Entrerà in vigore il 30 settembre 2026 il D.Lgs. 9 settembre 2026, n. 160, pubblicato nella GU n. 214 del 15 settembre 2026, che adegua la normativa nazionale alle disposizioni del regolamento (UE) 2024/1689 relativo a regole armonizzate sull’intelligenza artificiale, in materia di utilizzo dei sistemi di intelligenza artificiale per le attività di polizia e di responsabilità civile e penale.
In dettaglio, il decreto reca disposizioni in materia di utilizzo dei sistemi di intelligenza artificiale da parte di organi, uffici e comandi delle Forze di Polizia, in relazione alle specifiche funzioni esercitate e in coerenza con le norme e i principi di derivazione europea, dando attuazione alla delega prevista dall’art. 24 della legge 23 settembre 2025, n. 132.
IA e funzione HR
Il decreto viene giustamente presentato come un testo per le forze di polizia ma le disposizioni presenti nel Titolo II° , relative alla responsabilità penale e civile conseguente ad un impiego illecito dei sistemi di intelligenza artificiale, hanno una portata generale e riguardano ogni impresa che utilizzi sistemi di intelligenza artificiale ad alto rischio, compreso l’ambito HR. Secondo la normativa, rientrano in questa classificazione i software e gli algoritmi utilizzati per :
- Reclutamento e selezione del personale : sistemi che pubblicano annunci mirati, filtrano o analizzano i curriculum e valutano i candidati.
- Valutazioni performance e sviluppi di carriera: strumenti che incidono su promozioni, trasferimenti o cessazioni (licenziamenti) del rapporto di lavoro.
- Gestione e monitoraggio del rapporto: piattaforme destinate all’assegnazione dei compiti, al monitoraggio e alla valutazione delle prestazioni o del comportamento dei dipendenti.
Per l’utilizzo di questi strumenti la normativa impone requisiti molto severi per garantire trasparenza e tutele per i soggetti coinvolti.
E’ previsto innanzitutto l’obbligo di una costante supervisione umana, assicurando che un operatore possa sovraintendere, le decisioni prese dall’algoritmo. Inoltre, i sistemi devono essere supportati da una solida documentazione tecnica che includa registri e specifiche dettagliate per tracciare ogni attività.
Sul fronte dei diritti dei singoli, viene posta una forte enfasi sulla trasparenza: i lavoratori e i candidati devono essere informati in modo chiaro su quando e come viene impiegata l’intelligenza artificiale nei loro confronti.
Infine, le organizzazioni sono tenute a implementare una rigorosa valutazione del rischio attraverso audit e controlli periodici dedicati a verificare la sicurezza del sistema e la qualità dei dati utilizzati.
Il D.Lgs. 9 settembre 2026, n. 160 interviene anche in questo ambito definendo un quadro articolato di tutele penali, strumenti processuali e responsabilità civile a contrasto dell’utilizzo non conforme dell’intelligenza artificiale. Tra le principali novità spicca l’introduzione del nuovo reato presupposto del D.Lgs. n. 231/2001 sulla responsabilità amministrativa delle società e, sul piano civile, le regole sul risarcimento per chi subisce un danno derivante dall’utilizzo improprio dell’ IA.
Responsabilità penale
Nel codice penale viene introdotto l’art. 437-bis che punisce chi omette di adottare le misure tecniche di sicurezza previste per la progettazione, l’addestramento, la produzione, l’immissione sul mercato o l’utilizzo professionale di sistemi di intelligenza artificiale ad alto rischio, o omette di adottare misure di sorveglianza umana. Questa nuova condotta è considerata un delitto e viene punita con una pena che va da due ad otto anni di reclusione quando costituisce un pericolo concreto, effettivo e dimostrabile. Anche la condotta di chi è estraneo allo sviluppo del sistema di IA, ma ne altera il funzionamento, è punita con la reclusione da due a sei anni; nei casi più gravi, ossia quando è in gioco la sicurezza nazionale, la pena va da tre a dieci anni di reclusione. Ove la condotta omissiva sia connotata da colpa grave, la pena è diminuita da un terzo a un sesto.
IA e reati presupposto del D.Lgs. n. 231/2001
Il decreto legislativo inserisce nel novero dei reati presupposti del D.Lgs. n. 231/2001 l’articolo 25-vicies che disciplina i reati commessi con l’uso di sistemi di intelligenza artificiale.
