Dal 30 settembre è in vigore il dlgs 160/2026, che attua il regolamento Ue sull’IA. Nuovi reati e limiti alle attività di polizia
Il Codice penale italiano accoglie l’intelligenza artificiale.
Un nuovo articolo, il 437-bis, introduce due diverse fattispecie penali: l’omessa adozione di misure tecniche di sicurezza o di sorveglianza umana nei sistemi IA ad alto rischio e la loro eventuale alterazione illecita. A questo si aggiungono nuovi strumenti processuali per ottenere il risarcimento dei danni causati dall’IA, che possono coinvolgere anche professionisti e imprese, nonché specifiche regole di comportamento per le attività di polizia: dal riconoscimento facciale e biometrico ai nuovi obblighi di formazione. Il tutto con il consueto mantra che accompagna qualsiasi normativa sull’IA: il controllo umano deve restare centrale. Sono solo alcune delle novità introdotte dal dlgs 160/2026, in vigore dal 30 settembre, che adegua la normativa nazionale alle disposizioni del regolamento Ue 2024/1689 in materia di utilizzo dei sistemi di IA per l’attività di polizia e di responsabilità civile e penale, in attuazione dell’articolo 24 della legge n. 132 del 2025.
Un testo di 22 articoli che interviene sull’utilizzo dell’IA nelle attività di polizia e sui profili di responsabilità civile e penale, incidendo fortemente anche sul versante delle tutele legali. Una parte importante del provvedimento è dedicata proprio alle attività di polizia (l’intero titolo I, articoli 1-10). Viene quindi disciplinato l’utilizzo di sistemi IA da parte delle forze di polizia, compresi gli usi per l’identificazione biometrica remota in tempo reale, il trattamento dei dati biometrici e il riconoscimento facciale a posteriori. L’uso in tempo reale è ammesso solo per finalità e casi determinati, con specifiche procedure autorizzatorie; il decreto disciplina anche la ricerca di persone scomparse e di vittime di specifici reati. L’utilizzo deve comunque essere mirato: è vietato, tra l’altro, il ricorso a banche dati biometriche alimentate mediante scraping non mirato, mentre il riconoscimento facciale a posteriori non può essere utilizzato per controlli o identificazioni biometriche generalizzati o indiscriminati.
Gli articoli 12 e seguenti intervengono sul versante penale e processuale, introducendo nuove fattispecie e regole per l’impiego dei sistemi di IA, con specifiche previsioni anche per gli utilizzatori professionali dei sistemi ad alto rischio. Uno dei capisaldi della normativa è il nuovo articolo 437-bis del codice penale, che contiene due nuclei principali: il primo concerne l’omessa adozione delle misure di sicurezza o di sorveglianza umana; il secondo l’alterazione illecita dei sistemi di IA ad alto rischio.
Per quanto riguarda il reato di omessa adozione, vengono individuate anche le pene, che variano a seconda del pericolo prodotto dal mancato rispetto delle misure: se ne deriva un pericolo per la vita o per l’incolumità pubblica o individuale, il colpevole è punito con la reclusione da uno a cinque anni; se ne deriva invece un pericolo per la sicurezza dello Stato, la pena sale da due a otto anni. Il delitto è punibile anche per colpa grave: in quel caso la pena è ridotta da un terzo a un sesto. Una previsione specifica riguarda poi l’utilizzatore professionale di un sistema di IA ad alto rischio: se omette intenzionalmente di adottare le misure di sorveglianza umana e dall’omissione deriva uno dei pericoli indicati dalla norma, si applicano le stesse pene.
Per quanto riguarda l’alterazione illecita dei sistemi di IA ad alto rischio, invece, le pene vanno da due a sei anni quando dal fatto deriva un pericolo per la vita o l’incolumità pubblica o individuale, mentre salgono da tre a dieci anni quando ne deriva un pericolo per la sicurezza dello Stato.
Il decreto interviene anche sulla responsabilità amministrativa degli enti, inserendo nel dlgs 231/2001 il nuovo art. 25-vicies sui reati commessi con l’uso di sistemi di intelligenza artificiale. Tra i nuovi reati-presupposto rientrano l’omessa adozione delle misure di sicurezza e l’alterazione illecita dei sistemi di IA ad alto rischio, previste dal nuovo art. 437-bis c.p., e la diffusione illecita di contenuti generati o alterati con l’IA, disciplinata dall’art. 612-quater c.p. Per gli enti sono previste sanzioni pecuniarie fino a 1.000 quote, oltre alle possibili sanzioni interdittive. Le novità interessano quindi non solo le imprese, ma anche le strutture professionali soggette alla disciplina 231, come le società tra professionisti, che dovranno valutare l’aggiornamento della mappatura dei rischi e dei modelli organizzativi.
Sul piano civile e processuale, infine, il testo rafforza parecchio la posizione di chi sostiene di aver subito un danno da un sistema di IA. La disciplina riguarda le azioni di risarcimento sia contrattuali sia extracontrattuali: il giudice può ordinare l’esibizione di documentazione e prove relative al funzionamento del sistema quando il danneggiato presenta elementi idonei a rendere verosimile la fondatezza della domanda; quando il danno deriva dalla violazione di uno o più obblighi previsti dall’AI Act, il nesso di causalità tra la violazione e il danno è presunto, salvo prova contraria; e la conformità del sistema all’AI Act, anche se certificata, non basta di per sé a escludere la responsabilità. È prevista anche l’azione diretta del danneggiato nei confronti dell’impresa di assicurazione che copre la responsabilità civile del convenuto, nei limiti del massimale previsto dalla polizza.
