Il decreto legislativo 9 settembre 2026, n. 160, pone una questione che precede la valutazione delle singole tecnologie: a quali condizioni il risultato elaborato da un sistema di intelligenza artificiale può entrare nell’esercizio di un potere pubblico o concorrere all’accertamento di una responsabilità? È da questo passaggio, tra elaborazione tecnica e decisione giuridica, che prende avvio il mio saggio Intelligenza artificiale e responsabilità, disponibile gratuitamente in PDF.
Una corrispondenza tra immagini, una classificazione o un’indicazione di rischio hanno il significato che deriva dall’operazione per la quale il sistema è stato predisposto. Prima di attribuire loro valore occorre conoscere la provenienza dei dati, i limiti del confronto, la finalità della ricerca e il controllo esercitato sul risultato. Il d.lgs. n. 160 del 2026 interviene su ciascuno di questi passaggi, coordinando la disciplina nazionale con il regolamento europeo sull’intelligenza artificiale.
Il controllo umano prima della decisione
La revisione umana prevista per i risultati destinati a incidere sulla sfera giuridica delle persone non si esaurisce nella sottoscrizione dell’atto finale. L’art. 3 del decreto richiede una revisione qualificata e documentata; per i sistemi ad alto rischio prescrive inoltre una sorveglianza umana effettiva. Nel saggio distinguo le due attività e mi soffermo sulla loro verificabilità: un operatore può valutare una segnalazione soltanto se dispone degli elementi necessari per comprenderne la portata e i limiti.
Questa esigenza diviene particolarmente evidente nell’identificazione biometrica. La ricerca in tempo reale per finalità preventive, disciplinata dall’art. 8, la ricerca svolta nel procedimento penale secondo il nuovo art. 359-ter c.p.p. e il riconoscimento facciale a posteriori previsto dall’art. 10 seguono regole differenti. La distinzione riguarda le finalità, i presupposti, l’autorità chiamata ad autorizzare l’operazione e la sorte dei risultati. Tenere separate queste discipline consente anche di evitare che una segnalazione utile a orientare una ricerca sia trattata, senza ulteriori verifiche, come accertamento dell’identità di una persona.
Dalla sicurezza del sistema all’attribuzione della responsabilità
Il nuovo art. 437-bis c.p. sposta l’attenzione dall’errore del sistema alle condotte umane individuate dalla fattispecie: l’omissione di misure dovute, l’alterazione di sistemi ad alto rischio e, nella specifica ipotesi prevista per l’utilizzatore professionale, l’omissione intenzionale della sorveglianza. L’accertamento penale richiede di individuare il soggetto tenuto ad agire, la misura esigibile e il pericolo derivato dalla condotta. La complessità della filiera tecnologica rende questa ricostruzione più impegnativa; non permette di sostituirla con un’attribuzione indistinta di colpa.
Sul versante civile il problema assume un’altra forma. Chi allega un danno legato all’impiego di un sistema può non possedere i registri e i documenti necessari a ricostruire l’accaduto. Il saggio esamina perciò l’ordine di esibizione dell’art. 17, la presunzione relativa del nesso causale nei casi delimitati dall’art. 18 e la disciplina dell’azione verso l’assicuratore quando esiste una copertura. Sono strumenti diversi, che incidono sull’accesso alla prova e alla tutela senza eliminare la necessità di individuare il titolo della domanda, il danno e il soggetto chiamato a risponderne.
La tesi che attraversa il lavoro è che il controllo debba poter essere ricostruito nel caso concreto. Un’autorizzazione, una revisione umana o un registro delle operazioni assolvono alla loro funzione solo se permettono di verificare quali scelte siano state compiute e da chi. Il saggio sviluppa questa lettura attraverso il testo delle disposizioni, i loro rapporti con le fonti europee e le questioni interpretative che restano aperte.
Davide Tutino — Avvocato penalista del Foro di Catania, dottore di ricerca.
