CyberCoverInsightCapire il mercato delle assicurazioni Cyber.

NORMATIVA

Responsabilità civile da intelligenza artificiale: chi paga il danno e quale polizza risponde

01 nov 2026 · Aggiornato 01 nov 2026 · 10 min di lettura

A cura della redazione di CyberCoverInsight · con supporto AI

Responsabilità e prodottiSilent cyber

Senza una direttiva europea dedicata, il danno causato da un sistema di intelligenza artificiale si gestisce con il codice civile, la nuova direttiva sui prodotti difettosi, l'AI Act, la legge italiana 132/2025 e il d.lgs. 160/2026. Una lettura da chi assume il rischio: dove cade la responsabilità, quali polizze sono esposte, dove il mercato sta escludendo e quali domande portare nei rinnovi.

Analisi · 1° novembre 2026 · aggiornata il 2 novembre 2026 con il d.lgs. 160/2026 · di cybercoverinsurance

Un sistema di intelligenza artificiale sbaglia un preventivo, scarta un candidato, suggerisce una terapia errata o inventa un precedente in un parere legale. Il danno è reale, ma chi ne risponde? Per chi assume il rischio la domanda ne contiene un'altra, più pratica: quale polizza paga, e se l'ha prezzato qualcuno.

La risposta breve: in Europa non esiste una regola unica sulla responsabilità da intelligenza artificiale. Il danno si distribuisce tra quattro fonti diverse, e ognuna porta il rischio verso una polizza diversa. Il rischio maggiore per un portafoglio non è una nuova responsabilità, ma l'esposizione rimasta implicita nelle coperture esistenti.

Nel testo, «art.» indica una regola vincolante; «considerando» indica i paragrafi introduttivi che spiegano come leggerla.

In sintesi

  • La direttiva europea sulla responsabilità da intelligenza artificiale è stata ritirata: la Commissione ha deciso il ritiro il 16 luglio 2025, pubblicato in Gazzetta ufficiale dell'UE il 6 ottobre 2025.
  • Dal 9 dicembre 2026 il software, compresi i sistemi di intelligenza artificiale, è un prodotto ai sensi della direttiva (UE) 2024/2853: responsabilità oggettiva del produttore verso le persone fisiche.
  • L'AI Act non regola il risarcimento, ma fissa gli obblighi il cui mancato rispetto diventa la prova della colpa. Le regole sui sistemi ad alto rischio dell'allegato III slittano al 2 dicembre 2027.
  • In Italia la legge 132/2025 impone ai professionisti di informare il cliente sull'uso dell'intelligenza artificiale e conferma che la responsabilità resta loro.
  • Dal 30 settembre 2026 il d.lgs. 160/2026 presume il nesso causale quando sono violati gli obblighi dell'AI Act e consente al danneggiato di agire direttamente contro l'assicuratore della responsabilità civile.
  • Negli Stati Uniti il mercato sta escludendo il rischio: dal 1° gennaio 2026 esistono esclusioni standard per l'intelligenza artificiale generativa nella responsabilità civile generale.

Il quadro: quattro fonti, nessuna regola unica

1. La direttiva che non c'è

Nel 2022 la Commissione europea aveva proposto una direttiva sulla responsabilità da intelligenza artificiale (COM(2022)496), con presunzioni a favore del danneggiato e obblighi di esibizione delle prove. La Commissione ne ha deciso il ritiro il 16 luglio 2025; l'avviso è stato pubblicato il 6 ottobre 2025 (EAPIL). Il danno da intelligenza artificiale resta quindi affidato al diritto nazionale di ogni Stato.

2. Il codice civile italiano

Senza norme dedicate, valgono le regole generali. Se tra danneggiato e utilizzatore c'è un contratto, la responsabilità è contrattuale e il debitore risponde dell'inadempimento salvo provare che non dipende da lui (art. 1218 c.c.). Verso i terzi vale l'art. 2043 c.c., che richiede dolo o colpa. La dottrina discute l'applicazione dell'art. 2050 c.c. sulle attività pericolose, che sposterebbe sull'utilizzatore l'onere di provare di aver adottato tutte le misure idonee a evitare il danno (Studio Cataldi). Non esiste ancora un orientamento consolidato dei giudici.

