Dal 9 dicembre 2026, un software difettoso potrà essere all’origine di una richiesta di risarcimento secondo le stesse regole europee previste per i prodotti materiali. Il cambiamento investe anche intelligenza artificiale, applicazioni distribuite via cloud e aggiornamenti di sicurezza. Un programma che controlla un dispositivo medico, il software di un’automobile o l’applicazione di un impianto domestico entrano così in un quadro di responsabilità pensato per proteggere le persone dai danni causati da prodotti insicuri.
Il Consiglio dei ministri del 28 ottobre 2026 ha approvato in esame definitivo il decreto che recepisce la direttiva UE 2024/2853 sulla responsabilità per danno da prodotti difettosi. Per imprese e sviluppatori la novità più impegnativa è la possibile responsabilità per difetti sopravvenuti dopo la vendita, quando software, servizi collegati o aggiornamenti rimangono sotto il controllo del fabbricante. Per chi subisce un danno cambiano anche le regole per ottenere dal produttore le prove tecniche necessarie in giudizio. Il provvedimento riscrive gli articoli 114-127 del Codice del consumo; per il testo nazionale definitivo farà fede la pubblicazione nella Gazzetta Ufficiale.
| Tecnologia o servizio | Trattamento nella direttiva |
|---|---|
| App, sistema operativo, software via cloud o SaaS | Software espressamente considerato un prodotto. La fornitura in modalità SaaS non determina, di per sé, l’assoggettamento di qualsiasi servizio digitale alla disciplina. Occorre distinguere il software, qualificabile come prodotto anche quando reso accessibile da remoto, dalle prestazioni di servizi estranee alla nozione di prodotto o di servizio correlato definita dalla direttiva. |
| Sistema di intelligenza artificiale | Rientra come software; contano anche apprendimento e nuove funzioni |
| Servizio digitale necessario a una funzione del dispositivo | Può essere un componente del prodotto, nelle condizioni previste |
| Servizio di accesso a Internet, in quanto tale | Non è un servizio correlato del dispositivo per il solo fatto di connetterlo |
| Software libero e open source fuori da attività commerciali | Escluso dall’ambito della direttiva; l’esclusione non vale per ogni uso commerciale |
| Contenuto informativo di e-book e file multimediali | Non costituisce un prodotto ai fini della nuova disciplina |
Il perimetro del risarcimento richiede però precisione. La direttiva tutela le persone fisiche per lesioni, determinati danni ai beni e distruzione o corruzione di dati usati fuori dall’attività professionale. Il semplice bug, una risposta sbagliata di un chatbot o un’interruzione di servizio non danno automaticamente diritto a un risarcimento attraverso questa disciplina.
Inoltre la norma riguarda solo i prodotti in commercio dal 9 dicembre.
Restano utilizzabili, quando ne ricorrono i presupposti, le altre azioni contrattuali, civili e quelle previste dalla normativa sulla protezione dei dati. La disciplina non configura una responsabilità generale per ogni errore imputabile a un sistema di intelligenza artificiale. La tutela risarcitoria prevista dalla direttiva presuppone l’accertamento di un difetto di sicurezza del prodotto, di un danno rientrante nelle categorie espressamente contemplate e del relativo nesso causale.
Indice degli argomenti
Software, intelligenza artificiale e cloud: cosa rientra nella nuova legge sui prodotti difettosi
La disciplina precedente, risalente alla direttiva europea del 1985, era costruita attorno ai beni mobili. Il legislatore europeo ha scelto di considerare il software un prodotto anche quando è immateriale. Il considerando 13 chiarisce che contano le funzioni del programma e i danni che può produrre, indipendentemente dalla distribuzione su un supporto fisico, via rete, su cloud o con il modello software-as-a-service (SaaS). Fra gli esempi rientrano sistemi operativi, applicazioni, firmware e sistemi di IA.
La definizione comprende anche i file per la fabbricazione digitale, come le istruzioni digitali che permettono a un macchinario di produrre automaticamente un componente. Un modello digitale errato che provoca la fabbricazione di un pezzo pericoloso assume quindi un rilievo diverso da quello di un semplice documento informativo. La direttiva esclude invece dal concetto di prodotto il contenuto di un e-book, di un file multimediale o il mero codice sorgente considerato come informazione.
Un’ulteriore categoria è quella dei servizi digitali correlati, integrati o connessi a un prodotto in modo tale che, senza di essi, il prodotto perda una delle sue funzioni. Il testo europeo cita i dati sul traffico forniti a un navigatore, il monitoraggio remoto di parametri sanitari e il controllo della temperatura di un frigorifero intelligente. I servizi di accesso a Internet non sono, per questo solo fatto, componenti del prodotto; tuttavia anche il comportamento insicuro del dispositivo in assenza di connessione può essere considerato nella valutazione del difetto.
