Intelligence artificielle : de nouvelles règles en Italie sur la responsabilité civile et pénale et la reconnaissance faciale à compter du 30 septembre 2026

À compter du 30 septembre 2026, le décret législatif italien n° 160 du 9 septembre 2026, publié au Journal officiel italien n° 214 du 15 septembre 2026, entrera en vigueur en Italie. Ce décret s’inscrit dans le cadre établi par le règlement (UE) 2024/1689, dit « AI Act », et régit certains aspects nationaux relatifs à l’utilisation de l’intelligence artificielle, notamment les activités de police, la responsabilité civile et pénale ainsi que l’utilisation des systèmes d’identification biométrique.

Le décret met en œuvre l’habilitation accordée au Gouvernement par la loi italienne n° 132 du 23 septembre 2025, qui prévoyait des mesures visant à mettre le système juridique italien en conformité avec l’AI Act ainsi que des règles spécifiques concernant l’utilisation des systèmes d’intelligence artificielle dans les activités de police (article 24 de la loi n° 132/2025).

Structure du décret

Le décret comprend 22 articles répartis en trois Titres :

• le Titre I régit l’utilisation des systèmes d’IA dans les activités de police, des phases d’expérimentation et de formation du personnel jusqu’à l’identification biométrique à distance ;

• le Titre II introduit des dispositions pénales et procédurales relatives à l’utilisation illicite de l’IA et prévoit des recours permettant d’obtenir réparation du préjudice subi par les personnes lésées ;

• le Titre III contient les dispositions transitoires et financières.

Les règles nationales doivent être lues conjointement avec le règlement européen, qui classe certains systèmes d’identification biométrique à distance ainsi que certains systèmes utilisés dans les activités répressives parmi les systèmes à haut risque, dans la mesure où leur utilisation est autorisée par le droit de l’Union ou le droit national (annexe III du règlement (UE) 2024/1689).

Les évolutions en matière pénale

Le décret introduit un nouvel article 437-bis dans le Code pénal italien. Cette disposition réprime le défaut d’adoption des mesures techniques de sécurité ou de contrôle humain requises pour les systèmes d’IA à haut risque lorsque ce défaut crée un danger concret pour la vie ou pour la sécurité publique ou individuelle. La peine encourue est comprise entre un et cinq ans d’emprisonnement ; elle est portée à une peine comprise entre deux et huit ans lorsque le danger concerne la sécurité nationale.

Le décret encadre également l’altération illicite des systèmes d’IA à haut risque et prévoit une peine d’emprisonnement comprise entre deux et six ans, avec une aggravation dans les cas les plus graves.

Ces dispositions complètent les modifications pénales déjà introduites par la loi n° 132/2025, notamment la nouvelle circonstance aggravante générale applicable aux infractions commises au moyen de systèmes d’intelligence artificielle et l’infraction de diffusion illicite d’images, de vidéos ou de voix falsifiées ou altérées au moyen de l’IA (article 26 de la loi n° 132/2025).

Le catalogue des infractions sous-jacentes pertinentes pour la responsabilité administrative des personnes morales au titre du décret législatif n° 231/2001 est également étendu. Le nouvel article 25-vicies prévoit, pour l’infraction visée à l’article 437-bis du Code pénal, une sanction pécuniaire comprise entre 600 et 1 000 quotités, en plus des sanctions d’interdiction applicables dans le cadre du décret législatif n° 231/2001.

Identification biométrique et reconnaissance faciale

Le décret encadre l’identification biométrique à distance en temps réel par les autorités chargées de l’application de la loi. Celle-ci est autorisée dans les cas prévus par la loi et sous réserve d’une autorisation préalable de l’autorité judiciaire. Son utilisation doit néanmoins respecter les conditions, les limites et les garanties établies par la réglementation européenne et par la législation nationale en matière de protection des données.

La constitution de bases de données biométriques au moyen de la collecte massive et non ciblée d’informations provenant du web est expressément interdite.