Dal 30 settembre 2026 si aggiunge il decreto legislativo 9 settembre 2026, n. 160, attuativo della legge 132/2025 (PG Legal). Il decreto non crea una nuova responsabilità oggettiva, ma sposta l'onere della prova. Se sono violati gli obblighi dell'AI Act, il nesso causale tra violazione e danno si presume, salvo prova contraria (art. 18). La conformità all'AI Act, anche certificata, non basta da sola a escludere la responsabilità (art. 19). Il giudice può inoltre ordinare a fornitore o utilizzatore di esibire log e documentazione tecnica del sistema (Lavorosì).

3. La direttiva sui prodotti difettosi

Dal 9 dicembre 2026 la direttiva (UE) 2024/2853 si applica ai prodotti immessi sul mercato da quella data e include il software nella definizione di prodotto (art. 4). Un sistema di intelligenza artificiale rientra in questa definizione. Tre elementi pesano in modo particolare (EUR-Lex):

  • nel giudicare se un prodotto è difettoso conta anche la sua capacità di continuare ad apprendere dopo l'immissione sul mercato (art. 7);
  • il giudice può presumere il difetto o il nesso causale quando la complessità tecnica rende la prova eccessivamente difficile per il danneggiato (art. 10);
  • possono chiedere il risarcimento solo le persone fisiche; un'impresa danneggiata resta sul terreno del contratto.

Il tema è trattato in dettaglio nell'analisi sul software come prodotto.

4. AI Act e legge italiana

Il regolamento (UE) 2024/1689, l'AI Act, non disciplina il risarcimento. Fissa però obblighi per chi sviluppa sistemi di intelligenza artificiale (fornitori) e per chi li usa nella propria attività (deployer). Per i sistemi ad alto rischio, il deployer deve usarli secondo le istruzioni, affidarne la sorveglianza a persone competenti, monitorarne il funzionamento e conservare i log generati (art. 26). In un giudizio civile, la violazione di questi obblighi diventa l'argomento più semplice per dimostrare la colpa.

Il regolamento (UE) 2026/1744, che modifica l'AI Act, ha spostato le date: gli obblighi per i sistemi ad alto rischio dell'allegato III, come selezione del personale e valutazione del merito di credito, si applicano dal 2 dicembre 2027; quelli dell'allegato I, come dispositivi medici e macchine, dal 2 agosto 2028 (Orrick). Gli obblighi di trasparenza dell'art. 50, ad esempio informare una persona che sta interagendo con un sistema di intelligenza artificiale, restano in vigore dal 2 agosto 2026 (Gibson Dunn).

In Italia la legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, aggiunge una regola per le professioni intellettuali (Normattiva). L'art. 13 ammette l'intelligenza artificiale solo come supporto, con il lavoro intellettuale del professionista prevalente, e obbliga a informare il cliente in modo chiaro sui sistemi utilizzati (Studio Pizzano). La conseguenza per la responsabilità professionale è diretta: l'errore prodotto da un sistema di intelligenza artificiale è un errore del professionista.

Dove cade il rischio nelle polizze

Responsabilità professionale e tech E&O. È la polizza più esposta. Il parere sbagliato, il codice difettoso, la consulenza generata in parte da un modello sono errori professionali come gli altri. La maggior parte dei testi non nomina l'intelligenza artificiale: la copertura c'è finché qualcuno non la contesta.

Responsabilità civile prodotti. Dal 9 dicembre 2026 chi integra un modello in un prodotto o in un software venduto in Europa risponde senza colpa verso le persone fisiche danneggiate. Per chi assicura produttori di dispositivi, macchine o software, il sistema di intelligenza artificiale diventa un componente da valutare come gli altri.

Responsabilità civile generale. Copre i danni a persone e cose verso terzi. Negli Stati Uniti Verisk ha introdotto dal gennaio 2026 tre esclusioni facoltative per l'intelligenza artificiale generativa (CG 40 47, CG 40 48 e CG 35 08) per la responsabilità civile generale e prodotti (IndependentAgent).

