Se l’AI sbaglia, sapresti dimostrare com’è andata? (Dal 30 settembre conviene).

Qualche giorno fa mi sono messo a leggere il nuovo decreto sull’intelligenza artificiale, il 160 del 2026. Le prime pagine parlano di polizia, riconoscimento facciale e autorizzazioni del procuratore della Repubblica. Mi sono chiesto cosa c’entrasse tutto questo con un’azienda che manda preventivi e controlla fatture.

Poi sono arrivato alla parte sui risarcimenti, e ho smesso di chiedermelo.

Se nella tua azienda l’AI fa già qualcosa di concreto, anche solo smistare le email o preparare la bozza di un’offerta, questo decreto ti riguarda. Non devi compilare moduli né chiedere autorizzazioni. Cambia una cosa più pratica: che cosa succede quando l’AI sbaglia e a qualcuno quell’errore costa dei soldi.

La dashcam

Chi ha una dashcam in macchina lo sa: non la monti perché pensi di fare un incidente. La monti perché, se succede, vuoi poter far vedere com’è andata, invece di affidarti alla parola dell’altro e alla pazienza del perito.

Dal 30 settembre, per l’AI che usi in azienda, il ragionamento è molto simile.

Prendiamo un caso. Un assistente AI prepara le offerte per i tuoi commerciali. Un giorno applica lo sconto sbagliato al cliente sbagliato, nessuno se ne accorge e l’ordine parte. Il cliente contesta, la cosa si complica e si finisce davanti a un giudice.

Con il decreto 160, in una causa così, il cliente può chiedere al giudice di ordinarti di consegnare i registri del sistema (in gergo i log, cioè il diario di tutto quello che ha fatto), la documentazione tecnica e le informazioni su chi lo stava controllando. Basta che la sua richiesta sia verosimile.

Se quelle informazioni non le hai, o non le consegni senza un valido motivo, il giudice può tenerne conto contro di te e, in alcuni casi, dare per provati i fatti raccontati dall’altra parte. È come discutere di un incidente senza dashcam, senza testimoni e con la macchina dell’altro già dal carrozziere.

Se hai saltato una regola, parti in salita

La seconda novità è più sottile. Di solito, se qualcuno ti chiede un risarcimento, deve dimostrare che il danno l’hai causato tu. Con il decreto 160, se il danno deriva dalla violazione di un obbligo dell’AI Act, il legame tra violazione e danno si presume. A quel punto sei tu a dover dimostrare il contrario.

Un esempio pratico, e meno raro di quanto sembri. Sul sito c’è un chatbot che si presenta come «Giulia, dell’ufficio clienti». Giulia è gentile, risponde a qualsiasi ora e non va mai in ferie, perché Giulia non esiste. Dal 2 agosto 2026 chi parla con un’intelligenza artificiale deve saperlo. Se un cliente sostiene di aver preso una decisione sbagliata per colpa di Giulia, parti già in salita.

C’è poi un dettaglio che mi ha colpito: essere in regola con l’AI Act, anche con un certificato in mano, non ti mette automaticamente al riparo. Il certificato appeso al muro fa la sua figura, ma davanti al giudice conta quello che hai fatto davvero, e quello che riesci a dimostrare.

L’assicurazione entra in partita

La terza novità è forse la più concreta. Chi ha subito il danno può chiederti se hai una polizza di responsabilità civile che lo copre, e tu hai trenta giorni per rispondere con gli estremi del contratto. Poi può rivolgersi direttamente all’assicurazione, nei limiti del massimale.

Il mio consiglio è di fare una telefonata al tuo broker adesso, a mente fredda: «La mia polizza copre i danni causati da un sistema di intelligenza artificiale?». Scoprirlo il giorno in cui arriva la raccomandata è molto meno divertente.

«Ma l’AI Act non era stato rinviato?»

Sì, ma solo in parte.

A luglio sono entrate in vigore alcune modifiche all’AI Act, il cosiddetto Digital Omnibus, che hanno spostato in avanti gli obblighi per i sistemi ad alto rischio: a dicembre 2027 quelli usati, per esempio, per selezionare il personale o valutare il credito, ad agosto 2028 l’AI dentro prodotti come macchinari e dispositivi medici.

