Responsabilità degli agenti di intelligenza artificiale: sei regimi e un unico modello di governance

La responsabilità degli agenti di IA ha smesso di essere una questione con un’unica risposta, poiché sei regimi distinti si applicano ora allo stesso sistema autonomo, ciascuno con il proprio soggetto a rivendicazioni e la propria data di entrata in vigore, per cui un’organizzazione che ne gestisce solo uno rimane esposta agli altri cinque.

L’AI Act attribuisce i ruoli di fornitore e operatore; la legge italiana n. 160 del 9 settembre 2026 ha invertito l’onere della prova nei procedimenti civili; le nuove norme sui prodotti entreranno in vigore il 9 dicembre 2026; un tribunale tedesco ha già considerato i risultati dell’intelligenza artificiale come dichiarazioni dell’operatore stesso; e la responsabilità penale, insieme alla responsabilità penale delle persone giuridiche, è alla base dell’intera struttura.

Nelle questioni di cui mi occupo, il modello di governance dell’IA determina l’esito molto prima che qualcuno applichi tali regimi, poiché le organizzazioni che si trovano in difficoltà sono raramente quelle che hanno scelto il fornitore sbagliato, ma molto più spesso quelle che non sono in grado di dimostrare chi abbia autorizzato l’agente, cosa potesse fare e cosa abbia effettivamente fatto, e che non hanno effettuato una valutazione approfondita della conformità dell’IA al momento dell’adozione dell’agente di IA e per tutta la sua durata di vita.

Sei regimi di responsabilità si applicano ora a un singolo agente di IA

Un agente di IA si differenzia da un modello convenzionale per l’unico aspetto che comporta conseguenze giuridiche, ovvero il fatto che agisce, perseguendo un obiettivo e spostandosi tra i sistemi con scarso intervento umano; si evolve, prende decisioni e, in caso di difficoltà, cerca di superarle, individuando autonomamente potenziali soluzioni. Tale autonomia rende più difficile ricostruire la catena causale, poiché questa passa attraverso decisioni che nessuno ha registrato, e trasforma la supervisione umana in una funzione che l’azienda deve dimostrare, con le prove di entrambe contenute in registri che poche organizzazioni hanno mai conservato a fini legali.

I sei regimi, con la data di entrata in vigore di ciascuno di essi, sono i seguenti.

1. L’attribuzione dei ruoli ai sensi dell’AI Act, che riguarda il fornitore e, allo stesso modo, il soggetto che lo implementa e che ne diventa tale attraverso il proprio marchio, una modifica sostanziale o un cambiamento della finalità prevista, con la maggior parte degli obblighi ad alto rischio che entreranno in vigore il 2 dicembre 2027.
2. La vigilanza sul mercato, che riguarda sia il fornitore che l’utilizzatore tramite ispezioni o richieste di informazioni, è disciplinata in Italia a partire dal 23 ottobre 2026.
3. La responsabilità civile in Italia, che riguarda qualsiasi operatore che debba far fronte a una richiesta di risarcimento per danni derivanti dall’uso di un sistema di intelligenza artificiale, applicabile a partire dal 30 settembre 2026.
4. La responsabilità per danno da prodotti difettosi, che riguarda il fabbricante e l’intera catena di fornitura qualora un difetto interessi un prodotto immesso sul mercato dopo il 9 dicembre 2026.
5. La responsabilità per i risultati, che coinvolge l’organizzazione che pubblica ciò che il sistema afferma ogni volta che tale affermazione si rivela falsa o dannosa, come già stabilito da un tribunale.
6. La responsabilità penale e quella penale societaria, che ricadono innanzitutto sulle persone fisiche e successivamente sulla società, ogniqualvolta qualcuno ometta di adottare le misure di sicurezza o di controllo già previste dalla legge.