--- title: "D.Lgs. 160/2026: cosa cambia per le PMI dal 30 settembre" description: "Il D.Lgs. 160/2026 entra in vigore il 30 settembre: un nuovo reato sull’AI ad alto rischio, due reati nella 231, nuove regole sui risarcimenti." url: "https://hansburtin.com/articoli/decreto-160-2026-intelligenza-artificiale-pmi" lang: "it" author: "Hans Burtin" date: "2026-09-28" category: "Trasformazione digitale" --- # D.Lgs. 160/2026: cosa cambia per le PMI dal 30 settembre Il **D.Lgs. 160/2026** (decreto legislativo 9 settembre 2026, n. 160), pubblicato nella [Gazzetta Ufficiale n. 214 del 15 settembre 2026](https://www.gazzettaufficiale.it/eli/id/2026/09/15/26G00179/SG), entra in vigore **il 30 settembre 2026**. Adegua la legge italiana all’AI Act europeo: disciplina l’uso dell’intelligenza artificiale nell’attività di polizia e introduce disposizioni penali e regole processuali civili sui danni causati nell’uso di sistemi di AI. Questo articolo si concentra sulle parti più rilevanti per imprese ed enti. In sintesi: il D.Lgs. 160/2026 aggiunge due delitti legati all’AI ai reati presupposto della responsabilità 231 e cambia le regole delle cause di risarcimento per danni causati nell’uso di un sistema di AI. ## Cosa cambia per le PMI con il D.Lgs. 160/2026 **Un nuovo reato sui sistemi ad alto rischio.** L’articolo 12 inserisce nel codice penale l’articolo 437 bis, che punisce tre condotte: - chi omette le misure tecniche di sicurezza previste per la progettazione, l’addestramento, la produzione e l’immissione sul mercato di sistemi di AI ad alto rischio, oppure omette le misure di sorveglianza umana: reclusione da uno a cinque anni **quando ne deriva un pericolo** per la vita o l’incolumità pubblica o individuale, da due a otto anni se il pericolo riguarda la sicurezza dello Stato; se il fatto è commesso per colpa grave, la pena è ridotta da un terzo a un sesto; - chi, al di fuori dei casi della prima condotta, **altera** sistemi di AI ad alto rischio, salvo che il fatto costituisca un reato più grave: da due a sei anni se ne deriva un pericolo per la vita o l’incolumità, da tre a dieci se il pericolo riguarda la sicurezza dello Stato; - l’**utilizzatore professionale** di un sistema ad alto rischio che omette **intenzionalmente** di adottare misure di sorveglianza umana: stesse pene della prima condotta, quando dall’omissione deriva uno di quei pericoli. **La responsabilità dell’ente.** L’articolo 15 aggiunge al [decreto legislativo 231/2001](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2001-06-08;231) l’articolo 25 vicies, che inserisce due delitti fra i reati presupposto. Quando ricorrono anche le altre condizioni previste dal decreto 231, la società, l’associazione o l’ente può risponderne con: - da 600 a 1.000 quote per il reato dell’articolo 437 bis; - da 200 a 700 quote per il reato dell’articolo 612 quater, l’illecita diffusione di contenuti generati o alterati con sistemi di AI, già introdotto dalla [legge 132/2025](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2025-09-23;132); - in entrambi i casi, le sanzioni interdittive dell’articolo 9, comma 2, lettere da b a e: sospensione o revoca di autorizzazioni, licenze o concessioni funzionali all’illecito, divieto di contrattare con la pubblica amministrazione salvo che per ottenere le prestazioni di un pubblico servizio, esclusione da agevolazioni, finanziamenti, contributi o sussidi con l’eventuale revoca di quelli già concessi, divieto di pubblicizzare beni o servizi. **Nuove regole per le cause di risarcimento.** Gli articoli da 16 a 20 intervengono sulle cause civili per danni legati all’AI: 1. nelle azioni per danni causati nell’uso di un sistema di AI, su istanza di chi afferma di aver subito il danno, il giudice **ordina** all’altra parte o al terzo di esibire gli elementi di prova specificamente pertinenti sul funzionamento del sistema, quando la parte istante presenta fatti ed elementi idonei a rendere verosimile la fondatezza della domanda, anche sul collegamento fra il risultato prodotto dal sistema e il danno lamentato; fra gli elementi di prova rientrano i registri del sistema, la documentazione sulla gestione dei rischi, la documentazione tecnica, i parametri di supervisione umana. L’ordine è limitato a quanto necessario e proporzionato, e tutela i segreti commerciali; 2. se la parte non esibisce quella documentazione senza giustificato motivo, il giudice, valutato ogni altro elemento di prova, ritiene come ammessi i fatti allegati da chi ha chiesto l’esibizione; 3. solo quando il danno deriva dalla violazione di un obbligo dell’AI Act, il nesso di causalità fra la violazione e il danno si presume, salvo prova contraria, e la conformità all’AI Act, anche certificata, non esclude di per sé