L’obbligo di trasparenza invece non si è mosso: vale dal 2 agosto 2026, e dice che i chatbot devono farsi riconoscere e i deepfake vanno dichiarati. Il decreto 160, dal 30 settembre, si appoggia proprio su queste regole.

Quindi sì, qualcosa è slittato. Ma se avevi segnato il 2027 in agenda per cominciare a occupartene, ti conviene anticipare un po’.

E il reato di cui parlano i giornali?

Il decreto introduce anche un nuovo reato, per chi non adotta le misure di sicurezza o di controllo umano previste per i sistemi di AI ad alto rischio quando questo mette in pericolo la vita o l’incolumità delle persone. E lo aggiunge, insieme alla diffusione illecita di deepfake, ai reati per cui può rispondere anche l’azienda secondo il decreto 231.

Suona minaccioso, e lo è, ma riguarda una fetta precisa di aziende: quelle in cui l’AI mette le mani sulla sicurezza delle persone, per esempio in impianti, reti o macchinari. Se sei tra queste, puoi finire di leggere dopo: prima chiama chi segue il tuo modello 231.

Se invece usi l’AI per fatture, email e offerte, il nuovo reato non è la tua preoccupazione principale. Le regole sui risarcimenti sì.

Il test di martedì scorso

Ti propongo un esercizio da dieci minuti.

Prendi un’automazione con l’AI che usate davvero: il chatbot sul sito, lo smistamento delle email, l’assistente che prepara le offerte. Scegli un momento a caso, diciamo martedì scorso alle dieci, e prova a rispondere a queste quattro domande.

1. Che cosa gli è arrivato?

La richiesta, l’email o il documento che il sistema aveva davanti in quel momento.

2. Che cosa ha risposto, e con quale modello?

Non «più o meno quello che risponde di solito». Proprio quella risposta, con la versione del sistema che l’ha prodotta.

3. Chi l’ha controllato?

Un nome e un cognome. «Qualcuno dell’ufficio commerciale» non vale.

4. In quanto tempo lo tireresti fuori?

Se la risposta è «devo chiedere al fornitore» o «devo sentire il ragazzo che ce l’ha installato», segnatelo.

Se hai risposto a tutte e quattro, complimenti: la tua dashcam è accesa. Una riga di registro fatta bene assomiglia più o meno a questa.

Se invece ti sei bloccato a una delle quattro, niente panico: è un lavoro da fare, e di solito è meno complicato di quanto sembri. Si parte così:

• fare l’elenco degli strumenti di AI che usate, compresi quelli arrivati dentro software che avevate già, come il CRM o l’help desk;
• far tenere un registro a ogni automazione che conta, con quello che entra, quello che esce, il modello, l’ora e chi approva;
• scrivere, processo per processo, chi controlla cosa;
• far presentare i chatbot per quello che sono, magari con un modo semplice per parlare con una persona vera.

La domanda da fare a chi ti propone una soluzione AI

Nel primo articolo ti suggerivo di chiedere al fornitore perché ha scelto proprio quel modello. Oggi aggiungerei una seconda domanda: «Se domani un cliente mi fa causa per un errore del sistema, in quanto tempo mi dai la traccia di cosa ha fatto e di chi l’ha controllato?»

Chi ha progettato bene ti risponde subito, perché la dashcam l’ha montata il primo giorno: le tracce non si aggiungono dopo, quando servono. Chi ti risponde «ci pensiamo» probabilmente ci sta pensando adesso per la prima volta.

Quello che voglio lasciarti

Questo decreto non ti chiede di usare meno intelligenza artificiale. Ti chiede di usarla in modo da poter raccontare, carte alla mano, cosa è successo.

Per chi ha già una persona che controlla e un registro che tiene traccia, cambia poco. Per chi ha messo un chatbot sul sito due anni fa e da allora non l’ha più guardato, è il momento di andare a salutare Giulia.

E tu, se martedì scorso alle dieci l’AI della tua azienda avesse sbagliato, sapresti dire che cosa ha fatto?

Questo articolo racconta le novità in modo divulgativo e non sostituisce il parere di un legale, soprattutto per il modello 231.