Il nuovo problema delle assicurazioni nell’era dell’AI
L’intelligenza artificiale sta entrando rapidamente nei processi decisionali delle imprese, negli studi professionali, nella sanità, nella finanza, nell’industria, nei trasporti e nella gestione dei dati.
Ma alla crescita delle capacità dei sistemi di AI corrisponde una domanda giuridica ed economica sempre più importante:
chi risponde quando una decisione presa, suggerita o influenzata dall’intelligenza artificiale provoca un danno?
La risposta è meno semplice di quanto possa sembrare.
Un sistema di intelligenza artificiale non possiede infatti personalità giuridica, patrimonio o una propria assicurazione. Non è quindi normalmente “l’algoritmo” a risarcire il danneggiato.
Occorre individuare una persona fisica o giuridica alla quale il danno possa essere giuridicamente imputato.
Ed è qui che nasce il problema.
Dietro una singola decisione automatizzata possono esserci contemporaneamente:
- il produttore del software;
- il provider del sistema di AI;
- lo sviluppatore;
- l’impresa che integra il sistema;
- il fornitore dei dati;
- il deployer, cioè il soggetto che utilizza professionalmente il sistema;
- il professionista che utilizza l’output;
- il responsabile che avrebbe dovuto esercitare una supervisione umana;
- eventualmente altri fornitori tecnologici.
Il vero problema giuridico diventa quindi ricostruire la catena causale e la catena delle responsabilità.
Dall’errore umano all’errore algoritmico
Consideriamo un caso apparentemente semplice.
Un medico utilizza un sistema di AI per analizzare un’immagine diagnostica.
Il sistema segnala che non sono presenti anomalie significative. Il medico si affida automaticamente al risultato e non rileva una patologia che avrebbe potuto essere diagnosticata.
Il paziente subisce un danno.
Chi risponde?
La risposta potrebbe cambiare completamente a seconda delle circostanze.
Scenario A – Il sistema AI è tecnicamente difettoso
Il software presenta un difetto che provoca sistematicamente falsi negativi in determinate condizioni.
In questo caso potrebbe entrare in gioco la disciplina della responsabilità da prodotto difettoso, qualora ne ricorrano tutti i presupposti.
Scenario B – Il sistema funzionava correttamente, ma il medico lo ha utilizzato male
Il produttore aveva chiaramente indicato che l’AI doveva essere utilizzata esclusivamente come strumento di supporto e che il risultato richiedeva una verifica clinica.
Il professionista, invece, ha trasformato il suggerimento dell’algoritmo nella decisione finale senza effettuare i controlli necessari.
In questo caso il problema può spostarsi sulla responsabilità professionale dell’utilizzatore.
Scenario C – Il sistema è stato configurato male dall’ospedale
Il software originale funzionava correttamente, ma durante l’integrazione nei sistemi dell’ospedale sono stati modificati parametri essenziali.
La responsabilità potrebbe allora coinvolgere chi ha effettuato l’integrazione o la configurazione.
Scenario D – Esistono più cause contemporaneamente
Il sistema presenta una vulnerabilità, l’organizzazione non ha installato un aggiornamento e il professionista non ha verificato l’output.
Potrebbero quindi concorrere diverse responsabilità.
Questo esempio mostra il punto centrale:
la presenza dell’intelligenza artificiale non elimina le tradizionali categorie della responsabilità civile; aggiunge nuovi soggetti, nuovi prodotti e soprattutto nuovi problemi di prova.
AI Act: attenzione a non confondere compliance e risarcimento
Il primo grande riferimento europeo è il Regolamento (UE) 2024/1689, il cosiddetto AI Act.
È importante però chiarire un equivoco frequente.
L’AI Act non è principalmente una legge che stabilisce “chi deve risarcire” ogni volta che un’intelligenza artificiale provoca un danno.
La sua funzione principale è disciplinare lo sviluppo, l’immissione sul mercato e l’utilizzo dei sistemi di AI attraverso un modello basato sul rischio.
Per i sistemi di AI ad alto rischio, per esempio, l’articolo 9 richiede l’istituzione, l’attuazione, la documentazione e il mantenimento di un sistema di gestione del rischio lungo l’intero ciclo di vita del sistema.
Il principio è importante anche dal punto di vista della responsabilità:
più un sistema può incidere sulla salute, sulla sicurezza o sui diritti fondamentali, maggiore deve essere la capacità dell’organizzazione di conoscere, documentare, controllare e mitigare i rischi.
Questo significa che, dopo un incidente, diventeranno particolarmente importanti domande come:
Chi ha valutato il rischio?
