Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
C'è una convinzione diffusa che conviene smontare subito: molti pensano che dimostrare un danno causato da un sistema di intelligenza artificiale sia diventato più semplice solo perché ora "c'è una legge". Non è così. La legge non risolve il problema da sola: offre strumenti nuovi, ma quegli strumenti vanno attivati nel modo giusto e nel momento giusto. Chi non li usa correttamente si ritrova nella stessa posizione di prima. La responsabilità civile per danni da intelligenza artificiale in Italia ha cambiato volto dal 30 settembre 2026, ma la differenza tra vincere e perdere una causa si misura ancora nei dettagli processuali.
Cosa cambia dal 30 settembre 2026 per chi è stato danneggiato da una decisione automatizzata?
Il D.Lgs. 9 settembre 2026, n. 160, pubblicato nella Gazzetta Ufficiale n. 214 del 15 settembre 2026, adegua l'ordinamento nazionale al Regolamento (UE) 2024/1689, il cosiddetto AI Act. Dal 30 settembre 2026 chi subisce un danno nell'utilizzo di un sistema di intelligenza artificiale dispone di strumenti processuali che prima non esistevano: un ordine di esibizione della documentazione tecnica, una presunzione legale del nesso causale e un'azione diretta contro l'assicuratore del responsabile. Detto in modo ancora più diretto: se prima il danneggiato doveva smontare da solo una macchina opaca per dimostrare che quella macchina lo aveva colpito, oggi la legge presume il collegamento — e tocca all'altra parte smentirlo.
Il prima e il dopo: perché queste cause erano quasi impossibili
Per capire la portata della riforma, vale la pena guardare indietro. Fino al 29 settembre 2026, chi subiva un danno da un algoritmo — un credito negato, un profilo assicurativo peggiorato, una diagnosi sbagliata generata da un software medico, un licenziamento basato su un sistema di scoring automatico — doveva dimostrare in giudizio tre cose: l'esistenza del danno, la condotta illecita e, soprattutto, il nesso causale, cioè il collegamento diretto tra quella condotta e il danno subito. Su quest'ultimo punto si perdevano quasi tutte le cause. Il sistema di IA è una "scatola nera": l'algoritmo elabora centinaia di variabili secondo logiche non trasparenti, i log (i registri di attività del sistema) erano nella disponibilità esclusiva dell'azienda convenuta, e il giudice non aveva strumenti per ordinarne l'esibizione in modo efficace. Il risultato era che il danneggiato si trovava a dover provare qualcosa che per definizione non poteva vedere.
Cass. civ., Sez. I, ord. 18 marzo 2026, n. 6433 aveva già messo in luce il problema sul versante della motivazione: la Suprema Corte ha precisato che il rigetto di una domanda risarcitoria non può fondarsi su motivazioni solo apparenti, prive di un concreto esame del pregiudizio allegato. Una pronuncia importante, che però operava a valle — quando il giudice di merito aveva già deciso male. Il decreto 160/2026 interviene a monte, sul piano probatorio, prima ancora che si arrivi alla valutazione del danno.
La presunzione del nesso causale: cosa dice l'art. 18 e cosa non dice
Quando il danno deriva dalla violazione di uno o più obblighi previsti dall'AI Act, il nesso di causalità tra la violazione e il danno è presunto, salvo prova contraria. Un'inversione dell'onere della prova che rende molto più difficile difendersi senza una documentazione solida.
Attenzione, però, a non sovrastimare la portata della norma. La presunzione riguarda specificamente il nesso causale tra la violazione degli obblighi dell'AI Act e il danno: restano da verificare gli altri elementi della responsabilità, e in particolare la concreta configurazione dell'illecito, l'esistenza del danno e gli ulteriori presupposti richiesti dalla disciplina applicabile. La presunzione è relativa e non esonera il danneggiato dall'allegazione e dalla prova del danno e della violazione, riequilibrando il processo esclusivamente sul versante della causalità.
Tradotto: il danneggiato deve ancora dimostrare che c'è un danno reale e che il gestore del sistema ha violato un obbligo dell'AI Act. Solo una volta che questi due elementi sono allegati in modo plausibile, scatta la presunzione: il nesso causale non va provato, ma è l'azienda convenuta a dover dimostrare che quella violazione non ha prodotto il danno. Un ribaltamento significativo, non una liberatoria.
Appare necessaria una lettura teleologica, che limiti la presunzione alle violazioni di norme il cui scopo di protezione ricomprenda il pregiudizio concretamente verificatosi, secondo un criterio familiare alla dottrina della causalità normativa. In pratica: se l'obbligo violato non era pensato per proteggere dal tipo di danno subito, la presunzione non scatta. Questo sarà il terreno di scontro principale nei prossimi contenziosi.
L'art. 17 e l'ordine di esibizione: lo strumento che cambia davvero le carte in tavola
Qui sta il punto che molti commentatori trascurano — e che invece un avvocato che segue questi contenziosi considera decisivo. Se la domanda è verosimile, il giudice ordina alla controparte o al terzo che ne dispone di esibire gli elementi di prova pertinenti sul funzionamento del sistema: registri (log), gestione dei rischi, documentazione tecnica, parametri di supervisione umana. L'ordine deve essere necessario e proporzionato e tutelare i segreti commerciali.
