L’impianto risk-based dell’AI Act
Il Regolamento (UE) 2024/1689 costruisce un sistema di obblighi calibrato sul livello di rischio del sistema di IA. Pratiche vietate perché incompatibili con i valori fondamentali dell’Unione, sistemi ad alto rischio soggetti a un articolato regime di valutazione di conformità, sistemi a rischio limitato soggetti a obblighi di trasparenza e sistemi a rischio minimo lasciati sostanzialmente all’autoregolazione. Lungo l’intera catena – fornitore, importatore, distributore, deployer – la responsabilità non scompare mai in capo alla tecnologia, ciascun soggetto infatti risponde degli obblighi specifici che la propria posizione nella filiera gli attribuisce. Il deployer, in particolare, per quanto non abbia progettato il sistema, resta tenuto a un uso conforme alle istruzioni, alla supervisione umana e, per i sistemi ad alto rischio, a specifici obblighi di monitoraggio e di informazione verso le persone su cui il sistema incide.
Il vuoto lasciato dal ritiro della AI Liability Directive
Proprio sul terreno della responsabilità civile si è consumata una battuta d’arresto significativa. Nel 2022 la Commissione europea aveva presentato una proposta di direttiva sulla responsabilità civile da IA (AI Liability Directive, AILD), pensata per completare, sul fronte risarcitorio, l’impianto pubblicistico dell’AI Act. Il testo avrebbe introdotto una presunzione relativa di nesso causale a favore del danneggiato – alleggerendo un onere probatorio spesso insostenibile per chi si trova a dover dimostrare il funzionamento interno di un sistema complesso – e la possibilità, per i giudici nazionali, di ordinare la divulgazione di elementi di prova relativi ai sistemi ad alto rischio.
Nel programma di lavoro 2025, comunicato l’11 febbraio 2025, la Commissione ha annunciato il ritiro della proposta, formalizzato con avviso pubblicato in Gazzetta Ufficiale dell’Unione europea il 6 ottobre 2025. La motivazione ufficiale richiama la mancanza di un accordo politico prevedibile tra le istituzioni. Nel dibattito pubblico, il ritiro è stato letto anche come effetto delle pressioni dell’industria tecnologica per una semplificazione del quadro regolatorio digitale europeo. Non sono mancate voci critiche in Parlamento, che hanno definito la decisione un passo indietro nella costruzione di un sistema di tutele omogeneo per i danneggiati da sistemi di IA.
Che cosa resta: la Direttiva Product Liability
Il ritiro dell’AILD non lascia un vuoto assoluto. La Direttiva (UE) 2024/2853, che aggiorna il regime di responsabilità oggettiva del produttore per danno da prodotto difettoso e che gli Stati membri dovranno recepire entro il 9 dicembre 2026, include espressamente il software e i sistemi di intelligenza artificiale nella definizione di “prodotto”, indipendentemente dalla modalità con cui vengono forniti, come ad esempio su di una installazione locale, in cloud, o modelli SaaS. In base a questo regime, il danneggiato non deve provare la colpa del produttore, ma solo il difetto del prodotto, il danno subito e il nesso causale tra i due, beneficiando peraltro di alcune presunzioni agevolative quando il funzionamento tecnico del sistema risulti eccessivamente complesso da ricostruire.
Questo regime, tuttavia, presenta limiti significativi rispetto a quanto avrebbe coperto l’AILD. Si applica alla responsabilità da prodotto difettoso, non a ogni ipotesi di danno colposo derivante dall’uso di un sistema di IA conforme alle specifiche ma comunque dannoso nell’impiego concreto; e soprattutto esclude dalla propria area di tutela le persone giuridiche, restringendo la protezione ai danni subiti da consumatori su beni o dati non destinati a uso esclusivamente professionale. Le imprese danneggiate nell’esercizio della propria attività restano quindi affidate ai regimi ordinari di responsabilità contrattuale ed extracontrattuale previsti dai singoli ordinamenti nazionali, con il conseguente rischio di soluzioni non omogenee tra Stati membri.
