Possiamo considerare l’IA come un prodotto difettoso in caso di anomalie? La progressiva integrazione di componenti software nei beni di consumo, nei processi industriali e nei servizi tecnologici ha reso necessario un ripensamento della disciplina della responsabilità per danno da prodotto difettoso, originariamente concepita con riferimento a beni prevalentemente materiali.
Il quadro normativo europeo è stato oggetto di una complessiva riforma ad opera delladirettiva (UE) 2024/2853del Parlamento europeo e del Consiglio, del 23 ottobre 2024. Il nuovo intervento legislativo, fondato sul principio della responsabilità oggettiva degli operatori economici, intende adeguare la tutela risarcitoria alle peculiarità dell’economia digitale, ampliando l’ambito applicativo della disciplina e rafforzando gli strumenti di tutela dei soggetti danneggiati.
Tra le innovazioni più significative assume particolare rilievo l’espressa inclusione del software nella nozione giuridica di prodotto, ai sensi dell’art. 4 della direttiva, con conseguente possibile applicazione della disciplina anche ai sistemi di intelligenza artificiale.
Parallelamente, l’art. 7 introduce criteri di valutazione della “difettosità” che tengono conto delle caratteristiche evolutive dei prodotti digitali e dei requisiti di cybersicurezza. Tali innovazioni trovano riscontro nello schema italiano di recepimento (Atto del Governo n. 434), che prevede, tra l’altro, la riformulazione degli artt. 115 e 117 del Codice del consumo.
Il presente contributo si propone, pertanto, di esaminare le principali novità introdotte dalla direttiva (UE) 2024/2853 e il relativo processo di recepimento nell’ordinamento italiano, approfondendo i presupposti della responsabilità per danno da prodotto difettoso, le peculiarità applicative ai software e ai sistemi di intelligenza artificiale e le conseguenze pratiche per le imprese che sviluppano, commercializzano o integrano soluzioni tecnologiche. Per un inquadramento generale sul risarcimento dei danni causati dall’Intelligenza Artificiale rinviamo a un nostroprecedente approfondimento.
La direttiva (UE) 2024/2853 e il recepimento nazionale
La disciplina europea della responsabilità per danno da prodotto difettoso trova la propria origine nella direttiva 85/374/CEE, recepita nell’ordinamento italiano con il D.P.R. 24 maggio 1988, n. 224, le cui disposizioni sono successivamente confluite negli artt. 114-127 del D.Lgs. 6 settembre 2005, n. 206 (Codice del consumo).
Tale disciplina, fondata su un regime di responsabilità oggettiva del produttore, è stata integralmente ripensata dalla direttiva (UE) 2024/2853, che introduce un quadro normativo armonizzato, volto a contemperare la tutela dei soggetti danneggiati con le esigenze di certezza giuridica degli operatori economici.
Come espressamente previsto dall’art. 1 della direttiva, la nuova disciplina stabilisce norme comuni in materia di responsabilità degli operatori economici per i danni causati da prodotti difettosi alle persone fisiche, perseguendo l’obiettivo di garantire un elevato livello di protezione nel mercato interno.
Nell’ordinamento italiano, il recepimento della direttiva è stato previsto dall’art. 1 della legge 17 marzo 2026, n. 36 (Legge di delegazione europea 2025), che include il provvedimento europeo nell’Allegato A, n. 4.
In attuazione della delega, il Governo ha predisposto lo schema di decreto legislativo identificato come Atto del Governo n. 434, approvato in via preliminare il 4 agosto 2026 e successivamente sottoposto all’esame parlamentare. Acquisiti i pareri delle competenti Commissioni, il Consiglio dei ministri ha approvato il provvedimento in esame definitivo il28 ottobre 2026, in vista della sua promulgazione e pubblicazione.
Sotto il profilo sistematico, l’art. 1 dello schema dispone l’integrale sostituzione del Titolo II della Parte IV del Codice del consumo, riformulando gli artt. 114-127. Particolare rilievo assumono il nuovo art. 115, relativo alle definizioni, l’art. 116, concernente gli operatori economici responsabili, l’art. 117, dedicato alla nozione di prodotto difettoso, nonché gli artt. 119 e 120, che disciplinano rispettivamente l’esibizione degli elementi di prova e il regime delle presunzioni.
