Dal 30 settembre 2026 entrano in vigore nuove disposizioni sull’utilizzo dell’intelligenza artificiale nelle attività di polizia e sulla responsabilità per i danni provocati dai sistemi di IA. Le novità sono contenute nel Dlgs 9 settembre 2026, n. 160, pubblicato nella Gazzetta Ufficiale n. 214 del 15 settembre, adottato per adeguare la normativa nazionale al regolamento europeo 2024/1689 (AI Act).
Il decreto interviene sul sistema penale e processuale e introduce nuove regole anche per la tutela civilistica dei soggetti danneggiati.
Identificazione biometrica e riconoscimento facciale
Le forze di polizia potranno utilizzare sistemi di identificazione biometrica remota in tempo reale nei casi stabiliti dalla legge e con l’autorizzazione dell’autorità giudiziaria.
L’impiego dell’IA sarà possibile, in particolare, per verificare l’identità o localizzare persone nei confronti delle quali sussistano sufficienti indizi per determinati reati individuati dalla normativa europea, oltre che per la ricerca di latitanti nei casi previsti.
Il decreto vieta invece la creazione di banche dati biometriche attraverso raccolte massive e indiscriminate di informazioni disponibili sul web.
Per alcuni luoghi ed eventi caratterizzati da specifiche esigenze di ordine e sicurezza pubblica, le immagini dei volti potranno inoltre essere collegate ai dati identificativi acquisiti attraverso i titoli di accesso. Il riconoscimento facciale potrà essere utilizzato successivamente alla commissione di un reato. I dati saranno conservati per sette giorni, con successiva cancellazione automatica.
Il nuovo reato per i sistemi di IA ad alto rischio
Una delle principali novità riguarda l’introduzione nel codice penale dell’articolo 437-bis.
La disposizione sanziona l’omessa adozione delle misure tecniche di sicurezza o di sorveglianza umana richieste per i sistemi di IA ad alto rischio, quando dalla condotta derivi un pericolo per la vita o l’incolumità delle persone.
La pena prevista è la reclusione da uno a cinque anni, con un aumento nei casi in cui il pericolo riguardi la sicurezza dello Stato. È inoltre punita l’alterazione illecita dei sistemi di IA ad alto rischio, con pene differenziate in relazione alla gravità del pericolo.
Il decreto interviene anche sulla responsabilità degli enti ai sensi del Dlgs 231/2001, introducendo una specifica disciplina sanzionatoria per il nuovo reato.
Più strumenti per chi subisce un danno
Sul piano civile vengono introdotte regole specifiche per le azioni risarcitorie derivanti dall’utilizzo di sistemi di intelligenza artificiale.
Il danneggiato può chiedere al giudice l’accesso a documentazione tecnica e informazioni relative, tra l’altro, alla gestione dei rischi e alla supervisione umana del sistema. In caso di mancata esecuzione dell’ordine di esibizione, il giudice può valutare tale comportamento ai fini della prova dei fatti allegati.
Una delle novità più rilevanti riguarda il nesso causale: quando il danno deriva dalla violazione di un obbligo previsto dall’AI Act, il rapporto tra violazione e danno si presume, salvo prova contraria.
Per le controversie promosse dal consumatore è inoltre previsto un foro collegato alla residenza o al domicilio del danneggiato.
La conformità del sistema alle disposizioni dell’AI Act, anche quando sia stata certificata, non esclude automaticamente la responsabilità civile.
Infine, il danneggiato può esercitare un'azione diretta nei confronti dell’impresa di assicurazione che garantisce la responsabilità civile del soggetto convenuto, nei limiti del massimale previsto dalla polizza.
Il Dlgs 160/2026 introduce quindi un insieme di regole che interessano sia l'impiego dell'IA nelle attività di sicurezza e nelle indagini penali, sia la tutela delle persone che subiscono danni derivanti dall'utilizzo di sistemi di intelligenza artificiale.
