Sistemi di intelligenza artificiale: disposizioni in tema di impiego illecito

Il decreto 160/2026, attuativo della delega cui all' art 24 della legge 23 settembre 2925 n.132 per l'adeguamento dell'ordinamento italiano al regolamento europeo 2024/1689 (Ai Act), contiene due serie di norme del tutto diverse.

La prima parte, da cui prende avvio il decreto, riguarda l' impiego dei sistemi di intelligenza artificiale nella attività delle forze di polizia, mentre la seconda parte (il titolo II) seguendo una tecnica regolativa non certo in linea con i principi per una buona regolazione, contiene norme di carattere generale, fra loro eterogenee, riguardanti la disciplina in materia di impiego illecito di questi sistemi e le relative conseguenze civili e penali . La prima serie di norme dà seguito con utili specificazioni alle disposizioni del regolamento sull'uso della IA nelle attività delle forze di polizia; mentre il titolo II assume rilievo generale per la sua incidenza sulla disciplina giuslavoristica, con norme di grande rilevanza pratica e di principio.

Su queste mi concentro per alcune prime considerazioni di commento.

Anzitutto il decreto fa riferimento, nell'art 2, ai principi e alle regole del regolamento europeo riguardanti le definizioni dei termini principali della materia: cosa si intende per sistema di intelligenza artificiale, per pratiche vietate, il significato di classificazione dei sistemi ad alto rischio, delle varie categorie di dati, di autorità nazionali per la IA. Nel titolo II il decreto all'art 11 ribadisce che ai fini della sua disciplina valgono le definizioni di cui all' art 3 del regolamento europeo che ne definiscono gli ambiti di operatività.

Nelle norme successive il decreto interviene a rafforzare sul piano sanzionatorio alcune disposizioni del regolamento europeo. L' art 12, innovando rispetto a questo regolamento che prevede sanzioni economiche rapportate al fatturato aziendale, introduce sanzioni penali per tre tipi di infrazioni ritenute di particolare gravità: la omessa adozione delle misure tecniche di sicurezza previste per la progettazione, addestramento, produzione e immissione sul mercato di sistemi di IA ad alto rischio;  la omissione di misure di sorveglianza umana e la alterazione di questi sistemi; tali infrazioni sono qualificate dalle conseguenze, cioè dal fatto che da tali omissioni derivi pericolo per la vita o la incolumità pubblica o individuale (con varie condizioni aggravanti e attenuanti). La penalizzazione di questi comportamenti ne vuole sottolineare la particolare importanza per la effettività del sistema e in particolare per la attuazione del principio del controllo umano su queste tecnologie che è l' obiettivo di fondo di tutta la normativa europea in questione. In coerenza con queste normative penali la disposizione dell' art 15 integra con le relative fattispecie di reato presupposto la disciplina del decreto 231/2001. Ne viene un ulteriore rafforzamento del controllo sui sistemi di intelligenza artificiale, in quanto le imprese sono tenute a predisporre la loro organizzazione con le relative procedure interne, al compito di fronteggiare i nuovi rischi derivanti dalla adozione di questi sistemi nelle imprese; un compito essenziale perché tale adozione si sta rapidamente diffondendo nelle aziende come segnalano le ricerche sia internazionali sia nazionali (vedi la Survey dell' Oecd, The adoption of artificial intelligence in Firms. New evidence for policymaking, Paris 2025; European Commission, Joint Research Centre, Measuring AI adoption in the European Union, 2026; T.Treu, L' osservatorio Arel - Università Cattolica, Sull’ utilizzo della intelligenza artificiale nelle imprese Italiane: prime note, in AI law, 2/ 2025, p 329 ss.).

