Frid_AI_news #085 (02/10/2026)

Alla scoperta delle norme dedicate all’intelligenza artificiale

 

Il Regolamento sull’intelligenza artificiale entra nel codice penale, nella 231 e nel processo civile.

Dal 30 settembre 2026 è in vigore il decreto legislativo 9 settembre 2026, n. 160, pubblicato nella Gazzetta Ufficiale n. 214 del 15 settembre. 

L’uso dell’IA da parte delle Forze di polizia occupa il Titolo I, ma il Titolo II ridisegna la responsabilità penale, quella amministrativa degli enti e quella civile di chi progetta, produce o utilizza sistemi ad alto rischio.

 

Polizia e biometria: la scelta italiana

L’Italia sfrutta lo spazio che l’art. 5, par. 5, dell’AI Act riserva agli Stati membri e ammette l’identificazione biometrica remota in tempo reale in luoghi accessibili al pubblico. Il perimetro resta stretto: prevenzione delle minacce indicate dall’art. 5, par. 1, lett. h), ricerca di persone scomparse e di vittime di sequestro, tratta o sfruttamento sessuale, oltre agli usi processuali del nuovo art. 359-ter c.p.p. per gli indiziati dei reati dell’allegato II e per i latitanti. 

L’autorizzazione spetta al procuratore della Repubblica o al GIP a seconda del contesto, non supera quindici giorni prorogabili e presuppone la valutazione d’impatto sui diritti fondamentali ex art. 27 AI Act oltre alla valutazione d’impatto prevista dal D.lgs. 51/2018. Le banche dati di confronto vanno formate per ogni singola autorizzazione e cancellate alla sua scadenza; quelle alimentate da scraping non mirato sono vietate.

Il riconoscimento facciale a posteriori richiede l’autorizzazione del GIP entro quarantotto ore, salvo l’identificazione iniziale di un potenziale indiziato su elementi oggettivi, secondo lo schema dell’art. 26, par. 10, AI Act. 

Un dettaglio interessa direttamente le imprese: per luoghi ed eventi con particolari esigenze di ordine pubblico, gestori e organizzatori possono installare le componenti di IA e cederle in comodato gratuito alla questura, mentre le immagini dei volti restano in una base dati locale per sette giorni, senza elaborazione biometrica fino alla commissione di un reato. Titolare del trattamento è il Ministero dell’interno, ma il ruolo dei privati nella filiera andrà qualificato caso per caso. Per i sistemi già contrattualizzati, in sviluppo o in uso le Forze di polizia hanno un anno per adeguarsi.

 

Il nuovo art. 437-bis c.p. e l’art. 25-vicies della 231

Il cuore del decreto è il delitto di omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi. 

Il primo comma punisce con la reclusione da uno a cinque anni chi omette le misure tecniche di sicurezza previste per progettazione, addestramento, produzione o immissione sul mercato di sistemi ad alto rischio, ovvero le misure di sorveglianza umana, quando ne derivi pericolo per la vita o l’incolumità pubblica o individuale; la pena sale da due a otto anni se il pericolo riguarda la sicurezza dello Stato. 

Seguono l’alterazione dei sistemi (da due a sei anni, da tre a dieci per la sicurezza dello Stato), una forma attenuata per colpa grave e un’ipotesi dedicata all’utilizzatore professionale che omette intenzionalmente la sorveglianza umana.

La fattispecie entra subito nel catalogo 231 attraverso il nuovo art. 25-vicies, insieme al deepfake dell’art. 612-quater c.p. introdotto dalla legge 132/2025. Le sanzioni pecuniarie vanno da seicento a mille quote nel primo caso e da duecento a settecento nel secondo, cui si aggiungono le interdittive dell’art. 9, comma 2, lettere da b) a e). Mappatura dei rischi e protocolli dei modelli organizzativi vanno riletti in questa chiave.

 

Risarcimento: prova, causalità, assicurazione

Il Capo II del Titolo II recupera in chiave nazionale buona parte della proposta di direttiva sulla responsabilità da IA abbandonata dalla Commissione nel 2025. 

Il danneggiato che rende verosimile la domanda ottiene l’esibizione dei log ex art. 12, della documentazione sul sistema di gestione dei rischi, di quella tecnica e dei parametri di sorveglianza umana; il rifiuto ingiustificato di esibire quella documentazione porta il giudice a ritenere ammessi i fatti allegati. 

Quando il danno deriva dalla violazione di obblighi dell’AI Act, il nesso di causalità è presunto salvo prova contraria e la conformità, anche certificata, non esclude di per sé la responsabilità. Completano il quadro il foro del consumatore e l’azione diretta contro l’assicuratore della responsabilità civile.

 

I nodi aperti

Il primo riguarda il tempo. Il 437-bis è vigente dal 30 settembre, ma il regolamento (UE) 2026/1744 (Digital Omnibus) ha spostato gli obblighi per l’alto rischio al 2 dicembre 2027 per l’allegato III e al 2 agosto 2028 per l’allegato I. Se le misure «previste» sono quelle del Capo III dell’AI Act, il precetto penale resta privo di contenuto esigibile fino a quelle date; una lettura che le ricavi da altre fonti, norme armonizzate o discipline di settore, estenderebbe la fattispecie con qualche frizione rispetto al principio di determinatezza. In assenza di prassi la prima ipotesi appare la più solida, senza essere l’unica sostenibile.

Il secondo riguarda i destinatari. Il «chiunque» del primo comma convive con obblighi che l’AI Act ripartisce tra fornitore (artt. 9, 14 e 15) e deployer (art. 26), mentre il quarto comma introduce un «utilizzatore professionale» che il regolamento non definisce. Il rapporto tra l’omessa sorveglianza umana del primo comma, che basta il dolo generico a integrare e quella intenzionale del quarto non è lineare. Anche la riduzione di pena «da un terzo a un sesto» per la colpa grave ha una formulazione inconsueta che la giurisprudenza dovrà sciogliere.

Il terzo tocca il processo civile. La presunzione dell’art. 18 lega direttamente violazione e danno, oltre lo schema della proposta europea, mentre resta da capire se il deployer impossibilitato a esibire la documentazione tecnica custodita dal fornitore possa invocare il giustificato motivo dell’art. 17, comma 5. Il coordinamento con il recepimento della direttiva (UE) 2024/2853 sui prodotti difettosi, atteso entro dicembre 2026, rinvia infine a una norma che ancora non esiste.

Su tutti questi punti il testo è appena entrato in vigore e mancano sia i decreti attuativi del Titolo I sia qualsiasi pronuncia: la verifica della versione vigente di AI Act e decreto spetta a chi ne farà applicazione.

 

👾 👾 👾

Alla prossima!