Intelligenza artificiale: nuove regole su responsabilità civile e penale e riconoscimento facciale a partire dal 30 settembre 2026

A partire dal 30 settembre 2026 entra in vigore in Italia il decreto legislativo 9 settembre 2026, n. 160, pubblicato nella Gazzetta Ufficiale n. 214 del 15 settembre 2026. Il provvedimento si inserisce nel quadro delineato dal regolamento (UE) 2024/1689, il cosiddetto AI Act, e disciplina alcuni profili nazionali relativi all’impiego dell’intelligenza artificiale, con particolare riguardo alle attività di polizia, alla responsabilità civile e penale e all’utilizzo dei sistemi di identificazione biometrica.

Il decreto dà attuazione alla delega conferita al Governo dalla legge 23 settembre 2025, n. 132, che aveva previsto interventi di adeguamento dell’ordinamento nazionale all’AI Act e una disciplina specifica per l’utilizzo dei sistemi di intelligenza artificiale nell’attività di polizia (art. 24 della legge n. 132/2025).

Struttura del decreto

Il testo si articola in 22 articoli, suddivisi in tre Titoli: il primo disciplina l’utilizzo dei sistemi di IA nelle attività di polizia, dalla sperimentazione alla formazione del personale, fino all’identificazione biometrica remota; il secondo introduce disposizioni penali e processuali collegate all’uso illecito dell’IA e prevede strumenti di tutela risarcitoria per il soggetto danneggiato; il terzo contiene le disposizioni transitorie e finanziarie.

La disciplina nazionale deve essere letta in coordinamento con il regolamento europeo, che include tra i sistemi ad alto rischio, nei limiti in cui il loro impiego sia consentito dal diritto dell’Unione o nazionale, i sistemi di identificazione biometrica remota e determinati sistemi utilizzati nell’attività di contrasto (allegato III del regolamento (UE) 2024/1689).

Le novità sul piano penale

Il decreto inserisce nel codice penale il nuovo articolo 437-bis, che punisce l’omessa adozione delle misure tecniche di sicurezza o di sorveglianza umana previste per i sistemi di IA ad alto rischio, quando da tale omissione derivi un pericolo concreto per la vita o per l’incolumità pubblica o individuale. La pena prevista è la reclusione da uno a cinque anni; la sanzione sale da due a otto anni quando il pericolo riguarda la sicurezza dello Stato.

Il decreto disciplina inoltre l’alterazione illecita dei sistemi di IA ad alto rischio, prevedendo la reclusione da due a sei anni e un aggravamento di pena nei casi più gravi.

Queste disposizioni si aggiungono alle modifiche penali già introdotte dalla legge n. 132/2025, tra cui la nuova aggravante comune relativa ai reati commessi mediante l’impiego di sistemi di intelligenza artificiale e il delitto di illecita diffusione di immagini, video o voci falsificati o alterati mediante IA (art. 26 della legge n. 132/2025).

Viene inoltre esteso il catalogo dei reati presupposto della responsabilità degli enti ai sensi del decreto legislativo n. 231/2001. Il nuovo articolo 25-vicies prevede, per il delitto di cui all’articolo 437-bis del codice penale, una sanzione pecuniaria da 600 a 1.000 quote, oltre alle sanzioni interdittive applicabili nei casi previsti dal sistema 231.

Identificazione biometrica e riconoscimento facciale

Il decreto disciplina l’identificazione biometrica remota in tempo reale da parte delle forze di polizia, ammettendola nei casi previsti dalla legge e previa autorizzazione dell’autorità giudiziaria. L’utilizzo deve comunque rispettare i presupposti, i limiti e le garanzie stabiliti dal regolamento europeo e dalla normativa nazionale in materia di protezione dei dati personali.

È espressamente vietata la costituzione di banche dati biometriche mediante raccolta massiva e non mirata di informazioni provenienti dal web.

