Circ. 26/293 – Oggetto: Intelligenza artificiale – Ruolo dell’impresa – Decreto legislativo 9 settembre 2026, n. 160.

Sulla Gazzetta Ufficiale della Repubblica italiana, serie generale, n. 214 del 15 settembre 2026, è stato pubblicato il decreto legislativo 9 settembre 2026, n. 160, recante disposizioni di adeguamento della normativa nazionale al regolamento (UE) 2024/1689 sull’intelligenza artificiale, con particolare riferimento all’impiego dei sistemi di IA nelle attività di polizia e ai profili di responsabilità civile e penale (all. 1).

Il decreto entrerà in vigore il 30 settembre 2026. Sebbene alcune disposizioni riguardino principalmente le Forze di polizia, il provvedimento presenta profili di interesse anche per le imprese che sviluppano, forniscono, importano, distribuiscono, integrano o utilizzano sistemi di IA.

Di seguito si riporta un commento approfondito della Confcommercio.

“La disciplina nazionale si inserisce nel quadro del regolamento (UE) 2024/1689 e della legge 23 settembre 2025, n. 132. L’art. 24 di quest’ultima ha delegato il Governo ad adeguare l’ordinamento interno al regolamento europeo e a disciplinare, tra l’altro, l’impiego illecito dei sistemi di IA, la responsabilità delle persone fisiche e degli enti e gli strumenti di tutela dei soggetti danneggiati.

La legge nazionale stabilisce, inoltre, che lo sviluppo e l’utilizzo dell’IA debbano rispettare, tra gli altri, i principi di trasparenza, proporzionalità, sicurezza, protezione dei dati personali, accuratezza, non discriminazione e supervisione umana (art. 24 della legge n. 132/2025; art. 3 della legge n. 132/2025).

Ruolo dell’impresa e valutazione del rischio

Gli obblighi applicabili non dipendono soltanto dal nome o dalla qualificazione commerciale del prodotto. Occorre considerare la funzione concretamente svolta dal sistema, il contesto di utilizzo, i dati trattati, le integrazioni realizzate e il grado di controllo esercitato dall’impresa.

La posizione dell’impresa deve, quindi, essere valutata in concreto, distinguendo, ove necessario, tra fornitore, importatore, distributore, integratore e utilizzatore professionale. La responsabilità può risultare più ampia quando l’impresa modifica sostanzialmente il sistema, ne cambia la finalità, lo riaddestra o sottopone a fine-tuning, lo integra con propri dati o applicativi oppure utilizza i suoi output per assumere o supportare decisioni riguardanti persone fisiche.

In tali ipotesi è necessario verificare se l’intervento abbia inciso sulla classificazione del sistema, sulla distribuzione dei ruoli tra i soggetti coinvolti e sugli obblighi di documentazione, supervisione, monitoraggio e gestione degli incidenti.

Il regolamento (UE) 2024/1689 considera ad alto rischio determinati sistemi utilizzati, tra gli altri, nei settori della biometria, delle infrastrutture critiche, dell’istruzione, dell’occupazione, dell’accesso a servizi essenziali, delle attività di contrasto, della migrazione e della giustizia. La classificazione dipende dalla funzione e dalla destinazione d’uso del sistema, secondo quanto previsto dall’art. 6 e dall’allegato III del regolamento (allegato III del regolamento (UE) 2024/1689).

Supervisione umana, sicurezza e documentazione

Per i sistemi ad alto rischio, l’utilizzatore deve adottare misure tecniche e organizzative adeguate, assegnare la supervisione a persone competenti, formate e dotate dell’autorità necessaria, monitorare il funzionamento del sistema e conservare i log nella misura in cui siano sotto il suo controllo (art. 26 del regolamento (UE) 2024/1689).

La supervisione umana non può ridursi a una verifica meramente formale o successiva. Deve consentire di comprendere capacità e limiti del sistema, individuare anomalie e prestazioni inattese, interpretare criticamente gli output, contrastare il rischio di eccessivo affidamento sull’automazione e, quando necessario, ignorare, correggere o arrestare il sistema. Il soggetto incaricato deve pertanto avere poteri effettivi di intervento e non soltanto un ruolo nominale (art. 14 del regolamento (UE) 2024/1689).

L’impresa dovrebbe definire per iscritto i responsabili della supervisione, i poteri di intervento, i casi di riesame umano obbligatorio, le procedure di escalation e le modalità di registrazione delle verifiche, degli errori e degli incidenti. La conservazione dei log deve essere coordinata con la normativa in materia di protezione dei dati personali e con i periodi di conservazione applicabili.