Quali controlli erano previsti?
Il sistema era utilizzato secondo la sua destinazione?
Era prevista una supervisione umana?
Sono stati conservati i log?
Sono stati effettuati gli aggiornamenti?
Le anomalie precedenti erano state documentate?
Le procedure interne sono state rispettate?
La compliance normativa può quindi diventare un elemento fondamentale nella successiva ricostruzione delle responsabilità.
La grande novità: anche il software può essere un prodotto
Il secondo grande cambiamento arriva dalla Direttiva (UE) 2024/2853 sulla responsabilità per danno da prodotti difettosi.
La normativa aggiorna profondamente una disciplina europea nata in un’epoca nella quale software, cloud computing e sistemi di intelligenza artificiale non avevano il ruolo economico che possiedono oggi.
Uno dei passaggi più importanti riguarda proprio il software.
La nuova disciplina chiarisce che il software può essere considerato un prodotto ai fini della responsabilità da prodotto, indipendentemente dal modo in cui viene fornito o utilizzato.
La logica può quindi essere applicata anche ai sistemi di AI.
Non è più necessario immaginare il “prodotto” esclusivamente come un oggetto materiale.
Un algoritmo può causare un danno senza rompersi fisicamente.
Quando un sistema AI può essere difettoso?
Il concetto di difetto non coincide semplicemente con quello di “errore”.
Questo punto è fondamentale.
Un sistema AI non diventa automaticamente un prodotto difettoso ogni volta che produce una risposta sbagliata.
Bisogna verificare se il prodotto offre la sicurezza che una persona ha diritto di attendersi considerando le circostanze giuridicamente rilevanti.
Pensiamo a quattro esempi.
1. AI industriale
Un sistema controlla automaticamente un macchinario.
A causa di un errore del software, il sistema non attiva il blocco di emergenza e un lavoratore viene ferito.
Il problema può riguardare la sicurezza del prodotto e la responsabilità del produttore, oltre alle eventuali responsabilità dell’impresa utilizzatrice.
2. Aggiornamento difettoso
Un sistema funzionava correttamente.
Il produttore distribuisce un aggiornamento che modifica il comportamento dell’algoritmo e introduce una condizione pericolosa.
La nuova disciplina europea è particolarmente importante proprio perché considera la natura evolutiva dei prodotti digitali e il controllo che il produttore può continuare a esercitare attraverso aggiornamenti e modifiche software.
3. Mancato aggiornamento di sicurezza
Il produttore mantiene il controllo sul software ma non interviene adeguatamente rispetto a una vulnerabilità rilevante.
Anche il rapporto tra aggiornamenti, cybersecurity e sicurezza del prodotto può assumere rilevanza nella valutazione della responsabilità.
4. Machine learning che evolve nel tempo
Un sistema modifica progressivamente il proprio comportamento attraverso meccanismi di apprendimento.
La domanda diventa:
chi aveva il controllo sull’evoluzione del sistema e chi avrebbe dovuto monitorarne il comportamento?
È uno dei passaggi più innovativi del nuovo diritto europeo dei prodotti digitali.
Il problema più difficile: provare che il danno è stato causato dall’AI
Supponiamo che un cittadino subisca un danno economico a seguito di una decisione automatizzata.
Per ottenere il risarcimento non basta normalmente affermare:
“L’algoritmo ha sbagliato.”
Occorre ricostruire cosa sia accaduto.
Ma un sistema di AI può contenere milioni o miliardi di parametri e dipendere da dati, configurazioni, versioni software, prompt, componenti esterni e aggiornamenti.
Il danneggiato potrebbe non avere accesso a nessuna di queste informazioni.
Nasce quindi una fortissima asimmetria informativa.
Il produttore conosce il sistema.
Il danneggiato vede soltanto il risultato.
La Direttiva (UE) 2024/2853 affronta espressamente questo problema.
In determinate condizioni, il giudice potrà ordinare la divulgazione degli elementi di prova pertinenti nella disponibilità del convenuto.
Ancora più importante è il sistema delle presunzioni.
La direttiva prevede infatti meccanismi che possono agevolare la prova del difetto o del nesso causale, soprattutto quando la complessità tecnica o scientifica rende eccessivamente difficile dimostrarli direttamente.
Non significa che il danneggiato vincerà automaticamente.
Significa però che non dovrebbe essere costretto a dimostrare tecnicamente l’impossibile davanti a una “scatola nera” alla quale non ha accesso.
Un esempio di futura causa giudiziaria
Immaginiamo una società finanziaria che utilizzi un algoritmo per valutare automaticamente determinate operazioni.
