Il decreto 160/2026: l'AI nel codice penale, nella «231» e nelle cause di risarcimento

Il decreto legislativo 9 settembre 2026, n. 160 è in vigore dal 30 settembre 2026. Nasce da una delega della legge italiana sull'AI, la 132/2025, e fa tre cose: disciplina l'uso dell'intelligenza artificiale nell'attività di polizia, introduce nuove disposizioni penali, e scrive regole processuali per le cause di risarcimento del danno causato usando un sistema di AI.

La prima parte — dieci articoli su ventidue — riguarda le forze di polizia. Qui parliamo delle altre due.

Il nuovo reato, e le quattro condizioni che lo compongono

L'articolo 12 inserisce nel codice penale l'articolo 437-bis, fra i delitti contro l'incolumità pubblica. Punisce chi omette le misure tecniche di sicurezza previste per progettazione, addestramento, produzione e immissione sul mercato di sistemi di AI ad alto rischio, o chi omette le misure di sorveglianza umana, quando da quelle omissioni deriva un pericolo per la vita o per l'incolumità — da uno a cinque anni di reclusione, da due a otto se il pericolo riguarda la sicurezza dello Stato. Chi altera un sistema ad alto rischio risponde di una fattispecie autonoma, più grave. Per la colpa grave la pena è ridotta da un terzo a un sesto.

C'è poi un ultimo comma, ed è quello che riguarda chi un sistema lo usa e basta:

L'utilizzatore professionale di sistemi di intelligenza artificiale ad alto rischio che omette intenzionalmente di adottare misure di sorveglianza umana è punito con le pene previste dal primo comma, primo e secondo periodo, qualora da tale omissione derivi, rispettivamente, pericolo per la vita o l'incolumità pubblica o individuale oppure un pericolo per la sicurezza dello Stato.

Quattro condizioni, tutte insieme: utilizzatore professionale, sistema ad alto rischio, omissione intenzionale della sorveglianza umana, pericolo che ne deriva. È un perimetro stretto, e vale la pena dirlo con la stessa forza con cui si dice che il reato esiste.

La «231»

L'articolo 15 inserisce nel decreto legislativo 231/2001 il nuovo articolo 25-vicies, «Reati commessi con l'uso di sistemi di intelligenza artificiale». Porta fra i reati presupposto della responsabilità degli enti:

• il nuovo 437-bis del codice penale — sanzione pecuniaria da seicento a mille quote;
• l'articolo 612-quater, la diffusione illecita di contenuti generati o alterati con l'AI, introdotto dalla legge 132/2025 — da duecento a settecento quote.

In entrambi i casi si applicano anche le sanzioni interdittive dell'articolo 9, comma 2, lettere b), c), d) ed e) del decreto 231.

La parte che riguarda tutti: la prova

Il Capo II del Titolo II scrive regole processuali per le azioni di risarcimento del danno «cagionato nell'utilizzo di un sistema di intelligenza artificiale», sia contrattuale sia extracontrattuale. Sono tre regole, e cambiano il peso di quello che un'azienda conserva.

L'esibizione. L'articolo 17 prevede che il giudice, su istanza di chi dice di aver subito il danno e quando questi porta elementi che rendono verosimile la domanda, ordini all'altra parte di esibire gli elementi di prova sul funzionamento del sistema. Il decreto li elenca uno per uno, e sono quelli del regolamento europeo: i registri dell'articolo 12, la documentazione del sistema di gestione dei rischi dell'articolo 9, la documentazione tecnica dell'articolo 11, le informazioni su parametri e modalità di sorveglianza umana dell'articolo 14. L'ordine è limitato a quanto necessario e proporzionato, e il giudice tutela i segreti commerciali.

Il comma 5 dice che cosa succede se quei documenti non arrivano:

Se la parte, senza giustificato motivo, non adempie, anche parzialmente, all'ordine di esibizione, il giudice può desumere argomenti di prova ai sensi dell'articolo 116 del codice di procedura civile. Quando l'inadempimento riguarda la documentazione di cui al comma 2, il giudice, valutato ogni altro elemento di prova, ritiene come ammessi i fatti allegati dall'istante.

Il nesso. L'articolo 18: quando il danno deriva dalla violazione di uno o più obblighi del regolamento europeo, il nesso di causalità fra la violazione e il danno «è presunto, salvo prova contraria».

La conformità. L'articolo 19 chiude una porta che vale la pena non lasciare socchiusa: la conformità del sistema agli obblighi del regolamento, «anche se certificata», non esclude di per sé la responsabilità di chi è convenuto. Nessun documento, nessun punteggio e nessuna certificazione sono uno scudo.

L'assicurazione

L'articolo 20 permette a chi intende agire di chiedere prima se esista una polizza di responsabilità civile per quel danno. La risposta va data entro trenta giorni, con gli estremi del contratto e il nome della compagnia; a una comunicazione omessa o incompleta il giudice può dare il peso di un argomento di prova. Il danneggiato ha poi azione diretta verso l'assicuratore, nei limiti del massimale.

Che cosa ne segue, e che cosa no

Questo articolo riporta cosa dice il decreto. Non stabilisce se una certa impresa usi sistemi ad alto rischio, né se una certa omissione sia intenzionale: sono valutazioni che dipendono dai fatti, e che non le fa un testo divulgativo.

Una cosa però il decreto la dice a chiare lettere a chiunque usi l'AI in azienda, e non richiede alcuna classificazione per essere capita: in una causa, i registri e la documentazione di un sistema possono essere ordinati in esibizione, e non averli ha un prezzo processuale scritto nella norma.