Quanto all’applicazione temporale, l’art. 22 della direttiva fissa al 9 dicembre 2026 il termine per il recepimento. A seguito della rettifica pubblicata nella Gazzetta ufficiale dell’Unione europea il 7 maggio 2026, l’art. 2, par. 1, prevede che la nuova disciplina si applichi ai prodotti immessi sul mercato o messi in servizio dopo l’8 dicembre 2026.
Per i prodotti immessi sul mercato anteriormente continuerà invece a trovare applicazione il previgente regime, conformemente alla disciplina transitoria di cui all’art. 21 della direttiva.
Il software e l’intelligenza artificiale come prodotto difettoso
Una delle innovazioni più significative introdotte dalla direttiva (UE) 2024/2853 riguarda l’ampliamento della nozione giuridica di prodotto, che supera la tradizionale centralità dei beni materiali per ricomprendere espressamente anche le componenti immateriali dell’economia digitale. Ai sensi dell’art. 4, par. 1, n. 1), della direttiva, infatti, nella definizione di prodotto rientrano, oltre ai beni mobili, l’elettricità, i file per la fabbricazione digitale, le materie prime e, soprattutto, il software.
Come chiarito dal considerando n. 13, tale qualificazione opera indipendentemente dalle modalità di distribuzione e utilizzazione del programma informatico, sia esso incorporato in un dispositivo fisico, distribuito attraverso una rete di comunicazione, accessibile mediante infrastrutture cloud oppure commercializzato secondo il modelloSoftware-as-a-Service(SaaS).
La disciplina può pertanto trovare applicazione anche ai sistemi di intelligenza artificiale, il cui sviluppatore o fornitore può assumere la qualifica di fabbricante ai fini della responsabilità per danno da prodotto difettoso.
L’ampliamento riguarda altresì i cosiddettiservizi correlati, definiti dall’art. 4, par. 1, n. 3), come servizi digitali integrati o interconnessi a un prodotto, la cui assenza impedirebbe a quest’ultimo di svolgere una o più delle proprie funzioni. Tali servizi, quando ricorrono i presupposti normativi, sono qualificati come componenti del prodotto.
Si pensi, ad esempio, ai servizi di monitoraggio sanitario collegati a dispositivi intelligenti oppure ai sistemi digitali che consentono il controllo da remoto di apparecchiature elettroniche. Rimangono invece esclusi dalla nozione di prodotto i servizi autonomi in quanto tali e le mere informazioni contenute nei file digitali.
Una specifica delimitazione è inoltre prevista dall’art. 2, par. 2, della direttiva, che esclude il software libero e open source sviluppato o fornito nell’ambito di un’attività non commerciale. L’esclusione non si estende, tuttavia, al fabbricante che incorpori tali componenti in un prodotto successivamente commercializzato, come precisato dal considerando n. 15.
Queste innovazioni trovano espressa attuazione nell’art. 115 delCodice del consumo, nella formulazione prevista dall’art. 1 dello schema di decreto legislativo A.G. n. 434, che recepisce le nuove definizioni europee. Ne deriva un significativo ampliamento dell’ambito applicativo della responsabilità per danno da prodotto difettoso, destinato a interessare direttamente software house, sviluppatori di sistemi di IA e imprese che integrano tecnologie digitali nei propri prodotti.
Quando un software o un sistema di IA può essere considerato un prodotto difettoso?
L’estensione della disciplina ai software e ai sistemi di intelligenza artificiale impone di verificare quali condizioni consentano di qualificare tali tecnologie come prodotto difettoso. Il riferimento normativo è costituito dall’art. 7, par. 1, della direttiva (UE) 2024/2853, secondo cui un prodotto è considerato difettoso quando non offre la sicurezza che un consumatore può legittimamente attendersi oppure quella prescritta dal diritto dell’Unione o nazionale.
