AI Act e responsabilità civile: essere “in regola” non significa essere al riparo dal risarcimento

1 Settembre 2026

Negli ultimi mesi, tra professionisti, imprese e sviluppatori di sistemi di intelligenza artificiale si è diffusa una convinzione tanto comprensibile quanto pericolosa: se un sistema di IA è conforme al Regolamento (UE) 2024/1689 – il cosiddetto AI Act – allora chi lo utilizza o lo produce sarebbe automaticamente al riparo da conseguenze legali in caso di danno. Si tratta di un equivoco che merita di essere chiarito con rigore, perché rischia di generare un falso senso di sicurezza in capo a imprese, professionisti e semplici utilizzatori.

La verità, sul piano del diritto italiano, è più complessa e per certi aspetti più severa: la conformità regolatoria e la responsabilità risarcitoria sono due piani distinti dell’ordinamento, che rispondono a logiche diverse e possono produrre esiti indipendenti l’uno dall’altro. Un sistema di IA perfettamente conforme agli obblighi dell’AI Act può comunque generare un danno risarcibile secondo le regole ordinarie del Codice Civile — e, come vedremo, anche secondo la disciplina sul diritto d’autore.

Due piani normativi che non si sovrappongono

Il primo elemento da comprendere è la natura giuridica dell’AI Act. Il Regolamento (UE) 2024/1689, pubblicato nella Gazzetta Ufficiale dell’Unione Europea il 12 luglio 2024, è un atto di diritto pubblico dell’economia: disciplina la sicurezza dei prodotti, la governance del rischio, gli obblighi di trasparenza, documentazione tecnica e supervisione umana per chi progetta, fornisce o utilizza sistemi di IA. Adotta un approccio risk-based che distingue quattro categorie di sistemi – a rischio inaccettabile (vietati), alto rischio, rischio limitato e rischio minimo – con obblighi crescenti in funzione dell’impatto potenziale sui diritti fondamentali e sulla sicurezza delle persone.

Questo impianto è per sua natura ex ante: stabilisce cosa un operatore deve fare prima e durante l’utilizzo del sistema per prevenire rischi sistemici. La sua violazione comporta sanzioni amministrative anche molto elevate (fino a 35 milioni di euro o al 7% del fatturato globale, art. 99 del Regolamento), ma non è concepito come strumento di ristoro del danno concretamente subito da una persona.

Il secondo piano è quello della responsabilità civile, disciplinato dal Codice Civile italiano, che opera ex post: si attiva quando un danno si è già verificato. Le norme di riferimento sono:

Art. 2043 c.c. – responsabilità extracontrattuale per fatto illecito, che richiede dolo o colpa;
Art. 2050 c.c. – responsabilità per l’esercizio di attività pericolose, con inversione dell’onere della prova a carico di chi esercita l’attività;
Art. 2051 c.c. – responsabilità del custode per danno cagionato da cosa in custodia, di natura pressoché oggettiva, superabile solo con la prova del caso fortuito;
Art. 2049 c.c. – responsabilità dei padroni e committenti per i fatti illeciti dei propri dipendenti, rilevante quando l’IA è utilizzata da personale aziendale;
Art. 1218 c.c. e 2236 c.c. – responsabilità contrattuale e del prestatore d’opera intellettuale, applicabili quando l’uso dell’IA avviene in un rapporto professionale.

A queste si affianca il regime speciale della responsabilità da prodotto difettoso, fondato sulla Direttiva 85/374/CEE (recepita dagli artt. 114-127 Codice del Consumo) e oggi rinnovato dalla Direttiva (UE) 2024/2853, che include espressamente software e sistemi di IA nella nozione di “prodotto”. Il legislatore italiano dovrà recepire la direttiva entro i termini previsti: sarà opportuno monitorare i lavori parlamentari nei prossimi mesi.

Perché la conformità all’AI Act non esclude la colpa civile

Il punto tecnico decisivo è questo: rispettare gli obblighi dell’AI Act costituisce un elemento rilevante per valutare la diligenza dell’operatore, ma non equivale all’assenza di colpa o di nesso causale rispetto a un danno concreto.

