Un nuovo tassello nella tutela dai danni da IA
Il D.Lgs. 9 settembre 2026, n. 160, in vigore dal 30 settembre 2026, introduce nuove disposizioni in materia di responsabilità civile per i danni cagionati dall’utilizzo di sistemi di intelligenza artificiale, nell’ambito dell’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2024/1689 (l’“AI Act”).
L’intervento attua la delega conferita dall’art. 24 della L. 23 settembre 2025, n. 132, che, sul fronte della responsabilità civile, chiedeva al Governo di introdurre strumenti di tutela del danneggiato, anche attraverso una specifica disciplina dell’onere della prova.
La risposta del legislatore è contenuta nel Capo II del Titolo II del Decreto, dedicato agli strumenti processuali per il risarcimento dei danni cagionati dall’utilizzo di sistemi di IA. Le nuove disposizioni comprendono l’accesso alle prove relative al funzionamento dei sistemi (art. 17), la presunzione del nesso di causalità in presenza di violazioni degli obblighi dell’AI Act (art. 18), la precisazione che la conformità al Regolamento non è, di per sé, sufficiente a escludere la responsabilità civile (art. 19) e, infine, l’azione diretta del danneggiato nei confronti dell’impresa che assicura il responsabile (art. 20).
L’intervento rafforza gli strumenti di tutela del danneggiato e attribuisce nuova rilevanza alla capacità delle imprese di dimostrare come i rischi connessi ai sistemi di IA siano stati identificati, valutati e gestiti. Le sue implicazioni, dunque, non si esauriscono sul piano processuale o assicurativo, ma interessano anche i modelli di governance e i presidi di AI compliance adottati dalle organizzazioni.
L’azione diretta contro l’assicuratore e il suo funzionamento
L’art. 20 del Decreto riconosce al danneggiato la possibilità di agire direttamente nei confronti dell’impresa che assicura la responsabilità civile del soggetto ritenuto responsabile.
Il meccanismo prevede anzitutto uno strumento informativo preliminare. Chi ritiene di aver subito un danno cagionato dall’utilizzo di un sistema di IA può chiedere al presunto responsabile se sia assistito da una copertura assicurativa relativa a quel danno.
Si pensi, ad esempio, a un candidato escluso da un processo di selezione del personale supportato da un sistema di IA, che ritenga di essere stato discriminato, oppure a un cliente al quale sia stato negato un finanziamento sulla base del risultato fornito da un sistema di IA utilizzato per la valutazione del merito creditizio. In situazioni di questo tipo, il danneggiato potrebbe avere interesse a conoscere l’esistenza di una copertura assicurativa prima di promuovere un’azione risarcitoria.
Il soggetto interpellato è tenuto a rispondere entro trenta giorni, comunicando l’esistenza del contratto, i relativi estremi e la denominazione dell’impresa assicuratrice. La richiesta non costituisce condizione di procedibilità dell’azione, ma l’omessa o incompleta comunicazione può essere valutata dal giudice come argomento di prova ai sensi dell’art. 116 c.p.c.
Una volta individuata la copertura, il danneggiato può agire direttamente nei confronti dell’assicuratore, nei limiti delle somme assicurate. Quest’ultimo può opporre le eccezioni derivanti dal contratto, purché anteriori al sinistro, e conserva il diritto di rivalsa nei confronti dell’assicurato nella misura in cui avrebbe avuto titolo per rifiutare o ridurre la propria prestazione.
Il giudizio deve coinvolgere anche il presunto responsabile del danno, in qualità di litisconsorte necessario, mentre il termine di prescrizione dell’azione diretta coincide con quello previsto per l’azione nei confronti del responsabile.
L’IA entra così tra le ipotesi nelle quali l’ordinamento riconosce al danneggiato un’azione diretta contro l’assicuratore, con possibili conseguenze tanto per le imprese che sviluppano o utilizzano sistemi di IA quanto per il mercato assicurativo.
Un modello di tutela tra nuove garanzie e incertezze assicurative
La nuova disciplina presenta, tuttavia, una criticità di fondo.
Da un lato, il legislatore ha costruito un sistema di tutela processuale articolato, nel quale l’azione diretta si affianca agli strumenti di accesso alle prove e alle facilitazioni probatorie previste dagli artt. 17 e 18.
Dall’altro, non è stata introdotta una corrispondente disciplina sostanziale delle coperture assicurative: il Decreto non prevede un obbligo di assicurazione per i rischi derivanti dall’utilizzo di sistemi di IA, non impone alle compagnie un obbligo a contrarre e non stabilisce contenuti minimi delle polizze.
È una scelta che distingue il nuovo modello da altri settori nei quali è prevista l’azione diretta, come la responsabilità civile automobilistica e quella sanitaria, caratterizzati dalla presenza di obblighi assicurativi e di una disciplina specifica delle coperture. Nell’ambito dell’IA, invece, l’effettività dell’azione diretta dipende dall’esistenza di una polizza idonea a coprire il danno e dalle condizioni contrattuali applicabili.
La questione assume particolare rilievo anche alla luce delle recenti evoluzioni del mercato assicurativo internazionale. La difficoltà di quantificare i rischi connessi all’IA, anche per la limitata disponibilità di dati storici sui sinistri, la rapida evoluzione tecnologica, la complessità nell’attribuzione delle responsabilità e la possibilità che un medesimo sistema provochi danni su larga scala, sta inducendo alcune compagnie a riconsiderare l’estensione delle proprie coperture.