L’esenzione per il software libero e open source è particolarmente importante per le filiere tecnologiche. Protegge lo sviluppo e la fornitura fuori da un’attività commerciale; una licenza aperta, da sola, non immunizza chi integra, distribuisce o commercializza un componente. La distinzione interessa imprese che costruiscono prodotti utilizzando librerie aperte e aziende che offrono versioni commerciali di software pubblicamente disponibile.
Software e AI difettosi: sicurezza, apprendimento e patch
Un prodotto è difettoso quando non garantisce la sicurezza che una persona può legittimamente attendersi, o quella richiesta dalle norme applicabili. La valutazione considera uso ragionevolmente prevedibile, istruzioni, destinatari e requisiti di cybersicurezza pertinenti. Un prodotto può essere pericoloso anche se rispetta le proprie specifiche commerciali; viceversa, l’uscita di una versione migliore non dimostra di per sé che quella precedente fosse difettosa.
Per un sistema di IA che evolve, il giudizio deve tenere conto anche degli effetti della capacità di continuare ad apprendere o acquisire funzioni dopo la distribuzione. Si pensi, come esempio ipotetico, a un software che modifica il comportamento di una macchina o di un dispositivo sanitario in seguito agli aggiornamenti: se l’evoluzione introduce una condizione insicura e provoca una lesione, occorrerà accertare il difetto, il danno e il rapporto causale, valutando anche chi controllava quell’evoluzione.
Il passaggio più concreto riguarda la vita successiva all’acquisto. L’articolo 11 della direttiva limita la possibilità del produttore di difendersi sostenendo che il difetto è comparso solo dopo l’immissione sul mercato, quando la causa risiede in software, aggiornamenti, servizi correlati o mancati aggiornamenti di sicurezza ancora sotto il suo controllo. Un produttore che mantiene la capacità di distribuire correzioni deve quindi considerare il rischio di una vulnerabilità lasciata aperta, se questa conduce a un danno risarcibile.
Esiste un limite altrettanto importante: la direttiva non crea da sola un obbligo generale di fornire aggiornamenti. I considerando distinguono l’omissione imputabile al fabbricante dal caso in cui un aggiornamento necessario sia stato reso disponibile e l’utilizzatore non lo abbia installato. L’esistenza e la durata degli obblighi di supporto vanno ricavate dalle altre disposizioni applicabili, dai requisiti di sicurezza e dalle caratteristiche del prodotto.
Chi paga il danno: produttori, componenti software e piattaforme
La produzione di un bene digitale coinvolge spesso più soggetti: chi sviluppa il sistema, chi fornisce un modulo software, chi mette sul mercato il dispositivo che lo incorpora e chi ne gestisce un servizio indispensabile. La riforma risponde a questo problema ampliando la platea dei soggetti chiamabili in causa. La figura principale resta il fabbricante del prodotto, ma può rispondere anche il fabbricante del componente difettoso integrato o interconnesso sotto il controllo del primo.
Se il produttore è stabilito fuori dall’Unione europea, la direttiva coinvolge, secondo una precisa gerarchia, importatore, rappresentante autorizzato e, in mancanza delle figure precedenti, fornitore di servizi di logistica. Il distributore può essere responsabile in via sussidiaria se non comunica entro un mese, a fronte della richiesta prevista, l’identità dell’operatore economico o del proprio fornitore. Anche le piattaforme che permettono acquisti a distanza possono essere coinvolte, ma soltanto nelle condizioni definite dalla direttiva e dal Digital Services Act: la vendita online, da sola, non basta ad attribuire loro ogni responsabilità.
Assume rilievo anche chi modifica in maniera sostanziale un prodotto al di fuori del controllo del fabbricante originario e lo rimette sul mercato o in servizio. Può essere trattato come fabbricante del prodotto modificato. Per i sistemi connessi, l’effetto si può produrre anche attraverso un aggiornamento software o una trasformazione rilevante delle funzioni: conta se la modifica altera rischi e caratteristiche secondo i criteri normativi, non la semplice installazione di una patch ordinaria.
Quando più soggetti sono responsabili dello stesso danno, opera la responsabilità solidale: il danneggiato può far valere il proprio diritto senza dover ripartire preventivamente le quote tra tutti i soggetti coinvolti. Le eventuali rivalse si regolano successivamente. C’è una disposizione di interesse per le startup: il produttore che integra un componente software può concordare la rinuncia alla rivalsa contro il produttore del componente quando quest’ultimo è una microimpresa o una piccola impresa. È una facoltà contrattuale, subordinata alle condizioni previste, e non cancella i diritti del danneggiato.
