Utilizzo dei sistemi di intelligenza artificiale per l'attività di polizia e di responsabilità civile e penale

Intelligenza artificiale ad alto rischio: cosa cambia per le imprese con il D. Lgs. 160/2026 Dal 30 settembre 2026 è in vigore il D. Lgs. 9 settembre 2026, n. 160, con cui l'Italia ha dato attuazione alla delega della legge 132/2025 e ha adeguato il proprio ordinamento al Regolamento europeo sull'intelligenza artificiale (Reg. UE 2024/1689, il c.d. AI Act). Il decreto interviene su due fronti: l'uso dei sistemi di IA da parte delle Forze di polizia e la responsabilità civile e penale legata alla realizzazione e all'impiego di questi sistemi. Per chi produce, fornisce o semplicemente utilizza sistemi di IA ad alto rischio — software gestionali che decidono su persone, sistemi di selezione del personale, tool di scoring, dispositivi di videosorveglianza evoluta — cambia il perimetro del rischio legale. Vale la pena capire con precisione cosa entra in gioco.

Intelligenza artificiale ad alto rischio: cosa cambia per le imprese con il D. Lgs. 160/2026

Dal 30 settembre 2026 è in vigore il D. Lgs. 9 settembre 2026, n. 160, con cui l'Italia ha dato attuazione alla delega della legge 132/2025 e ha adeguato il proprio ordinamento al Regolamento europeo sull'intelligenza artificiale (Reg. UE 2024/1689, il c.d. AI Act). Il decreto interviene su due fronti: l'uso dei sistemi di IA da parte delle Forze di polizia e la responsabilità civile e penale legata alla realizzazione e all'impiego di questi sistemi.

Per chi produce, fornisce o semplicemente utilizza sistemi di IA ad alto rischio — software gestionali che decidono su persone, sistemi di selezione del personale, tool di scoring, dispositivi di videosorveglianza evoluta — cambia il perimetro del rischio legale. Vale la pena capire con precisione cosa entra in gioco.

Un nuovo reato: l'art. 437-bis del codice penale Il cuore penale del decreto è il nuovo art. 437-bis c.p., dedicato all'omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e all'alterazione illecita dei sistemi. La norma è costruita sul modello dei delitti di comune pericolo (artt. 437 e 451 c.p.) e punisce, tra l'altro, chi non predispone le misure tecniche di sicurezza e la supervisione umana richieste per i sistemi ad alto rischio, quando da questa omissione deriva un pericolo per la vita, l'incolumità o la pubblica incolumità.

Tre elementi meritano attenzione: • È un reato di pericolo: non serve che il danno si verifichi. Basta la condotta omissiva e la messa in pericolo, il che anticipa molto la soglia di punibilità. • È un reato di tipo omissivo: presuppone l'individuazione di un soggetto garante — tipicamente l'utilizzatore professionale e, in certi assetti, il fornitore — con la conseguente necessità di definire per iscritto chi fa cosa. • Fa rinvio a obblighi tecnici europei: le misure dovute non sono descritte nel codice penale ma nell'AI Act. Questo rende centrale, per l'impresa, non solo cosa fa ma cosa documenta di aver fatto.

Responsabilità degli enti: il nuovo art. 25-vicies del D. Lgs. 231/2001 Il decreto inserisce nel catalogo dei reati-presupposto della responsabilità amministrativa degli enti il nuovo art. 25-vicies, che collega la responsabilità della società a due illeciti: il nuovo art. 437-bis c.p. e l'art. 612-quater c.p. (Illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale). Le sanzioni pecuniarie previste sono da 600 a 1.000 quote per il primo e da 200 a 700 quote per il secondo, con le sanzioni interdittive che ne conseguono.

In termini pratici: se l'IA è usata nell'interesse o a vantaggio dell'impresa e l'organizzazione non ha presidiato adeguatamente il rischio, la società risponde. Il modello 231 diventa quindi lo strumento operativo principale: mappatura dei sistemi di IA in uso, individuazione dei ruoli e delle responsabilità, procedure di supervisione, tracciabilità delle decisioni automatizzate e formazione del personale.

Un cambio di passo sul versante civile Sul piano civilistico il decreto sceglie la strada degli strumenti processuali, più che delle nuove regole sostanziali di responsabilità. Due le misure principali. Il regime probatorio è la novità più rilevante per chi difende o è chiamato a rispondere. Da un lato, il giudice può ordinare l'esibizione delle prove relative al funzionamento del sistema di IA, con un ordine limitato a quanto necessario e proporzionato; se il terzo non ottempera senza giustificato motivo, è condannato a una pena pecuniaria da 1.500 a 10.000 euro, mentre l'inadempimento della parte consente al giudice di desumere argomenti di prova ai sensi dell'art. 116 c.p.c. Dall'altro, il nesso causale tra violazione degli obblighi dell'AI Act e danno si presume, salvo prova contraria. Due conseguenze operative immediate. La prima: la documentazione tecnica diventa una difesa, perché chi è in grado di produrre log, valutazioni d'impatto, verbali di supervisione e registri delle decisioni si trova in una posizione enormemente migliore di chi non ha traccia alcuna. La seconda: la conformità certificata al regolamento europeo non esclude di per sé la responsabilità civile. La certificazione è una condizione necessaria, non una immunità.

Videosorveglianza e riconoscimento facciale: il doppio regime autorizzativo Il Titolo I disciplina l'uso dell'IA per finalità di polizia, cioè per prevenzione, indagine, accertamento o perseguimento di reati. Il riconoscimento biometrico in tempo reale è ammesso solo in casi delimitati — minacce specifiche alla sicurezza, ricerca di persone scomparse, vittime di determinati reati, individuazione di indiziati e latitanti — e su autorizzazione del procuratore. Il riconoscimento facciale "a posteriori", applicato a posteriori su immagini di videosorveglianza già acquisite, richiede invece l'autorizzazione del GIP. I dati sono conservati per sette giorni; sono vietati i controlli generalizzati; sono previste valutazioni d'impatto e controlli del Garante. Per le imprese che gestiscono impianti di videosorveglianza in contesti sensibili, la ricaduta è indiretta ma concreta: il quadro di riferimento su trattamento dei dati biometrici e controlli si irrigidisce, e un'implementazione non allineata espone a contestazioni sul piano della protezione dei dati ancor prima che su quello penale.

Cosa fare adesso Il decreto è già in vigore. Le attività che consigliamo di calendarizzare subito:

1. Ricognizione dei sistemi di IA in uso e in fornitura, con classificazione del rischio secondo l'AI Act.
2. Aggiornamento del modello 231 con il nuovo art. 25-vicies e i presidi specifici sull'IA.
3. Definizione delle responsabilità interne su supervisione umana, sicurezza tecnica e gestione degli incidenti.
4. Sistema documentale che tracci decisioni, log e controlli, pensato fin dall'inizio per essere prodotto in giudizio.
5. Revisione della contrattualistica con fornitori e clienti di sistemi di IA, con particolare attenzione a garanzie, manleva e ripartizione del rischio.
6. Formazione del personale che opera con i sistemi ad alto rischio.

L'Avvocato penalista coadiuva e coordina gli esperti, anche tecnici, al fine di creare un sistema con procedure che prevengano la commissione dei reati (lo studio ha consolidate collaborazioni con questi esperti). L'Avvocato penalista interviene, sempre con al financo gli esperti consulenti, per curare la patologia: se malauguratamente si incappasse nel procedimento/processo penale è importante intervenire tempestivamente e garantire il rispetto delle regole processuali.