Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Il risarcimento danni da intelligenza artificiale era, fino a poche settimane fa, un terreno senza mappa: chi subiva un danno da un algoritmo doveva dimostrare, da solo e contro ogni opacità tecnica, il funzionamento interno di un sistema che spesso nemmeno il suo stesso sviluppatore era in grado di spiegare interamente. Probatio diabolica, come da sempre la chiama la giurisprudenza. Quello che era un vicolo cieco processuale sta per diventare, per la prima volta in Italia, un percorso praticabile.
Il 10 giugno 2026 il Consiglio dei Ministri ha approvato due schemi di decreto legislativo attuativi della legge n. 132 del 2025 sull'intelligenza artificiale, in linea con il Regolamento europeo AI Act (UE 2024/1689). Per la prima volta in Italia esiste una disciplina specifica per chi subisce un danno da un sistema di IA. Lo schema è stato trasmesso alle Camere il 24 giugno 2026 per il prescritto parere parlamentare (Atto del Governo n. 418). Il decreto si compone di ventidue articoli, attuando le deleghe dell'art. 24 della legge 23 settembre 2025, n. 132, il cui termine scade il 10 ottobre 2026.
Il tempo, dunque, stringe. E le novità meritano di essere comprese con precisione, prima che il testo diventi definitivo e prima che chi ha già subito un danno perda l'orientamento su come muoversi.
Cosa prevede l'AI Act italiano per le vittime di danni da IA
Il cuore della riforma civile è contenuto nel Capo II del Titolo II dello schema. Il Capo II del Titolo II (artt. 16-20) è dedicato agli «strumenti processuali civili per il risarcimento dei danni cagionati dall'utilizzo di sistemi di intelligenza artificiale». Si tratta di una scelta di politica legislativa netta: anziché costruire una responsabilità oggettiva piena — come avrebbe fatto la proposta di Direttiva europea sulla responsabilità da IA, poi ritirata dalla Commissione — il legislatore italiano ha puntato su un alleggerimento del percorso probatorio del danneggiato, mantenendo l'impianto della responsabilità per colpa ma riequilibrando radicalmente le posizioni delle parti nel processo.
La norma alleggerisce l'onere della prova per il danneggiato, gli consente di accedere alla documentazione tecnica dei sistemi e stabilisce che la conformità al Regolamento europeo non esclude da sola la responsabilità di chi ha causato il danno.
Il primo strumento è l'accesso alle prove. Il decreto consente al danneggiato di ottenere dal giudice un ordine di esibizione della documentazione tecnica e dei registri relativi al funzionamento del sistema di IA. Il giudice può ordinare l'esibizione della documentazione tecnica del sistema, con tutela dei segreti industriali; il terzo che non adempie paga da 250 a 1.500 euro. Non è un dettaglio da poco: la sanzione pecuniaria per la mancata esibizione trasforma l'ordine del giudice in uno strumento con denti, non in una mera dichiarazione di intenti.
Il secondo — e più rilevante sul piano processuale — è la presunzione del nesso causale. Lo schema introduce una presunzione iuris tantum del nesso di causalità tra la violazione di un obbligo previsto dal Regolamento (UE) 2024/1689 e il danno. Il nesso di causalità tra la violazione e il danno è presunto, salvo prova contraria. L'inversione dell'onere della prova sul nesso causale non si estende alla colpa né alla violazione dell'obbligo, che restano oggetto di prova a carico dell'attore.
Questo è il punto tecnico che ogni vittima di un danno da intelligenza artificiale deve tenere a mente. L'inversione non è totale: il danneggiato deve ancora dimostrare la violazione di un obbligo del Regolamento e l'esistenza del danno. Ma una volta provati questi due elementi, il collegamento causale tra violazione e danno è presunto, salvo prova contraria, e l'impresa convenuta dovrà essere in grado di dimostrare che il danno non dipende dalla violazione contestata.
