La responsabilità dell’agente di IA parte da una decisione: fornitore o implementatore?

Questa è la disposizione che sollevo all’inizio di ogni workshop sulla governance dell’IA, e rimane quella su cui le organizzazioni hanno riflettuto meno.

L’articolo 25 dell’AI Act trasforma un implementatore in un fornitore in tre situazioni: quando l’implementatore appone il proprio nome o marchio su un sistema ad alto rischio già presente sul mercato; quando modifica sostanzialmente tale sistema; e, nel caso che riguarda più spesso i progetti relativi agli agenti, quando modifica la finalità prevista di un sistema che non era ad alto rischio, compreso un sistema di intelligenza artificiale a uso generico, in modo tale che il sistema diventi ad alto rischio.

Tale conversione opera in modo totale e non parziale, poiché il fornitore originario cessa di essere il fornitore di quel particolare sistema e mantiene solo l’obbligo di cooperare e di consegnare la documentazione necessaria per la valutazione di conformità, a meno che non abbia chiaramente specificato che nessuno dovesse trasformare il suo sistema in uno ad alto rischio. Questa limitazione d’uso è spesso prevista in termini che nessuno legge effettivamente e che tutti ignorano o trascurano.

Un’organizzazione acquisisce quindi gli obblighi di un fornitore trasformando un modello valido in qualcosa che il fornitore non aveva mai previsto, ed è esattamente ciò che fa un progetto di agente ogni volta che conferisce a un modello generico credenziali, strumenti e un ruolo in una decisione disciplinata dalla legge. L’articolo 25, paragrafo 4, richiede poi accordi scritti con i fornitori di ogni componente integrato, che coprano le informazioni, l’accesso tecnico e l’assistenza di cui il nuovo fornitore avrà bisogno.

Cosa è cambiato nella normativa italiana in materia di prova

La legge italiana n. 160 del 9 settembre 2026, in vigore dal 30 settembre 2026, ha ridefinito gli aspetti economici di questo contenzioso; il testo è disponibile qui.

La divulgazione è disciplinata dall’articolo 17, che impone al tribunale, su richiesta di una parte che deduca un danno, di ordinare alla controparte o a un terzo di produrre le prove specificamente rilevanti per il funzionamento del sistema, qualora il richiedente abbia esposto fatti che rendano plausibile la richiesta, senza richiedere a tale parte di dimostrare il nesso causale in quella fase. I documenti oggetto di richiesta comprendono i registri degli eventi, la documentazione relativa alla gestione dei rischi, la documentazione tecnica e le informazioni sui parametri della supervisione umana, fatta salva la tutela dei segreti commerciali; una parte che ometta di presentarli rischia che il tribunale consideri ammessi i fatti ad essa contestati, mentre un terzo che rifiuti di collaborare senza giustificato motivo è passibile di una sanzione pecuniaria compresa tra 1.500 e 10.000 euro.

L’articolo 18 stabilisce una presunzione, per cui, qualora il danno derivi dalla violazione di un obbligo previsto dalla legge sull’IA, il tribunale presume il nesso causale tra tale violazione e il danno, fatta sempre salva la prova contraria.

Segue poi la questione della conformità, ai sensi dell’articolo 19, che conferma che il rispetto della legge sull’IA, anche se certificato, non esclude di per sé la responsabilità del convenuto.

L’articolo 20 introduce un’azione diretta, consentendo alla parte lesa di chiedere se sussista una copertura assicurativa, con una risposta da fornire entro trenta giorni, e quindi di citare direttamente l’assicuratore nei limiti della polizza, chiamando in causa la parte ritenuta responsabile come co-convenuto necessario.

L’asimmetria che nessuno ha valutato

Il punto che segue, per quanto mi risulta, non è apparso altrove e cambia ciò che un’azienda dovrebbe fare nel trimestre in corso.

L’articolo 17 ha portata generale e si applica a qualsiasi richiesta di risarcimento danni, sia contrattuale che extracontrattuale; tali disposizioni sono già applicabili nonostante le disposizioni del Digital Omnibus relative all’IA abbiano rinviato la maggior parte degli obblighi ad alto rischio al 2 dicembre 2027 e al 2 agosto 2028; una parte consistente dei documenti a cui si applica l’articolo 17 non comporta attualmente alcun obbligo ai sensi dell’EU AI Act, ma è richiesta dalla normativa italiana.