Data la novità delle operazioni sostenute o accompagnate dalla intelligenza artificiale, gli organismi deputati ai controlli interni dovranno attrezzarsi con una nuova capacità di analisi, con diverse competenze e composizione per coinvolgere più ampiamente di quanto sia oggi le diverse strutture aziendali, così da essere in grado di verificare gli elementi critici dell'uso della IA: dai dati di addestramento a quelli relativi all‘operatività e agli ambiti di possibile decisione fino alla validazione dei flussi decisionali e alla conservazione dei log di funzionamento degli algoritmi per garantire la tracciabilità delle decisioni. Sarà altresì necessaria una attività di formazione dedicata e diffusa per gli operatori e in particolare per i dirigenti competenti nei vari settori della gestione aziendale. Una indicazione in tal senso è contenuta nell' art 6 del decreto per le forze di polizia, ma risulta in generale dal regolamento europeo sulla IA, art 4, in quanto necessaria a mettere in grado tutti gli operatori di esercitare il controllo umano richiesto dalla normativa, cioè di valutare criticamente e se necessario correggere il funzionamento dei sistemi e le decisioni automatizzate. Si tratta di una regola tra le più importanti della nuova normativa, perché riguarda un requisito fondamentale per rendere effettivo il principio del controllo umano che ispira tutta la regolazione della intelligenza artificiale. La sua osservanza da parte delle imprese è anche uno strumento essenziale per valorizzare a pieno le potenzialità della IA. Tutte le ricerche e le testimonianze dirette confermano che tali potenzialità si realizzano solo a condizione che queste tecnologie si inseriscano nel tessuto organizzativo e decisionale delle imprese per innovarlo e che trovino l'intero sistema aziendale e i suoi operatori preparati a comprendere e a utilizzarle. E' altresì comune il rilievo che la ancora inadeguata preparazione e la carenza degli skill necessari da parte degli operatori aziendali costituisce uno degli ostacoli principali alla diffusione e all'uso produttivo della Intelligenza artificiale nei nostri sistemi produttivi.(C. Lucifora, L’impatto della intelligenza artificiale su occupazione e professioni, in Polis Lombardia, 2, novembre 2024, p.4 ss.).

Di particolare rilievo, anche sistematico, sono le norme successive del decreto che, come annuncia l'art 16, riguardano le azioni di risarcimento del danno sia contrattuale sia extra contrattuale cagionato dall'utilizzo di un sistema di intelligenza artificiale Il rilievo è tanto più importante in quanto questi aspetti fondamentali per le ricadute della IA sulle persone e sulle imprese non sono stati presi (compiutamente) in considerazione dalle normative europee, a cominciare dall' IA Act.  L'art 17 interviene a rafforzare la posizione del lavoratore nelle azioni di risarcimento del danno di cui all'art 16, correggendo la asimmetria informativa che tipicamente ostacola la possibilità di far valere in giudizio le proprie ragioni. A questo fine attribuisce al giudice poteri specifici di iniziativa, quali sono utilizzati allo stesso obiettivo in vari contesti nella esperienza di molti ordinamenti nazionali fra cui il nostro.

In primo luogo si riconosce al giudicante il potere di ordinare la esibizione di elementi di prova relativi al funzionamento dei sistemi di IA, che sono tipicamente a disposizione del datore e non conosciuti dal lavoratore, e che hanno rilevanza decisiva per valutare l'impatto della IA sui diritti delle persone. Fra questi elementi si indicano specificamente i registri di cui alla art 12 dell'IA Act,   i documenti sul sistema di gestione dei rischi, le informazioni contenute nella documentazione tecnica riguardante i requisiti essenziale per l'uso della IA (di cui all'art 11 del regolamento)  e quelle relative alle modalità della sorveglianza umana su questi sistemi. E' significativa la precisazione che la presenza del rischio di divulgazione di segreti commerciali, non infrequente in questa materia, non impedisce la ricerca della verità, perché il giudice ha il potere di adottare le misure necessarie a garantirne la tutela del danneggiato.

