Cumulo di responsabilità a carico delle imprese, chiamate a confrontarsi con disposizioni sull’AI e sulla privacy, che rischiano di affastellarsi e sovrapporsi in corpi normativi, UE e italiani, che ormai viaggiano in parallelo, non sincronizzati e senza un effettivo coordinamento: è questo il quadro labirintico, in cui gli operatori economici devono, comunque, districarsi e tentare di articolare al meglio la loro compliance.

Al riguardo, si consideri che il governo italiano sta procedendo con i lavori di stesura dei decreti legislativi attuativi della L. 132/2025, da approvare entro il 10 ottobre 2026. Lo ha fatto il consiglio dei ministri, che ha approvato in via preliminare il 10 giugno 2026 due schemi di d.lgs. su temi cruciali relativi alla disciplina dell’AI, in settori pubblici e privati, individuando una nutrita squadra di autorità di vigilanza, definendo il quadro sanzionatorio amministrativo, allungando la lista degli illeciti penali e definendo alcune regole per inchiodare gli operatori al risarcimento del danno contrattuale ed extracontrattuale.

Più in dettaglio, un primo schema di provvedimento si occupa della disciplina dell’AI per i professionisti e nei luoghi di lavoro, dell’alfabetizzazione e della formazione nelle istituzioni d’istruzione e nelle Università, della formazione del personale delle pubbliche amministrazioni, nella Giustizia e nella Sanità. Sempre questo primo schema di d.lgs. definisce compiti e funzioni e poteri sanzionatori delle autorità nazionali per l’AI (AgID, ACN, Banca d’Italia, CONSOB, IVASS e Garante della privacy) e dettaglia analiticamente le sanzioni amministrative per le violazioni dei precetti del Reg. UE 2024/1689 (AI Act) e il procedimento per la relativa applicazione.

Il secondo schema di d.lgs. disciplina l’utilizzo dei sistemi di intelligenza artificiale per l’attività di polizia con particolare riferimento all’utilizzo di AI nel riconoscimento biometrico, in tempo reale e a posteriori (mediante integrazione negli impianti di videosorveglianza). Questo secondo provvedimento prevede il nuovo reato di omessa adozione di misure di sicurezza nei sistemi di AI e, a proposito della responsabilità civile, impone stringenti obblighi di disclosure a carico delle imprese.

Si noti, a questo punto, che la L. 132/2025 e i relativi decreti delegati si autodichiarano quali provvedimenti di armonizzazione dell’ordinamento italiano all’AI Act.

Tuttavia, l’inizio di efficacia di una sostanziosa parte dell’AI act (in particolare, quella relativa ai sistemi di AI in settori ad alto rischio), al momento ancora fissato al 2/8/2026, “all’ultimo minuto” sta per essere prorogata (si veda il pacchetto UE “Digital Omnibus”). Di conseguenza, si deduce che anche le relative sanzioni per violazioni delle disposizioni prorogate non possono che essere dilazionate anch’esse. A fronte di questi plurimi rinvii, sembrerebbe, dunque, che gli operatori possano tirare il fiato.

Peraltro, il differimento dell’efficacia di blocchi normativi non vuol dire che gli stessi siano accantonati sotto ogni punto di vista. Ciò perché la giurisprudenza italiana ha già scolpito il principio della anticipazione degli effetti. Così, il Tar Lazio (sentenza della sezione III-bis, del 2 febbraio 2026, n. 1895) ha scritto che, anche prima dell’inizio di efficacia, le norme dell’AI Act sono fonti di indirizzo interpretativo, ad esempio, nella parte in cui impongono, quale requisito strutturale, l’esistenza di una supervisione umana effettiva, per il controllo, l’intervento e la correzione del funzionamento di un sistema di AI. Se ne ricava, pertanto, che, per i giudici italiani, l’AI Act, anche nelle parti in cui non è efficace, ha già in realtà effetti sostanzialmente precettivi.