In materia di videosorveglianza in luoghi o durante eventi caratterizzati da particolari esigenze di ordine pubblico, le immagini dei volti possono essere associate ai dati anagrafici e, ove previsto, al posto assegnato, senza elaborazione dei dati biometrici nella fase iniziale. Il riconoscimento facciale può essere attivato successivamente alla commissione di un reato, secondo le condizioni previste dal decreto. I dati raccolti devono essere cancellati automaticamente decorso il termine di sette giorni, salvo le esigenze e le deroghe previste dalla legge.

I criteri per individuare i luoghi e gli eventi interessati sono definiti con decreto del Ministro dell’interno, sentito il Garante per la protezione dei dati personali.

Sul piano processuale, il nuovo articolo 359-ter del codice di procedura penale disciplina l’identificazione e la localizzazione mediante sistemi di IA destinati all’identificazione biometrica remota in tempo reale. Lo strumento può essere utilizzato per confermare l’identità o ricercare persone indiziate di determinati reati previsti dall’AI Act, puniti nel massimo con almeno quattro anni di reclusione, nonché per la ricerca di latitanti.

Le novità sul piano civile

Sul versante civile, il decreto rafforza la posizione del soggetto danneggiato dall’utilizzo di sistemi di IA attraverso una serie di strumenti diretti a ridurre l’asimmetria informativa tra le parti.

Tra le principali novità rientrano:

• il diritto di accesso alla documentazione tecnica del sistema, ai registri e alle informazioni relative alla supervisione umana; l’inottemperanza all’ordine di esibizione può comportare l’ammissione dei fatti allegati dalla parte istante;

• la presunzione del nesso di causalità tra la violazione degli obblighi previsti dall’AI Act e il danno subito, salva la prova contraria;

• un foro alternativo per il consumatore, individuato nella residenza o nel domicilio del danneggiato;

• un’azione diretta nei confronti dell’impresa assicurativa che copre la responsabilità civile del danneggiante, nei limiti del massimale.

La conformità del sistema di IA al regolamento europeo, anche quando sia stata certificata, non esclude di per sé la responsabilità civile per il danno cagionato. La valutazione dovrà essere svolta alla luce della condotta degli operatori, degli obblighi applicabili, del danno e del nesso causale.

Come ottenere il risarcimento dei danni causati dall’intelligenza artificiale

Il d.lgs. n. 160/2026 introduce strumenti processuali specifici per agevolare chi intende chiedere il risarcimento di un danno riconducibile al funzionamento o all’impiego di un sistema di intelligenza artificiale. La ratio è ridurre lo squilibrio informativo tra il danneggiato, che normalmente non dispone dei dati tecnici necessari, e il fornitore o l’utilizzatore del sistema.

L’ordine di esibizione della documentazione tecnica

Il danneggiato può chiedere al giudice di ordinare alla controparte o a un terzo l’esibizione degli elementi di prova relativi al funzionamento del sistema di IA. L’ordine non è automatico: il giudice deve valutare la verosimile fondatezza della domanda risarcitoria e la proporzionalità della richiesta, anche in rapporto alla tutela dei segreti commerciali e delle informazioni riservate.

Tra gli elementi potenzialmente rilevanti rientrano i registri di funzionamento dei sistemi ad alto rischio, la documentazione relativa al sistema di gestione dei rischi e le informazioni sulla supervisione umana. Si tratta di documenti che possono consentire di ricostruire il comportamento del sistema, le anomalie eventualmente verificatesi e il grado di controllo esercitato dagli operatori.

La mancata ottemperanza, anche parziale e senza giustificato motivo, all’ordine rivolto alla parte può consentire al giudice di ritenere provati i fatti allegati dal richiedente. Quando l’ordine è rivolto a un terzo, l’inosservanza è invece assistita da una sanzione pecuniaria. La disciplina non elimina, quindi, la necessità di allegare il danno e di individuare il rapporto tra il sistema di IA e l’evento lesivo, ma offre al danneggiato uno strumento per acquisire informazioni altrimenti difficilmente accessibili.