L'effetto in caso di inadempimento è ancora più incisivo. Se la parte non adempie senza giustificato motivo, il giudice ne trae argomenti di prova; se l'inadempimento riguarda la documentazione indicata dalla norma, valutato ogni altro elemento di prova, ritiene ammessi i fatti allegati dal danneggiato. Per il terzo inadempiente è prevista una pena pecuniaria. Il terzo che non esibisce rischia una pena pecuniaria.
Significa che l'ordine di esibizione non è uno strumento "difensivo" da attivare se l'azienda si fa troppo reticente: è il primo atto offensivo da inserire già nell'atto introduttivo del giudizio. Chi aspetta la seconda udienza per chiederlo rischia di perdere un'occasione irripetibile, perché nel frattempo i log possono essere stati sovrascritti, aggregati o resi irrecuperabili per motivi tecnici. Nelle pratiche che seguiamo in materia di diritto digitale, l'errore più frequente è precisamente questo: presentare l'istanza di esibizione troppo tardi, quando la documentazione non esiste più nella forma utilizzabile dal giudice.
La conformità all'AI Act non esime dalla responsabilità: il significato pratico dell'art. 19
La conformità di un sistema di intelligenza artificiale agli obblighi dell'AI Act, anche quando certificata secondo le procedure previste dal Regolamento europeo, non esclude di per sé la responsabilità del convenuto. Questa disposizione vale più di quanto sembri. Le grandi aziende tecnologiche hanno investito risorse significative per ottenere certificazioni di conformità ai sensi dell'AI Act. La difesa più scontata in un contenzioso sarebbe stata: "il nostro sistema è certificato, quindi non abbiamo violato nulla". L'art. 19 chiude quella porta. La certificazione è rilevante, ma non è uno scudo assoluto: il giudice può comunque accertare che, pur in presenza di conformità formale, il danno si è prodotto e la responsabilità sussiste.
È un principio che ricorda il brocardo latino summum ius summa iniuria — il rispetto formale della norma può coesistere con un'ingiustizia sostanziale — e che il legislatore delegato ha tradotto in una regola positiva.
Come scriveva Rodotà, il diritto nell'era digitale deve misurarsi con i fatti concreti delle persone, non con le certificazioni delle macchine. L'art. 19 è esattamente questo: una norma che rimette il danneggiato al centro, al di là della burocrazia delle conformità.
Come si chiede il risarcimento per un danno causato da un algoritmo o sistema di IA?
La sequenza pratica, dal 30 settembre 2026, è questa. Primo: identificare quale sistema di IA ha prodotto il danno e quale obbligo dell'AI Act è stato violato (ad esempio: mancata supervisione umana per un sistema ad alto rischio, assenza della documentazione tecnica richiesta, opacità nei confronti dell'utente). Secondo: allegare il danno con precisione — non basta un danno generico, servono elementi concreti, possibilmente documentati. Terzo: depositare sin dal primo atto l'istanza di esibizione ai sensi dell'art. 17, descrivendo i documenti richiesti: log del sistema, registro dei rischi, parametri di addestramento, eventuali rapporti di supervisione umana.
Il danneggiato può chiedere al presunto responsabile se è assicurato — con risposta dovuta entro trenta giorni — e ha azione diretta contro l'assicuratore nei limiti del massimale. Il decreto non introduce però un obbligo di assicurazione. Questo significa che la copertura assicurativa potrebbe non esserci: in quel caso l'azione si esercita direttamente contro il soggetto responsabile, senza possibilità di rivalsa immediata sull'assicuratore.
Un dato concreto da tenere presente: i sistemi di IA classificati come "ad alto rischio" ai sensi dell'AI Act — tra cui i sistemi usati in ambito creditizio, occupazionale, sanitario, scolastico e di ordine pubblico — sono soggetti agli obblighi più stringenti. È su queste categorie che la presunzione dell'art. 18 ha il maggiore impatto pratico, perché la violazione di quegli obblighi è più facilmente documentabile e il danno conseguente più frequente.
Domande frequenti
Cosa cambia dal 30 settembre 2026 per chi è stato danneggiato da una decisione automatizzata?
Dal 30 settembre 2026 non è più necessario dimostrare il collegamento causale tra il comportamento del sistema di IA e il danno subito: se si prova la violazione di un obbligo dell'AI Act, quel nesso si presume per legge. Restano da provare l'esistenza del danno e la violazione stessa, ma l'onere più gravoso — ricostruire il funzionamento interno di un algoritmo — non grava più sul danneggiato.
La conformità dell'azienda all'AI Act la esenta dalla responsabilità per danni?
No. L'art. 19 del D.Lgs. 160/2026 stabilisce espressamente che la conformità al Regolamento europeo, anche se certificata, non esclude di per sé la responsabilità. Un'azienda può avere tutti i documenti in regola e rispondere comunque del danno causato dal proprio sistema di IA, se il giudice accerta che gli altri elementi della responsabilità sono presenti.
Se l'azienda non mostra i log del sistema, cosa succede in tribunale?
Succede qualcosa di rilevante: il giudice può ritenere ammessi i fatti che il danneggiato ha allegato, cioè può considerare come provato ciò che l'azienda avrebbe potuto smentire con la documentazione e non ha voluto o potuto esibire. In più, i terzi inadempienti rischiano una sanzione pecuniaria. Per questo è essenziale attivare l'istanza di esibizione ai sensi dell'art. 17 già dall'atto introduttivo del giudizio, senza attendere sviluppi successivi.
Redazione - Staff Studio Legale MP