la responsabilità; 4. chi vuole agire può chiedere prima se esiste un’assicurazione di responsabilità civile, con risposta entro trenta giorni, e il danneggiato può agire direttamente contro l’assicuratore nei limiti del massimale. ## Quando contano le date Tutte queste disposizioni si applicano dal 30 settembre 2026, ciascuna nel proprio ambito. L’articolo 437 bis riguarda i sistemi ad alto rischio, e su quei sistemi l’Europa ha spostato in avanti una parte degli obblighi. Con il [regolamento (UE) 2026/1744](https://eur-lex.europa.eu/eli/reg/2026/1744/oj), l’omnibus digitale sull’AI, le sezioni 1, 2 e 3 del capo III dell’[AI Act](https://eur-lex.europa.eu/eli/reg/2024/1689/oj) (classificazione, requisiti, obblighi di fornitori e utilizzatori) si applicano dal **2 dicembre 2027** ai sistemi dell’articolo 6, paragrafo 2, e dell’allegato III (fra cui quelli usati per selezionare il personale, valutare i risultati dell’apprendimento nell’istruzione o nella formazione professionale, valutare il merito di credito delle persone) e dal **2 agosto 2028** a quelli dell’articolo 6, paragrafo 1, e dell’allegato I. Che effetto abbia questo differimento sull’applicazione concreta del reato nazionale richiede una valutazione a parte, che faranno gli interpreti e i giudici. Per un’organizzazione il messaggio pratico è uno: documentare l’uso dei sistemi, le responsabilità e la supervisione aiuta a ricostruire le decisioni e a gestire eventuali contestazioni. ## Cosa fare adesso 1. **Fare l’inventario** degli strumenti di AI in uso: chi li usa, per cosa, con quali dati. 2. **Verificare se qualcuno è ad alto rischio**, per esempio uno strumento che filtra i curriculum o valuta i dipendenti. 3. **Prevedere una verifica prima di creare o diffondere contenuti che rappresentano persone reali:** consenso, diritti coinvolti, trasparenza e rischio di inganno vanno valutati caso per caso. 4. **Valutare con il legale quanto i nuovi reati riguardano l’organizzazione**; se esiste un modello 231, coinvolgere l’organismo di vigilanza per valutarne l’aggiornamento. La responsabilità dell’ente non dipende dall’aver adottato un modello. 5. **Stabilire chi supervisiona** le decisioni che l’AI prepara, e conservare la documentazione dei fornitori. 6. **Controllare contratti e polizze:** chi risponde se lo strumento sbaglia, e se l’assicurazione copre i danni legati all’AI. Il punto di partenza resta quello che ho descritto in [intelligenza artificiale in azienda: da dove partire](https://hansburtin.com/articoli/intelligenza-artificiale-in-azienda-da-dove-partire): prima i processi e le responsabilità, poi gli strumenti. Questo articolo è un’informazione generale e non sostituisce un parere legale sul singolo caso. ## Domande frequenti ### Il D.Lgs. 160/2026 riguarda anche le piccole imprese? Sì. Il decreto 231 riguarda le persone giuridiche, le società e le associazioni, anche prive di personalità giuridica. Le regole sull’esibizione delle prove valgono nelle azioni di risarcimento, contrattuali o extracontrattuali, per danni causati nell’uso di un sistema di AI; la presunzione del nesso di causalità solo quando il danno deriva dalla violazione di un obbligo dell’AI Act. ### Se uso solo un assistente per scrivere testi, rischio qualcosa? I reati dell’articolo 437 bis riguardano i sistemi ad alto rischio. Chi usa l’AI generativa deve fare attenzione soprattutto ai contenuti che rappresentano persone reali e ai danni che un uso scorretto dello strumento può causare a clienti o terzi. ### Gli enti del terzo settore sono coinvolti? Il decreto 231 si applica anche alle associazioni, con o senza personalità giuridica. Un ente che usa l’AI nei suoi servizi deve porsi le stesse domande di un’impresa. ### Da quando si applica? Dal 30 settembre 2026. Le sezioni 1, 2 e 3 del capo III dell’AI Act si applicano invece dal 2 dicembre 2027 ai sistemi ad alto rischio dell’allegato III e dal 2 agosto 2028 a quelli dell’allegato I. Se vuoi capire dove l’intelligenza artificiale entra già nel lavoro della tua organizzazione, chi ne risponde e cosa conviene documentare, scrivimi a [info@hansburtin.com](mailto:info@hansburtin.com): partiamo da una [diagnosi dei processi](https://hansburtin.com/servizi#diagnosi) e guardiamo insieme gli usi reali, prima di decidere cosa cambiare. Qui trovi anche come lavoro sulla [trasformazione digitale](https://hansburtin.com/servizi#trasformazione-digitale). --- Hans Burtin, innovazione gestionale per PMI ed enti del terzo settore. Brindisi, in tutta Italia e da remoto. Contatti: [info@hansburtin.com](mailto:info@hansburtin.com) · [https://hansburtin.com/contatti](https://hansburtin.com/contatti) · Guida per agenti: [https://hansburtin.com/llms.txt](https://hansburtin.com/llms.txt)