Decreto 160/2026, dal 30 settembre: il reato di AI non messa in sicurezza e le cause per danni più facili

In ogni officina c’è una pressa con un carter, la protezione di metallo che tiene la mano lontana dallo stampo. Toglierlo per lavorare più in fretta è un reato: l’articolo 437 del codice penale punisce chi omette o rimuove le cautele contro gli infortuni sul lavoro. Dal 30 settembre, subito dopo quell’articolo, ce n’è uno nuovo. Il 437-bis parla di sistemi di intelligenza artificiale, e la collocazione dice già molto: le misure di sicurezza di un sistema di AI ad alto rischio finiscono nello stesso capitolo del carter della pressa, fra i delitti contro l’incolumità pubblica.

Il testo che lo introduce è il decreto legislativo 9 settembre 2026, n. 160, pubblicato nella Gazzetta Ufficiale n. 214 del 15 settembre. È il primo dei due decreti con cui il governo esercita la delega dell’articolo 24 della legge 132/2025, la legge italiana sull’intelligenza artificiale, per adeguare l’ordinamento all’AI Act, il regolamento europeo 2024/1689. Approvato in via preliminare dal Consiglio dei ministri il 10 giugno e in via definitiva il 4 agosto, dopo i pareri delle commissioni parlamentari, della Conferenza unificata e del Garante per la protezione dei dati personali, conta 22 articoli divisi in tre titoli. Il titolo completo dichiara i due oggetti: l’utilizzo dei sistemi di intelligenza artificiale «per l’attività di polizia» e la «responsabilità civile e penale».

Il titolo I, dieci articoli su ventidue, riguarda le forze di polizia: riconoscimento facciale, identificazione biometrica in tempo reale, sperimentazione, formazione; e alla polizia tocca anche una delle modifiche al codice di procedura penale. A chi progetta, addestra, vende o usa sistemi di AI interessano soprattutto sette articoli, il 12, il 15 e quelli dal 16 al 20: un reato nuovo, una nuova voce nella responsabilità delle imprese e cinque regole che cambiano la forma di una causa per danni. Questo pezzo parte da lì e arriva alla polizia dopo. Non è una consulenza legale: è una lettura del testo in Gazzetta, con i punti che il testo lascia aperti.

Il reato: l’articolo 437-bis

La norma ha quattro commi, e conviene leggerli come quattro figure distinte.

• Chi omette le misure di sicurezza. È punito con la reclusione da uno a cinque anni chi omette «di adottare le misure tecniche di sicurezza, previste per la progettazione, l’addestramento, la produzione, l’immissione sul mercato di sistemi di intelligenza artificiale ad alto rischio, idonee a prevenire malfunzionamenti o alterazioni del funzionamento dei sistemi», oppure omette di adottare misure di sorveglianza umana, quando dall’omissione deriva un pericolo per la vita o l’incolumità pubblica o individuale. Se il pericolo riguarda la sicurezza dello Stato, la pena sale da due a otto anni.
• Chi altera un sistema. Fuori da quei casi, e salvo che il fatto sia un reato più grave, chi «altera sistemi di intelligenza artificiale ad alto rischio» rischia da due a sei anni, con la stessa condizione del pericolo per la vita o l’incolumità; da tre a dieci se il pericolo è per la sicurezza dello Stato.
• La colpa grave. Se i fatti del primo comma sono commessi per colpa grave, «la pena è ridotta da un terzo a un sesto». La formula è quella della Gazzetta, e la riportiamo così com’è.
• Chi usa il sistema per lavoro. L’«utilizzatore professionale» di un sistema ad alto rischio che omette intenzionalmente di adottare misure di sorveglianza umana ha le stesse pene del primo comma. Il quarto comma chiede che l’omissione sia intenzionale, e la riduzione per colpa grave è scritta solo per il primo: per chi usa il sistema, stando alla norma pensata apposta, serve il dolo. Se un utilizzatore gravemente negligente possa ricadere comunque nel primo comma, che parla di «chiunque», lo diranno i giudici.

Tre osservazioni, per chi lavora sui modelli.

La prima: è un reato di pericolo. Non serve che qualcuno si faccia male, basta che l’omissione abbia esposto qualcuno a un pericolo per la vita o l’incolumità; la legge delega parlava di «pericolo concreto». Un’omissione che non mette a rischio nessuno non è questo reato: resta, semmai, una violazione dell’AI Act, da sanzionare in via amministrativa con le regole nazionali del secondo decreto, quando gli obblighi saranno applicabili.

