Intelligenza artificiale, nuove responsabilità penali e civili dal 30 settembre

Dal 30 settembre nuove regole su IA ad alto rischio, responsabilità 231, prova civile e identificazione biometrica.

Dal 30 settembre entra in vigore il decreto legislativo 9 settembre 2026, n. 160, pubblicato nella Gazzetta Ufficiale n. 214 del 15 settembre. Il provvedimento adegua l’ordinamento italiano al regolamento (UE) 2024/1689, l’AI Act, per l’impiego dell’intelligenza artificiale nelle attività di polizia e introduce nuove regole di responsabilità civile e penale.

Sul versante penale viene inserito nel codice il nuovo articolo 437-bis, che sanziona l’omessa adozione delle misure tecniche di sicurezza o di sorveglianza umana previste per sistemi di IA ad alto rischio quando ne derivi un pericolo per la vita o l’incolumità. La disciplina contempla anche l’alterazione illecita di tali sistemi e prevede aggravamenti quando è coinvolta la sicurezza dello Stato.

La riforma ha un impatto diretto anche sulla responsabilità degli enti. Nel decreto legislativo 8 giugno 2001, n. 231 viene introdotto l’articolo 25-vicies: per il delitto previsto dall’articolo 437-bis sono previste sanzioni pecuniarie da 600 a 1.000 quote e, nei casi stabiliti, sanzioni interdittive. Per le imprese che sviluppano o utilizzano sistemi ad alto rischio, governance, sicurezza tecnica e supervisione umana assumono quindi rilievo anche sul piano del modello organizzativo.

In ambito civile il danneggiato ottiene strumenti probatori rafforzati. Il giudice può ordinare l’esibizione di registri e documentazione tecnica; in presenza delle condizioni fissate dal decreto, la violazione degli obblighi dell’AI Act può fondare una presunzione relativa del nesso causale, salva prova contraria. È inoltre prevista l’azione diretta verso l’assicuratore della responsabilità civile nei limiti del massimale.

Per le attività di polizia il decreto disciplina l’identificazione biometrica remota in tempo reale e il riconoscimento facciale a posteriori, subordinandoli a presupposti e autorizzazioni specifiche, e vieta la creazione di banche dati biometriche mediante raccolta massiva e non mirata di immagini dal web. Le nuove disposizioni rendono la compliance sull’IA un presidio integrato tra sicurezza, responsabilità 231, privacy e gestione del rischio.