Tale definizione è recepita nell’art. 117, comma 1, del Codice del consumo, come riformulato dall’art. 1 dello schema di decreto legislativo (A.G. n. 434).
La valutazione della difettosità non dipende, pertanto, dalla mera presenza di anomalie tecniche, bensì dall’idoneità del prodotto a garantire il livello di sicurezza giuridicamente esigibile. A tal fine, l’art. 7, par. 2, della direttiva, riprodotto nel nuovo art. 117, comma 2, individua una serie non tassativa di circostanze rilevanti, tra cui la progettazione e le caratteristiche tecniche del prodotto, le istruzioni d’uso, l’utilizzazione ragionevolmente prevedibile e gli effetti derivanti dall’interconnessione con altri prodotti.
Particolare rilievo assume la lettera c) dell’art. 7, par. 2, che impone di considerare gli effetti sulla sicurezza della capacità del prodotto di continuare ad apprendere o acquisire nuove funzionalità dopo l’immissione sul mercato.
La disposizione assume evidente importanza per i sistemi di intelligenza artificiale, il cui comportamento può evolvere nel tempo, generando rischi non immediatamente riconoscibili nella fase di progettazione. Analogamente, la lettera e) attribuisce rilevanza al momento in cui il prodotto esce dall’effettivo controllo del fabbricante, mentre la lettera f) richiama espressamente i requisiti di cybersicurezza rilevanti per la sicurezza del prodotto.
Ne consegue che anche vulnerabilità informatiche, aggiornamenti difettosi o carenze nella gestione della sicurezza possono concorrere a qualificare un software come prodotto difettoso. Il tema si collega all’art. 10, par. 2, della direttiva, recepito nel nuovo art. 118, comma 2, del Codice del consumo, che limita la possibilità di escludere la responsabilità per difetti sopravvenuti riconducibili al software, ai relativi aggiornamenti o alla mancata adozione di aggiornamenti necessari per mantenere la sicurezza, quando tali elementi rimangano sotto il controllo del fabbricante.
Occorre, tuttavia, distinguere la difettosità rilevante ai fini della responsabilità del produttore dalla semplice inesatta esecuzione della prestazione contrattuale. Non ogni errore di programmazione, malfunzionamento o risultato inesatto generato da un sistema di IA determina automaticamente la qualificazione come prodotto difettoso, essendo necessario accertare una carenza del livello di sicurezza richiesto dalla normativa.
La responsabilità per prodotto difettoso: fabbricanti, sviluppatori e operatori della filiera digitale
Un’ulteriore innovazione della direttiva (UE) 2024/2853 riguarda l’ampliamento della platea dei soggetti chiamati a rispondere dei danni derivanti da un prodotto difettoso. L’art. 8 della direttiva, recepito nell’art. 116 del Codice del consumo, secondo la formulazione prevista dall’art. 1 dello schema di decreto legislativo (A.G. n. 434), individua un sistema di responsabilità che tiene conto della crescente complessità delle catene produttive e distributive, particolarmente evidente nel settore delle tecnologie digitali.
Il principale soggetto responsabile rimane il fabbricante del prodotto, la cui definizione, contenuta nell’art. 4, n. 10), della direttiva, ricomprende chiunque sviluppi, produca o fabbrichi un prodotto, ne affidi a terzi la progettazione o fabbricazione, oppure lo commercializzi presentandosi come fabbricante mediante l’apposizione del proprio nome o marchio.
La responsabilità si estende, ai sensi dell’art. 8, par. 1, lett. b), anche al fabbricante di un componente difettoso, qualora questo sia stato integrato o interconnesso con il prodotto sotto il controllo del fabbricante e ne abbia determinato la difettosità, ferma restando la responsabilità di quest’ultimo.
L’art. 8 contempla inoltre la responsabilità dell’importatore e del rappresentante autorizzato quando il fabbricante sia stabilito fuori dall’Unione europea, nonché, in via subordinata, del fornitore di servizi di logistica.