La presunzione del nesso causale

Per le azioni fondate sulla violazione degli obblighi previsti dal regolamento europeo sull’intelligenza artificiale, il decreto prevede una presunzione relativa dell’esistenza del nesso causale tra la violazione e il danno. La presunzione può essere superata mediante prova contraria e non equivale, pertanto, a un automatismo risarcitorio.

Il danneggiato deve comunque individuare la condotta o l’omissione rilevante, dimostrare l’esistenza e l’entità del pregiudizio e collegare la pretesa risarcitoria al sistema di IA utilizzato. La presunzione opera sul piano della causalità e non sostituisce la prova degli altri presupposti della responsabilità.

Conformità del sistema e responsabilità civile

La conformità del sistema agli obblighi del regolamento (UE) 2024/1689, anche quando sia stata formalmente certificata, non esclude di per sé la responsabilità civile del convenuto. La certificazione costituisce un elemento da valutare nel complessivo giudizio, ma non impedisce di accertare se, nel caso concreto, siano stati cagionati danni, se siano stati rispettati gli obblighi di supervisione e se l’impiego del sistema sia avvenuto secondo la finalità prevista e le istruzioni applicabili.

La tutela del consumatore e l’assicurazione

Quando il danneggiato è un consumatore, la causa può essere proposta anche davanti al giudice del luogo di residenza o di domicilio del consumatore, in deroga ai criteri ordinari di competenza territoriale previsti per il rapporto.

Il decreto interviene inoltre sul rapporto con l’assicurazione. Chi intende agire per il risarcimento può chiedere al presunto responsabile se disponga di una polizza di responsabilità civile idonea a coprire il danno lamentato. Il destinatario della richiesta deve comunicare entro trenta giorni gli estremi del contratto e l’identità dell’impresa assicuratrice. L’omessa o incompleta risposta può essere valutata dal giudice come argomento di prova sfavorevole.

È inoltre riconosciuta l’azione diretta del danneggiato nei confronti dell’impresa di assicurazione, nei limiti del massimale di polizza. Nel relativo giudizio, l’assicurato deve partecipare quale litisconsorte necessario. Il danneggiato può quindi rivolgersi direttamente all’assicuratore, ma la tutela resta delimitata dall’esistenza della copertura, dall’operatività della polizza e dal massimale assicurato.

Nel complesso, le nuove disposizioni non configurano una responsabilità automatica per ogni danno prodotto da un sistema di IA. Rafforzano, piuttosto, la posizione processuale del danneggiato, facilitando l’accesso alla prova tecnica, alleggerendo — nei casi previsti — la dimostrazione del nesso causale e rendendo più agevole l’individuazione dell’eventuale copertura assicurativa.

Considerazioni conclusive

Il decreto legislativo n. 160/2026 rappresenta un intervento organico di coordinamento tra il regolamento europeo sull’intelligenza artificiale e l’ordinamento nazionale. Il provvedimento introduce disposizioni specifiche per l’attività di polizia, nuove fattispecie o aggravamenti sul piano penale, strumenti di responsabilità degli enti e forme di tutela civile più favorevoli al danneggiato.

Le imprese che sviluppano o impiegano sistemi di IA ad alto rischio dovranno pertanto verificare i propri protocolli di sicurezza, le procedure di supervisione umana, la formazione del personale e la gestione della documentazione tecnica. Particolare attenzione dovrà essere dedicata anche ai presidi organizzativi rilevanti ai fini della responsabilità degli enti ai sensi del decreto legislativo n. 231/2001.

Il quadro deve essere letto insieme all’AI Act, che impone agli Stati membri di predisporre sanzioni effettive, proporzionate e dissuasive per le violazioni del regolamento (art. 99 del regolamento (UE) 2024/1689).

© Avv. Gabriele Lanzi