La novità per chi fa causa: accesso alle prove e presunzioni
Nei prodotti digitali il problema spesso è dimostrare che cosa sia successo all’interno di un sistema di cui soltanto il produttore possiede log, documentazione e informazioni di funzionamento. Il dossier dei Servizi Studi di Camera e Senato sull’atto del governo n. 434 richiama una valutazione europea secondo cui il 53% dei rigetti censiti tra il 2000 e il 2016 era collegato alla mancata prova del difetto o del nesso causale. È questo ostacolo che le nuove regole cercano di ridurre.
La persona che agisce deve presentare elementi sufficienti a rendere plausibile la domanda. A quel punto il giudice può ordinare all’impresa di esibire prove pertinenti e proporzionate, anche in una forma accessibile e comprensibile. Lo strumento può aiutare a chiarire una sequenza di aggiornamenti, un malfunzionamento di un componente o il comportamento di un sistema di IA. La tutela dei segreti commerciali rimane garantita attraverso misure giudiziali di riservatezza; l’accesso alle prove non è un diritto indiscriminato a ottenere codice sorgente e informazioni aziendali.
Non è necessario dimostrare la colpa del produttore. Restano da provare, come regola generale, il difetto, il danno e la relazione causale. La direttiva e lo schema italiano prevedono però presunzioni confutabili in circostanze determinate: quando il convenuto non esibisce le prove ordinate, quando è dimostrata la violazione di requisiti obbligatori di sicurezza pertinenti al danno o quando il danno deriva da un malfunzionamento evidente in condizioni ordinarie. Sono inoltre previste presunzioni sul nesso causale in presenza di un danno compatibile con il difetto e nei casi in cui la complessità tecnica o scientifica renda eccessivamente difficile la prova e l’attore dimostri una probabilità qualificata. Le fattispecie presuntive richiedono una distinta valutazione. La mancata esibizione delle prove ordinate dal giudice, la violazione di requisiti obbligatori di sicurezza pertinenti al danno e il malfunzionamento evidente in condizioni ordinarie possono fondare una presunzione relativa di difettosità. Il nesso causale può essere presunto qualora il difetto sia accertato e il danno risulti tipicamente compatibile con esso. Nei casi di particolare complessità tecnica o scientifica, l’articolo 10 consente, alle condizioni ivi previste, di presumere la difettosità, il nesso causale o entrambi. Non si tratta, pertanto, di un’inversione generalizzata dell’onere della prova.
Il risultato è un cambiamento concreto nel contenzioso sui prodotti complessi: l’impresa deve essere in grado di ricostruire decisioni progettuali, catena degli aggiornamenti, verifiche e incidenti. Per i giudici rimane essenziale distinguere un difetto di sicurezza da un errore privo delle caratteristiche richieste dalla legge e da un danno dovuto a cause esterne.
Quali danni sono risarcibili e dove finiscono le nuove tutele
La nuova disciplina riguarda la morte e le lesioni personali, inclusi danni psicologici riconosciuti dal punto di vista medico; il danneggiamento o la distruzione di beni alle condizioni previste; e la distruzione o corruzione di dati che non siano utilizzati per fini professionali. Sono esclusi, tra l’altro, il prodotto difettoso in sé e i beni destinati esclusivamente a un uso professionale. È altresì escluso il danno arrecato al prodotto nel quale il componente difettoso sia stato integrato o con il quale sia stato interconnesso dal fabbricante, oppure sotto il suo controllo. Possono essere tutelate anche persone fisiche che hanno subito una lesione sul lavoro: il carattere personale del danno è distinto dalla qualifica di consumatore dell’acquirente. Quanto ai pregiudizi non patrimoniali conseguenti ai danni contemplati dalla direttiva, la relativa risarcibilità resta disciplinata dal diritto nazionale.
La novità sui dati è significativa: se un difetto causa la perdita di fotografie personali o la corruzione di file conservati per uso privato, questa categoria di danno entra espressamente nel perimetro. La sola sottrazione o divulgazione di informazioni, senza distruzione o corruzione dei dati o un altro danno contemplato, non rientra automaticamente in tale categoria. L’eventuale violazione della riservatezza può essere valutata secondo il regolamento sulla protezione dei dati personali e le altre regole applicabili.
La differenza pesa soprattutto negli usi aziendali dell’IA: un software che produce un consiglio finanziario errato e causa esclusivamente una perdita patrimoniale, oppure un gestionale che corrompe soltanto dati utilizzati professionalmente, non apre di per sé una domanda risarcitoria attraverso questa direttiva. Per questi casi restano da esaminare contratti, responsabilità civile generale ed eventuali normative settoriali. Anche le clausole di esonero inserite nei contratti di licenza non possono invece escludere la responsabilità speciale quando i suoi presupposti risultano soddisfatti.