Il nuovo art. 116, commi 3 e 4, del Codice del consumo disciplina altresì la responsabilità sussidiaria del distributore e, alle condizioni previste dall’art. 6, par. 3, del regolamento (UE) 2022/2065 (Digital Services Act), di determinati fornitori di piattaforme online, qualora non venga identificato, secondo le modalità e i termini prescritti, un operatore economico responsabile stabilito nell’Unione.
Prodotto difettoso e danno risarcibile: quali pregiudizi sono tutelati dalla nuova disciplina?
L’ampliamento della nozione di prodotto difettoso si accompagna a una significativa revisione delle categorie di danno suscettibili di risarcimento. La disciplina è contenuta nell’art. 6 della direttiva (UE) 2024/2853, cui dà attuazione il nuovo art. 123 del Codice del consumo, nella formulazione prevista dall’art. 1 dello schema di decreto legislativo (A.G. n. 434). Le disposizioni individuano specifiche tipologie di pregiudizio risarcibile, mantenendo distinta la responsabilità speciale del produttore dalle altre forme di responsabilità civile.
In primo luogo, l’art. 6, par. 1, lett. a), riconosce il diritto al risarcimento dei danni derivanti dalla morte o dalle lesioni personali, comprendendovi espressamente anche i danni psicologici riconosciuti da un punto di vista medico.
Tale previsione assume particolare rilievo per i software e i sistemi di intelligenza artificiale impiegati in ambito sanitario, nei quali un difetto di funzionamento potrebbe determinare conseguenze pregiudizievoli per l’integrità psicofisica dell’utilizzatore.
La successiva lett. b) contempla il danneggiamento o la distruzione di beni, escludendo tuttavia il prodotto difettoso in sé, il prodotto danneggiato da una propria componente difettosa integrata o interconnessa dal fabbricante o sotto il suo controllo, nonché i beni utilizzati esclusivamente per finalità professionali.
Di particolare interesse per l’economia digitale è l’art. 6, par. 1, lett. c), che introduce espressamente la risarcibilità dei danni derivanti dalla distruzione o corruzione di dati non utilizzati per finalità professionali. La nuova previsione, recepita nell’art. 123, comma 1, lett. c), del Codice del consumo, consente di ricomprendere nel risarcimento anche i costi necessari per il recupero o il ripristino dei dati personali perduti a causa di un software difettoso.
Il legislatore europeo ha tuttavia inteso circoscrivere l’operatività della disciplina speciale. Ai sensi dell’art. 6, par. 2, il risarcimento comprende le perdite patrimoniali conseguenti alle tipologie di danno espressamente contemplate, nonché i pregiudizi non patrimoniali risarcibili secondo il diritto nazionale, fermo il richiamo all’art. 2059 c.c. contenuto nel nuovo art. 123.
L’accertamento della responsabilità per prodotto difettoso: onere della prova e nuove presunzioni
Tra le innovazioni più rilevanti della direttiva (UE) 2024/2853 assumono particolare importanza le disposizioni volte ad agevolare l’accertamento giudiziale della responsabilità per danno da prodotto difettoso, soprattutto nei casi caratterizzati da un’elevata complessità tecnologica.
La disciplina interviene sulle difficoltà probatorie del danneggiato, che spesso non dispone delle conoscenze tecniche e delle informazioni necessarie a dimostrare la difettosità di un software o di un sistema di intelligenza artificiale.
A tale esigenza risponde anzitutto l’art. 9 della direttiva, recepito nel nuovo art. 119 del Codice del consumo, secondo la formulazione prevista dall’art. 1 dello schema di decreto legislativo (A.G. n. 434). La disposizione introduce uno specifico meccanismo di esibizione giudiziale degli elementi di prova, consentendo al danneggiato, che abbia fornito elementi sufficienti a rendere plausibile la domanda risarcitoria, di ottenere dal giudice un ordine di esibizione nei confronti dell’operatore economico.
L’esibizione deve essere circoscritta a quanto necessario e proporzionato, nel rispetto della riservatezza delle informazioni e dei segreti commerciali. Nei giudizi riguardanti prodotti digitali, essa potrebbe interessare, ad esempio, la documentazione tecnica, i registri di funzionamento e le informazioni relative agli aggiornamenti software.