La seconda: riguarda soltanto i sistemi ad alto rischio, cioè quelli che l’AI Act classifica così perché toccano decisioni serie (selezione del personale, accesso al credito, istruzione, servizi essenziali, e gli elenchi dell’allegato III) oppure perché fanno da componente di sicurezza di prodotti già regolati, come i dispositivi medici (allegato I). Il chatbot che risponde ai clienti di un negozio online, di norma, ne è fuori.

La terza: il testo non dice che cosa significhi «alterare». La manomissione dei pesi o l’avvelenamento dei dati di addestramento sembrano i casi più vicini alla lettera; dove finisca l’alterazione e cominci l’uso scorretto, per esempio un prompt costruito per aggirare le protezioni, è una domanda che il decreto lascia ai giudici. Lo stesso vale per l’«utilizzatore professionale»: il decreto rinvia alle definizioni dell’AI Act, che però parla di deployer, e i due termini non sono per forza sovrapponibili.

Il nodo delle date

C’è poi una domanda che il decreto non scioglie, e che conta più delle altre. Le misure tecniche «previste» per i sistemi ad alto rischio sono, con ogni probabilità, quelle dell’AI Act: gestione dei rischi, qualità dei dati, registrazione degli eventi, sorveglianza umana, accuratezza e robustezza. Ma quegli obblighi non si applicano ancora. Il regolamento UE 2026/1744, l’Omnibus digitale sull’AI in vigore dal 27 luglio, li ha rinviati al 2 dicembre 2027 per i sistemi dell’allegato III e al 2 agosto 2028 per quelli dell’allegato I. Il reato, invece, è in vigore dal 30 settembre 2026.

Un rinvio alle date del regolamento il decreto lo contiene, ma solo per la parte sulla polizia: l’articolo 21 stabilisce che le disposizioni del titolo I che dipendono dall’AI Act ne seguono i termini. L’altro decreto approvato il 4 agosto, quello sulle autorità nazionali e sulle sanzioni amministrative, secondo il comunicato del Consiglio dei ministri è stato aggiornato proprio all’Omnibus, «con un rinvio che condiziona l’entrata in vigore delle sanzioni all’effettiva entrata in vigore dei corrispondenti obblighi e divieti». (Aggiornamento del 25 ottobre: nel testo poi pubblicato, il decreto legislativo 179 del 2026, quella clausola non c’è. Le multe aspettano comunque, perché un obbligo che non si applica ancora non si può violare.) Per il 437-bis una clausola del genere non c’è. Se oggi il reato abbia un contenuto, o rinvii a obblighi non ancora operativi, è la prima questione su cui si pronunceranno i penalisti, e prima o poi un giudice.

L’impresa risponde: il decreto 231

Il reato entra anche nel decreto legislativo 231 del 2001, quello sulla responsabilità delle imprese per i reati commessi nel loro interesse o a loro vantaggio. Il nuovo articolo 25-vicies prevede per l’ente una sanzione da 600 a 1.000 quote per il 437-bis e da 200 a 700 quote per il 612-quater, la diffusione illecita di contenuti falsificati con l’AI, il reato sui deepfake introdotto dalla legge 132/2025. Per la regola generale del 231 una quota vale fra 258 e 1.549 euro: per il 437-bis, dunque, da circa 155 mila euro a poco più di un milione e mezzo, prima delle riduzioni che il 231 prevede. Alle condizioni generali del 231 possono aggiungersi sanzioni interdittive, da tre mesi a due anni: sospensione o revoca di autorizzazioni e licenze, divieto di contrattare con la pubblica amministrazione, esclusione da finanziamenti e contributi, divieto di pubblicizzare beni o servizi.

Per un’azienda che sviluppa o compra sistemi ad alto rischio la conseguenza pratica è una voce nuova da mappare nel modello organizzativo 231, quello con cui un’impresa dimostra di aver fatto il possibile per prevenire i reati. Chi il modello ce l’ha dovrà aggiornarlo; chi non ce l’ha ha un motivo in più per chiedersi se gli serva.

