Da oggi, 30 settembre 2026, in Italia esiste un reato che riguarda l’intelligenza artificiale. Nei giorni scorsi la notizia è circolata soprattutto in una forma: «Fino a 5 anni di carcere: dal 30 settembre l’IA ignorante diventa reato». Alert degli studi legali, messaggi inoltrati nelle chat di categoria, e una domanda che è tornata nelle riunioni e che è arrivata anche a noi, sempre con le stesse parole: io rischio qualcosa?
È una domanda ragionevole. Quei titoli sono costruiti per produrla, e sotto c’è un fatto vero: il decreto esiste, la data è quella, l’articolo di codice penale è nuovo. Chi si è preoccupato non ha sbagliato a preoccuparsi. Ha letto un titolo che tiene insieme tre cose che la norma tiene separate.
Il Decreto legislativo 9 settembre 2026, n. 160 è pubblicato nella Gazzetta Ufficiale n. 214 del 15 settembre e si applica dal 30 settembre. Il suo articolo 12 inserisce nel codice penale l’articolo 437-bis, rubricato «Omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi».
Il primo comma punisce con la reclusione da uno a cinque anni chi «omette di adottare le misure tecniche di sicurezza, previste per la progettazione, l’addestramento, la produzione, l’immissione sul mercato di sistemi di intelligenza artificiale ad alto rischio (…) ovvero omette di adottare misure di sorveglianza umana». Poi aggiunge dodici parole che nei titoli non compaiono quasi mai: «quando da tali omissioni derivi pericolo per la vita o l’incolumità pubblica o individuale».
Perché il reato esista servono tre cose nello stesso momento. Un sistema classificato ad alto rischio ai sensi dell’articolo 6 del Regolamento europeo 2024/1689. Una misura dovuta che non è stata adottata, tecnica oppure di sorveglianza umana. E un pericolo che si è effettivamente prodotto per la vita o l’incolumità delle persone.
Se ne manca una, non c’è reato. E in nessun punto della norma compare l’espressione che i titoli hanno messo in prima pagina: usare l’intelligenza artificiale.
Qui il discorso pubblico ha sovrapposto due cerchi che non coincidono.
Il primo cerchio è largo. Sono i sistemi ad alto rischio dell’Allegato III del regolamento europeo: i software di selezione e di valutazione del personale, i sistemi che misurano il merito creditizio, quelli che governano l’accesso a servizi essenziali, e i sistemi usati come componente di sicurezza di infrastrutture e impianti. Molti studi e molte PMI ci stanno dentro senza averci mai pensato.
Il secondo cerchio è molto più stretto, perché richiede anche la terza condizione. Un software di selezione che sbaglia produce un danno, spesso grave, ma non un pericolo per l’incolumità fisica di nessuno. Un sistema che presidia una funzione di sicurezza di un impianto è un’altra storia, e lì la norma morde davvero.
Chi usa strumenti generativi per scrivere, tradurre, riassumere, sta fuori da entrambi i cerchi: i sistemi per finalità generali non sono ad alto rischio di per sé, e rispondono agli obblighi di trasparenza dell’articolo 50 del regolamento, non a quelli dell’articolo 6.
Il decreto ha ventidue articoli. Il 437-bis è uno. Nove riguardano l’uso dell’intelligenza artificiale nell’attività di polizia, compresi il trattamento dei dati biometrici e il riconoscimento facciale: è una parte grande di cui non sta parlando quasi nessuno, e ci torneremo.
Ma per uno studio o una PMI il peso vero sta negli articoli dal 16 al 20, che riguardano la causa civile per il danno. L’articolo 18 stabilisce che «quando il danno deriva dalla violazione di uno o più obblighi previsti dal regolamento (UE) 2024/1689, il nesso di causalità tra la violazione e il danno è presunto, salvo prova contraria». L’articolo 17 consente al giudice di ordinare l’esibizione della documentazione sul funzionamento del sistema e, se non viene prodotta senza giustificato motivo, di ritenere «come ammessi i fatti allegati dall’istante». L’articolo 19 chiarisce che la conformità al regolamento, «anche se certificata, non esclude di per sé la responsabilità del convenuto». L’articolo 20 prevede l’azione diretta verso l’impresa di assicurazione, nei limiti del contratto: nessun obbligo assicurativo nuovo viene introdotto.
Nessuno di questi quattro articoli è finito nei titoli. Sono quelli che cambiano la posizione di chi un giorno si siede davanti a un giudice.
Non «informarsi meglio». Tre verifiche con un esito scritto.
Qui ci fermiamo, e lo diciamo apertamente. Se dalle tre verifiche risulta che sei dentro, la valutazione del tuo caso — l’aggiornamento del modello organizzativo 231, le coperture assicurative, la posizione contrattuale verso chi ti ha fornito il sistema — è lavoro da avvocato, non da guida di orientamento. Noi diamo la bussola; la rotta di una nave specifica la traccia chi ne risponde.
C’è poi un punto che il testo lascia aperto e che non spetta a noi chiudere: il quarto comma punisce l’utilizzatore professionale che omette «intenzionalmente» la sorveglianza umana, mentre il terzo comma estende il primo comma alla colpa grave. Come i due si coordinino lo diranno i primi commenti e, a suo tempo, i giudici. Diffida di chi te lo racconta come già deciso, in un senso o nell’altro.
Nel tuo lavoro, chi è la persona che potrebbe scrivere il proprio nome accanto alla frase «la sorveglianza umana su questo sistema la esercito io»? E se quel nome non c’è ancora, la domanda utile non è se rischi: è perché non c’è.
Fonte: D.Lgs. 9 settembre 2026, n. 160, in Gazzetta Ufficiale n. 214 del 15 settembre 2026.
Articoli correlati
Questa settimana il tema è arrivato da quattro direzioni diverse. Una proposta di legge sulla tutela della voce e dell’immagine degli artisti — una proposta,
Capita spesso: si cerca un’informazione recente, si aprono cinque schede di Google, si confrontano articoli che dicono cose leggermente diverse e, dopo venti minuti, non
Due settimane fa, su queste pagine, abbiamo scritto che dal 30 settembre esiste in Italia un reato che riguarda l’intelligenza artificiale, e abbiamo chiesto a
Se in queste settimane hai letto che l’intelligenza artificiale sta chiudendo ai giovani le porte del primo lavoro, non hai letto una cosa falsa. Hai
L’integrazione dell’intelligenza artificiale nei processi produttivi genera spesso il timore di una progressiva sostituzione dell’essere umano. Tuttavia, i dati delineano uno scenario diverso: circa un
Sempre più spesso, durante le riunioni strategiche o di aggiornamento aziendale, emergono sigle come LLM, RAG o prompt. Non si tratta più di un linguaggio