La tendenza emerge soprattutto nel mercato statunitense, dove diversi gruppi assicurativi hanno avviato procedure per introdurre esclusioni specifiche relative all’IA, in particolare nelle polizze di responsabilità civile commerciale. Non si tratta, tuttavia, di un orientamento uniforme né necessariamente estensibile al mercato italiano: accanto alle esclusioni si registrano anche iniziative volte a definire coperture dedicate e condizioni contrattuali più aderenti alle caratteristiche del rischio.
Si delinea così un possibile paradosso: mentre il legislatore rafforza gli strumenti di tutela del danneggiato, il mercato assicurativo potrebbe restringere o delimitare maggiormente il perimetro dei rischi coperti.
L’art. 20, inoltre, non fa riferimento a una specifica categoria di polizze dedicate all’intelligenza artificiale, ma più genericamente a un contratto di assicurazione della responsabilità civile relativo al danno. La disposizione potrebbe quindi trovare applicazione anche rispetto a coperture non espressamente concepite per i rischi derivanti dall’IA, purché idonee, in concreto, a rispondere del danno lamentato.
Il tema è particolarmente delicato per le polizze che non disciplinano espressamente i rischi derivanti dall’IA, lasciando incertezza sulla loro inclusione nella copertura. La questione assume ulteriore rilievo considerando che l’art. 20 consente all’assicuratore di opporre al danneggiato le eccezioni contrattuali anteriori al sinistro. Definizioni, esclusioni e condizioni di polizza possono quindi risultare decisive anche nel rapporto diretto con il terzo danneggiato, ferma restando la necessità di valutarne la validità e la concreta opponibilità.
Ne deriva una tutela la cui effettività può variare sensibilmente da un caso all’altro: a fronte di strumenti processuali rafforzati, la possibilità di ottenere il risarcimento dall’assicuratore resta condizionata dall’effettiva estensione della copertura ai rischi derivanti dall’IA.
Gli impatti sulla governance e sulla gestione del rischio AI
Le novità introdotte dal Decreto suggeriscono alle imprese di considerare il rischio di responsabilità civile come una componente integrante dei propri processi di AI governance.
La conformità all’AI Act rappresenta un presidio fondamentale, ma non esaurisce la gestione dei rischi connessi allo sviluppo e all’utilizzo dei sistemi di IA. Come chiarito dall’art. 19, infatti, anche un sistema conforme agli obblighi regolatori può essere all’origine di un danno risarcibile.
Ne deriva l’esigenza di adottare un approccio che integri compliance normativa, prevenzione del danno, tracciabilità delle decisioni e gestione delle conseguenze economiche del rischio residuo.
In termini operativi, un primo passaggio consiste nella mappatura dei sistemi di IA sviluppati o utilizzati dall’organizzazione, accompagnata dalla ricostruzione delle relative finalità, dei contesti di impiego, dei soggetti coinvolti e dei possibili impatti sui diritti e sugli interessi dei terzi. A questa attività dovrebbe affiancarsi la verifica degli obblighi regolatori applicabili, anche in funzione della classificazione dei sistemi e del ruolo assunto dall’impresa nella catena del valore dell’IA.
Particolare attenzione merita la gestione delle evidenze documentali. L’art. 17 del Decreto consente infatti al giudice di ordinare l’esibizione di elementi relativi al funzionamento dei sistemi di IA, tra cui i registri di funzionamento (log), la documentazione sulla gestione dei rischi e le informazioni relative alla supervisione umana. La documentazione predisposta ai fini della conformità all’AI Act può così assumere un ruolo determinante anche nell’accertamento della responsabilità civile, rendendo essenziale garantirne, nei casi pertinenti, la disponibilità e la corretta conservazione, nel rispetto dei termini e dei limiti applicabili.
Un ulteriore profilo riguarda i rapporti contrattuali con i fornitori di soluzioni AI. La distribuzione delle responsabilità tra i diversi soggetti coinvolti, l’accessibilità alle informazioni tecniche e ai log, gli obblighi di collaborazione in caso di incidenti o contestazioni e le clausole di responsabilità e manleva assumono particolare rilievo anche nella prospettiva di un eventuale contenzioso risarcitorio.
In questo quadro, la verifica delle coperture assicurative dovrebbe inserirsi nel più ampio processo di gestione del rischio AI. Non è sufficiente accertare la presenza di una polizza di responsabilità civile: occorre valutare se e in quale misura i rischi derivanti dai sistemi concretamente utilizzati siano compresi nel perimetro della copertura, considerando massimali, franchigie, esclusioni e altre condizioni contrattuali.
La maturità dei presidi di AI governance potrebbe assumere un ruolo crescente anche nella valutazione assicurativa del rischio. La capacità dell’impresa di documentare i sistemi utilizzati, i controlli implementati e le misure di mitigazione adottate può infatti contribuire a rendere più trasparente e valutabile la propria esposizione, anche ai fini della definizione delle condizioni di copertura.
Per le compagnie assicuratrici e gli intermediari, il nuovo quadro normativo rende a sua volta opportuna una revisione dei prodotti e delle condizioni contrattuali, per verificare come i rischi connessi all’IA siano stati considerati e disciplinati, anche alla luce della possibilità di azione diretta del danneggiato.
Prospettive
L’introduzione dell’azione diretta contro l’assicuratore rappresenta un significativo rafforzamento degli strumenti di tutela per i danni derivanti dall’IA. La sua effettività dovrà tuttavia confrontarsi con un mercato assicurativo ancora impegnato a definire modalità e condizioni di copertura di rischi tecnologici in continua evoluzione.
Per le imprese, la novità conferma l’importanza di integrare la gestione della responsabilità civile nei processi di AI governance, attraverso presidi di conformità, adeguate evidenze documentali e un’attenta verifica delle coperture assicurative. La sfida non è soltanto assicurare il rischio derivante dall’intelligenza artificiale, ma governarlo in modo consapevole.
