Sei il titolare di un e-commerce, hai messo un chatbot IA per il customer care. Una cliente ha chiesto se un farmaco interagiva con un altro che assumeva. Il chatbot, addestrato su dati medici generici, ha risposto con sicurezza: «nessuna interazione». Sbagliato. La cliente ha avuto reazione avversa, finita in pronto soccorso. Adesso il suo avvocato ti ha mandato la richiesta di risarcimento. Bella domanda: chi paga? Tu, il fornitore del chatbot, OpenAI? Vediamo cosa dicono le norme oggi e cosa diranno tra due anni.
La situazione oggi in Italia
Niente normativa specifica IA. Si applica il codice civile vecchio di 80 anni. Tre articoli ti riguardano:
- Art. 2043 c.c. Responsabilita' aquiliana generica. Chi commette fatto doloso o colposo che causa danno e' tenuto a risarcire. Onere della prova: in capo al danneggiato.
- Art. 2050 c.c. Attivita' pericolose. Chi esercita un'attivita' pericolosa risponde del danno salvo prova di aver adottato tutte le misure idonee. Onere della prova invertito: tocca a te dimostrare che hai fatto tutto il possibile. La giurisprudenza piu' recente sta orientandosi a includere l'IA in certi contesti (sanita', finanza, sicurezza) tra le attivita' pericolose.
- Art. 2051 c.c. Cose in custodia. Chi ha la custodia di una cosa risponde del danno cagionato dalla cosa salvo prova del caso fortuito. Il chatbot e' la tua «cosa», ne hai la custodia, rispondi.
La proposta AI Liability Directive UE
La Commissione UE ha proposto la AI Liability Directive (COM/2022/496) per armonizzare le regole. Nel febbraio 2025 la Commissione ha annunciato il ritiro della proposta dal programma di lavoro, ma il dibattito resta aperto e gli Stati membri si stanno muovendo in autonomia. I principi chiave proposti restano un riferimento:
- Presunzione di causalita'. Se l'attore prova che il sistema IA ha causato il danno e che il provider/utilizzatore ha violato un obbligo (es. AI Act), si presume il nesso causale. Tocca al convenuto dimostrare il contrario.
- Diritto di disclosure. Il giudice puo' ordinare al fornitore IA di esibire documentazione tecnica (training data, log, scheda tecnica art. 11 AI Act). Senza disclosure, il danneggiato non ha chance.
- Sistemi alto rischio ex AI Act: presunzioni piu' favorevoli al danneggiato.
La revisione della Product Liability Directive (Dir. 2024/2853)
Mentre la AI Liability Directive specifica e' in stallo, l'UE ha gia' approvato la nuova Product Liability Directive (Dir. UE 2024/2853), in vigore dal 9 dicembre 2024, da recepire entro il 9 dicembre 2026. Estende la responsabilita' del produttore al software, inclusi i sistemi IA, e introduce presunzioni di difettosita' quando il prodotto e' eccessivamente complesso. Questa norma sostituisce di fatto parte degli obiettivi della AI Liability Directive.
Cosa devi fare praticamente
- Disclaimer chiaro e visibile. «Questo assistente IA puo' commettere errori. Non sostituisce consulenza medica/legale/finanziaria professionale.» Posizionato all'inizio della chat, non in fondo alla pagina.
- Filtri di dominio. Per query su salute, farmaci, diagnosi, legale: il chatbot deve declinare e rinviare a professionista umano. Tecnicamente fattibile con classificatori di intent.
- Logging completo. Salva tutte le conversazioni per almeno 24 mesi. Se finisci in causa, i log sono la tua prova primaria.
- Polizza assicurativa cyber + AI errors. Le compagnie iniziano a offrirla. Costo: 0,3-1% del fatturato per coperture decenti. E' costo, non investimento, ma in caso di sinistro ti salva.
- Catena di responsabilita' contrattuale. Nel contratto col fornitore IA, includi indennizzo per danni causati da malfunzionamento dimostrato del modello. Spesso non lo accettano (clausole limitative tipiche di OpenAI), ma negozia.
Sanzioni e cause: quanto puoi perdere
Risarcimenti diretti per danni: nessun tetto. Caso Air Canada 2024 (Moffatt v. Air Canada, Tribunal canadese): chatbot ha promesso uno sconto fittizio, compagnia condannata a risarcire la cifra promessa, oltre alle spese legali. Caso piccolo, principio enorme: sei responsabile di quello che dice il tuo chatbot, anche se il chatbot ha sbagliato. Aggiungi: spese legali, danno reputazionale, eventuale sanzione Garante se dietro c'e' violazione GDPR (es. dati cliente trattati senza base giuridica).
L'idea che «l'IA ha sbagliato, mica io» non funziona in tribunale. Il chatbot e' tuo, il sito e' tuo, il cliente parlava con te. Tu rispondi. La direttiva UE arrivera', ma la responsabilita' c'e' gia'. Disclaimer, filtri, log, contratti, polizza: cinque mosse semplici che ti tolgono il 90% del rischio. Le altre mosse, se sei in settori sensibili (sanita', finanza, legale), implicano scelte piu' radicali: o non usi IA per quei domini, o la usi solo come supporto a un professionista umano che firma. Decidi tu, ma decidi consapevolmente.