L' art 18 stabilisce che quando il danno deriva dalla violazione di obblighi previsti dal regolamento sulla IA il nesso di causalità fra violazione e danno è presunto, salvo prova contraria. Questa presunzione e la conseguente inversione dell' onere della prova sono motivate dal fatto, ampiamente confermato dalla esperienza, che l'intervento della IA nelle decisioni riguardanti i rapporti di lavoro con la oscurità delle sue logiche di funzionamento accentua la difficoltà di accertare il nesso di causalità fra tali decisioni e i danni eventualmente sofferti dal lavoratore. La norma, oltre ad agevolare l'accertamento delle eventuali responsabilità aziendali, costituisce anche uno stimolo indiretto per le aziende a istruire e motivare correttamente i propri provvedimenti in materia di lavoro. In tale senso si coordina completandola con la disposizione dell' art. 86 dell' IA Act che riconosce il potere al soggetto che si ritiene leso da una decisione presa o assistita da sistemi di IA ad alto rischio di richiedere al deployer spiegazioni chiare e comprensibili sul ruolo di tali sistemi nella decisione e sui fattori che hanno portato alla decisione e sul funzionamento del sistema.(vedi sul punto le mie osservazioni in Il controllo umano delle tecnologie: regole e procedure, Working Paper Massimo D' Antona IT 492/2025, p. 29). Una disposizione innovativa è introdotta dall' art 19 laddove stabilisce che la conformità del sistema di intelligenza artificiale agli obblighi previsti dal regolamento della IA, anche se certificata secondo quanto previsto dallo stesso regolamento, non esclude di per sé la responsabilità del convenuto.

La norma interviene su una questione molto discussa e ancora aperta che si pone in realtà per molti dei procedimenti deputati a prevenire e mitigare rischi da decisioni aziendali. Alcuni commentatori delle normative recenti hanno espresso riserve sulla possibilità che l' osservanza di simili procedimenti costituisca fattore esimente da responsabilità per colpa relativamente ai danni provocati dalle decisioni aziendali conseguite agli stessi procedimenti, in quanto oltre a pregiudicare i diritti dei danneggiati, l' intervento di questa norma rischia di indebolire la già difficile opera di implementazione della disciplina sulla intelligenza artificiale.(vedi per tutti G. Smorto, Le conseguenze dell’ IA Act sulla risarcibilità dei danni da Intelligenza artificiale. Una riflessione critica, in Il foro italiano, 2025, p. 394 ss.; e ID, Regulating AI throughstandards and the risk of preempting liability, a transatlantic comparison, in C. Crea, M. Infantino (a cura), Remedies to digital vulnerability in European private law, Springer, 2025/2926, p.333 ss.). Per questo motivo la norma del decreto è una innovazione importante che conferma anche in questo delicato ambito la validità della normativa sulla responsabilità civile, su cui come si è visto la norma dell' art 18 apporta una opportuna presunzione a sostegno dell' attore in questi procedimenti. Significativa è anche la disposizione dell'art 20 ove si specifica che chi intende promuovere l' azione per risarcimento del danno di cui all' art 16, può chiedere al soggetto ritenuto responsabile del danno se è assistito da un contratto di assicurazione della responsabilità civile relativa al danno medesimo.

Si tratta di una mera possibilità che quindi non costituisce condizione di procedibilità della domanda; si conferma altresì che il danneggiato ha azione diretta nei confronti dell'impresa che presta la copertura della responsabilità civile al convenuto.

Come si può vedere le disposizioni contenute nella seconda parte del decreto sono di grande importanza in quanto vengono a coprire un vuoto su punti critici dell'impatto della Intelligenza artificiale nei settori ad alto rischio. La rilevanza è tanto maggiore in quanto su alcuni di questi temi, in primis sulle regole della responsabilità civile per danni da impiego di questi sistemi. Il  legislatore europeo aveva incontrato resistenze tali da impedire una presa di posizione. comune e aveva dovuto rinviare ogni decisione agli ordinamenti nazionali. A fronte di queste resistenze, che confermano la delicatezza della materia, merita apprezzamento il fatto che il legislatore italiano sia intervenuto sollecitamente e con regole innovative anche su aspetti particolarmente controversi e di rilevanza sistematica come la norma sulla presunzione del nesso di causalità fra violazione degli obblighi del regolamento europeo e danno e come quella riguardante la (non) rilevanza delle procedure quale esimente dalla responsabilità civile.

La normativa così approvata offre alle imprese un quadro definito entro il quale possono operate in modo tale da adempiere correttamente ai doveri di implementazione di queste tecnologie sia per guidarne l'impiego nelle loro attività che ne sono sempre più direttamente interessate per ottimizzarne le opportunità a fini di miglioramento della produttività e della qualità del lavoro