Il potere di divulgazione opera quindi in modo ampio già da ora, mentre la presunzione che esso era destinato ad alimentare rimane limitata e, per il momento, in gran parte inattiva, cosicché un ricorrente ottiene registri e documentazione sulla base di un criterio di mera plausibilità anni prima che entrino in vigore gli standard in base ai quali un tribunale finirà per esaminare tali documenti. Le aziende stanno creando la documentazione ora, e questa verrà esaminata in seguito alla luce di norme che non esistevano quando è stata redatta.

L’agente come prodotto e come editore

Due ulteriori regimi trattano un agente di IA come qualcosa di diverso da un servizio fornito in base a un contratto.

Il livello relativo ai prodotti è introdotto dalla Direttiva (UE) 2024/2853, che si applica a partire dal 9 dicembre 2026 ai prodotti immessi sul mercato dopo tale data; essa considera il software e l’intelligenza artificiale come prodotti a prescindere dalle modalità di fornitura da parte del fornitore e impone una responsabilità rigorosa e solidale a una cerchia che comprende il fabbricante, chiunque apponga il proprio nome sul prodotto, il produttore di un componente difettoso, gli importatori e chiunque modifichi sostanzialmente il prodotto al di fuori del controllo del fabbricante.

Due limitazioni determinano se tale regime sia di aiuto a un determinato ricorrente, poiché solo le persone fisiche possono intentare causa e il danno puramente economico esula dal suo ambito di applicazione, lasciando un’impresa che ha subito un danno alle proprie attività con i propri rimedi contrattuali; è proprio in questo ambito che le aziende affronteranno la grande maggioranza delle loro controversie relative agli agenti.

Il livello editoriale è già operativo, come ha dimostrato il Tribunale regionale di Monaco nella sua decisione del 28 maggio 2026 nella causa 26 O 869/26, quando ha impedito a Google di ripubblicare sintesi generate dall’intelligenza artificiale che avevano erroneamente associato due società a truffe, ritenendo che il risultato costituisse una dichiarazione del fornitore stesso piuttosto che un contenuto di terzi, per cui le difese basate sull’hosting non offrivano alcuna protezione. La prova che i lettori seguono tali link in circa l’1% delle visite ha confutato l’argomentazione secondo cui gli utenti potessero verificare le fonti citate. Gli insegnamenti per chiunque utilizzi un agente sono che una dichiarazione di non responsabilità offre una protezione limitata, che i contenuti che citano società o individui identificabili comportano l’esposizione maggiore e che un contenuto che nessuno può ricondurre a una fonte verificabile potrebbe diventare, dal punto di vista giuridico, la dichiarazione di chiunque lo abbia pubblicato.

Rischio penale e il modello di conformità come unica difesa

L’aspetto penale preoccupa i consigli di amministrazione, per il semplice motivo che coinvolge persone fisiche anziché entità giuridiche.

La legge italiana n. 160 del 9 settembre 2026 ha introdotto l’articolo 437-bis del Codice Penale, che punisce l’omissione di misure tecniche di sicurezza o di supervisione umana per i sistemi di intelligenza artificiale ad alto rischio, qualora ne derivi un pericolo concreto, con una pena da uno a cinque anni se la condotta mette in pericolo la vita o l’incolumità personale e da due a otto anni se mette in pericolo la sicurezza pubblica o quella dello Stato; è prevista inoltre una disposizione separata per gli attori esterni che alterano il funzionamento di un sistema, nonché una pena ridotta in caso di colpa grave.

La stessa legge ha aggiunto tale reato all’elenco dei reati presupposto per la responsabilità penale delle persone giuridiche ai sensi della legge italiana n. 231 dell’8 giugno 2001, all’articolo 25-vicies, con un’esposizione compresa tra 600 e 1.000 unità per l’articolo 437-bis e tra 200 e 700 unità per il reato di deepfake, oltre a sanzioni interdittive che arrivano fino alla sospensione delle autorizzazioni e all’esclusione dagli appalti pubblici. L’unica difesa a disposizione dell’azienda è il proprio modello di compliance, il cosiddetto modello 231, che deve essere adattato alle disposizioni di legge italiane, e solo se tale modello è stato effettivamente implementato e sottoposto a supervisione indipendente; ciò significa che un modello redatto senza fare riferimento al rischio legato all’intelligenza artificiale non sarà sufficiente a rispondere di un reato connesso all’intelligenza artificiale.