Dans le cadre de la vidéosurveillance de lieux ou d’événements caractérisés par des exigences particulières en matière d’ordre public, les images des visages peuvent être associées aux données d’état civil et, le cas échéant, à la place attribuée, sans traitement des données biométriques lors de la phase initiale. La reconnaissance faciale peut ensuite être activée après la commission d’une infraction, dans les conditions prévues par le décret. Les données recueillies doivent être automatiquement supprimées au terme d’un délai de sept jours, sous réserve des exceptions ou nécessités prévues par la loi.

Les critères permettant d’identifier les lieux et les événements concernés sont fixés par décret du ministre de l’Intérieur, après consultation de l’Autorité italienne de protection des données personnelles.

Sur le plan procédural, le nouvel article 359-ter du Code de procédure pénale italien encadre l’identification et la localisation au moyen de systèmes d’IA destinés à l’identification biométrique à distance en temps réel. Ce dispositif peut être utilisé pour confirmer l’identité de personnes soupçonnées de certaines infractions visées par l’AI Act et passibles d’une peine maximale d’emprisonnement d’au moins quatre ans, ou pour les rechercher, ainsi que pour rechercher des fugitifs.

Les évolutions en matière civile

Sur le plan civil, le décret renforce la position des personnes lésées par l’utilisation de systèmes d’IA au moyen d’une série de mesures destinées à réduire le déséquilibre informationnel entre les parties.

Les principales nouveautés sont les suivantes :

• le droit d’accéder à la documentation technique du système, aux journaux de fonctionnement et aux informations relatives au contrôle humain ; le défaut d’exécution d’une ordonnance de production peut permettre au tribunal de considérer comme établis les faits allégués par le demandeur ;

• une présomption du lien de causalité entre la violation des obligations prévues par l’AI Act et le dommage subi, sous réserve de la preuve contraire ;

• un for alternatif pour les consommateurs, correspondant au tribunal du lieu de résidence ou du domicile de la personne lésée ;

• une action directe contre l’assureur garantissant la responsabilité civile de la personne responsable du dommage, dans la limite du plafond de garantie prévu par la police.

La conformité d’un système d’IA au règlement européen, même lorsqu’elle a été formellement certifiée, n’exclut pas, à elle seule, la responsabilité civile pour le dommage causé. L’appréciation doit tenir compte du comportement des opérateurs, des obligations applicables, du dommage et du lien de causalité.

Comment obtenir réparation des dommages causés par l’intelligence artificielle

Le décret législatif n° 160/2026 introduit des instruments procéduraux spécifiques destinés à aider les personnes qui demandent réparation d’un dommage imputable au fonctionnement ou à l’utilisation d’un système d’intelligence artificielle. L’objectif est de réduire le déséquilibre informationnel entre la personne lésée, qui ne dispose souvent pas des données techniques nécessaires pour démontrer le bien-fondé de sa demande, et le fournisseur ou l’utilisateur du système.

L’ordonnance de production de la documentation technique

La personne lésée peut demander au tribunal d’ordonner à la partie adverse ou à un tiers de produire les éléments de preuve relatifs au fonctionnement du système d’IA. Une telle ordonnance n’est pas automatique : le tribunal doit apprécier le caractère vraisemblable de la demande de réparation ainsi que la proportionnalité de la requête, notamment au regard de la protection des secrets d’affaires et des informations confidentielles.

Les éléments potentiellement pertinents comprennent les journaux de fonctionnement des systèmes à haut risque, la documentation relative au système de gestion des risques et les informations concernant le contrôle humain. Ces documents peuvent permettre de reconstituer le comportement du système, les éventuelles anomalies survenues et le degré de contrôle exercé par les opérateurs.

Le défaut d’exécution, totale ou partielle et sans motif justifié, d’une ordonnance adressée à une partie peut permettre au tribunal de considérer comme établis les faits allégués par le demandeur. Lorsque l’ordonnance est adressée à un tiers, le défaut d’exécution est en revanche assorti d’une sanction pécuniaire. Ces règles ne suppriment donc pas la nécessité d’alléguer le dommage et d’identifier le lien entre le système d’IA et l’événement dommageable ; elles offrent à la personne lésée un moyen d’obtenir des informations qui seraient autrement difficiles d’accès.

