IA e assicurazioni: cosa cambia con il D.Lgs. 160/2026

L’azione diretta contro l’assicuratore (art. 20)

Per gli assicuratori la novità principale è costituita dall’art. 20 del D.Lgs. 160/2026. Chi ha subito un danno causato da un sistema di IA può agire direttamente contro la compagnia che assicura la responsabilità civile del responsabile.

• Informazioni sulla polizza. Prima di fare causa, il danneggiato può chiedere al presunto responsabile se è assicurato. Questi deve rispondere entro 30 giorni, indicando gli estremi del contratto e la compagnia. Se non risponde o risponde in modo incompleto, il giudice può tenerne conto come argomento di prova (art. 116 c.p.c.). La richiesta non è però obbligatoria per poter agire.
• Limiti. L’azione è possibile solo entro il massimale di polizza.
• Eccezioni. La compagnia può opporre al danneggiato solo le eccezioni contrattuali anteriori al sinistro. Resta salva la rivalsa verso l’assicurato, se la compagnia avrebbe potuto rifiutare o ridurre il pagamento in base al contratto.
• Aspetti processuali. Il responsabile deve essere chiamato in giudizio quale litisconsorte necessario. La prescrizione è la stessa dell’azione principale.

Un regime di responsabilità più severo - Altre disposizioni di rilievo

In aggiunta, l’azione diretta si aggiunge ad altre tre regole che rafforzano la posizione del danneggiato:

• Accesso alle prove (art. 17). Il giudice può ordinare alla controparte o a terzi di esibire la documentazione sul funzionamento del sistema di IA, come log, documentazione tecnica, gestione dei rischi e supervisione umana. Se l’ordine non viene rispettato, i fatti affermati dal danneggiato possono essere considerati ammessi. Il terzo che non esibisce rischia una sanzione da 1.500 a 10.000 euro.
• Nesso causale presunto (art. 18). Se il danno deriva dalla violazione di obblighi dell’AI Act, il nesso di causalità si presume, salvo prova contraria.
• La conformità non basta (art. 19). Rispettare l’AI Act (Regolamento UE 2024/1689), anche con certificazione, non esclude di per sé la responsabilità. Di conseguenza, una polizza non potrà limitare la copertura ai soli casi di non conformità del sistema di intelligenza artificiale agli obblighi previsti dall’AI Act.

Le conseguenze per le compagnie assicurative

• Più domanda di coperture. Produttori, utilizzatori professionali e deployer di sistemi di IA ad alto rischio avranno bisogno di polizze RC adeguate.
• Polizze da rivedere. Le compagnie potranno opporre solo eccezioni anteriori al sinistro, quindi le condizioni generali andranno riviste, con particolare attenzione a come viene definito il rischio assicurato.
• Nuovi criteri di sottoscrizione. La presunzione del nesso causale e il peso ridotto della conformità potrebbero richiedere nuove valutazioni dei modelli attuariali e dei criteri di assunzione del rischio.

Alcuni profili aperti

• Chi è il “responsabile”? L’art. 20 non individua un soggetto specifico. Parla del “soggetto a cui ritiene che sia imputabile il danno” e del “soggetto individuato quale responsabile del danno”. Per il Titolo II, compreso il capo sul risarcimento, il decreto rinvia alle definizioni dell’art. 3 dell’AI Act, che distingue, tra i molteplici ruoli ivi indicati il: fornitore (che sviluppa un sistema di IA), deployer (che utilizza un sistema di IA), importatore (che immette sul mercato un sistema di IA recante nome o marchio di un operatore stabilito in un paese terzo) e distributore (che mette a disposizione un sistema di IA sul mercato). Il rischio di sovrapposizioni tra regimi e soggetti potenzialmente responsabili, e quindi tra coperture, è concreto.
• Quali eccezioni la compagnia non può opporre? L’art. 20 dice solo che le eccezioni contrattuali sono opponibili “purché anteriori al sinistro”. Non ne fa un elenco. Sembrano quindi escluse le eccezioni legate a fatti successivi al sinistro, come la tardività o l’omissione della denuncia di sinistro ex artt. 1913–1915 c.c.. Per queste, la compagnia potrà solo agire in rivalsa verso l’assicurato. Resta da capire come si collochino situazioni quali il mancato pagamento del premio con sospensione della garanzia al momento del fatto.
• Quale polizza? La norma si riferisce in generale al “contratto di assicurazione della responsabilità civile relativo al danno”. In astratto, quindi, qualsiasi polizza RC che copra il danno può essere esposta all’azione diretta: RC generale, RC prodotti, cyber e anche le RC professionali. Si pensi all’avvocato o al consulente che, come deployer, causa un danno al cliente usando uno strumento di IA. Si tratta di un ampliamento non trascurabile per polizze nate senza tenere conto di questo rischio.
• Un’azione diretta “senza sistema”. Nelle altre ipotesi di azione diretta del nostro ordinamento, come la RC auto e la RC sanitaria, la tutela del danneggiato si regge su tre elementi: un obbligo assicurativo, un obbligo a contrarre per le compagnie, almeno nella RC auto, e un quadro normativo sui contenuti minimi della polizza. Il D.Lgs. n. 160/2026 non prevede nessuno dei tre. Il danneggiato ha azione diretta solo se una polizza esiste, e nei limiti di massimali e contenuti liberamente negoziati. Ne derivano più incertezze: sull’effettività della tutela, sull’equilibrio tra non opponibilità delle eccezioni e libertà contrattuale, e sulla disponibilità e sul prezzo delle coperture. 

Proprio in ragione di quanto precede, l’effettività del nuovo Decreto dipenderà in larga misura dalle scelte del mercato assicurativo e dall’interpretazione dei giudici, oltre ad eventuali interventi correttivi che occorrerà monitorare con attenzione nel prossimo futuro.

In sintesi

Il D.Lgs. 160/2026 rafforza molto la tutela di chi subisce danni causati dall’IA. Lo fa con strumenti come l’accesso alle prove, la presunzione del nesso causale e l’azione diretta contro l’assicuratore.L’azione diretta, però, è stata introdotta senza l’obbligo assicurativo e senza la disciplina delle polizze che la accompagnano negli altri settori. 

Per le compagnie assicurative la sfida è doppia: offrire prodotti adatti alla nuova domanda e valutare correttamente un rischio che cambia rapidamente.