Chi controlla e con quale rapidità

I regimi di responsabilità generano reclami nell’arco di diversi anni, mentre il livello normativo produce un fascicolo nel giro di poche settimane; ecco perché solitamente raggiunge per primo l’azienda.

La legge italiana n. 179 del 7 ottobre 2026, applicabile dal 23 ottobre 2026, designa l’agenzia nazionale per la sicurezza informatica come autorità di vigilanza sul mercato e punto di contatto unico, con poteri che si estendono alle ispezioni senza preavviso, mentre l’agenzia nazionale per il digitale accredita gli organismi di valutazione della conformità in qualità di autorità notificante; la banca centrale, l’autorità di vigilanza sui mercati finanziari, l’autorità di vigilanza sulle assicurazioni e l’autorità per la protezione dei dati mantengono il ruolo di vigilanza sul mercato nei propri settori.

Al di sopra di tale struttura nazionale si colloca l’Ufficio UE per l’IA, che detiene la competenza esclusiva sui sistemi di intelligenza artificiale basati su modelli generici, laddove il modello e il sistema provengano dallo stesso fornitore o dalla stessa impresa, e che ha emesso le sue prime richieste di informazioni nel mese di ottobre 2026.

Il modello di governance della responsabilità degli agenti di IA

Un modello di governance dell’IA giustifica i propri costi e gli sforzi necessari per renderlo operativo solo se ogni elemento risponde a un regime specifico piuttosto che a un concetto generico di rischio, e il mio ne prevede sette.

1. Un inventario che includa sia gli agenti incorporati e “ombra” sia quelli dichiarati, senza il quale nessuno può classificare nulla, e la classificazione determina quali obblighi si applicano e quale autorità di regolamentazione ne è interessata. Molti clienti ancora non sanno come i propri dipendenti utilizzino i sistemi di IA e, talvolta, nemmeno quali sistemi di IA vengano utilizzati.
2. Un limite di autonomia scritto per ogni agente, che registri ciò che può fare senza supervisione, ciò che necessita di approvazione e ciò che non può mai fare, poiché tale documento risponde sia all’articolo 437-bis sia a qualsiasi questione di vigilanza ai sensi dell’articolo 17. Una valutazione di conformità dell’IA deve definire chiaramente le regole di funzionamento di un agente di IA.
3. La supervisione umana deve essere affidata a una persona designata in grado di arrestare l’agente, poiché l’autorità di regolamentazione verifica l’esistenza di un’effettiva autorità sul sistema piuttosto che una semplice dichiarazione di intenti. La supervisione umana non deve limitarsi a mere disposizioni formali contenute nelle politiche e nelle procedure, ma deve essere dimostrata.
4. Approvazione legale ai sensi dell’articolo 25 prima che qualsiasi sistema diventi operativo, che copra ogni cambiamento di finalità, ogni esercizio di branding proprio e ogni modifica sostanziale, ciascuno dei quali in grado di trasformare l’organizzazione in un fornitore. Questo requisito richiede un monitoraggio continuo di come si evolve un agente di IA.
5. La conservazione dei dati deve essere allineata al periodo più lungo applicabile, dato che i registri, i messaggi di avviso, le registrazioni delle chiamate agli strumenti, le valutazioni e le analisi dei rischi costituiscono le prove sia in sede di divulgazione che di ispezione. Tale requisito deve essere adeguatamente bilanciato con gli obblighi e le limitazioni previsti dalla normativa sulla protezione dei dati.
6. I contratti di fornitura devono essere riformulati in materia di accesso alla documentazione, sicurezza, audit, informazioni sugli incidenti e cooperazione nei procedimenti, con l’accordo scritto previsto dall’articolo 25, comma 4, richiesto a ciascun fornitore di componenti. Deve essere eseguita una due diligence non solo tramite liste di controllo, ma anche attraverso audit periodici.
7. Un modello di conformità ai sensi della legge italiana n. 231 dell’8 giugno 2001 che affronti i rischi legati all’intelligenza artificiale, sottoposto a supervisione indipendente e la cui efficacia sia dimostrata nel funzionamento piuttosto che nella sua adozione. Non si tratta di un adempimento formale: il modello deve essere aggiornato e gli aggiornamenti devono riflettersi nel funzionamento dell’azienda.