Présomption du lien de causalité

Pour les actions fondées sur la violation des obligations prévues par la réglementation européenne relative à l’intelligence artificielle, le décret prévoit une présomption réfragable de l’existence d’un lien de causalité entre la violation et le dommage. Cette présomption peut être renversée par la preuve contraire et ne crée donc pas un droit automatique à réparation.

La personne lésée doit toujours identifier le comportement ou l’omission pertinent, établir l’existence et l’étendue du préjudice et rattacher sa demande de réparation au système d’IA utilisé. La présomption agit au stade de l’établissement de la causalité et ne remplace pas la preuve des autres éléments de la responsabilité.

Conformité du système et responsabilité civile

La conformité du système aux obligations du règlement (UE) 2024/1689, même lorsqu’elle est formellement certifiée, n’exclut pas à elle seule la responsabilité civile du défendeur. La certification constitue un élément à apprécier dans le cadre de l’analyse globale ; elle n’empêche pas le tribunal de déterminer si, dans le cas concret, un dommage a été causé, si les obligations de contrôle humain ont été respectées et si le système a été utilisé conformément à sa finalité prévue et aux instructions applicables.

Protection des consommateurs et assurance

Lorsque la personne lésée est un consommateur, l’action peut également être introduite devant le tribunal du lieu de résidence ou du domicile du consommateur, par dérogation aux règles ordinaires de compétence territoriale.

Le décret régit également les relations avec les assureurs. La personne qui envisage d’introduire une demande de réparation peut demander à la personne présumée responsable si elle dispose d’une assurance de responsabilité civile susceptible de couvrir le dommage invoqué. Le destinataire de la demande doit communiquer, dans un délai de trente jours, les références de la police ainsi que l’identité de l’assureur. L’absence de réponse ou une réponse incomplète peut être retenue par le tribunal comme un élément de preuve défavorable.

La personne lésée bénéficie également d’une action directe contre l’assureur, dans la limite du plafond de garantie prévu par la police. Dans la procédure correspondante, l’assuré doit participer à l’instance en qualité de partie nécessaire. La personne lésée peut donc agir directement contre l’assureur, mais cette protection demeure limitée par l’existence et l’étendue de la couverture, l’applicabilité de la police et le plafond assuré.

Dans l’ensemble, les nouvelles dispositions n’instaurent pas une responsabilité automatique pour tout dommage causé par un système d’IA. Elles renforcent plutôt la position procédurale de la personne lésée en facilitant l’accès à la preuve technique, en allégeant — dans les cas prévus — la charge de la preuve de la causalité et en facilitant l’identification d’une éventuelle couverture d’assurance.

Observations finales

Le décret législatif n° 160/2026 constitue une démarche globale visant à coordonner la réglementation européenne sur l’intelligence artificielle avec le système juridique italien. Il introduit des règles spécifiques pour les activités de police, de nouvelles infractions ou circonstances aggravantes sur le plan pénal, des dispositions relatives à la responsabilité des personnes morales et des formes de protection civile plus favorables aux personnes lésées.

Les entreprises qui développent ou déploient des systèmes d’IA à haut risque devront donc revoir leurs protocoles de sécurité, leurs procédures de contrôle humain, la formation de leur personnel et leurs pratiques en matière de documentation technique. Une attention particulière devra également être accordée aux mesures organisationnelles pertinentes au regard de la responsabilité des personnes morales au titre du décret législatif n° 231/2001.

Ce cadre doit être lu conjointement avec l’AI Act, qui impose aux États membres de prévoir des sanctions effectives, proportionnées et dissuasives en cas de violation du règlement (article 99 du règlement (UE) 2024/1689).

© Avv. Gabriele Lanzi