La causa civile: la documentazione diventa la prova

Quando un’auto aziendale esce di strada, il perito chiede per prima cosa il libretto dei tagliandi. Gli articoli dal 16 al 20 fanno qualcosa di simile con i sistemi di AI: trasformano la documentazione che l’AI Act chiede di tenere nel materiale su cui si decide una causa per danni. Sono cinque regole, e non hanno tutte lo stesso raggio.

Le prove (articolo 17). Vale per tutte le azioni di risarcimento, contrattuali ed extracontrattuali, per un danno «cagionato nell’utilizzo di un sistema di intelligenza artificiale», non solo ad alto rischio. Se chi dice di aver subito il danno presenta elementi che rendono verosimile la sua domanda, anche sul collegamento fra l’output del sistema e il danno, il giudice, su sua istanza, ordina all’altra parte, o al terzo che li ha, di esibire gli elementi di prova pertinenti sul funzionamento del sistema. Fra questi il decreto elenca quattro documenti dell’AI Act: i registri degli eventi (articolo 12 del regolamento), la documentazione del sistema di gestione dei rischi (articolo 9), la documentazione tecnica (articolo 11) e le informazioni sulla sorveglianza umana (articolo 14). L’ordine deve essere proporzionato, e i segreti commerciali vanno protetti. Ma se la parte non lo rispetta senza un giustificato motivo, il giudice può trarne argomenti di prova; e quando l’ordine non rispettato riguarda proprio quei quattro documenti, «valutato ogni altro elemento di prova, ritiene come ammessi i fatti allegati dall’istante». Il terzo che non esibisce senza giustificato motivo paga da 1.500 a 10.000 euro.

Il nesso (articolo 18). Quando il danno deriva dalla violazione di un obbligo dell’AI Act, il nesso di causalità fra la violazione e il danno è presunto, salvo prova contraria. Chi fa causa deve comunque dimostrare la violazione; il collegamento con il danno, invece, non deve più provarlo lui.

La difesa (articolo 19). La conformità del sistema all’AI Act, «anche se certificata», non esclude di per sé la responsabilità. Il bollino è un argomento, non uno scudo.

Il tribunale e l’assicurazione (articoli 16 e 20). Il consumatore può fare causa anche davanti al giudice del luogo in cui abita. E prima di farla può chiedere al presunto responsabile se ha un’assicurazione per quel danno: la risposta va data entro trenta giorni, con gli estremi della polizza, e il silenzio pesa nel processo. Il danneggiato ha poi azione diretta contro l’assicurazione, nei limiti del massimale.

È una scelta che l’Italia fa da sola. La Commissione europea aveva proposto nel 2022 una direttiva sulla responsabilità civile per l’AI costruita su due strumenti dello stesso tipo: l’accesso alle prove (lì solo per i sistemi ad alto rischio) e una presunzione sul nesso causale (lì fra la colpa e l’output del sistema, qui fra la violazione e il danno). Non vedendo un accordo possibile fra Parlamento e Consiglio l’ha ritirata, con un avviso nella Gazzetta ufficiale dell’Unione del 6 ottobre 2025. Il decreto 160 ne recupera l’idea nel diritto nazionale, e lascia in piedi le altre strade: il risarcimento previsto dal GDPR e le norme che recepiranno la nuova direttiva europea sui prodotti difettosi, la 2024/2853, che include il software e va recepita entro il 9 dicembre 2026.

La parte sulla polizia, in breve

Il titolo I è, nelle parole del governo, la prima disciplina organica dell’uso dell’AI da parte delle forze di polizia, e parte da un principio: i sistemi servono a supportare il lavoro degli agenti, e i loro risultati passano da una revisione umana qualificata, documentata, prima di finire in atti che toccano i diritti delle persone. Nessuna decisione con effetti giuridici negativi può basarsi soltanto sul riconoscimento facciale. Due volte il testo precisa che, per questi sistemi, non introduce obblighi nuovi rispetto all’AI Act.