Il successivo art. 10 della direttiva, attuato dal nuovo art. 120 del Codice del consumo, introduce un articolato sistema di presunzioni relative. Pur confermando, al comma 1, che il danneggiato deve dimostrare il difetto, il danno e il nesso causale, il comma 2 prevede che la difettosità del prodotto possa presumersi quando il convenuto ometta di esibire le prove richieste, quando sia dimostrata la violazione di requisiti obbligatori di sicurezza pertinenti oppure quando il danno derivi da un malfunzionamento evidente verificatosi durante un utilizzo ragionevolmente prevedibile.
Il comma 3 contempla, inoltre, una presunzione del nesso causale quando il difetto sia accertato e la natura del danno risulti compatibile con esso.
Particolarmente significativa per i sistemi di intelligenza artificiale è la previsione dell’art. 10, par. 4, recepita nell’art. 120, comma 4, che consente di presumere il difetto, il nesso causale o entrambi quando la complessità tecnica o scientifica renda eccessivamente difficile la prova e il danneggiato dimostri la probabilità dei relativi presupposti.
La riforma non introduce, dunque, un’inversione generalizzata dell’onere probatorio, ma un sistema di strumenti processuali destinati a riequilibrare l’asimmetria informativa tra danneggiato e produttore, ferma restando, ai sensi dell’art. 120, comma 5, la possibilità per quest’ultimo di fornire prova contraria.
Prodotto difettoso, AI Act e cybersecurity
La nuova disciplina della responsabilità per danno da prodotto difettoso si inserisce in un quadro normativo europeo sempre più articolato, nel quale assumono particolare rilevanza il regolamento (UE) 2024/1689 (AI Act) e il regolamento (UE) 2024/2847 (Cyber Resilience Act). Tali provvedimenti, pur perseguendo finalità differenti, concorrono alla definizione degli standard di sicurezza applicabili alle tecnologie digitali e, conseguentemente, alla valutazione della difettosità del prodotto.
In particolare, l’art. 15 dell’AI Act stabilisce specifici requisiti di accuratezza, robustezza e cybersicurezza per i sistemi di intelligenza artificiale ad alto rischio, mentre gli artt. 13 e 14 del Cyber Resilience Act introducono obblighi relativi alla progettazione sicura, alla gestione delle vulnerabilità e alla segnalazione degli incidenti per i prodotti con elementi digitali rientranti nel relativo ambito applicativo.
La conformità alla normativa settoriale non costituisce, tuttavia, un’esimente generale dalla responsabilità civile. L’art. 11 della direttiva, recepito nel nuovo art. 118 del Codice del consumo, individua tassativamente le circostanze che consentono all’operatore economico di escludere la propria responsabilità.
Tra queste rientra l’impossibilità oggettiva di individuare il difetto sulla base delle conoscenze scientifiche e tecniche disponibili, secondo la disciplina dei cosiddettirischi di sviluppo. Particolare attenzione merita, inoltre, l’art. 118, comma 2, che limita l’operatività dell’esimente relativa alla sopravvenienza del difetto quando questo sia riconducibile, sotto il controllo del fabbricante, al software, agli aggiornamenti o alla mancata adozione delle misure necessarie a mantenerne la sicurezza.
Assistenza legale qualificata in materia di responsabilità e prodotti digitali
Il nostro Studio Legale presta assistenza e consulenza alle imprese nelle materie del diritto commerciale e delle nuove tecnologie, con particolare riferimento alla cybersicurezza e allaregolamentazione dell’intelligenza artificiale, offrendo supporto nella prevenzione e nella gestione dei rischi legali connessi allo sviluppo e all’impiego di soluzioni tecnologiche.
Ai sensi dell’art. 70-quater della Legge 633/1941, ai fini della tutela del diritto d’autore, si dichiara che il presente contenuto è riservato, e ne è vietata la riproduzione o l’estrazione di testo, anche mediante sistemi di intelligenza artificiale.