Cosa devi sapere sulle nuove norme in merito a danni causati da IA e risarcimento, Autorità di controllo, lavoro, salute e sicurezza, formazione e protezione del know-how
![Come sappiamo, l’Italia si era già dotata lo scorso anno della propria legge italiana sull’intelligenza artificiale (legge 132/2025), che aveva anche delegato il Governo per l’adeguamento ulteriore all’AI Act europeo (reg. UE 2024/1689). Ora ha aggiunto un altro tassello alla propria normativa nazionale, con l’approvazione di due decreti legislativi di adeguamento [...]](/Newsletter/decreti%20attuativi%20AI.png)
- d.lgs. 9 settembre 2026, n. 160, in vigore dal 30 settembre 2026, che si occupa soprattutto dell’uso dell'IA nelle attività di polizia, nuovi reati e strumenti processuali penali, strumenti processuali civili per il risarcimento del danno da IA, responsabilità degli enti ex D.Lgs. 231/2001
- d.lgs. 7 ottobre 2026, n. 179, con entrata in vigore fissata al 23 ottobre 2026, dedicato soprattutto alla governance nazionale dell’AI Act, poteri delle Autorità nazionali competenti (AgID e ACN), sanzioni, tutele sul lavoro, sicurezza e formazione e proprietà industriale
D.lgs. 9 settembre 2026, n. 160
Il decreto costituisce un intervento di adeguamento all’AI Act focalizzato su alcuni usi sensibili dell’IA, quali
A. Uso dell'IA nell'attività di polizia
Il decreto richiama, innanzitutto, alcuni principi generali:
- approccio antropocentrico
- proporzionalità
- non discriminazione
- sorveglianza umana.
Il decreto vieta alimentare banche dati biometriche mediante raccolta massiva e indiscriminata di immagini dal web, da sistemi di videosorveglianza o con tecniche di scraping non mirato.
Un punto particolarmente sensibile riguarda l’identificazione biometrica remota in tempo reale, cioè l’uso di sistemi capaci di riconoscere una persona mentre i fatti stanno accadendo. Questa possibilità non è ammessa in via ordinaria, ma solo solo dopo specifica autorizzazione preventiva nel rispetto di una specifica procedura e solo in ipotesi circoscritte, come quando ci siano minacce specifiche e concrete alla vita o all’incolumità fisica o ricerca di vittime di determinati reati.
Diverso è il caso del riconoscimento facciale “a posteriori”, cioè effettuato dopo che il fatto si è già verificato. Qui il decreto distingue diverse ipotesi, nei casi di ricerca mirata di un indiziato, identificazione iniziale di soggetto ignoto dopo il reato, per luoghi o eventi a rischio.
B. Nuovi profili penali
Il decreto interviene anche sul terreno penale. Introduce nuove fattispecie incriminatrici, quali l’art. 437-bis c.p., relativo a omessa adozione di misure di sicurezza nei sistemi di IA e alterazione illecita dei sistemi di IA.
C. Danni causati da sistemi di IA e strumenti per ottenere il risarcimento
Questo è uno dei nuclei più rilevanti del decreto. Il decreto non riscrive in modo autonomo la responsabilità civile da IA, ma introduce strumenti processuali per rendere più facile ottenere tutela e aiutare chi chiede il risarcimento, soprattutto quando capire come ha funzionato il sistema è difficile perché le informazioni sono nelle mani del fornitore o dell’utilizzatore.
Restano quindi applicabili le norme generali ordinarie, quali gli artt. 2043, 2050 e 2051 c.c., mentre ci sono strumenti processuali specifici.
In concreto, cosa cambia?
Le nuove regole si applicano alle cause per risarcimento dei danni causati dall’uso di sistemi di IA, sia in ambito contrattuale sia extracontrattuale:
se la persona danneggiata è un consumatore, può fare causa anche davanti al giudice del luogo in cui risiede o ha domicilio il giudice può ordinare alla controparte o a un terzo di mostrare documenti e informazioni sul funzionamento del sistema di IA tra i materiali che possono essere richiesti ci sono, ad esempio, registri, documentazione tecnica, documenti sulla gestione dei rischi e informazioni sulla supervisione umana questo accesso alle prove, però, non è illimitato: deve essere necessario, proporzionato e deve tener conto della tutela dei segreti commerciali e delle informazioni riservate.