In relazione alla fattispecie prevista dal nuovo art. 437-bis, alla società che trae un indebito vantaggio dall’ uso non conforme di sistemi di intelligenza artificiale, è prevista una sanzione pecuniaria da seicento a mille quote e, in caso di condanna, le sanzioni interdittive previste dall’ art. 9, comma 2, lettere b), c), d) ed e) del D.Lgs. n. 231/2001. Si tratta di :
- esclusione da agevolazioni e finanziamenti ed eventuale revoca di quelli concessi;
- divieto di contrattare con la PA, salvo per le prestazioni di servizio pubblico;
- sospensione o revoca di autorizzazioni, licenze o concessioni funzionali alla commissione dell’illecito;
- divieto di pubblicizzare beni o servizi.
Non trova invece applicazione la massima misura interdittiva, consistente nell’interdizione dall’esercizio dell’attività.
A seguito del recente intervento legislativo, le società e gli enti sono chiamati ad aggiornare tempestivamente i propri Modelli 231 e ad organizzare percorsi di formazione specifici per il personale. L’erogazione di corsi tracciabili e documentati dimostra infatti che l’azienda ha adottato tutte le misure necessarie per prevenire la commissione di illeciti nel proprio interesse o a proprio vantaggio.
Responsabilità civile e risarcimento del danno
Sul piano civile, il decreto fornisce nuovi strumenti processuali a chi subisce un danno cagionato dall’utilizzo di sistemi di intelligenza artificiale, riducendo significativamente l’asimmetria informativa tra il danneggiato e chi detiene la tecnologia.
Accesso alle prove – In primo luogo, nelle cause risarcitorie, il giudice — su istanza della parte danneggiata — ha il potere di ordinare al fornitore o all’utilizzatore del sistema di IA l’esibizione di prove, registri e documentazione tecnica relativa al funzionamento dell’algoritmo. Qualora il destinatario si rifiuti di produrre tali atti senza giustificato motivo, il giudice può trarre elementi di prova sfavorevoli a suo carico o, nei casi più gravi, considerare direttamente come provati i fatti allegati dal danneggiato.
Presunzione legale – Oltre all’accesso alla prova, il D.Lgs. 160/2026 affronta la complessa dimostrazione del legame diretto tra l’output (o il malfunzionamento) dell’IA e il danno, introducendo una presunzione relativa del nesso causale a favore della vittima. Se il danneggiato dimostra la non conformità del sistema o una condotta negligente nel suo utilizzo, unitamente a una ragionevole connessione con il danno subito, spetterà alla controparte l’onere di fornire la prova contraria per esentarsi da responsabilità. A questo proposito, la semplice certificazione di conformità del sistema all’AI Act non è di per sé sufficiente a escludere la responsabilità civile del produttore o dell’utilizzatore.
Azione diretta contro l’assicuratore – Sul piano dell’effettività del ristoro, il provvedimento garantisce una tutela rapida consentendo alla parte danneggiata di esercitare un’azione diretta contro la compagnia assicurativa del responsabile. Ciò accelera l’ottenimento dell’indennizzo, evitando di dover attendere i tempi di un’eventuale rivalsa interna tra assicurato e assicuratore.
Foro competente – Infine, per facilitare l’accesso alla giustizia, viene stabilita una regola di competenza territoriale favorevole alla vittima: l’azione civile può essere promossa direttamente presso il tribunale del luogo di residenza o domicilio del danneggiato, abbattendo così i costi e i disagi logistici del contenzioso.
Conclusioni
La disciplina sull’uso dell’intelligenza artificiale si fonda su un principio cardine: l’approccio antropocentrico, proporzionato e basato sul rischio, che tiene conto della classificazione dei sistemi di IA e delle diverse categorie di interessati.
L’IA è concepita e utilizzata esclusivamente come uno strumento di supporto alle decisioni umane, con l’obiettivo di incrementare l’efficienza operativa senza mai sostituirsi alle valutazioni degli operatori. Per questa ragione, ogni risultato generato dai sistemi automatizzati deve essere preventivamente sottoposto a una revisione umana qualificata e tracciabile prima di confluire in atti o provvedimenti.
Per i sistemi ad alto rischio, con particolare riguardo a quelli impiegati in ambito HR, il nuovo decreto rafforza il presidio della sorveglianza umana nei processi di selezione, gestione e valutazione del personale. Per prevenire discriminazioni o bias algoritmici, la formazione specifica dei referenti è un passaggio fondamentale, affinché siano in grado di vagliare criticamente gli output nel rispetto della riservatezza e dei diritti dei lavoratori.
Sul piano della responsabilità amministrativa ex D.Lgs. 231/2001, l’inclusione dell’uso non conforme dell’IA tra i reati presupposto richiede un tempestivo adeguamento dei Modelli di organizzazione e gestione (MOG), oltre alla totale tracciabilità delle procedure aziendali. Per preservare l’efficacia esimente ed evitare sanzioni pecuniarie o interdittive, gli enti devono formalizzare i ruoli di controllo e documentare l’effettivo addestramento del personale all’uso sicuro della tecnologia.
