Se un robot fa danni, chi paga? Dal 30 settembre cambiano le regole del processo, non quelle della colpa

Il d.lgs. 160/2026 non stabilisce un nuovo regime di responsabilità per l'IA: interviene su ciò che finora rendeva queste cause quasi impraticabili, cioè la prova del nesso causale e la solvibilità del responsabile

Il problema che il decreto prova a risolvere

Chi ha provato a impostare una causa di responsabilità civile per un danno cagionato da un sistema di intelligenza artificiale conosce il problema. Il danneggiato vede solo l’esito — un credito negato, una diagnosi errata, un veicolo che frena nel momento sbagliato, un braccio robotico che urta un operatore, un candidato escluso da una selezione automatizzata — mentre tutto ciò che servirebbe a spiegarlo sta dall’altra parte: i log, i parametri, le scelte di addestramento, le istruzioni date agli operatori. Con le regole ordinarie sulla prova, quel deficit informativo si traduce quasi sempre in un rigetto per mancata dimostrazione del nesso causale.

L’Unione europea aveva tentato di affrontare il tema con una direttiva sulla responsabilità da intelligenza artificiale, proposta nel 2022 e poi ritirata dalla Commissione nel 2025. Il legislatore italiano ha deciso di non attendere: con il d.lgs. 9 settembre 2026, n. 160 — pubblicato in Gazzetta Ufficiale n. 214 del 15 settembre 2026, in vigore dal 30 settembre, ha trasferito nell’ordinamento interno alcune delle soluzioni di quel progetto abbandonato, inserendole in un testo che si occupa prevalentemente di tutt’altro: l’uso dell’IA da parte delle forze di polizia e un nuovo reato nel codice penale (il nuovo art. 437-bis c.p., omissione di misure di sicurezza su sistemi IA ad alto rischio, con pena da 1 a 5 anni, fino a 8 se è messa in pericolo la sicurezza pubblica e fino a 10 in caso di manomissione del sistema; è prevista anche la responsabilità dell’ente ex art. 25-vicies d.lgs. 231/2001).

Chi risponde davvero, se il “colpevole” è un algoritmo

Qui va sciolto un equivoco frequente: il decreto non crea un regime autonomo di responsabilità per l’intelligenza artificiale. La regola su chi deve pagare resta quella del codice civile, applicata caso per caso:

— se il danno nasce da un difetto del sistema (un errore di progettazione, un addestramento carente), risponde il produttore secondo le regole sulla responsabilità da prodotto difettoso, destinate peraltro ad allargarsi con il recepimento — ancora in corso — della nuova direttiva UE sui prodotti difettosi, che include esplicitamente software e sistemi di IA tra i “prodotti”;

— se il danno nasce dall’uso che ne fa chi lo gestisce (un ospedale, un’azienda di logistica, un comune che impiega un sistema di videosorveglianza predittiva), può operare la responsabilità per attività pericolosa (art. 2050 c.c.) o per le cose in custodia (art. 2051 c.c.), applicate per analogia ai sistemi autonomi;

— resta sempre possibile la responsabilità per colpa di chi ha programmato, integrato o supervisionato male il sistema.

Il d.lgs. 160/2026 lascia intatta questa mappa. Ciò che cambia è come si arriva a dimostrarla.

Cosa cambia in concreto: prova, presunzione, assicuratore

Le regole civilistiche sono contenute negli artt. 16-20 del decreto (Titolo II, Capo II) e valgono per ogni azione risarcitoria, contrattuale o extracontrattuale, per danni cagionati nell’utilizzo di un sistema di IA:

L’ordine di esibizione (art. 17). Se la domanda del danneggiato è verosimile, il giudice può ordinare l’esibizione di registri, documentazione sulla gestione dei rischi, documentazione tecnica e parametri della supervisione umana. Se la controparte non ottempera, il giudice può ritenere ammessi i fatti allegati dal danneggiato: un deterrente concreto contro chi conta sull’opacità del sistema.

La presunzione del nesso causale (art. 18). Quando il danno deriva dalla violazione di un obbligo previsto dall’AI Act, il nesso tra violazione e danno si presume, salvo prova contraria. È il cuore della riforma: sposta l’onere della prova su chi ha in mano i dati.

La certificazione non salva (art. 19). La conformità al regolamento europeo, anche certificata, non esclude di per sé la responsabilità: avere il bollino non basta a escludere la colpa.

L’azione diretta contro l’assicuratore (art. 20). Il danneggiato può citare direttamente l’assicuratore della responsabilità civile del convenuto, nei limiti del massimale, con il responsabile come litisconsorte necessario. A differenza della RC auto, però, le eccezioni contrattuali anteriori al sinistro restano opponibili al danneggiato: un limite pratico da tenere presente prima di contare su questa via.

Il foro del danneggiato (art. 16, comma 4). La persona fisica che agisce per scopi estranei alla propria attività professionale può citare anche davanti al giudice della propria residenza o del proprio domicilio — una facilitazione pensata per il consumatore contro l’azienda tecnologicamente più forte.

In pratica

Per chi agisce: la strada resta lunga — il decreto non inverte l’onere della prova sulla colpa, solo su una parte del nesso causale, e solo per le violazioni dell’AI Act già in vigore — ma per la prima volta un giudice può obbligare la controparte ad aprire i log.

Per chi si difende — aziende, ospedali, studi professionali che impiegano sistemi di IA —, tre cose diventano da subito operative: tenere una documentazione tecnica e di gestione del rischio effettivamente esibibile, non solo formale; verificare che la polizza RC copra esplicitamente i danni da sistemi di IA e non contenga esclusioni che diventerebbero opponibili in giudizio ex art. 20; e ricordare che la certificazione di conformità, da sola, non è più uno scudo sufficiente.