Esempio: una banca utilizza un sistema di IA per il merito creditizio, classificato “ad alto rischio”, e adempie a tutti gli obblighi previsti (valutazione di conformità, documentazione tecnica, sorveglianza umana). Se il sistema produce comunque un output discriminatorio che nega un finanziamento per un bias statistico non intercettato, il cliente danneggiato potrà agire ai sensi dell’art. 2043 c.c. o, se il rapporto era contrattuale, dell’art. 1218 c.c. Il giudice non si limiterà a verificare il rispetto dell’AI Act: valuterà il nesso causale e se l’operatore ha adottato le cautele esigibili secondo lo standard di diligenza qualificata ex art. 1176, comma 2, c.c.

In altri termini: la conformità regolatoria può attenuare il giudizio di colpa, ma non lo esclude automaticamente, soprattutto nei regimi di responsabilità oggettiva o semi-oggettiva ex artt. 2050 e 2051 c.c., dove l’esonero richiede la prova positiva di aver adottato “tutte le misure idonee” o la prova del caso fortuito – ben più rigorose del semplice rispetto di una checklist regolamentare.

Il caso GEMA contro Suno: conformità all’AI Act e diritto d’autore

Una conferma di grande interesse, pur trattandosi di giurisprudenza tedesca non vincolante per i giudici italiani, viene dalla causa promossa il 21 gennaio 2025 dalla GEMA – la società tedesca di gestione collettiva dei diritti d’autore, omologa della SIAE – contro Suno Inc., piattaforma di generazione musicale tramite IA, davanti al Tribunale regionale di Monaco (Landgericht München, causa n. 42 O 763/25).

Come riportato anche da Il Sole 24 Ore (NT+Diritto, articolo di Alberto Bozzo, “Rispettare l’AI Act non mette al riparo dal diritto d’autore: il caso Suno”), il 31 luglio 2026 la 42ª Sezione Civile del Tribunale ha accolto in larghissima parte le pretese di GEMA. Un aspetto istruttivo riguarda la difesa di Suno: l’azienda ha sostenuto che erano stati necessari 176 tentativi per ottenere un brano sostanzialmente identico a un’opera protetta, a riprova che il sistema non “copierebbe” in senso giuridicamente rilevante. Il giudice ha letto il dato in senso opposto: se il risultato, una volta raggiunto, era sostanzialmente identico all’opera protetta, il numero di tentativi non è prova di innocenza, ma dimostrazione che il sistema è comunque in grado di produrre una violazione.

Il punto rilevante per il lettore italiano è la trasferibilità concettuale: Suno non ha perso perché operava fuori dalle regole, ma nonostante sostenesse di rispettarle. Lo stesso schema logico vale per l’AI Act in Italia: la conformità a obblighi procedurali non esclude l’accertamento, nel merito, della lesione di un diritto protetto.

Anche nel nostro ordinamento, l’AI Act (art. 53, par. 1, lett. c e d) impone ai fornitori di modelli GPAI di predisporre una politica di conformità al diritto d’autore e di pubblicare un riepilogo dei contenuti usati per l’addestramento: si tratta di obblighi di trasparenza, non di un lasciapassare. Il Considerando 105 del Regolamento chiarisce infatti che l’AI Act si applica “senza pregiudizio” delle norme UE sulla proprietà intellettuale. In Italia resta di riferimento la Legge 633/1941, integrata dagli artt. 70-ter e ss. (attuativi della Direttiva Copyright 2019/790, recepita con D.Lgs. 177/2021), che disciplinano le eccezioni di text and data mining: anche la liceità dell’addestramento non copre automaticamente un output che riproduca in modo sostanziale un’opera protetta, valutabile secondo le regole ordinarie sulla contraffazione (artt. 156 e ss. l. 633/1941).

Il nodo della responsabilità penale

Sul piano penale vale un discorso analogo. L’AI Act non introduce reati specifici (salvo i divieti assoluti dell’art. 5, sanzionati in via amministrativa); le fattispecie restano quelle ordinarie del Codice Penale, secondo i criteri tradizionali di dolo, colpa e causalità.

Resta fermo che l’imputabilità penale richiede l’accertamento di un comportamento umano colpevole: un sistema di IA non risponde penalmente, ma chi lo progetta, implementa, supervisiona o utilizza può rispondere per dolo o colpa (es. omessa vigilanza, mancata verifica degli output in contesti ad alto rischio).