La documentazione dovrebbe consentire di ricostruire almeno la versione del sistema utilizzata, la finalità prevista, le integrazioni, i dati di addestramento o di input rilevanti, i test di validazione, le modifiche, gli aggiornamenti, gli accessi, gli interventi umani e gli incidenti. Per i sistemi ad alto rischio, la documentazione tecnica comprende anche informazioni sull’architettura, sui dati, sulle metriche di accuratezza, sulle procedure di prova, sulla gestione dei rischi, sulla supervisione umana e sulle misure di cybersicurezza (allegato IV del regolamento (UE) 2024/1689).

Responsabilità degli enti

L’eventuale inserimento di nuovi reati nel catalogo dei reati-presupposto del d.lgs. n. 231/2001 non determina, da solo, la responsabilità dell’ente. Occorre verificare la sussistenza di tutti gli elementi della fattispecie: la commissione di un reato-presupposto da parte di un soggetto inserito nell’organizzazione dell’ente, la realizzazione del fatto nell’interesse o a vantaggio dell’ente e una specifica colpa di organizzazione.

L’interesse e il vantaggio costituiscono criteri distinti. Il primo richiede una valutazione della finalità perseguita al momento della condotta; il secondo riguarda l’utilità concretamente conseguita dall’ente.

Entrambi devono essere accertati in modo specifico e non possono essere desunti in via automatica dalla sola esistenza del reato o dal fatto che il sistema abbia prodotto un risultato favorevole per l’impresa.

La colpa di organizzazione consiste nel mancato approntamento di cautele organizzative e gestionali idonee a prevenire reati della specie di quello verificatosi. Essa è distinta dalla colpa della persona fisica e deve formare oggetto di un accertamento autonomo. La sola assenza del Modello 231, così come la sua inidoneità valutata in astratto, non è sufficiente: occorre individuare il concreto deficit organizzativo, il rischio prevedibile e il collegamento tra tale deficit e la commissione del reato.

Per questa ragione, ad esempio il Modello 231 dovrebbe essere aggiornato attraverso una specifica valutazione dei rischi connessi all’acquisto, allo sviluppo, all’integrazione e all’utilizzo dei sistemi di IA. La mappatura dovrebbe considerare almeno: selezione dei fornitori, qualità e provenienza dei dati, gestione degli accessi, modifiche e aggiornamenti, supervisione umana, monitoraggio degli output, gestione degli incidenti, conservazione dei log, formazione del personale e poteri di sospensione del sistema.

Il modello deve inoltre tradurre tali presidi in procedure operative verificabili, flussi informativi verso l’Organismo di vigilanza, controlli periodici e un sistema disciplinare effettivamente applicabile. Un aggiornamento documentale privo di attuazione concreta non consente, da solo, di dimostrare l’efficacia del sistema organizzativo.

Rapporti con fornitori e sicurezza

L’acquisto di una soluzione tecnologica non trasferisce automaticamente al fornitore la responsabilità per il suo concreto utilizzo. I contratti dovrebbero individuare con chiarezza ruoli, finalità, limiti d’impiego, obblighi informativi e responsabilità operative. È opportuno disciplinare anche la documentazione tecnica, gli aggiornamenti, le modifiche, l’accesso ai log, gli audit, la segnalazione degli incidenti, la cooperazione con le autorità, la sospensione del servizio e la continuità operativa.

Prima dell’acquisto o dell’implementazione, l’impresa dovrebbe verificare la finalità del sistema, i dati trattati, la base giuridica, i ruoli delle parti, i periodi di conservazione, gli accessi, gli eventuali trasferimenti verso Paesi terzi, la sicurezza delle interfacce e le procedure di risposta agli incidenti. L’utilizzo dell’IA deve essere coordinato con il GDPR, con la normativa nazionale in materia di protezione dei dati e, ove applicabile, con la direttiva (UE) 2016/680.

Risarcimento dei danni e prova del nesso causale

La responsabilità risarcitoria non deriva automaticamente dal fatto che un sistema abbia prodotto un output errato o abbia contribuito a una decisione sfavorevole. Occorre individuare la regola violata, il soggetto cui l’obbligo faceva capo, il danno effettivamente subito e il nesso causale tra il comportamento, l’output e il pregiudizio.

La parte danneggiata dovrà normalmente allegare e provare il danno-evento, il danno-conseguenza e la relazione causale. Quando l’evento dipende da un processo tecnico complesso, la prova potrà richiedere l’accesso alla documentazione relativa alla versione del sistema, ai dati di input, ai log, alle modifiche, ai controlli effettuati e agli interventi umani. La documentazione aziendale assume quindi una funzione non soltanto organizzativa, ma anche probatoria.

