È la domanda che chiude ogni discussione sull'intelligenza artificiale, e per anni la risposta onesta è stata "dipende, e comunque provalo". Dal 4 agosto 2026 la risposta è cambiata, e non in favore delle imprese.
I decreti attuativi della legge 132/2025 approvati in quella data hanno introdotto una serie di tutele per chi subisce un danno da sistemi di IA: accesso alla documentazione tecnica, meccanismi di presunzione sul nesso causale, foro alternativo vicino alla residenza della vittima, azione diretta nei confronti dell'assicuratore.
Perché è un cambio di equilibrio
Il problema storico del danneggiato era l'asimmetria informativa. Il sistema è opaco, la documentazione è del produttore, i log sono dell'azienda che lo usa. Provare che quel software ha causato quel danno era, per un privato, quasi impossibile.
Con l'accesso alla documentazione tecnica e le presunzioni sul nesso causale, quella barriera si abbassa. Per chi produce o usa questi sistemi significa una cosa sola: la qualità della documentazione smette di essere un adempimento e diventa la tua posizione in giudizio.
Come si ripartisce, in linea generale
Il fornitore risponde dei difetti del sistema: progettazione inadeguata, dati di addestramento non idonei, mancanza delle misure richieste, istruzioni per l'uso incomplete o sbagliate.
Il deployer risponde dell'uso: impiego difforme dalle istruzioni, assenza di sorveglianza umana effettiva, decisione adottata senza verifica, informazioni non date alle persone coinvolte.
In mezzo c'è la zona grigia, ed è dove finiscono la maggior parte dei casi reali: il sistema ha funzionato come previsto, l'azienda lo ha usato come previsto, e il risultato ha comunque danneggiato qualcuno. Lì contano le finalità dichiarate, i limiti comunicati e le verifiche eseguite.
Il fattore che decide davvero
Nella pratica l'esito lo determinano tre elementi.
Le istruzioni per l'uso. Se il fornitore ha scritto chiaramente finalità, limiti e condizioni di impiego, e l'azienda ha fatto altro, la posizione del fornitore è forte. Se le istruzioni sono generiche o assenti, la posizione si ribalta.
La prova della sorveglianza umana. Non basta dire che c'era: serve poter mostrare chi ha rivisto cosa e quando. Un log che registra la revisione vale più di dieci pagine di policy.
La tempestività del rimedio. Chi ha rilevato il problema, lo ha documentato e lo ha corretto ha una posizione radicalmente migliore di chi lo ha scoperto in giudizio.
Il piano penale, che è nuovo
Oltre al civile, dal 4 agosto 2026 c'è l'articolo 437-bis del codice penale: omessa adozione di misure di sicurezza relative ai sistemi di IA ad alto rischio e loro alterazione illecita. È una responsabilità che riguarda persone fisiche individuate secondo ruoli e deleghe.
Il che rende urgente una cosa banale e spesso trascurata: scrivere chi, in azienda, è responsabile di cosa. Nelle contestazioni omissive la prima domanda è sempre "chi doveva farlo", e se in azienda la risposta non esiste, la costruirà qualcun altro.
Cosa può fare un'impresa, concretamente
Pretendere istruzioni per l'uso scritte dai fornitori, e conservarle. Registrare le revisioni umane sulle decisioni che contano. Documentare le misure di sicurezza adottate, con la data. Verificare la copertura assicurativa: molte polizze di responsabilità civile non contemplano espressamente i danni derivanti da sistemi di IA, e con l'azione diretta verso l'assicuratore la questione diventa centrale.
E una regola che non costa niente: mai far decidere alla macchina, da sola, qualcosa che incide in modo significativo su una persona. È il principio che ispira tutta la normativa, dall'AI Act alla legge italiana, ed è anche la difesa migliore.
Una nota personale
Io di mestiere costruisco sistemi IA privati per studi professionali e piccole imprese italiane. Non vendo corsi e non vendo pacchetti di conformità da 4.000 euro con la copertina lucida. I regolamenti li leggo perché mi tocca, e li racconto come li ho capiti. Se hai una domanda, sul gruppo Telegram di Super Squalo (t.me/Squalogruppo) si discute di questa roba ogni giorno, e si risponde gratis.
La macchina non è mai imputata. Risponde sempre qualcuno con un nome — meglio sapere in anticipo di chi si tratta.
Domande frequenti
Posso scaricare la responsabilità sul fornitore per contratto?
Nei rapporti fra imprese si possono prevedere manleve e ripartizioni, ma non producono effetto verso il terzo danneggiato, che può agire secondo le regole generali. Le clausole servono a regolare il rapporto interno di rivalsa.
La polizza professionale copre i danni da IA?
Dipende dal contratto. Molte polizze non contemplano espressamente questi scenari: conviene verificarlo con la compagnia e, se necessario, chiedere un'estensione.
Cosa significa presunzione del nesso causale?
Sono meccanismi che alleggeriscono l'onere della prova per il danneggiato quando ricorrono determinate condizioni, tenuto conto dell'opacità dei sistemi e dell'asimmetria informativa fra le parti.