Polizia e responsabilità civile: la norma italiana di attuazione dell'AI Act

Il regolamento europeo sull'intelligenza artificiale entra nel dettaglio dell'ordinamento italiano su due materie finora scoperte. Nella Gazzetta Ufficiale del 15 settembre 2026 è stato pubblicato il decreto legislativo 9 settembre 2026, n. 160, attuativo della delega contenuta nella legge 132/2025. Il testo, strutturato in 22 articoli distribuiti su tre titoli, adegua la disciplina nazionale al regolamento UE 2024/1689 e fissa l'entrata in vigore al 30 settembre 2026, affrontando due tra i nodi più delicati: l'impiego dei sistemi da parte delle forze di polizia e il regime di responsabilità penale e civile.

Sul versante della pubblica sicurezza, l'uso dell'identificazione biometrica remota in tempo reale viene vincolato all'autorizzazione giudiziaria per l'individuazione di latitanti o sospettati di reati con pena edittale massima pari o superiore a quattro anni (secondo le ricostruzioni della stampa specializzata), mentre il riconoscimento facciale a posteriori viene limitato alla fase successiva alla commissione di un illecito. Si vieta espressamente la creazione di banche dati biometriche tramite la raccolta indiscriminata di immagini dalla rete, confermando l'obbligo di un intervento umano qualificato nelle decisioni assistite. Per quanto riguarda la responsabilità penale e civile, il decreto introduce l'articolo 437-bis nel codice penale — rubricato «Omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi» — ed estende la responsabilità amministrativa degli enti ex d.lgs. 231/2001. In ambito civile, l'impianto stabilisce che la conformità al regolamento europeo non esclude di per sé la responsabilità del convenuto e introduce un principio chiave: «il nesso di causalità tra la violazione e il danno è presunto, salvo prova contraria».

Un limite va dichiarato: la consultazione diretta del portale della Gazzetta Ufficiale ha restituito l'indice strutturale, i metadati e la suddivisione dei 22 articoli, ma non l'articolato completo delle singole disposizioni. I dettagli specifici sulle entità delle pene detentive, le tabelle delle sanzioni pecuniarie a quote, la soglia dei quattro anni e le tempistiche procedurali (come la cancellazione automatica dei dati biometrici dopo 7 giorni o il termine di 30 giorni per le informazioni assicurative) derivano dalle ricostruzioni di testate specializzate — tra cui Il Sole 24 Ore NT+ Diritto, Paradigma e Diritto.it — largamente convergenti, con qualche sintesi che riporta gradazioni di pena diverse. La piena verifica di questi dettagli applicativi e dell'esatta formulazione dei richiami codicistici restano subordinati alla lettura del testo integrale e alle future linee guida amministrative.

L'evoluzione del dibattito dall'entusiasmo per gli strumenti generativi alla definizione di presunzioni processuali e limiti di polizia dimostra la reale portata dell'intelligenza artificiale: non un'entità astratta, ma un campo d'applicazione del diritto ordinario in cui le tutele individuali devono bilanciare le esigenze di sicurezza. — Olya