I.A. E RESPONSABILITA’ D’IMPRESA: LE NUOVE REGOLE SU SANZIONI, PROVA DEL DANNO E FORMAZIONE

Il D.Lgs. 9 settembre 2026, n. 160 dà attuazione alla delega prevista dalla legge 23 settembre 2025, n. 132 e adegua l’ordinamento italiano al Regolamento europeo 2024/1689 (AI Act). Il decreto rafforza le regole sull’uso dell’intelligenza artificiale, con nuove sanzioni e responsabilità per le imprese e maggiori tutele per i lavoratori danneggiati. Ribadisce inoltre il ruolo centrale del controllo umano, della trasparenza e della formazione.

Il Titolo II contiene norme generali ed eterogenee sull’impiego illecito dei sistemi di IA e sulle relative conseguenze civili e penali; tale Titolo II ha particolare rilievo anche per il diritto del lavoro. Per le definizioni (sistema di IA, pratiche vietate, sistemi ad alto rischio) il decreto rinvia al Regolamento europeo.

Sanzioni penali. L’art. 12 introduce sanzioni penali, oltre alle sanzioni economiche proporzionate al fatturato previste dall’AI Act. Riguardano tre condotte, quando ne deriva pericolo per la vita o per l’incolumità pubblica o individuale:

• la mancata adozione delle misure tecniche di sicurezza nella progettazione, nell’addestramento, nella produzione e nell’immissione sul mercato di sistemi ad alto rischio;
• l’omissione delle misure di sorveglianza umana;
• l’alterazione di tali sistemi.

L’art. 15 inserisce questi reati tra i reati presupposto del D.Lgs. 231/2001. L’art. 15 inserisce questi reati tra i reati presupposto del D.Lgs. 231/2001. Ne consegue, per le imprese che hanno adottato un Modello di organizzazione, gestione e controllo (MOG), la necessità di aggiornarlo, mappando i nuovi rischi legati all’uso dell’IA e prevedendo protocolli e procedure interne adeguate a prevenirli. Più in generale, tutte le imprese devono organizzarsi per gestire i rischi derivanti dall’adozione di questi sistemi.

Formazione e controlli interni. Gli organismi di controllo dovranno sviluppare nuove competenze e coinvolgere più funzioni aziendali. Dovranno verificare i dati di addestramento e di operatività, gli ambiti decisionali, i flussi decisionali e la conservazione dei log, per garantire la tracciabilità delle decisioni. Serve anche una formazione diffusa, soprattutto per i dirigenti, come richiede l’art. 4 dell’AI Act. Senza persone preparate il controllo umano non è effettivo e le potenzialità dell’IA non si realizzano. La carenza di competenze resta uno dei principali ostacoli alla sua diffusione produttiva.

Risarcimento del danno. Gli artt. 16-20 disciplinano le azioni di risarcimento, contrattuali ed extracontrattuali, per i danni causati dall’IA. Su questo punto la normativa europea non era intervenuta.

• Poteri del giudice (art. 17). Il giudice può ordinare l’esibizione di elementi di prova che il lavoratore non conosce: registri, documenti sulla gestione del rischio, documentazione tecnica e informazioni sulla sorveglianza umana. Il rischio di divulgare segreti commerciali non impedisce l’accertamento, perché il giudice può disporre misure a tutela dell’azienda.
• Nesso causale (art. 18). Se il danno deriva dalla violazione degli obblighi del Regolamento, il nesso causale è presunto, salvo prova contraria. Questo si coordina con l’art. 86 dell’AI Act, che dà alla persona colpita da una decisione presa o assistita da un sistema ad alto rischio il diritto di chiedere spiegazioni al deployer.
• Conformità (art. 19). La conformità del sistema agli obblighi dell’AI Act, anche se certificata, non esclude di per sé la responsabilità del convenuto.
• Assicurazione (art. 20). Chi agisce può chiedere al responsabile se ha un’assicurazione di responsabilità civile. È una facoltà e non condizione di procedibilità, e il danneggiato ha azione diretta contro l’assicuratore.

Il decreto intende colmare un vuoto normativo sui punti più delicati dell’IA nei settori ad alto rischio, dove il legislatore europeo aveva rinviato agli Stati membri. Offre alle imprese un quadro più chiaro per adottare l’IA in modo conforme e per sfruttarne le opportunità in termini di produttività e qualità del lavoro.

Per le imprese il momento di muoversi è ora -> alcuni passi concreti:

• mappare i sistemi di IA già in uso in azienda e classificarli in base al livello di rischio;
• verificare che siano previste misure di sorveglianza umana, documentazione tecnica e conservazione dei log;
• aggiornare il Modello 231 (per chi ce l’ha) e le procedure interne alla luce dei nuovi reati presupposto;
• pianificare percorsi di formazione per operatori e dirigenti;
• valutare la copertura assicurativa per la responsabilità civile legata all’uso dell’IA.

Il nostro Studio è a disposizione per accompagnare le imprese in questo percorso di adeguamento.