Cyber. Risponde quando il danno passa per un incidente informatico: fuga di dati attraverso un assistente basato su intelligenza artificiale, accesso abusivo tramite un modello compromesso, frode con deepfake. Non risponde all'errore del modello in sé, che non è un incidente di sicurezza.

D&O. Entra in gioco quando l'uso dell'intelligenza artificiale diventa una scelta di governance: obblighi dell'AI Act ignorati, dichiarazioni al mercato sulle capacità dei propri sistemi non veritiere.

Il mercato si sta muovendo in due direzioni

La prima è l'esclusione. Secondo un'analisi del Center for Strategic and International Studies del 4 settembre 2026, oltre 60 gruppi assicurativi danni statunitensi hanno depositato esclusioni per l'intelligenza artificiale nel 2026, e una proposta di W.R. Berkley esclude i sinistri legati a «qualsiasi uso effettivo o presunto» dell'intelligenza artificiale (CSIS). Le stesse fonti riportano che una ricerca della Lloyd's Market Association ha rilevato quanto poco gli assicuratori sappiano dell'uso dell'intelligenza artificiale da parte degli assicurati.

La seconda è la copertura esplicita. Esistono prodotti dedicati: Munich Re offre dal 2018 una copertura legata al rendimento del modello, Armilla, con capacità di sindacati Lloyd's, copre errori e allucinazioni fino a 25 milioni di dollari per assicurato, e CFC ha inserito nel giugno 2026 coperture esplicite per l'intelligenza artificiale in sette linee di prodotto (CSIS).

Lo schema ricorda quello del cyber silente dopo il 2019, quando i Lloyd's chiesero a ogni sindacato di dichiarare se una polizza includeva o escludeva il rischio cyber. Il mercato italiano non ha ancora fatto questo passaggio per l'intelligenza artificiale.

Cosa significa per l'assunzione del rischio

Il silenzio è il rischio principale. Una polizza che non nomina l'intelligenza artificiale non la esclude, ma neppure la prezza. Per un portafoglio PI o tech E&O, l'esposizione cresce con l'adozione dei clienti senza che il premio se ne accorga.

Il cumulo arriva dai fornitori. Molte aziende usano gli stessi pochi modelli di base e le stesse piattaforme. Un errore sistematico o un aggiornamento difettoso di un modello diffuso può generare sinistri simili su molti assicurati nello stesso periodo. È lo stesso schema del cumulo cloud, applicato a un componente meno visibile.

La documentazione decide il sinistro. Con le presunzioni della direttiva prodotti e gli obblighi dell'AI Act, chi non conserva i log, non sa quale versione del modello ha prodotto un risultato e non ha una persona incaricata della sorveglianza difficilmente riesce a difendersi. La qualità della governance diventa un fattore di gravità del sinistro, non solo di frequenza.

L'azione diretta porta l'assicuratore in causa. L'art. 20 del d.lgs. 160/2026 consente al danneggiato di chiedere al responsabile, anche prima della causa, se esiste una polizza di responsabilità civile che copre il danno, con risposta entro 30 giorni, e di agire direttamente contro l'assicuratore nei limiti del massimale (PG Legal). L'assicuratore può far valere le eccezioni del contratto anteriori al sinistro e, se paga, rivalersi sull'assicurato nei limiti in cui la polizza gli avrebbe permesso di rifiutare o ridurre il pagamento. Per una polizza PI o RC che non nomina l'intelligenza artificiale, la copertura implicita viene messa alla prova in giudizio con l'assicuratore come convenuto.

Le professioni sono il primo banco di prova. Con l'art. 13 della legge 132/2025 il professionista che non ha informato il cliente parte in svantaggio in un contenzioso. Per chi assicura avvocati, commercialisti, ingegneri e consulenti, l'informativa al cliente è un documento da chiedere.

Impatto per gli assicuratoriMedio

Il danno da intelligenza artificiale si concentra oggi su PI e tech E&O con coperture rimaste implicite, e diventa più facile da provare, in Italia dal 30 settembre 2026 con il d.lgs. 160/2026 e in Europa dal 9 dicembre 2026 con la direttiva prodotti; il volume di sinistri in Italia non è ancora misurabile.

Fonti

Torna a Normativa