Quattro esempi ipotetici: quale tutela può entrare in gioco
| Caso ipotetico | Valutazione secondo la nuova disciplina |
|---|---|
| Un aggiornamento difettoso del software di guida provoca lesioni | Possibile tutela: da verificare difetto, nesso causale e controllo del produttore |
| Un’app difettosa distrugge fotografie personali | La distruzione di dati non professionali è una categoria di danno risarcibile |
| Un chatbot suggerisce un investimento che perde valore | La sola perdita economica non rientra automaticamente nei danni tipizzati dalla direttiva |
| Un incidente informatico espone dati riservati senza corromperli | La mera divulgazione non è, in quanto tale, la distruzione o corruzione dei dati; possono valere altre norme |
Fonte: criteri degli articoli 6, 7, 10 e 11 della direttiva UE 2024/2853. Esempi illustrativi, non decisioni giudiziarie: la responsabilità va accertata caso per caso.
Come si intrecciano Product Liability Directive, Cyber Resilience Act e AI Act
Per le imprese tecnologiche la questione diventa più complessa perché le regole di sicurezza dei prodotti e quelle sul risarcimento intervengono in momenti differenti. Il Cyber Resilience Act stabilisce obblighi di cybersicurezza per i prodotti con elementi digitali, mentre la nuova Product Liability Directive disciplina il risarcimento delle persone danneggiate da prodotti difettosi. Un requisito di sicurezza obbligatorio violato può inoltre assumere rilievo nella prova della difettosità, quando è diretto a evitare proprio il rischio concretizzatosi. La violazione di requisiti obbligatori di sicurezza effettivamente applicabili al prodotto, inclusi quelli in materia di cybersicurezza, può inoltre fondare la presunzione relativa di difettosità di cui all’articolo 10, purché tali requisiti siano diretti a prevenire il rischio concretizzatosi nel danno.
Il coordinamento conta già ora. Dal 11 settembre 2026 il Cyber Resilience Act impone ai fabbricanti interessati la segnalazione delle vulnerabilità attivamente sfruttate e degli incidenti gravi che incidono sulla sicurezza dei prodotti, con un primo avviso entro 24 ore e una notifica entro 72 ore. Le principali prescrizioni di sicurezza del regolamento diventeranno applicabili dall’11 dicembre 2027. L’adempimento delle notifiche e la gestione della responsabilità risarcitoria hanno quindi presupposti e calendari differenti.
Per i sistemi di IA il quadro comprende anche l’AI Act, che stabilisce obblighi e condizioni per determinate categorie di sistemi, soprattutto quelli ad alto rischio. L’eventuale violazione di una prescrizione di sicurezza pertinente può avere conseguenze anche nell’accertamento del difetto; va però stabilito quale requisito sia applicabile al prodotto e al momento considerato. La nuova responsabilità per prodotti difettosi è distinta dalla proposta di direttiva generale sulla responsabilità civile dell’IA, ritirata dalla Commissione nel 2025.
Dal 9 dicembre 2026: chi deve prepararsi e con quali scadenze
Il nuovo regime si applica ai prodotti immessi sul mercato o messi in servizio a partire dal 9 dicembre 2026. Il criterio non coincide necessariamente con la data in cui il consumatore acquista il bene o in cui si verifica un danno: è decisivo il momento della prima immissione o messa in servizio previsto dalla legge. Ai prodotti anteriori continua ad applicarsi la vecchia disciplina. Una modifica sostanziale può incidere sulla qualificazione e sulla decorrenza dei termini secondo le condizioni stabilite dalla direttiva.
Il diritto al risarcimento si prescrive in tre anni dalla conoscenza, effettiva o ragionevolmente dovuta, del danno, del difetto e dell’identità del responsabile. Esiste poi un termine di decadenza di dieci anni dall’immissione sul mercato o dalla messa in servizio, che può arrivare a venticinque anni per lesioni personali a lunga latenza nei casi previsti. I diversi termini devono essere valutati insieme: i venticinque anni non costituiscono una prescrizione ordinaria per qualsiasi malfunzionamento.
Per produttori di dispositivi, sviluppatori di software, fornitori di sistemi di IA e imprese che integrano componenti di terzi, l’impatto organizzativo è immediato. Diventa rilevante documentare chi controlla gli aggiornamenti, conservare tracce verificabili delle modifiche, individuare i responsabili della sicurezza e disciplinare la catena dei fornitori. L’obiettivo operativo è poter prevenire un difetto e, quando si manifesta un incidente, ricostruire se il prodotto fosse sicuro e quale componente abbia prodotto il danno.
Per i cittadini il nuovo strumento offre la possibilità di chiedere un risarcimento anche quando l’origine del danno è nel codice che governa un bene o nel software fornito a distanza. La portata reale della riforma si misurerà nei casi in cui un aggiornamento, un componente IA o un servizio digitale connesso provochino un danno concreto: è lì che la sicurezza progettata dall’impresa e la tutela della persona incontreranno le nuove regole.
Partecipa alla community