Sul riconoscimento biometrico le regole sono le più dettagliate. L’identificazione in tempo reale nei luoghi pubblici è ammessa in due casi. Per prevenire una minaccia specifica e imminente alla vita o un attacco terroristico, o per cercare persone scomparse e vittime di sequestro, tratta o sfruttamento sessuale, la chiede il questore o un comandante provinciale di Carabinieri e Guardia di finanza e la autorizza il procuratore della Repubblica, per non più di quindici giorni rinnovabili. Nelle indagini, con il nuovo articolo 359-ter del codice di procedura penale, la autorizza il giudice per le indagini preliminari su richiesta del pubblico ministero: per confermare l’identità o localizzare una persona su cui ci sono sufficienti indizi di uno dei reati gravi elencati dall’AI Act (puniti con almeno quattro anni nel massimo), per rintracciare un latitante, per cercare vittime di sottrazione, tratta o sfruttamento sessuale. Nei casi urgenti si parte prima e si chiede l’autorizzazione entro ventiquattro ore; senza autorizzazione i risultati non si possono usare e vanno cancellati.

Per chi costruisce questi sistemi contano tre dettagli. La banca dati con cui si confrontano i volti va formata apposta per ogni autorizzazione, con i soli dati pertinenti, e cancellata alla scadenza: non può crescere di autorizzazione in autorizzazione. È vietato usare banche dati costruite con lo «scraping non mirato» di immagini da internet o dalle telecamere, che il decreto definisce come raccolta automatizzata, indiscriminata e su larga scala. E ogni utilizzo va registrato in file di log non modificabili, conservati cinque anni, con una valutazione d’impatto sui diritti fondamentali e una sulla protezione dei dati da fare prima.

Il riconoscimento facciale a posteriori sulle immagini della videosorveglianza richiede che il pubblico ministero chieda l’autorizzazione al giudice entro quarantotto ore dall’avvio, salvo che serva solo all’identificazione iniziale di un possibile indiziato dopo un reato, sulla base di elementi oggettivi. Per i luoghi e gli eventi con particolari esigenze di ordine pubblico, individuati secondo criteri che fisserà un decreto del ministro dell’Interno, il testo prevede che i volti di chi entra vengano memorizzati in locale, insieme ai dati anagrafici letti dal biglietto e, se c’è, al posto assegnato, senza elaborazione biometrica, per sette giorni; il confronto biometrico scatta solo dopo un reato. Il decreto non nomina gli stadi, ma la descrizione ci assomiglia molto.

Chi collabora con la polizia a progetti di ricerca, infine, deve firmare clausole che escludono la condivisione dei dati operativi sensibili (salvo dati sintetici o pseudonimizzati), e i modelli addestrati su quei dati restano di proprietà delle forze di polizia. I sistemi già in uso o in sviluppo hanno un anno per adeguarsi alle regole generali su sviluppo e uso. Fuori dal titolo I, il decreto ritocca una norma già esistente sull’esecuzione del sequestro preventivo: dove si parlava di contenuti online «del profilo personale», ora si parla di contenuti «generati anche con sistemi di intelligenza artificiale», che il giudice può far rimuovere con un ordine a piattaforme, hosting e motori di ricerca.

Che cosa resta aperto

Oltre al nodo delle date, tre cose. Il secondo decreto, quello su autorità, sanzioni amministrative, lavoro e formazione, al momento in cui scriviamo non risulta pubblicato in Gazzetta: finché non c’è, sul piano nazionale l’AI Act ha un reato e una causa civile ma non ancora il suo apparato amministrativo completo. (Aggiornamento del 25 ottobre: è uscito nella Gazzetta Ufficiale dell’8 ottobre come decreto legislativo 7 ottobre 2026, n. 179, in vigore dal 23 ottobre. Che cosa dice il decreto 179.) Per la polizia mancano i decreti attuativi, dal decreto del ministero dell’Interno sui requisiti tecnici minimi dei sistemi biometrici al regolamento della Presidenza del Consiglio sugli spazi di sperimentazione. E le formule nuove, «alterare», «utilizzatore professionale», «misure tecniche di sicurezza previste», prenderanno forma solo con i primi casi.

Per chi scrive codice, però, il messaggio del decreto è già leggibile. Registri degli eventi, gestione dei rischi, documentazione tecnica, istruzioni per la sorveglianza umana: fino a ieri erano adempimenti in vista di scadenze europee già rinviate una volta, con l’Omnibus. Da mercoledì 30 settembre sono anche la cosa che un giudice chiederà di vedere, e la cui assenza, in una causa, parla contro chi non li ha. Il carter si monta prima che qualcuno si faccia male, e il libretto si compila prima dell’incidente.