Il terzo pilastro è la clausola sulla conformità certificata. L'articolo 19 chiarisce che la conformità del sistema di intelligenza artificiale agli obblighi previsti dal regolamento (UE) 2024/1689, anche se attestata da certificazione rilasciata ai sensi del capo III, sezione 5, del medesimo regolamento, non esclude di per sé la responsabilità. In altri termini: il marchio CE, la certificazione di conformità, il bollino di un organismo notificato non blindano il responsabile. Chi ha subito il danno può comunque agire.
Quarto, e non meno importante: lo schema rafforza la tutela processuale del terzo danneggiato dall'utilizzo di sistemi di IA anche con riguardo all'azione diretta nei confronti della compagnia assicuratrice dell'utilizzatore. La specifica disciplina è prevista dall'art. 22, che disciplina i rapporti tra il terzo danneggiato e l'assicuratore della responsabilità civile dell'utilizzatore. L'azione diretta — nota ai pratici soprattutto nel settore RC auto — approda così nel campo dei danni da IA, consentendo di aggredire direttamente il patrimonio dell'assicurazione senza dover necessariamente chiamare in giudizio il responsabile principale.
Chi è responsabile se un algoritmo causa un danno?
Prima di questo decreto, la risposta era nebulosa. L'ordinamento basato su principi consolidati del diritto civile fondava la responsabilità sul concetto di fatto illecito previsto dall'art. 2043 c.c., ma l'IA introduce una novità sostanziale: il "fatto" che produce il danno non è direttamente imputabile a un soggetto umano, ma a un sistema informatico dotato di autonomia decisionale. Gli strumenti giurisdizionali ci sono; ma è la probatio ad essere diabolica, considerate le difficoltà probatorie tipiche dei sistemi algoritmici.
Con il decreto, la catena della responsabilità si articola con maggiore precisione. Il primo decreto attuativo ha un'impostazione organizzativa e regolatoria; il secondo si occupa dell'uso dell'AI per le attività di polizia e della tutela dei soggetti che, a vario titolo, subiscano un danno riconducibile a un difetto o a un uso scorretto dell'AI. Sviluppatori, fornitori e — soprattutto — utilizzatori professionali di sistemi ad alto rischio diventano i soggetti esposti. Entra nel codice penale il nuovo art. 437-bis: chi sviluppa o gestisce sistemi di IA ad alto rischio e omette le necessarie misure di sicurezza risponde penalmente se ne deriva un pericolo concreto per la vita, l'incolumità pubblica o la sicurezza dello Stato. La responsabilità si estende anche agli enti, ai sensi del d.lgs. 231/2001.
Come si chiede il risarcimento per un danno causato da un sistema di intelligenza artificiale? La sequenza processuale che emerge dal decreto — pur in attesa di approvazione definitiva — prevede: dimostrazione della violazione di un obbligo dell'AI Act, richiesta giudiziale di accesso alla documentazione tecnica del sistema, esercizio della presunzione causale, eventuale azione diretta contro l'assicuratore. Rispetto alle azioni di risarcimento del danno, contrattuale ed extracontrattuale, fondate sulla violazione di uno o più obblighi previsti dell'AI Act, la tutela processuale rafforzata del danneggiato si manifesta sul piano della distribuzione degli oneri probatori attraverso l'introduzione di una presunzione relativa — superabile con la prova contraria — del nesso di causalità tra l'inosservanza delle suddette prescrizioni e il danno. Lo schema include anche la possibilità per il danneggiato consumatore di adire, in alternativa al giudice territorialmente competente secondo le regole ordinarie, quello del luogo in cui risiede o è domiciliato.
