Assonime ha presentato alla Camera le sue osservazioni sullo schema di decreto legislativo attuativo della legge 132/2025 che adegua l’ordinamento italiano all’AI Act, con particolare riferimento all’uso dei sistemi di intelligenza artificiale nell’attività di polizia e alle regole sulla responsabilità penale e civile per danni da IA, all’esame del Parlamento per il parere delle commissioni. L’associazione evidenzia margini di miglioramento per garantire maggiore chiarezza, proporzionalità e coerenza con il quadro europeo.

Assonime richiama il principio antropocentrico dell’AI Act e il quadro dei diritti fondamentali della Carta UE, sottolineando che l’uso dell’IA, specie per finalità di contrasto dell’illegalità, può generare impatti rilevanti su libertà, uguaglianza, dignità e protezione dei dati personali. Qualsiasi limitazione deve essere prevista dalla legge, proporzionata, necessaria e giustificata da un interesse generale o dalla protezione dei diritti altrui, secondo l’impostazione del diritto europeo.

IA e attività di polizia: riconoscimento facciale e dati biometrici

La prima parte del documento si concentra sull’articolo 10 dello schema di decreto, dedicato ai sistemi di videosorveglianza integrati con riconoscimento facciale a posteriori. Assonime esprime preoccupazione per il rischio di scenari di sorveglianza di massa indiscriminata, se l’uso di tali tecnologie non viene circoscritto e sottoposto a garanzie adeguate, in contrasto con l’articolo 26, paragrafo 10, dell’AI Act.

Per l’uso a posteriori su persone già indiziate (comma 2), l’associazione propone di:

  • limitare l’impiego a reati particolarmente gravi;

  • riservare l’attivazione ai soli ufficiali di polizia giudiziaria incaricati delle indagini;

  • introdurre un’autorizzazione giudiziaria preventiva o comunque entro 48 ore, come richiesto dal Regolamento, salvo la sola ipotesi di “identificazione iniziale” prevista come deroga.

Sul comma 3, che consente il riconoscimento facciale “in caso di accesso a luoghi o eventi” con esigenze di ordine e sicurezza pubblica, Assonime segnala la vaghezza dei criteri e la previsione di una raccolta ex ante, generalizzata, di dati biometrici di chiunque acceda a tali luoghi. Questo modello è ritenuto incompatibile con l’AI Act, che limita l’identificazione biometrica remota a posteriori alle indagini su uno specifico reato e vieta il contrasto “non mirato” e la sorveglianza indiscriminata, come ribadito anche dai considerando del Regolamento e da una risoluzione del Parlamento europeo. Si chiede quindi una revisione profonda del comma 3, con:

  • definizione di criteri oggettivi per valutare le esigenze di sicurezza;

  • collegamento diretto tra acquisizione dei dati e obiettivi investigativi;

  • attenta ponderazione dei rischi di violazione e perdita irreversibile di dati biometrici, specie in presenza di database gestiti da soggetti privati.

Responsabilità per danni da IA e onere della prova

La seconda parte affronta la disciplina della responsabilità civile per danni causati da sistemi di IA, alla luce dell’articolo 18 dello schema, che introduce una presunzione relativa di nesso causale quando il danno deriva dalla violazione di obblighi dell’AI Act. Assonime riconosce l’esigenza di alleggerire la prova per il danneggiato, data l’opacità tecnica (“black box”) dei sistemi di IA, ma evidenzia tre criticità:

  • la presunzione è collegata indifferentemente a qualsiasi obbligo del Regolamento, senza distinguere tra obblighi eterogenei per natura e funzione (ad esempio alfabetizzazione del deployer vs. governance dei dati del fornitore);

  • il meccanismo non valorizza in modo diretto la complessità e l’asimmetria informativa che giustificano l’alleggerimento probatorio, rischiando di escludere casi gravi in cui l’IA è addirittura vietata (scraping indiscriminato di immagini facciali, tecniche subliminali, pratiche considerate “rischio inaccettabile” dall’AI Act);

  • manca qualsiasi modulazione in base al livello di rischio del sistema, in disallineamento con l’approccio risk‑based europeo e con i principi del diritto civile italiano, che graduano regimi e presunzioni in funzione della pericolosità dell’attività o del prodotto (art. 2050 c.c., responsabilità da prodotto difettoso).

Assonime propone quindi di:

  • ricondurre i sistemi e modelli di IA ad alto rischio nell’alveo dell’art. 2050 c.c. (attività pericolose), con responsabilità aggravata e prova liberatoria basata su tutte le misure di cautela esigibili, oltre al mero rispetto degli obblighi dell’AI Act;

  • per gli altri sistemi di IA, modellare la disciplina sulla nuova direttiva europea in materia di responsabilità da prodotto difettoso (Direttiva UE 2024/2853), estendendo la tutela anche agli operatori economici danneggiati e ampliando la nozione di “produttore” ai vari soggetti della filiera che incidono sulla sicurezza del sistema.

In questa impostazione, l’articolo 19 dello schema – che esclude che la conformità all’AI Act comporti di per sé l’esenzione da responsabilità – assumerebbe un ruolo di “norma di chiusura”, collegando il rispetto degli standard europei alla valutazione della diligenza, senza trasformarlo in safe harbour automatico.

Governance dell’IA e rilievo esimente

Il documento insiste infine sul ruolo centrale della governance interna dell’IA ai fini della responsabilità civile. Non basta la mera conformità formale agli obblighi del Regolamento: va valorizzata l’implementazione effettiva di sistemi di gestione del rischio, formazione, monitoraggio, tracciabilità e controllo, in linea con gli articoli 4 e 26 dell’AI Act. Assonime suggerisce che una compliance sostanziale, adeguatamente documentata, possa:

  • incidere sull’operatività delle presunzioni probatorie;

  • costituire elemento di prova dell’adozione di tutte le misure concretamente esigibili per prevenire il danno, riducendo l’incertezza giuridica e il rischio per le imprese che investono in IA.

In sintesi, il documento mira a far sì che l’attuazione italiana dell’AI Act coniughi tutela elevata dei soggetti danneggiati con un quadro di responsabilità proporzionato al rischio, leggibile per gli operatori e coerente con le categorie consolidate del diritto civile, evitando sovrapposizioni e stratificazioni normative poco prevedibili.

© Riproduzione riservata