Se chi ha i documenti non collabora
Se il destinatario dell’ordine del giudice non esibisce i documenti senza giustificato motivo, ciò può danneggiarlo nel processo:
il giudice può valutare negativamente quel comportamento in alcuni casi può addirittura ritenere provati i fatti allegati dal danneggiato se a non obbedire è un terzo, può essere applicata una sanzione pecuniaria da 1.500 a 10.000 euro.
Se vengono violate le regole dell’AI Act, provare il nesso col danno è più facile
Quando il danno deriva dalla violazione di obblighi previsti dall’AI Act, il decreto aiuta il danneggiato anche sotto un altro profilo perché prevede una presunzione relativa: il collegamento tra la violazione e il danno si presume, salvo prova contraria.
Ciò significa che non è sempre il danneggiato a dover dimostrare tutto da zero.
La certificazione non basta a escludere la responsabilità
Il decreto chiarisce che il fatto che il sistema sia dichiarato conforme all’AI Act, o persino certificato, non basta da solo a escludere la responsabilità. Quindi “essere a norma” non significa automaticamente “non essere responsabili”.
Il danneggiato può agire anche contro l’assicurazione
Il decreto prevede anche che il danneggiato possa agire direttamente contro l’impresa assicuratrice del responsabile, nei limiti della copertura assicurativa prevista dal contratto. Questo serve a rendere più concreta la tutela risarcitoria, ma il responsabile deve comunque partecipare al giudizio.
D. Responsabilità amministrativa degli enti ex d.lgs.231/2001
Cambiano anche i modelli 231 delle imprese. Il decreto introduce l’art. 25-vicies nel D.Lgs. 231/2001, modificando l’elenco dei reati presupposto interessati dalla norma, che ora comprende anche i nuovi reati collegati all’uso dei sistemi di IA.
Sul piano organizzativo, dunque, emerge la necessità di aggiornare i modelli D.Lgs. 231/2001 soprattutto in relazione a sicurezza dei sistemi ad alto rischio, sorveglianza umana, gestione dei contenuti sintetici.
D.lgs. 7 ottobre 2026, n. 179
Il d.lgs. 179/2026 è il decreto che organizza, in concreto, come l’Italia applica l’AI Act. Se il d.lgs. 160/2026 di cui abbiamo parlato sin qui si concentra soprattutto su polizia, processo, responsabilità civile e profili penali, il d.lgs. 179/2026 riguarda invece soprattutto la governance dell’intelligenza artificiale, cioè chi controlla, chi vigila, chi sanziona e quali regole organizzative valgono nei diversi settori.
Si occupa, dunque, principalmente di:
A. Chi controlla l'IA in Italia
Uno degli aspetti più importanti del decreto è che individua chi deve fare cosa nel sistema italiano dell’IA. Non c’è un solo soggetto competente per tutto, ma l’idea è di un sistema articolato di autorità con compiti diversi che devono collaborare.
In particolare:
AgID è l’autorità nazionale di notifica, cioè il soggetto che si occupa della valutazione e del controllo degli organismi che certificano la conformità dei sistemi di IA ACN è l’autorità di vigilanza del mercato e il punto di contatto unico nazionale per alcuni settori specifici, soprattutto quello finanziario, intervengono anche Banca d’Italia, CONSOB e IVASS il Garante per la protezione dei dati personali mantiene competenze specifiche nei casi previsti dall’AI Act
B. Controlli più forti e possibilità di reclamo
Il decreto prevede un sistema di vigilanza abbastanza ampio. Le autorità possono intervenire di loro iniziativa o a seguito di segnalazioni, reclami o incidenti.