Il ruolo delle istituzioni, anche a livello nazionale
Il quadro europeo si completa con l’individuazione delle autorità competenti a livello nazionale. In Italia, la legge 23 settembre 2025, n. 132 – in vigore dal 10 ottobre 2025 – designa l’Agenzia per l’Italia digitale (AgID) quale autorità di notifica ai sensi dell’art. 70 dell’AI Act, con compiti di promozione dello sviluppo dell’IA e di accreditamento dei soggetti incaricati della verifica di conformità, e l’Agenzia per la cybersicurezza nazionale (ACN) quale autorità di vigilanza del mercato e punto di contatto unico con le istituzioni europee, titolare dei poteri ispettivi e sanzionatori generali. Restano ferme, nei rispettivi ambiti settoriali, le competenze di vigilanza di Banca d’Italia, CONSOB e IVASS per i sistemi ad alto rischio impiegati in ambito finanziario, assicurativo e creditizio, oltre a quelle del Garante per la protezione dei dati personali per i profili di trattamento dei dati personali e dell’Autorità per le garanzie nelle comunicazioni, quale coordinatore dei servizi digitali ai sensi del Digital Services Act. La legge 132/2025 chiarisce espressamente che questa architettura nazionale non introduce obblighi ulteriori rispetto a quelli previsti dall’AI Act per i sistemi e i modelli di IA per finalità generali, ma si limita a completare, sul piano organizzativo e sanzionatorio, un impianto che il Regolamento europeo lascia in parte alla competenza degli Stati membri.
La stessa legge, peraltro, non si limita al profilo istituzionale perchè introduce anche disposizioni di rilievo penalistico prevedendo per la prima volta nel nostro ordinamento fattispecie specifiche legate all’utilizzo illecito di sistemi di IA, tra cui la diffusione di contenuti generati o alterati artificialmente – i cosiddetti deepfake – quando idonei a produrre un danno ingiusto. Anche su questo fronte, il principio guida resta identico a quello che percorre l’intero impianto, la componente tecnologica aggrava, se del caso, la gravità della condotta, ma non sposta mai la responsabilità dalla persona che la pone in essere.
Il rischio di frammentazione tra Stati membri
Un ulteriore effetto del ritiro dell’AILD, spesso sottovalutato, è il rischio di una crescente divergenza tra le soluzioni adottate dai singoli ordinamenti nazionali per colmare il vuoto lasciato dalla proposta abbandonata. In assenza di una disciplina armonizzata sulla responsabilità civile da IA, alcuni Stati membri potrebbero scegliere di intervenire con proprie regole nazionali – ad esempio adattando le regole generali sulla responsabilità extracontrattuale, come nel caso italiano dell’art. 2050 c.c. sulle attività pericolose, la cui applicabilità ai sistemi di IA ad alto rischio è oggetto di un vivace dibattito dottrinale – mentre altri potrebbero attendere un’iniziativa europea che, al momento, non è stata ancora annunciata. Per le imprese che operano su più mercati europei, questa frammentazione rappresenta un costo di compliance ulteriore, poiché lo stesso sistema di IA, utilizzato in condizioni analoghe, potrebbe generare regimi di responsabilità sensibilmente diversi a seconda dello Stato membro in cui il danno si manifesta.
Un principio che regge, nonostante le lacune
Al netto delle lacune create dal ritiro dell’AILD, il principio di fondo dell’intero impianto normativo europeo resta saldo. Nessuna decisione assunta con l’ausilio o per mezzo di un sistema di IA può essere ricondotta all’agente artificiale in quanto tale. La responsabilità – civile, amministrativa, eventualmente penale – permane sempre in capo a una persona fisica, a un’impresa o a un’autorità pubblica. Il rischio concreto, in assenza di una disciplina risarcitoria armonizzata, non è dunque giuridico ma comportamentale ossia che imprese e istituzioni, complice l’incertezza del quadro applicabile, siano indotte a presentare come “decisione dell’algoritmo” scelte che il diritto continua, correttamente, ad attribuire a chi quell’algoritmo lo utilizza.