Si potrà riprendere il fatto che, anche se anticipati con la tecnica dell’interpretazione adeguatrice, comunque non si applicano le sanzioni previste dallo stesso AI Act. Si tratterebbe, però, di una magra consolazione, perché l’apparato sanzionatorio tentacolare (tale, per lo meno, dal punto di vista delle PMI e microimprese) può attivarsi già da subito mediante l’accertamento e la punizione delle trasgressioni commesse con l’AI ai sensi della normativa sulla privacy. Ciò, ovviamente, quando è in gioco un trattamento di dati personali, cioè sempre o quasi sempre.

Senza contare, poi, lo statuto penale dell’AI che è già vigente: la L. 132/2025 ha introdotto aggravanti comuni e speciali quando i reati sono commessi con l’AI; uno schema di d.lgs. attuativo, sopra tratteggiato, ha innestato nel codice penale il citato reato di omissione di misure di sicurezza nella progettazione e l’uso di sistemi di AI ad alto rischio.

Nell’ambito penale si assiste, inoltre, ad uno strascico sanzionatorio per effetto del D.Lgs. 231/2001: i reati dell’ordinamento delle AI sono anche “presupposti” della responsabilità amministrativa delle imprese, con la conseguente necessità per le stesse di revisione i modelli organizzativi e di riadeguare gli assetti aziendali.

Non bisogna, poi, trascurare la sopra richiamata disciplina speciale della responsabilità civile, disegnata sempre da uno schema di d.lgs. attuativo della L. 132/2025, che appesantisce gli oneri difensivi, sostanziali e probatori, per le imprese convenute in cause per il risarcimento di danni contrattuali ed extracontrattuali causati nell’uso di sistemi di AI: gli operatori sono soggetti all’obbligo di disvelamento dei documenti aziendali e hanno l’onere della prova a discarico della loro presunta responsabilità sotto il profilo del nesso di causa.

Anche nell’ambito della responsabilità civile si potrà discutere se l’imminente rinvio dell’efficacia di porzioni significative dall’AI Act giocherà un ruolo di ritaglio e limitazione della responsabilità stessa. Peraltro, nuovamente, non ci si può contare molto, considerata una serie di fattori: la strutturale atipicità dell’illecito civile (bastando a far scattare l’obbligo risarcitorio anche i soli art. 2043 e 2050 c.c., secondo i rispettivi ambiti di applicazione); l’esplicita clausola di salvezza della responsabilità per danni da violazione della privacy  (art. 82 Reg. UE 2016/679), quando il trattamento è realizzato con sistemi di AI; l’altra dichiarazione di salvezza, anch’essa rinvenibile nello schema di d.lgs. attuativo della L. 132/2025, relativa alla disciplina della responsabilità da prodotto difettoso.

Le conclusioni che si possono trarre dall’analizzata contingenza normativa sono due.

Innanzi tutto, alle aziende è necessario uno strumento tecnologico ricognitivo delle disposizioni sulla compliance sparpagliate tra più fonti e, allo stato, confuse nella loro portata e nelle loro conseguenze. Deve essere uno strumento (ad esempio una piattaforma), in cui si classifichino gli istituti e per ciascuno di essi si rintraccino trasversalmente e in maniera dinamica (con l’automatico e tempestivo inserimento di sopravvenienze) le disposizioni contenute nelle diverse fonti, primarie e secondarie, norme di soft law e best practice.

La seconda conclusione è che le imprese devono immediatamente muoversi usando il massimo della precauzione by design, applicando nelle scelte di compliance aziendale il principio dell’anticipazione interpretativa delle disposizioni dell’AI Act. Si prenda l’esempio della funzione della supervisione umana degli output dei sistemi di AI nei settori ad alto rischio: anche se non ancora efficaci le relative disposizioni speciali dell’AI Act, il principio di precauzione by design raccomanda di istituire la relativa funzione nell’organigramma aziendale con decisione organizzative ad hoc.