Il sistema produce una serie di decisioni errate che causano un danno.
In tribunale potrebbero diventare rilevanti:
- la versione esatta del modello utilizzato;
- la documentazione tecnica;
- i dati forniti al sistema;
- i log;
- gli aggiornamenti effettuati;
- le modifiche apportate dall’integratore;
- le istruzioni del produttore;
- gli alert generati;
- i controlli umani previsti;
- le decisioni effettivamente adottate dall’operatore.
La controversia potrebbe quindi trasformarsi in una vera forensic analysis dell’algoritmo.
Ed è proprio per questo che la conservazione delle prove digitali diventerà una componente fondamentale della governance AI.
L’AI può sbagliare senza che il produttore sia responsabile
È necessario sottolineare anche il principio opposto.
Non ogni errore dell’intelligenza artificiale determina automaticamente responsabilità del produttore.
Immaginiamo un avvocato che utilizzi un modello generativo per predisporre una memoria.
Il sistema genera una sentenza inesistente.
L’avvocato non effettua alcuna verifica e deposita l’atto.
In questo caso sarebbe molto difficile sostenere, soltanto sulla base dell’errore dell’AI, che ogni conseguenza debba necessariamente essere trasferita al produttore del modello.
La responsabilità professionale dipenderà dalle regole applicabili al professionista, dal grado di diligenza richiesto e dalle concrete modalità di utilizzo dello strumento.
Lo stesso ragionamento può valere per commercialisti, ingegneri, architetti, consulenti finanziari e altri professionisti.
Delegare un’attività all’intelligenza artificiale non significa necessariamente delegare anche la responsabilità giuridica.
Responsabilità contrattuale e responsabilità extracontrattuale
Un altro elemento spesso dimenticato riguarda il rapporto esistente tra danneggiato e responsabile.
Se un professionista utilizza un sistema AI nell’esecuzione di un incarico ricevuto dal cliente e causa un danno, può entrare in gioco la responsabilità derivante dal rapporto contrattuale o professionale.
Se invece il danno colpisce un soggetto estraneo al rapporto contrattuale, possono assumere rilevanza le regole della responsabilità extracontrattuale.
Nel diritto italiano rimane centrale il principio generale dell’articolo 2043 del Codice civile:
chi cagiona ad altri un danno ingiusto con un fatto doloso o colposo è tenuto, quando ne ricorrono i presupposti, al risarcimento.
A seconda delle caratteristiche concrete dell’attività potrebbero inoltre venire in considerazione altre discipline civilistiche speciali.
L’intelligenza artificiale, quindi, non sostituisce automaticamente il diritto civile esistente.
Si inserisce dentro di esso.
La responsabilità può essere condivisa
Uno degli scenari più probabili sarà quello della pluralità dei responsabili.
Consideriamo questa catena:
sviluppatore AI → provider → integratore → impresa → dipendente → cliente
Il danno potrebbe derivare contemporaneamente da:
un difetto originario del sistema;
una configurazione sbagliata;
dati inadeguati;
un aggiornamento problematico;
un utilizzo contrario alle istruzioni;
una mancata supervisione;
un errore umano finale.
La Direttiva 2024/2853 contempla anche situazioni nelle quali più operatori economici siano responsabili dello stesso danno e prevede la possibilità della responsabilità solidale secondo le condizioni stabilite dalla disciplina.
Per il danneggiato questo aspetto è molto importante.
Per le imprese e soprattutto per le compagnie assicurative lo è ancora di più.
Perché dopo il risarcimento potrebbe aprirsi una seconda controversia:
chi deve sopportare definitivamente il costo del danno?
Ed è qui che nasce il vero problema assicurativo
Le assicurazioni tradizionali sono costruite attorno a categorie relativamente definite:
soggetto assicurato;
attività assicurata;
evento;
danno;
responsabilità;
massimale.
L’intelligenza artificiale rompe parzialmente questo schema.
Un singolo incidente potrebbe infatti coinvolgere contemporaneamente:
RC professionale
per l’errore del professionista che utilizza l’AI;
responsabilità da prodotto
per un difetto del software;
Errors & Omissions
per errori nella prestazione tecnologica;
cyber insurance
quando l’evento coinvolge vulnerabilità, sicurezza informatica o compromissione dei sistemi;
D&O
qualora emergano responsabilità degli amministratori legate alla governance e alla gestione dei rischi;
coperture AI dedicate
che probabilmente diventeranno progressivamente più diffuse.
Il futuro contenzioso potrebbe quindi non riguardare soltanto:
“Chi ha causato il danno?”
ma anche:
“Quale assicuratore deve pagarlo?”