Il giudice dovrà distinguere tra il semplice malfunzionamento, la violazione di uno specifico obbligo normativo o contrattuale e la concreta incidenza di tale violazione sul danno lamentato. Anche la conformità formale del sistema non esclude, di per sé, la necessità di verificare le modalità concrete di impiego, la correttezza degli input, l’adeguatezza della supervisione e l’eventuale inosservanza delle istruzioni d’uso.

In questa prospettiva, l’esibizione della documentazione tecnica e dei log dovrebbe essere richiesta e valutata secondo criteri di necessità, proporzionalità e tutela dei segreti commerciali. L’impresa dovrebbe pertanto predisporre procedure interne che consentano di conservare i dati rilevanti, ricostruire gli eventi e fornire una risposta documentata alle richieste dell’interessato, dell’autorità o del giudice.

Resta necessario verificare, sulla base del testo ufficiale del d.lgs. n. 160/2026 e delle disposizioni processuali effettivamente applicabili, l’esatta portata delle eventuali presunzioni probatorie, degli ordini di esibizione, delle conseguenze dell’inottemperanza e dell’azione diretta nei confronti dell’assicuratore.

Tali meccanismi non devono essere descritti in termini generali senza distinguere il loro ambito applicativo, i presupposti e i limiti. Alla luce di quanto esposto, si rileva la necessità di adottare un sistema documentato di gestione dell’intelligenza artificiale, proporzionato alle dimensioni dell’organizzazione, al ruolo concretamente svolto e ai rischi connessi all’utilizzo dei sistemi. A tal fine, dovrebbero essere censite le soluzioni impiegate, comprese quelle generative e le funzionalità integrate nei software aziendali, individuandone finalità, dati trattati, output, soggetti interessati e responsabili della gestione.

Dovrebbe inoltre essere verificato il ruolo concretamente assunto dall’impresa — quale fornitore, integratore o utilizzatore — nonché l’eventuale classificazione dei sistemi come ad alto rischio, sulla base della funzione svolta e dei potenziali effetti sulla salute, sulla sicurezza e sui diritti fondamentali. Per tali sistemi, la gestione dei rischi deve essere assicurata e periodicamente aggiornata durante l’intero ciclo di vita, secondo quanto previsto dall’art. 9 e dall’art. 26 del regolamento (UE) 2024/1689 e dall’allegato III del medesimo regolamento (art. 26 del regolamento (UE) 2024/1689; allegato III del regolamento (UE) 2024/1689).

Occorre altresì definire responsabilità, poteri di intervento e procedure di supervisione umana, affidandoli a personale competente e adeguatamente formato. La tracciabilità dovrebbe essere garantita mediante la conservazione dei log, delle versioni del sistema, dei test, delle modifiche, degli incidenti e degli interventi correttivi (artt. 12 e 26 del regolamento (UE) 2024/1689).

Tali presidi dovrebbero essere coordinati con il Modello 231, la protezione dei dati personali, la cybersicurezza, la gestione dei fornitori e la formazione del personale. La conformità dovrebbe essere oggetto di un monitoraggio periodico e continuativo, senza esaurirsi nella fase di acquisto o di certificazione. Particolare attenzione dovrebbe essere riservata alle modifiche apportate al sistema, agli incidenti e alle anomalie rilevate, attraverso controlli idonei a garantire la tracciabilità e la ricostruibilità del suo funzionamento, degli output utilizzati e degli interventi umani effettuati.”

Cordiali saluti

Accise (91) ADR (48) Agenzia delle Dogane (43) Agenzia delle Entrate (134) albo autotrasporto (49) Albo gestori ambientali (45) Austria (133) Brennero (77) CCNL (38) Conftrasporto (44) contributi (45) controlli (45) CORONAVIRUS (92) costo del gasolio (61) covid-19 (237) CQC (78) credito di imposta (109) cronotachigrafo (55) Decreto (44) decreto investimenti (68) Divieti (156) Fisco (108) formazione (57) francia (51) gasolio (84) germania (43) green pass (51) INAIL (116) INPS (184) investimenti (117) ispettorato del lavoro (50) Lavoro (119) MIT (47) monte bianco (42) Paolo Uggè (146) patente (115) patenti (75) pedaggio (76) proroga (118) revisioni (83) Rifiuti (95) trasporti internazionali (69) trasporto rifiuti (77) UNATRAS (75) Vertenza (44)