Prodotto difettoso e software: la nuova responsabilità UE

Dal 9 dicembre 2026 cambia la responsabilità per prodotto difettoso. La direttiva (UE) 2024/2853 sostituisce la direttiva del 1985 e si applica ai prodotti immessi sul mercato dopo quella data. La novità principale è che il software è un prodotto: firmware, applicazioni, sistemi di intelligenza artificiale e software fornito in cloud. Se un difetto causa danni a persone, a cose di uso privato o a dati non professionali, il fabbricante risponde anche senza colpa. Il perimetro include aggiornamenti, cybersecurity e servizi digitali collegati al prodotto.

La disciplina riguarda produttori di macchinari e dispositivi connessi, software house, integratori di sistemi, importatori e chi rivende con il proprio marchio. In Italia il Consiglio dei ministri ha approvato il decreto di recepimento in via definitiva il 28 ottobre 2026: si attende la pubblicazione in Gazzetta Ufficiale. I contratti di fornitura che firmi oggi regoleranno però prodotti venduti dopo dicembre: definizione del software, aggiornamenti, manleve, regresso e assicurazione vanno rivisti ora.

La direttiva (UE) 2024/2853 del 23 ottobre 2024 abroga la direttiva 85/374/CEE dal 9 dicembre 2026. La vecchia disciplina continua ad applicarsi ai prodotti immessi sul mercato prima di quella data (art. 21).

• Prodotto: ogni bene mobile, anche integrato in un altro bene, compresi elettricità, file per la fabbricazione digitale, materie prime e software (art. 4).
• Software: è un prodotto a prescindere da come viene fornito, installato sul dispositivo, usato in rete o in cloud, o come servizio in abbonamento. Il semplice codice sorgente, in quanto informazione, non lo è (considerando 13).
• Servizio correlato: il servizio digitale integrato o interconnesso senza il quale il prodotto non svolge una o più funzioni, ad esempio l'app che comanda un dispositivo.
• Soggetti responsabili: fabbricante del prodotto e del componente difettoso; se il fabbricante è fuori dall'UE, importatore, rappresentante autorizzato e fornitore di servizi logistici; in certi casi distributori e piattaforme online (art. 8).
• Chi modifica diventa fabbricante: chi modifica in modo sostanziale un prodotto fuori dal controllo del fabbricante e lo rimette in circolazione (art. 8, par. 2). È il caso tipico dell'integratore o del revamping di macchinari.

Un prodotto è difettoso se non offre la sicurezza che ci si può legittimamente attendere. Tra le circostanze da valutare la direttiva indica (art. 7):

• la presentazione del prodotto, le istruzioni e l'uso ragionevolmente prevedibile;
• la capacità di continuare ad apprendere o acquisire nuove funzioni dopo la vendita, tipica dei sistemi di IA;
• l'effetto di altri prodotti collegati;
• i requisiti di sicurezza applicabili, compresi quelli di cybersecurity;
• richiami e altri interventi delle autorità o dell'operatore.

Il fabbricante di regola non risponde di un difetto sorto dopo l'immissione sul mercato. L'esonero però non opera se il difetto dipende da elementi che restano sotto il suo controllo (art. 11, par. 2): servizi correlati, software e relativi aggiornamenti, mancanza degli aggiornamenti necessari a mantenere la sicurezza, modifiche sostanziali. Resta l'esonero per il «rischio di sviluppo», cioè il difetto non scopribile con le conoscenze scientifiche e tecniche dell'epoca, ma gli Stati possono limitarlo per categorie specifiche (art. 18).

• Danni: morte e lesioni personali, compresi i danni psicologici riconosciuti dal punto di vista medico; danni a beni diversi dal prodotto difettoso e non usati esclusivamente per fini professionali; distruzione o corruzione di dati non usati per fini professionali (art. 6).
• Divulgazione delle prove: se il danneggiato presenta fatti e prove sufficienti a rendere plausibile la domanda, il giudice può ordinare al convenuto di esibire gli elementi di prova pertinenti in suo possesso (art. 9).
• Presunzioni: il difetto si presume, tra l'altro, se il convenuto non esibisce le prove ordinate, se il prodotto non rispetta requisiti di sicurezza obbligatori o se c'è un malfunzionamento evidente nell'uso ragionevolmente prevedibile (art. 10).
• Termini: 3 anni per agire da quando il danneggiato conosce danno, difetto e responsabile; la responsabilità si estingue 10 anni dopo l'immissione sul mercato, 25 per le lesioni latenti (artt. 16 e 17).
• Solidarietà e regresso: più operatori responsabili dello stesso danno rispondono in solido; chi paga può rivalersi sugli altri. Il fabbricante che integra un componente software fornito da una micro o piccola impresa non ha regresso se vi ha rinunciato per contratto (art. 12).

Oggi la materia è regolata dagli artt. 114-127 del Codice del consumo, che recepiscono la direttiva del 1985. Il software non è espressamente citato e il danno a cose è risarcibile solo per la parte che supera 387 euro (art. 123). La nuova direttiva non riproduce questa franchigia.

La delega al Governo è nella legge di delegazione europea 2025 (L. 17 marzo 2026, n. 36). Lo schema di decreto legislativo è stato trasmesso alla Camera il 7 agosto 2026 come Atto del Governo n. 434; la Commissione Giustizia ha espresso parere favorevole con osservazioni il 23 settembre 2026. Il 28 ottobre 2026 il Consiglio dei ministri lo ha approvato in esame definitivo; il decreto entra in vigore con la pubblicazione in Gazzetta Ufficiale e i suoi contenuti essenziali sono fissati dalla direttiva.

Per i prodotti immessi sul mercato fino all'8 dicembre 2026 continuerà ad applicarsi la disciplina attuale.

La responsabilità civile si intreccia con due regolamenti europei già applicabili o in arrivo:

• Regolamento (UE) 2023/988 (GPSR): si applica dal 13 dicembre 2024 e disciplina la sicurezza generale dei prodotti di consumo, i reclami, gli incidenti e i richiami, con segnalazioni tramite il Safety Business Gateway.
• Regolamento (UE) 2024/2847 (Cyber Resilience Act): per i prodotti con elementi digitali, gli obblighi di segnalazione delle vulnerabilità attivamente sfruttate valgono dall'11 settembre 2026; gli obblighi principali dall'11 dicembre 2027.

Il collegamento è diretto: il mancato rispetto dei requisiti di sicurezza, compresa la cybersecurity, pesa nella valutazione del difetto e può far scattare la presunzione dell'art. 10.

• Contratti di fornitura con clienti e fornitori di componenti
• Licenze e contratti di sviluppo o manutenzione del software
• Condizioni generali di vendita e di garanzia
• Polizza RC prodotti con condizioni e massimali
• Manuali, istruzioni e avvertenze del prodotto
• Politica di aggiornamento e supporto del software
• Documentazione tecnica, analisi dei rischi e dichiarazioni di conformità
• Registro di reclami, incidenti e richiami