Il rischio dell’accumulo algoritmico
Esiste poi un problema ancora più grande.
Immaginiamo che 50.000 aziende europee utilizzino lo stesso modello AI attraverso servizi cloud.
Un aggiornamento introduce un comportamento errato.
Il problema viene replicato contemporaneamente presso migliaia di clienti.
Non siamo più davanti a migliaia di incidenti statisticamente indipendenti.
Siamo davanti a un’unica causa tecnologica capace di generare migliaia di sinistri correlati.
È il problema dell’accumulo.
Il settore assicurativo lo conosce già nel cyber risk.
L’intelligenza artificiale potrebbe amplificarlo ulteriormente.
Un singolo:
- modello;
- provider cloud;
- aggiornamento;
- dataset;
- componente software;
- servizio API;
potrebbe diventare il punto comune di migliaia o milioni di esposizioni assicurative.
Il rischio AI dovrà essere dichiarato alle assicurazioni?
È plausibile che le compagnie inizino progressivamente a chiedere alle imprese informazioni sempre più dettagliate sull’utilizzo dell’intelligenza artificiale.
Un questionario assicurativo potrebbe domandare:
Quali sistemi AI utilizzate?
Quali processi aziendali dipendono dall’AI?
L’AI prende decisioni autonomamente?
Esiste sempre una supervisione umana?
Quali provider vengono utilizzati?
Sono conservati i log?
Esiste un inventario dei sistemi AI?
Come vengono autorizzati nuovi strumenti?
Come vengono verificati gli aggiornamenti?
Esiste una procedura di AI incident response?
Chi può sospendere immediatamente un algoritmo?
Quali dati vengono trasmessi ai provider?
Esistono sistemi di audit?
Sono utilizzati modelli sviluppati internamente o servizi esterni?
Potremmo quindi assistere alla nascita di una vera e propria:
AI Risk Assessment assicurativa
analogamente a quanto è già accaduto nella cybersecurity.
Governance AI: da obbligo normativo a strumento di difesa
La governance dell’intelligenza artificiale non dovrebbe essere vista soltanto come un adempimento burocratico.
Può diventare una vera forma di protezione giuridica dell’impresa.
Ogni organizzazione dovrebbe essere in grado di ricostruire una catena simile:
chi ha autorizzato il sistema → quale modello è stato utilizzato → quale versione → con quali dati → con quali istruzioni → quale output è stato prodotto → chi lo ha verificato → quale decisione finale è stata presa.
Potremmo definirla:
catena di responsabilità digitale.
In caso di incidente, questa documentazione potrebbe consentire di stabilire se l’errore sia nato:
dal modello;
dai dati;
dall’integrazione;
dal prompt;
dalla configurazione;
dall’aggiornamento;
dall’utilizzatore;
dalla mancata supervisione.
E potrebbe diventare essenziale anche per stabilire quale assicurazione debba intervenire.
Anche le PMI devono prepararsi
Sarebbe un errore considerare questo problema esclusivamente una questione per Google, Microsoft, OpenAI o le grandi multinazionali tecnologiche.
Una piccola agenzia immobiliare potrebbe utilizzare l’AI per analizzare contratti.
Un commercialista per classificare documenti.
Un avvocato per effettuare ricerche.
Un architetto per verificare documentazione tecnica.
Una società di selezione del personale per classificare candidati.
Un’impresa per decidere automaticamente quali clienti sottoporre a determinati controlli.
Una clinica per supportare diagnosi.
Una banca per valutare operazioni.
Il punto decisivo non è quindi soltanto se l’impresa utilizza AI.
È:
quale potere decisionale viene attribuito all’AI?
Esiste una differenza enorme tra:
“l’AI propone, l’uomo verifica e decide”
e
“l’AI decide automaticamente e l’uomo interviene soltanto quando qualcosa va storto”.
Più aumenta l’autonomia, maggiore diventa la necessità di governance, logging, audit e copertura assicurativa.
Cinque casi pratici: chi potrebbe essere chiamato a rispondere?
Caso 1 – Avvocato e sentenza inventata
Un sistema generativo produce precedenti giudiziari inesistenti e il professionista li utilizza senza verificarli.
Possibile area di responsabilità: responsabilità professionale dell’utilizzatore, da valutare secondo le circostanze concrete.
Caso 2 – Software medico difettoso
Un sistema diagnostico presenta un difetto tecnico che impedisce sistematicamente di identificare determinate anomalie.
Possibile area di responsabilità: responsabilità da prodotto, oltre alle eventuali responsabilità sanitarie concorrenti.