In concreto, possono:
chiedere documenti e informazioni svolgere ispezioni fare controlli a distanza o sul posto verificare come funzionano i sistemi di IA e se rispettano le regole
Il decreto disciplina anche i reclami, cioè la possibilità per gli interessati di rivolgersi all’autorità competente quando ritengono che vi sia una violazione delle regole applicabili all’intelligenza artificiale.
Un altro punto centrale del decreto è il sistema sanzionatorio. In linea con l’AI Act, sono previste sanzioni molto elevate, che possono arrivare a importi particolarmente consistenti nei casi più gravi
C. Spazi di sperimentazione
Cerca anche di favorire l’innovazione in modo controllato attraverso i cosiddetti sandbox o spazi di sperimentazione. Il decreto introduce, infatti, lo Spazio di sperimentazione italiano per l’IA, cioè una sorta di ambiente controllato nel quale fornitori e sviluppatori possono testare sistemi di intelligenza artificiale prima dell’immissione sul mercato o del loro uso su larga scala.
Lo scopo è aiutare chi innova ma anche evitare che la sperimentazione avvenga senza controlli.
D. Rapporti di lavoro: decide la persona, non solo l'algoritmo
Il decreto dedica molta attenzione anche al rapporto tra intelligenza artificiale e lavoro. Il principio più importante è che, nei processi decisionali che riguardano il rapporto di lavoro, la decisione finale non può essere presa soltanto da un sistema automatizzato.
Vale, in particolare, per le decisioni relative a assunzione, modifica o cessazione del rapporto, provvedimenti disciplinari, valutazioni delle prestazioni.
Il decreto richiede quindi che la decisione finale sia comunque rimessa a una persona fisica con un potere effettivo e autonomo.
Inoltre, il lavoratore deve essere informato dell’uso di sistemi di IA e ha diritto a ricevere una motivazione comprensiva, sempre nel rispetto della dignità, riservatezza e principio di non discriminazione.
E. Salute e sicurezza sul lavoro
Il decreto guarda all’intelligenza artificiale anche come possibile fattore di rischio.
L’IA, infatti, viene considerata anche dal punto di vista della salute e sicurezza nei luoghi di lavoro. In particolare, quando l’uso dell’IA incide sull’organizzazione del lavoro, sui ritmi produttivi o su decisioni rilevanti per la sicurezza, questi profili devono essere presi in considerazione nella valutazione dei rischi.
Il datore di lavoro deve inoltre assicurare ai lavoratori:
adeguata informazione formazione sui rischi specifici connessi all’uso dei sistemi di IA
F. Più formazione a scuola, nelle professioni e nella PA
Il decreto dedica un intero gruppo di norme alla formazione e all’alfabetizzazione sull’IA. L’idea di fondo è che le regole, da sole, non bastano: per usare bene l’IA occorre anche comprenderla.
Per questo il decreto interviene su più livelli:
scuola, con attività formative e aggiornamento delle linee guida università e ricerca, con percorsi che integrano profili tecnici, giuridici ed etici pubblica amministrazione, con programmi di formazione del personale professioni, con percorsi di alfabetizzazione e formazione continua sanità e giustizia, con specifici percorsi formativi per operatori e professionisti
L’intelligenza artificiale non può essere vista solo come un tema tecnologico, ma anche come un tema di cultura giuridica, amministrativa e professionale.
G. Protezione del know-how, degli algoritmi e dei dati di addestramento
Il decreto affronta anche il tema della tutela di dati, algoritmi e metodi matematici usati per sviluppare o addestrare sistemi di intelligenza artificiale. Chiarisce che anche questi elementi possono rientrare tra le informazioni protette come segreti commerciali, purché ricorrano le condizioni richieste dalla legge.
Una nota conclusiva: tieni presente che molte parti del sistema richiedono ancora decreti attuativi, regolamenti e linee guida successive per funzionare pienamente. Quindi, anche se il decreto costruisce già l’architettura generale, per diversi profili operativi occorreranno ulteriori passaggi applicativi.
Iscriviti alla nostra newsletter
Per ricevere novità e approfondimenti sul tema della conformità delle organizzazioni (aziende, studi professionali, associazioni, enti): contratti, privacy, regole del digitale, sostenibilità, modello 231.
