi, la 231 dovrebbe essere vista non come un costo burocratico, ma come uno strumento di protezione dell’impresa. Serve a prevenire rischi, migliorare l’organizzazione interna, rendere più controllabili i processi decisionali, rafforzare l’affidabilità nei confronti di clienti e partner e ridurre l’esposizione della società in caso di contestazioni. Una grande società industriale, una piccola impresa edile, una società commerciale, una cooperativa, un ente del terzo settore o una società che partecipa a gare pubbliche hanno esigenze diverse. Proprio per questo è importante evitare soluzioni standard e partire sempre dall’analisi concreta dell’attività svolta.

Il primo passo, quindi, è semplice: capire se l’azienda è esposta a rischi 231 e quali presidi organizzativi siano davvero necessari. Da lì si può costruire un percorso proporzionato, sostenibile e utile, che non appesantisca inutilmente l’impresa, ma la renda più sicura, più ordinata e più affidabile. Perché il Modello 231 serve davvero solo se è pensato per l’azienda reale, non per l’azienda astratta descritta in un documento uguale per tutti.

Per informazioni e consulenze, info@studiotantalofornari.it e 0632609190 (anche Whatsapp)