Direttiva responsabilità AI ritirata: quella che conta arriva il 9 dicembre 2026

Nel 2025 la Commissione europea ha ritirato la proposta di direttiva sulla responsabilità AI — l’AI Liability Directive. La lettura più diffusa è stata: «l’Europa rinuncia a regolare chi risponde quando l’AI fa danni». È una lettura sbagliata, e pericolosa per chi la prende alla lettera. Perché una norma diversa, meno raccontata, già include software e sistemi di intelligenza artificiale nel regime generale di responsabilità da prodotto difettoso. E ha una scadenza precisa, già iscritta in agenda: il 9 dicembre 2026.

Il ritiro che ha fatto notizia — e cosa ha lasciato indietro

L’AI Liability Directive era nata nel 2022, pensata per affiancare l’AI Act con regole dedicate a chi subisce un danno da un sistema di intelligenza artificiale. A febbraio 2025 la Commissione l’ha inserita tra le proposte da abbandonare nel programma di lavoro annuale, motivando la scelta con l’assenza di un accordo tra Parlamento e Consiglio; il ritiro formale è arrivato in autunno. Dodici organizzazioni industriali avevano chiesto proprio questo, temendo un doppio livello di regole. Il risultato: niente legge ad hoc sulla responsabilità AI. Ma il vuoto è solo apparente.

La direttiva che conta davvero: la responsabilità da prodotto, riscritta

Mentre l’attenzione era sull’AI Liability Directive, è entrata in vigore la Direttiva (UE) 2024/2853, che sostituisce una normativa vecchia di quarant’anni (la direttiva 85/374/CEE) sulla responsabilità per danno da prodotti difettosi. La novità che conta per chi opera con l’AI è nella definizione stessa di «prodotto»: include ora esplicitamente il software e i sistemi di intelligenza artificiale, a prescindere dal canale — installazione locale, cloud, SaaS, o incorporato in un macchinario fisico. Un sistema di visione artificiale su una linea produttiva, un modello che orienta decisioni cliniche, un agente che aggiorna un prezzo o smista un ordine: tutti rientrano, oggi, nel perimetro di un fabbricante che può essere chiamato a rispondere.

La direttiva si applica ai prodotti immessi sul mercato dal 9 dicembre 2026; gli Stati membri devono avere recepito le nuove regole entro la stessa data. In Italia la delega al Governo è già stata data: la legge di delegazione europea 2025 (legge 17 marzo 2026, n. 36) include la 2024/2853 tra le direttive da attuare. Il decreto legislativo di dettaglio non è ancora stato pubblicato — ma il termine resta quello, e non si sposta.

Le tre leve che spostano l’onere della prova

Il cambiamento pratico più rilevante non è la definizione di prodotto: è come si prova il danno in tribunale. La direttiva introduce tre meccanismi pensati proprio per i sistemi complessi:

Obbligo di divulgazione. Chi chiede il risarcimento deve mostrare solo la plausibilità del danno subito: a quel punto un giudice può ordinare al fabbricante di esibire la documentazione tecnica del prodotto. Chi non la produce, o la produce incompleta, rischia direttamente la presunzione successiva.
Presunzione di difettosità. Scatta quando il fabbricante non ha rispettato requisiti di sicurezza applicabili, o quando il danno è coerente con un malfunzionamento evidente in condizioni d’uso normali. Non serve più dimostrare come il prodotto sia difettoso: basta che appaia tale.
Presunzione sul nesso causale in caso di complessità tecnica o scientifica. È la parte scritta pensando esplicitamente all’AI come «scatola nera»: se per il ricorrente è eccessivamente difficile provare il collegamento tra difetto e danno a causa della complessità del sistema, il nesso si presume — e tocca al fabbricante smontarlo.

Tradotto: chi mette in commercio o integra un sistema AI non può più contare sull’opacità del modello come difesa. L’opacità, anzi, ora gioca contro chi l’ha creata.

Cosa cambia per chi fa eseguire azioni a un agente AI

Il punto delicato riguarda gli agenti che toccano davvero i sistemi aziendali: un ordine modificato, un prezzo aggiornato, una pratica smistata sono azioni con conseguenze dirette. Se quell’agente integra un modello di terzi dentro un prodotto o servizio proprio, chi lo integra può essere considerato «fabbricante» ai fini della direttiva — non solo chi ha addestrato il modello originario. È lo stesso principio di responsabilità a cascata lungo la filiera che il calendario europeo sull’AI Act sta già consolidando su un altro fronte: la conformità non si scarica più a valle senza conseguenze.

La difesa, in un regime così, si costruisce prima del contenzioso: tracciabilità delle decisioni, controllo umano documentato sulle azioni critiche, architettura che permette di dimostrare cosa ha deciso il sistema e perché. È il motivo per cui, nel nostro approccio, l’operatore umano resta nel perimetro delle decisioni che contano: non è solo prudenza operativa, è la prova che serve in giudizio quando la presunzione di legge gioca contro di voi.

Cosa fare adesso

Censite dove il vostro software o i vostri agenti AI sono, di fatto, un «prodotto»: incluso ciò che integrate da fornitori terzi in un servizio con il vostro marchio.
Rafforzate la documentazione tecnica e i log delle decisioni: è la prima difesa contro la presunzione di difettosità per mancata divulgazione.
Rivedete i contratti con i fornitori di modelli e piattaforme: chi fornisce le prove in un eventuale giudizio, e con quali tempi.
Verificate le coperture assicurative alla luce del nuovo perimetro di danno risarcibile, più ampio di prima.
Non aspettate il decreto italiano: il perimetro europeo è già scritto e il termine — 9 dicembre 2026 — non dipende dai tempi di Roma.

Vale in particolare per chi produce macchinari e linee connesse — i sistemi che uniscono meccanica e software nei processi di manifattura rientrano nella definizione allargata quanto un’applicazione cloud.

Fonti

Il perimetro della responsabilità si sta riscrivendo prima ancora che il decreto italiano sia pubblicato. Se volete capire dove la vostra architettura AI vi espone — e dove invece vi protegge — parliamone in una sessione operativa.