Danni da AI, decreto 160/2026: azione contro l’assicuratore e, se il danno nasce da una violazione dell’AI Act, la conformità certificata non basta

Pubblicata il 23 ottobre 2026 · Verificata il 23 ottobre 2026

Un paziente, un cliente o un dipendente subisce un danno e sostiene che dipenda da un sistema di intelligenza artificiale (AI) usato dal professionista o dall’azienda. Dal 30 settembre 2026, con il decreto legislativo 9 settembre 2026, n. 160 (Gazzetta Ufficiale n. 214 del 15 settembre 2026), ha quattro strumenti in più. Il decreto è il primo che attua la legge 23 settembre 2025, n. 132, e riguarda le azioni di risarcimento del danno, sia contrattuale sia extracontrattuale, causato nell’uso di un sistema di AI.

Quali sono i quattro strumenti del danneggiato?

1. Accesso alle prove (articolo 17 del D.Lgs. 160/2026). Su istanza del danneggiato, che presenta fatti idonei a rendere verosimile la domanda, il giudice ordina di esibire le prove specificamente pertinenti sul funzionamento del sistema di AI: tra queste i registri dell’articolo 12 dell’AI Act, la documentazione sulla gestione dei rischi, la documentazione tecnica e le informazioni sulla supervisione umana. L’ordine è limitato a quanto necessario e proporzionato, con tutela dei segreti commerciali. Se la parte non esibisce la documentazione senza giustificato motivo, il giudice, valutato ogni altro elemento di prova, ritiene ammessi i fatti allegati dall’istante (articolo 17, comma 5, del D.Lgs. 160/2026).
2. Nesso causale presunto (articolo 18 del D.Lgs. 160/2026). Quando il danno deriva dalla violazione di uno o più obblighi dell’AI Act, il legame tra violazione e danno si presume, salvo prova contraria. Non è una responsabilità automatica: è l’onere della prova che cambia lato.
3. La conformità non basta (articolo 19 del D.Lgs. 160/2026). Nelle stesse azioni, quando il danno deriva dalla violazione di obblighi dell’AI Act (articolo 16, comma 2, del D.Lgs. 160/2026), la conformità del sistema agli obblighi dell’AI Act, anche se certificata, non esclude di per sé la responsabilità di chi è chiamato in giudizio. Resta fermo quanto previsto dalla normativa di recepimento della direttiva (UE) 2024/2853 sulla responsabilità per danno da prodotti difettosi.
4. Azione diretta contro l’assicuratore (articolo 20 del D.Lgs. 160/2026). Il danneggiato può chiedere al presunto responsabile se ha una polizza di responsabilità civile che copre quel danno (la richiesta non è condizione per agire in giudizio; la risposta va data entro trenta giorni) e agire direttamente contro l’assicuratore, nei limiti delle somme per cui è stipulato il contratto. Il responsabile deve comunque essere parte del giudizio.

Sul piano civile il decreto non stabilisce chi risponde: introduce strumenti processuali (articoli da 16 a 20 del D.Lgs. 160/2026) e lascia ferme le regole sul risarcimento dell’articolo 82 del GDPR (Regolamento UE 2016/679) e quelle di recepimento della direttiva (UE) 2024/2853 (articolo 16, comma 3, del D.Lgs. 160/2026). Cambia la facilità con cui il danneggiato arriva a provare e a farsi pagare.

Il decreto aggiunge anche una regola sul foro: quando il danneggiato è una persona fisica che agisce per scopi estranei all’attività imprenditoriale, commerciale, artigianale o professionale, è competente anche il giudice del luogo in cui ha la residenza o il domicilio (articolo 16, comma 4, del D.Lgs. 160/2026).

Perché la conformità non vuol dire essere al sicuro?

Perché la conformità riguarda il sistema, la responsabilità riguarda come lo si usa. Un software di trascrizione o di supporto alla diagnosi può rispettare in pieno l’AI Act e venire usato male: fuori dalla finalità prevista dal fornitore, senza controllo umano, senza informare il paziente o il cliente. Nelle azioni in cui il danno deriva dalla violazione di obblighi dell’AI Act, non basterà mostrare il certificato del fornitore.

Cosa cambia per il medico e per il professionista?

La documentazione dell’uso dell’AI diventa una prova. Se il giudice può chiedere i documenti sul funzionamento del sistema e, in caso di violazione dell’AI Act, il nesso causale si presume, la difesa passa da ciò che si è scritto prima: quale sistema è stato usato, per quale scopo, chi ha controllato il risultato, cosa è stato detto al paziente o al cliente (come chiede l’articolo 13 della legge 132/2025 per le professioni intellettuali), quale formazione ha ricevuto il personale (articolo 4 dell’AI Act).

Per la responsabilità sanitaria l’azione diretta contro l’assicuratore era già prevista dall’articolo 12 della legge 8 marzo 2017, n. 24 (legge Gelli-Bianco), e si applica dal 16 marzo 2024, data di entrata in vigore del decreto ministeriale 15 dicembre 2023, n. 232 sui requisiti minimi delle polizze. Il D.Lgs. 160/2026 aggiunge, per tutti gli usi dell’AI, le regole sull’accesso alle prove e, quando il danno deriva dalla violazione dell’AI Act, la presunzione del nesso causale e il principio che la conformità certificata non basta.

Cosa conviene fare adesso?

1. Rileggere la polizza di responsabilità civile. Verificare se copre i danni legati all’uso di sistemi di AI e se esclude qualcosa. Il decreto non impone di assicurarsi, ma se la polizza esiste il danneggiato può rivolgersi direttamente all’assicuratore.
2. Tenere un registro dei sistemi di AI usati nello studio o in azienda, con la finalità d’uso di ciascuno.
3. Documentare il controllo umano sulle decisioni che contano: chi ha verificato, quando, con quale esito.
4. Conservare le informative date a pazienti e clienti sull’uso dell’AI e la traccia della formazione del personale.

Il secondo decreto che attua la stessa legge, il D.Lgs. 179/2026, riguarda la formazione e le decisioni sul lavoro: Decreto legislativo 179/2026 in vigore: formazione sull’AI obbligatoria e decisioni sul lavoro mai solo automatiche.

Domande frequenti

Se il software che uso è certificato, sono protetto?

No, non di per sé. Quando il danno deriva dalla violazione di obblighi dell’AI Act, l’articolo 19 del D.Lgs. 160/2026 dice che la conformità, anche certificata, non esclude la responsabilità.

Devo stipulare una polizza specifica per l’AI?

Il decreto non introduce un obbligo di assicurazione. Se però una polizza c’è, il danneggiato può agire direttamente contro l’assicuratore nei limiti delle somme per cui è stipulato il contratto: conviene sapere cosa copre.

Il nesso causale presunto vale sempre?

No. Vale quando il danno deriva dalla violazione di uno o più obblighi dell’AI Act, e chi è chiamato in giudizio può dare la prova contraria (articolo 18 del D.Lgs. 160/2026).

Norme di riferimento: D.Lgs. 9 settembre 2026, n. 160 (artt. 16, 17, 18, 19, 20); Regolamento (UE) 2024/1689, artt. 4 e 12; Regolamento (UE) 2016/679, art. 82; Direttiva (UE) 2024/2853; Legge 23 settembre 2025, n. 132, art. 13; Legge 8 marzo 2017, n. 24, art. 12; D.M. 15 dicembre 2023, n. 232. Norme italiane verificate sul testo di Normattiva e della Gazzetta Ufficiale il 23 ottobre 2026.