a cura di Rossella Ceccarini
Il d.lgs. n. 160/2026, in vigore dal 30 settembre 2026, segna un passaggio decisivo nella disciplina italiana dell’intelligenza artificiale, portando sul terreno della responsabilità penale, amministrativa degli enti e civile obblighi che finora erano letti soprattutto in chiave di compliance tecnologica. L’intervento si colloca nel quadro di adeguamento all’AI Act e introduce un assetto più severo per chi sviluppa, integra od utilizza sistemi di IA, soprattutto quando l’automazione incide su sicurezza, diritti delle persone e processi decisionali sensibili.
La novità più rilevante sul versante penale è l’introduzione dell’art. 437-bis c.p., che incrimina l’omessa adozione delle misure di sicurezza e di sorveglianza umana richieste per i sistemi di IA ad alto rischio, nonché l’alterazione illecita degli stessi. La logica della norma è chiara: il presidio umano non è più soltanto una regola organizzativa, ma diventa un vero punto di emersione della responsabilità penale. Quando dalla condotta derivi un pericolo per l’incolumità pubblica o individuale, la pena va da uno a cinque anni; se il pericolo riguarda la sicurezza dello Stato, la cornice sale da due a otto anni, con aggravamento nei casi di alterazione dolosa. Accanto a questa nuova fattispecie, entra nel sistema anche il reato di illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale, previsto dall’art. 612-quater c.p. La norma punisce, con la pena della reclusione da uno a cinque anni, chi cagiona un danno ingiusto cedendo, pubblicando o diffondendo, senza consenso, immagini, video o voci falsificati o alterati mediante IA e idonei ad indurre in inganno sulla loro genuinità. Il delitto è punibile a querela della persona offesa, salvo i casi in cui si procede d’ufficio, tra cui l’ipotesi di connessione con altro delitto procedibile d’ufficio o la commissione del fatto nei confronti di persone incapaci o di una pubblica autorità a causa delle funzioni esercitate.
Il decreto del 2026 non si limita, però, ad introdurre nuove figure incriminatrici. L’intervento incide direttamente anche sulla responsabilità amministrativa degli enti ai sensi del d.lgs. n. 231/2001, ampliando il catalogo dei reati presupposto. In particolare, il nuovo art. 25-vicies richiama l’art. 437-bis c.p. e l’art. 612-quater c.p., con conseguente esposizione dell’ente a sanzioni pecuniarie ed interdittive quando il fatto sia commesso nel suo interesse od a suo vantaggio. Tra le misure interdittive assumono rilievo il divieto di contrattare con la pubblica amministrazione, la sospensione o revoca di licenze ed autorizzazioni e gli altri effetti tipici del sistema 231, che possono incidere in modo significativo sulla continuità operativa dell’impresa. In generale, il quadro delle sanzioni interdittive si inserisce nella disciplina del d.lgs. n. 231/2001 già vigente mentre, sul piano penalistico, resta fermo anche il sistema delle pene accessorie codicistiche, tra cui l’interdizione dagli uffici direttivi delle persone giuridiche e delle imprese nei casi previsti dalla legge. Sul piano pratico, la riforma impone una revisione sostanziale dei Modelli di organizzazione, gestione e controllo. Le imprese che utilizzano sistemi di IA, soprattutto ad alto rischio, dovranno aggiornare la mappatura dei processi sensibili, introdurre protocolli sulla sorveglianza umana, rafforzare la tracciabilità delle decisioni automatizzate e disciplinare in modo più rigoroso accessi, modifiche, validazione e monitoraggio dei sistemi. Il rischio-reato legato all’IA non riguarda infatti solo l’area tecnica, ma coinvolge governance, controlli interni, formazione del personale, gestione documentale e flussi informativi verso l’Organismo di vigilanza.
Il terzo pilastro del d.lgs. n. 160/2026 riguarda la responsabilità civile ed il risarcimento del danno da decisioni automatizzate o da uso scorretto di sistemi di IA. Il legislatore interviene anzitutto sul problema dell’asimmetria informativa, attribuendo al giudice il potere di ordinare l’esibizione di registri, documentazione tecnica e log relativi alla sorveglianza umana; se il soggetto obbligato non adempie, il giudice può ritenere ammessi i fatti allegati dall’istante. È una novità di rilievo, perché trasforma la qualità della documentazione tecnica in un fattore decisivo non solo per la compliance, ma anche per la difesa in giudizio. Sempre in chiave di tutela del danneggiato, il decreto introduce una presunzione relativa di nesso causale tra la violazione degli obblighi previsti dall’AI Act e il danno subito. Il meccanismo alleggerisce l’onere probatorio in un ambito in cui la ricostruzione tecnica del funzionamento algoritmico è spesso particolarmente complessa. Allo stesso tempo, viene chiarito che la mera conformità formale all’AI Act non esclude automaticamente la responsabilità civile: la regolarità regolatoria resta un elemento importante, ma non basta da sola a neutralizzare la pretesa risarcitoria.
Advisora