Intelligenza artificiale: il nuovo quadro del d.lgs. 160/2026

Il decreto legislativo 9 settembre 2026, n. 160, pubblicato in G.U. 15 settembre 2026, n. 214, rappresenta il principale intervento organico di adeguamento dell’ordinamento interno al regolamento (UE) 2024/1689 sull’intelligenza artificiale, con particolare riguardo all’attività di polizia e alla responsabilità civile e penale connessa ai sistemi di IA.

Utilizzo dei sistemi di IA nelle attività di polizia

Il Titolo I del decreto disciplina l’impiego di sistemi di intelligenza artificiale da parte degli organi, uffici e comandi delle Forze di polizia, nel solco dei principi di proporzionalità, non discriminazione, sorveglianza umana e trasparenza già affermati dalla legge 23 settembre 2025, n. 132.

Vengono recepite le categorie chiave del regolamento IA (sistemi ad alto rischio, pratiche vietate, dati operativi sensibili, scraping non mirato, ecc.), chiarendo che il decreto non introduce obblighi ulteriori rispetto al regolamento, ma ne specifica applicazione e garanzie nel contesto di polizia.

Particolare attenzione è dedicata alla sorveglianza umana qualificata sui sistemi di IA ad alto rischio, che deve precedere l’utilizzo degli output in atti incidenti sulla sfera giuridica degli interessati, con tracciabilità delle revisioni e formazione specifica del personale.

Sono previste norme puntuali su: progetti di ricerca e sperimentazione con università ed enti di ricerca, con esclusione della condivisione di dati operativi sensibili e disciplina dei diritti di proprietà intellettuale; partecipazione agli “spazi di sperimentazione normativa” di cui all’art. 59 del regolamento IA, con base giuridica espressa per il trattamento di dati, anche sensibili, per finalità di polizia.

Identificazione biometrica e videosorveglianza intelligente

Il decreto distingue nettamente l’identificazione biometrica remota in tempo reale, ammessa solo in casi tassativi (prevenzione di gravi minacce, ricerca di persone scomparse o vittime di determinati reati) e previa autorizzazione del procuratore della Repubblica, salvo rigorose ipotesi d’urgenza, da un lato, e il riconoscimento facciale “a posteriori” integrato in sistemi di videosorveglianza, dall’altro.

In entrambi i casi si impongono: banche dati di confronto “ad hoc” non incrementali, divieto di utilizzo di basi alimentate tramite scraping non mirato, registrazione in file di log non modificabili, valutazioni di impatto su diritti fondamentali e dati personali, nonché notifica al Garante.

È escluso l’uso generalizzato o indiscriminato dei sistemi di riconoscimento facciale e si vieta che decisioni con effetti giuridici negativi si fondino unicamente sugli output dell’IA.

Nuove fattispecie penali e responsabilità dell’ente

Il Titolo II introduce nel codice penale l’art. 437-bis c.p., che incrimina l’omessa adozione di misure di sicurezza e di sorveglianza umana nei sistemi di IA ad alto rischio, nonché l’alterazione illecita di tali sistemi, quando ne derivi pericolo per la vita, l’incolumità pubblica o la sicurezza dello Stato, con pene da uno a dieci anni a seconda delle ipotesi e della gravità.

Sul versante della responsabilità da reato degli enti, il d.lgs. 231/2001 è integrato con l’art. 25-vicies, che collega la responsabilità dell’ente, con sanzioni pecuniarie elevate e sanzioni interdittive, ai delitti di cui all’art. 437-bis c.p. e all’art. 612-quater c.p. (quest’ultimo già riferito ad abusi di sistemi di IA).

Strumenti processuali civili per i danni da IA

Sul piano civilistico, il decreto interviene su tre assi: accesso alla prova, nesso causale e rapporto con la conformità al regolamento IA.

Anzitutto, nelle azioni di risarcimento (contrattuale o extracontrattuale) per danni cagionati dall’utilizzo di un sistema di IA, il giudice può ordinare l’esibizione di elementi di prova pertinenti sul funzionamento del sistema (registri del regolamento IA, documentazione tecnica, gestione dei rischi, parametri e modalità operative), con specifiche misure di tutela dei segreti commerciali.

In caso di ingiustificato inadempimento all’ordine di esibizione, il giudice può desumere argomenti di prova ex art. 116 c.p.c. e, se inadempiuta è la documentazione “qualificata” elencata dal decreto, può ritenere ammessi i fatti allegati dall’attore; al terzo inadempiente è comminata una pena pecuniaria.

Viene inoltre introdotta una presunzione legale del nesso causale tra violazione degli obblighi del regolamento IA e danno, salva prova contraria, rafforzando sensibilmente la posizione del danneggiato.

La conformità del sistema di IA al regolamento (anche se certificata) non esclude di per sé la responsabilità del convenuto, evitando che la certificazione divenga una sorta di “scudo” automatico in giudizio.

Infine, si introduce un’azione diretta del danneggiato contro l’impresa di assicurazione che copre la responsabilità civile dell’utilizzatore o di altro soggetto responsabile, con obbligo di preventiva informazione sugli estremi della copertura e litisconsorzio necessario dell’assicurato.

Regime transitorio e clausola finanziaria

Sul piano attuativo, i sistemi di IA già in uso, in sviluppo o oggetto di rapporti contrattuali per finalità di polizia devono essere resi compatibili con il capo II del Titolo I entro un anno dall’entrata in vigore del decreto, mentre per le disposizioni direttamente collegate al regolamento IA valgono i termini di quest’ultimo.

È infine prevista una clausola di invarianza finanziaria, imponendo alle amministrazioni interessate di operare con le risorse già disponibili, senza nuovi oneri per la finanza pubblica.