Quanto segue è un parere piuttosto che giurisprudenza consolidata, con i relativi rischi dichiarati apertamente. Mi aspetto che i primi casi italiani vertano sulla divulgazione piuttosto che sul merito, poiché l’articolo 17 conferisce al ricorrente la documentazione in base a un criterio di plausibilità, ed è proprio nella fase di produzione delle prove che i convenuti scoprono ciò che non sono in grado di spiegare. I tribunali potrebbero naturalmente interpretare in modo rigoroso i principi di necessità e proporzionalità, e gli obblighi latenti ad alto rischio potrebbero tenere fuori gioco l’articolo 18 per anni, sebbene la conclusione rimanga valida in entrambi i casi, poiché gli stessi documenti regolano il fascicolo normativo, la posizione assicurativa e la richiesta di risarcimento nei confronti del fornitore.

Cosa dovrebbero fare ora le aziende

I passaggi riportati di seguito seguono la scadenza che li determina piuttosto che lo sforzo che richiedono.

1. Istituire un modello organizzativo di conformità in materia di IA che preveda la costituzione di un comitato per l’IA incaricato di valutare i sistemi di IA adottati dall’azienda non solo in fase di implementazione della tecnologia ( ), ma anche in relazione a ciascun caso d’uso, e di stabilire le regole di utilizzo dei sistemi di IA da parte di dipendenti e dirigenti.
2. Applicare il test dell’articolo 25 a ogni agente in fase di sviluppo, prima che venga implementato, poiché un cambiamento della finalità prevista trasforma l’organizzazione in un fornitore, e evitare tale trasformazione costa molto meno che porvi rimedio.
3. Estendere la conservazione dei registri degli agenti, dei prompt, delle registrazioni delle chiamate agli strumenti e delle valutazioni senza indugio, poiché l’obbligo di divulgazione è in vigore dal 30 settembre 2026 e le prove cancellate sono l’unico difetto che nessuno potrà sanare una volta avviato il procedimento.
4. Registrare la data in cui l’azienda ha immesso sul mercato ciascun prodotto dotato di intelligenza artificiale, prima del 9 dicembre 2026, poiché le nuove norme si applicano solo ai prodotti immessi sul mercato dopo tale data; pertanto, due regimi coesisteranno in parallelo e sarà la data a determinare quale dei due si applichi.
5. Riscrittura del modello di conformità 231 e dei contratti di integrazione in materia di documentazione, audit e cooperazione, dato che i danni subiti da un’azienda esulano dalle norme sui prodotti, lasciando il contratto come unica via di ricorso per un’azienda che abbia subito un danno da parte di un agente di terzi.
6. Aggiornare il modello di conformità 231 in modo che copra il rischio legato all’intelligenza artificiale e documentarne l’attuazione, poiché rimane l’unica difesa contro la responsabilità penale societaria una volta che il pubblico ministero abbia accertato il reato.
7. Nominare, per iscritto, il comitato o la persona responsabile di frenare ogni agente, poiché sia i tribunali che gli ispettori valutano la supervisione umana come una funzione documentata piuttosto che come un’intenzione.

La maggior parte delle organizzazioni inizia con una valutazione dei propri agenti e della governance che li circonda, un esercizio ben definito che costa una frazione di quanto costerebbe ricostruire le stesse informazioni sotto pressione.

Se domani un ricorrente chiedesse a un tribunale di ordinare la divulgazione di tutto ciò che il vostro agente più autonomo ha fatto nell’ultimo trimestre, come si presenterebbe effettivamente tale produzione e chi, all’interno dell’organizzazione, sarebbe in grado di spiegarla?