I decreti attuativi della legge italiana sull’intelligenza artificiale fissano obblighi documentali precisi in capo alle aziende che utilizzano sistemi di IA, con ricadute dirette in termini di responsabilità civile e amministrativa. Uno studio legale che assiste imprese deve già oggi saper valutare l’adeguatezza dei presidi interni e la tenuta probatoria della documentazione in caso di controlli o contenzioso. Chi non si attrezza ora rischia di trovarsi impreparato davanti a richieste istruttorie delle autorità di vigilanza.
Punti chiave
- Punto 1 — I decreti attuativi definiscono quali evidenze documentali le aziende devono produrre in caso di controlli.
- Punto 2 — Le responsabilità derivanti dall’uso di sistemi IA ricadono anche sui soggetti che li adottano, non solo sui fornitori.
- Punto 3 — Lo studio legale che assiste imprese deve integrare la compliance AI nella consulenza contrattuale e organizzativa.
Chi assiste aziende clienti non può più trattare l’intelligenza artificiale come una questione tecnica delegabile all’IT. I decreti attuativi della legge italiana sull’AI spostano il problema sul piano giuridico: obblighi documentali, responsabilità verificabili, esposizione a sanzioni. Uno studio che oggi non sa orientare il cliente su questi adempimenti lascia un vuoto che qualcun altro riempirà.
I decreti in questione danno attuazione alla normativa nazionale sull’IA, allineandosi al quadro del Regolamento UE 2024/1689 (AI Act) e chiarendo le aspettative delle autorità di vigilanza italiane in materia di controlli, evidenze documentali e responsabilità connesse all’uso di sistemi di IA nelle organizzazioni.
Il contesto normativo
Il Regolamento UE 2024/1689 (AI Act), applicabile dal 2 agosto 2026 per la maggior parte delle disposizioni, classifica i sistemi di IA per livello di rischio e impone obblighi differenziati: documentazione tecnica, registrazione, sorveglianza umana e gestione degli incidenti. In Italia, la legge di delegazione europea recepisce queste prescrizioni e i decreti attuativi le declinano operativamente. Sul piano della responsabilità civile, rileva l’art. 2050 c.c. in materia di attività pericolose, che la giurisprudenza ha già applicato a tecnologie con profili di rischio elevato, ponendo a carico dell’utilizzatore l’onere di provare di aver adottato tutte le misure idonee a evitare il danno. Sul versante amministrativo, le sanzioni previste dall’AI Act arrivano fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le violazioni più gravi.
Cosa cambia per lo studio
- Due diligence contrattuale sui fornitori AI. I contratti con i vendor di sistemi IA devono allocare chiaramente le responsabilità documentali e di conformità. Il cliente che adotta il sistema non è esonerato da obblighi propri solo perché il fornitore è certificato: verifica le clausole di indennizzo e le garanzie di aggiornamento normativo.
- Mappatura dei sistemi IA in uso. Prima di qualsiasi altra attività, l’azienda cliente deve censire tutti i sistemi IA adottati e classificarli per livello di rischio secondo l’AI Act. Senza questa mappa, nessun piano di compliance regge a un’ispezione.
- Presidio documentale strutturato. Le autorità di vigilanza chiederanno evidenze scritte: registri di utilizzo, valutazioni d’impatto, procedure di sorveglianza umana. Il legale deve verificare che questi documenti esistano, siano aggiornati e siano effettivamente applicati — non solo depositati in un cassetto.
- Aggiornamento dei modelli organizzativi 231. Le aziende dotate di Modello Organizzativo ex d.lgs. 231/2001 devono integrare i rischi legati all’uso di IA nelle aree sensibili. Ignorare questo aggiornamento espone l’ente a responsabilità amministrativa in caso di illecito commesso tramite sistemi IA.
- Formazione e protocolli interni. I decreti valorizzano la sorveglianza umana come esimente o attenuante. Uno studio può aiutare il cliente a strutturare procedure interne che documentino questo presidio, rendendolo opponibile in caso di contenzioso.
Attenzione a
Confondere l’adempimento formale con la compliance reale. Predisporre documenti che non corrispondono alle pratiche effettive espone l’azienda a un rischio doppio: la sanzione per la violazione sostanziale e l’aggravante della documentazione fuorviante in sede di ispezione. Controlla che i presidi scritti riflettano davvero i processi operativi.
Sottovalutare la responsabilità dell’utilizzatore finale. L’AI Act e i decreti attuativi non scaricano tutto sul fornitore. L’azienda che deploya un sistema IA ad alto rischio risponde in proprio degli obblighi di registrazione, valutazione d’impatto e sorveglianza. Un cliente che si affida alla sola certificazione del vendor senza presidi propri è esposto: chiariscilo subito in consulenza.
Domande frequenti
Quali obblighi documentali impone l’AI Act alle aziende che usano sistemi di intelligenza artificiale?
L’AI Act (Reg. UE 2024/1689) richiede alle aziende che utilizzano sistemi IA ad alto rischio di tenere registri di utilizzo, effettuare valutazioni d’impatto, garantire la sorveglianza umana e conservare la documentazione tecnica. I decreti attuativi italiani precisano le modalità di controllo da parte delle autorità nazionali di vigilanza e le evidenze che le organizzazioni devono produrre in caso di ispezione o contenzioso.
Chi risponde civilmente per i danni causati da un sistema di intelligenza artificiale in azienda?
La responsabilità non ricade solo sul fornitore del sistema. L’azienda che adotta e utilizza un sistema IA risponde in proprio, anche ai sensi dell’art. 2050 c.c. sulle attività pericolose, con inversione dell’onere della prova. Deve dimostrare di aver adottato tutte le misure idonee a prevenire il danno, inclusi i presidi di sorveglianza umana e i protocolli documentati.
Il modello organizzativo 231 deve essere aggiornato per includere i rischi legati all’intelligenza artificiale?
Sì. Le aziende dotate di Modello Organizzativo ex d.lgs. 231/2001 devono mappare i rischi connessi all’uso di sistemi IA nelle aree sensibili e aggiornarle protocolli di controllo. L’omissione espone l’ente a responsabilità amministrativa qualora un illecito venga commesso attraverso l’utilizzo di un sistema IA non presidiato nel modello.
Fonte di riferimento: AgendaDigitale