Intelligenza artificiale, in vigore il decreto su polizia, nuovi reati e risarcimento dei danni

Il decreto legislativo 9 settembre 2026, n. 160, pubblicato nella Gazzetta Ufficiale n. 214 del 15 settembre 2026, è in vigore dal 30 settembre. Adegua le norme italiane al regolamento (UE) 2024/1689 sull'intelligenza artificiale e attua le deleghe dell'art. 24 della legge 23 settembre 2025, n. 132, la legge italiana sull'IA.

Il decreto tocca tre ambiti: l'uso dell'IA nelle attività di polizia, i reati legati ai sistemi di IA e le cause civili per i danni che questi sistemi provocano.

Nostro annuncio: IAArt. 24 L. 132/2025 — Deleghe al Governo in materia di intelligenza artificialeNuovo testo in vigore dal 27 giugno 2026IuspediaApri

Sponsorizzato

L'IA nelle attività di polizia

Le Forze di polizia possono usare sistemi di IA come strumento di supporto. Prima che un risultato della macchina entri in un atto che incide sui diritti di una persona, serve una revisione umana qualificata e documentata.

Il riconoscimento delle persone in tempo reale

L'identificazione biometrica remota in tempo reale nei luoghi pubblici o aperti al pubblico è ammessa solo in casi precisi. Fuori da un procedimento penale (art. 8) può servire a prevenire le minacce indicate dal regolamento europeo e a cercare una persona scomparsa o specifiche vittime di sequestro di persona, tratta di esseri umani o sfruttamento sessuale. La richiesta parte, fra gli altri, dal questore o dal comandante provinciale dei Carabinieri o della Guardia di finanza e va al procuratore della Repubblica. L'autorizzazione dura al massimo quindici giorni, prorogabili, e indica l'area e le persone ricercate. Nei casi urgenti il sistema può partire prima, ma la richiesta va trasmessa entro ventiquattro ore.

Dentro un procedimento penale vale il nuovo art. 359-ter c.p.p.. Il sistema può servire a identificare o localizzare una persona indiziata di uno dei delitti elencati dal regolamento europeo puniti con la reclusione non inferiore nel massimo a quattro anni, a cercare un latitante o specifiche vittime. Lo autorizza il giudice per le indagini preliminari, su richiesta del pubblico ministero, per non più di quindici giorni prorogabili. In caso di urgenza può disporlo il pubblico ministero, ma il giudice deve convalidare il decreto.

Il confronto avviene solo con una banca dati formata apposta per ogni autorizzazione e cancellata alla scadenza. Sono vietate le banche dati alimentate con lo scraping non mirato, cioè la raccolta indiscriminata di volti. Se le regole non sono rispettate, l'uso si interrompe, i dati vanno cancellati e i risultati non possono essere utilizzati.

Il riconoscimento facciale a posteriori

Le telecamere consentite dalla legge possono avere componenti di IA, ma il riconoscimento facciale si attiva solo dopo l'acquisizione delle immagini (art. 10). Per cercare una persona indiziata di un reato, il pubblico ministero chiede l'autorizzazione al giudice per le indagini preliminari entro quarantotto ore dall'avvio, e il giudice decide nelle quarantotto ore successive. L'autorizzazione non serve quando il sistema è usato dopo il reato solo per una prima identificazione, sulla base di elementi oggettivi legati al fatto.

I dati raccolti con questi sistemi sono cancellati in automatico dopo sette giorni. Nessuna decisione che produce effetti giuridici negativi su una persona può basarsi solo sul risultato del riconoscimento facciale. È vietato usare questi sistemi per controlli generalizzati o indiscriminati.

Il nuovo reato dell'art. 437-bis c.p.

Il decreto inserisce nel codice penale l'art. 437-bis, «Omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi». Riguarda solo i sistemi di IA ad alto rischio e punisce:

• chi omette le misure tecniche di sicurezza previste per la progettazione, l'addestramento, la produzione o l'immissione sul mercato del sistema, o omette le misure di sorveglianza umana, quando ne deriva un pericolo per la vita o l'incolumità: reclusione da uno a cinque anni, da due a otto se il pericolo riguarda la sicurezza dello Stato;
• chi altera un sistema, con lo stesso tipo di pericolo: reclusione da due a sei anni, da tre a dieci per la sicurezza dello Stato;
• l'utilizzatore professionale che omette intenzionalmente la sorveglianza umana, con le pene del primo caso.

Se l'omissione è commessa per colpa grave, la pena è ridotta da un terzo a un sesto.

Anche gli enti ne rispondono: il nuovo art. 25-vicies del d.lgs. 8 giugno 2001, n. 231, prevede una sanzione da seicento a mille quote, e da duecento a settecento quote per il reato dell'art. 612-quater c.p., sulla diffusione illecita di contenuti generati con l'IA. Si aggiungono alcune sanzioni interdittive.

Il risarcimento dei danni causati dall'IA

Le nuove regole valgono per le cause di risarcimento, contrattuali ed extracontrattuali, per i danni causati nell'uso di un sistema di IA. Il consumatore danneggiato può fare causa anche davanti al giudice del luogo in cui ha la residenza o il domicilio.

Chi sostiene di aver subito il danno può chiedere al giudice di ordinare all'altra parte, o a un terzo, di mostrare le prove sul funzionamento del sistema: i registri, la documentazione sulla gestione dei rischi, la documentazione tecnica e le informazioni sulla supervisione umana. Deve però rendere verosimile la domanda. Se la parte non esegue l'ordine senza giustificato motivo, il giudice può trarne argomenti di prova secondo l'art. 116 c.p.c.. Se il rifiuto riguarda i documenti elencati, il giudice, valutate le altre prove, ritiene ammessi i fatti affermati dal danneggiato. Il terzo che non esegue l'ordine è condannato a pagare da 1.500 a 10.000 euro.

Quando il danno deriva dalla violazione di un obbligo del regolamento europeo, il nesso tra violazione e danno si presume, salvo prova contraria. Il fatto che il sistema sia conforme al regolamento, anche se certificato, non esclude da solo la responsabilità.

Il danneggiato può anche agire direttamente contro l'assicurazione del responsabile, nei limiti della copertura. Prima della causa può chiedere al presunto responsabile se è assicurato, e la risposta va data entro trenta giorni.

Cosa cambia

Dal 30 settembre 2026 il riconoscimento delle persone con l'IA da parte della polizia richiede, salvo i casi indicati, un'autorizzazione dell'autorità giudiziaria, e i risultati ottenuti fuori dalle regole non sono utilizzabili. I sistemi che la polizia già usa o sta sviluppando vanno adeguati alle regole generali del decreto entro un anno. Chi subisce un danno da un sistema di IA ha strumenti nuovi per ottenere le prove e il risarcimento.