Caso 3 – AI industriale
Un algoritmo controlla un macchinario e un difetto provoca un movimento imprevisto che ferisce un lavoratore.
Possibili responsabilità: produttore, integratore e impresa utilizzatrice, a seconda della causa concreta e degli obblighi violati.
Caso 4 – Aggiornamento AI difettoso
Il sistema funzionava correttamente ma un aggiornamento distribuito dal produttore introduce un rischio nuovo.
Possibile responsabilità: particolare rilevanza della responsabilità da prodotto digitale e del controllo mantenuto dal produttore sul software.
Caso 5 – Dipendente usa clandestinamente ChatGPT o altro strumento AI
Un dipendente inserisce dati aziendali riservati in un servizio AI non autorizzato.
Il problema non riguarda necessariamente un prodotto difettoso.
Potrebbe invece coinvolgere:
sicurezza informatica;
protezione dei dati;
obblighi contrattuali;
policy aziendali;
responsabilità organizzativa;
eventuale responsabilità del dipendente.
È il fenomeno della Shadow AI, destinato anch’esso a diventare un importante rischio assicurativo.
La data da ricordare: 9 dicembre 2026
La Direttiva (UE) 2024/2853 dovrà essere recepita dagli Stati membri entro il 9 dicembre 2026.
La nuova disciplina si applicherà ai prodotti immessi sul mercato o messi in servizio a partire da tale data, mentre per quelli precedenti continuerà a operare il precedente regime secondo le disposizioni transitorie.
È quindi una trasformazione ormai imminente, non un problema teorico del futuro remoto.
Il prossimo grande mercato assicurativo potrebbe essere l’AI
Da questa trasformazione potrebbe nascere un mercato assicurativo completamente nuovo.
Le future polizze AI potrebbero combinare elementi di:
RC professionale;
product liability;
cyber insurance;
technology Errors & Omissions;
business interruption;
data liability;
responsabilità degli amministratori.
Potrebbero inoltre nascere premi assicurativi collegati direttamente alla qualità della governance AI.
Un’impresa dotata di:
inventario dei sistemi AI;
audit periodici;
logging;
human oversight;
procedure di incident response;
controllo dei provider;
policy sulla generative AI;
formazione del personale;
sistemi di cybersecurity;
potrebbe rappresentare un rischio assicurativo molto diverso rispetto a un’impresa nella quale chiunque può utilizzare qualsiasi algoritmo senza controllo.
L’assicurazione diventerebbe quindi anche un incentivo economico alla Responsible AI.
Il paradosso dell’intelligenza artificiale
Esiste infine un paradosso particolarmente interessante.
L’intelligenza artificiale potrebbe contemporaneamente:
aumentare il rischio assicurativo
e
ridurre il rischio assicurativo.
Da una parte crea nuove categorie di errore, nuove concentrazioni del rischio e nuovi problemi di responsabilità.
Dall’altra può consentire alle compagnie di analizzare enormi quantità di dati, identificare frodi, prevedere incidenti, individuare anomalie e migliorare enormemente i modelli attuariali.
L’AI potrebbe quindi diventare contemporaneamente:
il rischio da assicurare e lo strumento utilizzato per assicurarlo.
Conclusione: non esiste intelligenza artificiale senza responsabilità
La vera rivoluzione dell’intelligenza artificiale non riguarda soltanto ciò che gli algoritmi saranno capaci di fare.
Riguarda anche ciò che accadrà quando sbaglieranno.
Il diritto europeo sta progressivamente costruendo un sistema nel quale software e sistemi AI entrano pienamente nella disciplina dei prodotti digitali, mentre produttori, provider, integratori, deployer, imprese e professionisti devono confrontarsi con obblighi sempre più strutturati.
Ma il principio più importante potrebbe essere molto più semplice:
l’intelligenza artificiale non elimina la responsabilità umana o aziendale; ne rende più complessa l’attribuzione.
Per questo la domanda che ogni impresa dovrebbe porsi non è più soltanto:
“Come posso utilizzare l’intelligenza artificiale?”
Dovrebbe aggiungerne almeno altre cinque:
Chi controlla l’AI?
Chi verifica le sue decisioni?
Possiamo ricostruire tecnicamente ciò che è accaduto?
Quale soggetto risponde se qualcosa va storto?
E soprattutto: quale assicurazione pagherà il danno?
È probabilmente intorno a queste domande che nei prossimi anni si svilupperà una parte importante del nuovo rapporto tra intelligenza artificiale, diritto, impresa e assicurazioni.