Criticità e questioni aperte

Difficoltà probatoria del nesso causale. Nei sistemi “black box” può essere arduo per il danneggiato dimostrare quale elemento ha causato il danno. La Direttiva 2024/2853 introduce meccanismi di agevolazione probatoria, ma la loro efficacia si valuterà dopo il recepimento nazionale.
Incertezza qualificatoria. Non sempre è chiaro se un uso di IA rientri tra le “attività pericolose” ex art. 2050 c.c. o nella responsabilità ordinaria ex art. 2043 c.c.: la qualificazione dipende dal rischio intrinseco e dal contesto applicativo.
Assenza di giurisprudenza italiana consolidata. Non risultano, ad oggi, decisioni della Cassazione sul tema specifico. Il caso GEMA/Suno, per quanto istruttivo, richiede un’applicazione al contesto italiano per analogia prudente, non un’automatica trasposizione.
Il rischio dell’uso “difensivo” della conformità. Se un’impresa riduce la vigilanza sostanziale confidando nella sola conformità formale, tale atteggiamento può essere valutato dal giudice come indice di scarsa diligenza, aggravando il giudizio di responsabilità.

Esempi pratici

Caso 1. Un avvocato usa un’IA generativa per un parere legale senza verificarne i riferimenti normativi citati (fenomeno delle “allucinazioni”). Se il parere errato danneggia il cliente, la conformità del fornitore all’AI Act non esonera il professionista da responsabilità ex artt. 2236 e 1218 c.c.: il controllo critico degli output resta un suo dovere.

Caso 2. Un sistema di screening dei curricula, “ad alto rischio” e validato secondo l’AI Act, produce un effetto discriminatorio indiretto. L’azienda può rispondere sia in base alla normativa antidiscriminatoria (D.Lgs. 198/2006, D.Lgs. 216/2003) sia ex art. 2043 c.c., a prescindere dalla conformità regolatoria.

Caso 3. Un’impresa italiana sviluppa un modello GPAI rispettando gli obblighi di trasparenza dell’art. 53 AI Act, ma i suoi output riproducono in modo sostanziale opere protette: può comunque rispondere per contraffazione ex l. 633/1941, come nel caso GEMA/Suno.

Sintesi operativa

La conformità all’AI Act è condizione necessaria ma non sufficiente per la gestione del rischio legale complessivo: è un presidio regolatorio-amministrativo, non un sostituto della gestione del rischio civilistico.
È opportuno conservare documentazione autonoma sulla diligenza in concreto adottata (test, controlli umani effettivi, verifiche di plausibilità degli output, registro di errori e correzioni): sarà questa, più dell’attestato di conformità, la prova principale in un eventuale contenzioso.
Per i professionisti che usano IA generativa, resta essenziale il controllo critico personale sugli output, quale che sia il livello di affidabilità dichiarato dal fornitore.
Per le imprese che sviluppano o distribuiscono modelli di IA, la gestione del rischio deve includere una verifica autonoma sul rispetto del diritto d’autore degli output generati, distinta dagli obblighi di trasparenza sull’addestramento previsti dall’AI Act.

Il principio da trattenere è: l’AI Act e la responsabilità civile operano su piani distinti e non comunicanti in modo automatico. Il primo è un sistema di regole preventive di natura pubblicistica, orientato alla sicurezza dei prodotti e alla gestione del rischio sistemico; la seconda è un sistema di regole riparatorie, orientato a individuare chi debba sopportare le conseguenze economiche di un danno effettivamente verificatosi. Un’impresa o un professionista pienamente conformi all’AI Act possono comunque essere chiamati a risarcire un danno, se il giudice accerta la sussistenza di colpa, di un nesso causale o – nei regimi di responsabilità oggettiva – l’assenza della prova liberatoria richiesta dalla legge.

Il caso GEMA/Suno, pur appartenendo a un ordinamento diverso e a una materia specifica come il diritto d’autore, offre un insegnamento di portata generale, trasferibile con la dovuta cautela al sistema italiano: la conformità procedurale non è mai, di per sé, una causa di esonero dalla responsabilità sostanziale. Per imprese e professionisti, la conclusione operativa più prudente è quindi quella di non considerare la conformità all’AI Act come un punto di arrivo, ma come uno dei tasselli – seppur importante – di una più ampia strategia di gestione del rischio legale, che deve necessariamente includere il controllo umano effettivo, la documentazione della diligenza in concreto adottata e un monitoraggio costante dell’evoluzione normativa e giurisprudenziale, sia italiana sia europea, in una materia ancora in gran parte da scrivere.