Un profilo non trascurabile riguarda il raccordo con la Direttiva (UE) 2024/2853 sulla responsabilità da prodotti difettosi, che qualifica espressamente il software — inclusi i sistemi di IA — come "prodotto". Gli Stati membri dovranno recepirla entro il 9 dicembre 2026; il nuovo regime si applicherà ai prodotti immessi sul mercato o messi in servizio successivamente a tale data. Il decreto àncora la presunzione non alla colpa ma alla violazione delle regole di conformità dell'AI Act, in linea con la logica oggettiva della Direttiva (UE) 2024/2853 sulla responsabilità da prodotto. Il legislatore italiano sta quindi costruendo un sistema coerente con la traiettoria europea, anticipando di qualche mese il regime di responsabilità oggettiva che la Direttiva prodotti difettosi introdurrà anche per i sistemi digitali.
Qui emerge un aspetto che merita riflessione critica, e che la dottrina più attenta ha già segnalato. La disposizione crea un cortocircuito poiché lega la responsabilità civile a qualsiasi inosservanza dell'AI Act, comprese le prescrizioni meramente burocratiche o formali. In questo modo il decreto supera i confini del regolamento europeo, il quale non contiene norme dirette sul risarcimento del danno, e vincola la responsabilità a un testo europeo destinato a costanti aggiornamenti tecnici. Se l'azienda produttrice omette di aggiornare il registro della documentazione tecnica prescritta dal regolamento europeo, commette una violazione formale della norma che, secondo il meccanismo dell'art. 18, farebbe scattare la presunzione causale anche in assenza di qualsiasi disfunzione tecnica concreta del sistema. È un rischio di sovra-responsabilizzazione che il Parlamento, in sede di parere, dovrebbe valutare con attenzione.
La giurisprudenza, nel frattempo, non ha aspettato il legislatore. Il Tribunale di Siracusa, con sentenza del 20 febbraio 2026, ha dichiarato sussistere la responsabilità aggravata ex art. 96, c. 3, c.p.c. del difensore che faccia uso scorretto dell'intelligenza artificiale, riversandone integralmente i contenuti nelle proprie memorie difensive, senza adeguato riscontro degli output. Il Tribunale di Siracusa, con sentenza n. 338 del 20 febbraio 2026, ha condannato la parte soccombente non solo alle spese di lite, quantificate in oltre 14mila euro, ma anche a una uguale somma a titolo di responsabilità aggravata ex art. 96, co. 3, c.p.c., e a una sanzione di 2.000 euro alla Cassa delle ammende ex art. 96, co. 4, c.p.c. La sentenza del Tribunale di Siracusa n. 338, pronunciata dal Giudice Unico dott. Alfredo Spitaleri, costruisce — per la prima volta in modo sistematico nell'ordinamento civile italiano — uno standard di diligenza professionale nell'impiego dell'intelligenza artificiale: uno standard che non vieta l'uso degli strumenti algoritmici, ma esige che l'uomo rimanga al comando.
Non conta solo la conformità formale, ma anche la capacità di documentare in concreto l'effettivo rispetto degli obblighi applicabili. Questo principio, che emerge dalla lettura combinata del decreto e della giurisprudenza già formatasi, introduce di fatto un onere di compliance sostanziale e non solo burocratica. Il summum ius summa iniuria ciceroniano torna ad avvertirci: la mera certificazione di conformità, senza una gestione reale del rischio algoritmico, non salva da responsabilità.
Come scriveva Norberto Bobbio in "L'età dei diritti", i diritti nuovi sorgono quando nuove tecnologie creano nuovi poteri e, con essi, nuovi rischi per la libertà e la dignità delle persone. Il diritto al risarcimento del danno da IA è, oggi, uno di quei diritti nuovi che il legislatore è chiamato a rendere effettivi, non solo enunciati. Il decreto n. 418 fa un passo significativo in questa direzione — con luci e alcune ombre interpretative ancora da risolvere in sede parlamentare. Chi ha subito un danno da un sistema algoritmico non deve attendere la pubblicazione in Gazzetta Ufficiale per ragionare sulla strategia processuale: le regole cambiano, e il momento per prepararsi è adesso.
Redazione - Staff Studio Legale MP
