“Mi dispiace, David, purtroppo non posso farlo.”

Se siete appassionati di cinema, ricorderete questa sequenza memorabile di 2001: Odissea nello spazio; quella in cui  HAL 9000, l’intelligenza artificiale che gestisce l’astronave, rifiuta di aprire il portellone di ingresso al protagonista, David, che ha appena recuperato nello spazio il cadavere del suo collega.

HAL prende questa decisione in totale autonomia, dopo aver scoperto che i due uomini avevano intenzione di spegnerlo, perché sospettavano fosse difettoso. E lo scopre leggendo le loro labbra, attraverso una telecamera, mentre discutono tra loro in una stanza insonorizzata, per non farsi sentire da lui.

Il film è del 1968 ma anticipa in modo formidabile molte tematiche che oggi, nel 2025, sono salite alla ribalta delle cronache: la delega alle AI di processi decisionali; la convivenza con gli umani sui luoghi di lavoro (!); i rischi per la privacy. E l’eterno dilemma: quanto è sicura un’intelligenza priva di coscienza? Può comunque essere ritenuta imputabile di un crimine, o perlomeno di un danno causato a persone o cose?

E se la risposta è negativa, allora chi deve essere chiamato a rispondere?

La domanda non è più un mero esercizio giuridico: oggi l’AI guida auto, supporta diagnosi mediche, decide l’esito di prestiti e seleziona le candidature per un posto di lavoro. È, insomma, entrata a tutti gli effetti nelle nostre vite.

Capire quali sono i termini giuridici in cui muoversi, diventa indispensabile. Per tutti.

Come sempre, proviamo a fare chiarezza. 

In che modo l’AI puo’ causare danni?

La maggior parte di noi utilizza l’AI come una chat evoluta a cui chiedere consigli di carattere personale o professionale. Ma l’AI ha molte altre applicazioni pratiche. Una di queste, sono le automobili a guida autonoma, “supercar” che possono fare a meno del conducente perché in grado di prendere decisioni di movimento a seconda dell’ambiente e delle condizioni del traffico.

Nel 2018, in Arizona, un veicolo a guida autonoma di Uber ha investito e ucciso una donna, Elaine Herzberg, che stava spingendo una bicicletta attraverso una strada a quattro corsie. Il veicolo era in modalità self drive, ma al volante era seduto una conducente “di riserva” umana. La tragedia ha fatto esplodere dubbi e domande: chi doveva rispondere dell’accaduto? La conducente che era lì ma non ha fatto niente? Il programmatore che non ha previsto una simile evenienza? L’azienda che ha progettato l’auto? Il Comune che ha consentito la circolazione dei veicoli a guida autonoma?

Forse, tutti hanno una dose di responsabilità. Ma in che misura? E come andrebbe calcolata?

Esistono molte altre situazioni in cui l’AI può commettere errori:

• un’AI di trading fa una previsione sbagliata, facendo perdere denaro agli investitori;
• un apparecchiatura biomedica con AI commette un errore che porta a una diagnosi sbagliata;
• un’AI di un’agenzia del lavoro che scarta validi candidati in base al genere o all’età.

Sono tutti casi veri. E potremmo continuare a lungo.

Intelligenza artificiale e responsabilità: il contesto giuridico di riferimento (in parole semplici)

Prima di addentrarci nei meandri della responsabilità dei danni dell’AI, è indispensabile capire il contesto in cui andiamo a muoverci.

Con “responsabilità civile” intendiamo l’insieme delle norme che ci permettono di individuare i soggetti responsabili di un danno e capire se, e in che misura, devono corrispondere un risarcimento a chi l’ha subito (direttamente o indirettamente).

Il diritto distingue due binari che è bene tenere presenti:

• Responsabilità contrattuale. In questo caso c’è un contratto tra le parti che identifica determinati obblighi (es. obblighi di pagamento). Se un obbligo contrattuale viene violato (es. un prodotto acquistato funziona male, oppure il pagamento non arriva), la responsabilità viene misurata in base agli accordi presi e alle normative di riferimento (Es. il Diritto del Consumatore per la politica dei resi etc.)

• Responsabilità extra-contrattuale. Qui la situazione si fa più delicata, perché questo livello di responsabilità trascende il campo giuridico per entrare nell’ambito della morale e dell’etica. Questa responsabilità si fonda sul principio di neminem laedere: non ledere gli altri. Chi cagiona un danno ingiusto, deve risarcirlo. Anche se non ci sono contratti di mezzo.

Ad esempio, se lasciamo cadere a pezzi una parte del nostro tetto, la tegola cade e prende in pieno un ignaro passante, sicuramente saremo responsabili del suo bernoccolo, perché pur sapendo che il tetto era pericoloso, non abbiamo fatto nulla per evitare il possibile danno. Il campo è talmente vasto che non basterebbe Internet a contenerne gli esempi.

Esiste poi l’ambito della responsabilità penale, ancora più delicato: la violazione di una legge penale, ovvero un “reato”, può comportare non solo sanzioni pecuniarie ma anche detentive (come la reclusione o gli arresti domiciliari). In questo articolo, ci limiteremo a considerare solo gli aspetti che interessano strettamente le situazioni più direttamente collegabili all’AI.

Le cause del risarcimento danni: dolo, negligenza, imprudenza, inesperienza

Di norma, per identificare una persona come responsabile di un danno è necessario far risalire l’evento a:

• Condotta dolosa ovvero consapevolezza e volontà di causare il danno. Esempio: un vicino mi “frega” il parcheggio e io per vendetta prendo a martellate la sua auto. Denuncia sicura; risarcimento danni altrettanto ovvio; psicologo per la gestione della rabbia, altamente consigliato.
• Negligenza: mi rendo conto che una situazione di cui sono responsabile potrebbe causare danni a terzi e non faccio nulla per evitarlo(come nel già citato caso del tetto che cade a pezzi).
• Imprudenza: al grido di “tanto mi oriento benissimo” mi infilo con il suv in una mulattiera di montagna e finisco giù per il pendio, dritto dritto dentro una stalla, buttando giù i recinti e spaventando a morte le pecore. Il contadino mi chiede i danni.
• Inesperienza: sono uno sciatore alle prime armi ma cerco di impressionare gli amici cimentandomi con una pista per veri esperti. Risultato: investo 3 persone, due riportano contusioni multiple, una si rompe una gamba (e mi chiede i danni).

Sono esempi molto triviali, la realtà può rivelarsi molto più complessa, ma servono a rendere l’idea. Rileggeteli. Sapete cosa hanno in comune? Si riferiscono tutti a comportamenti tipicamente umani, che si rifanno al concetto di volontà: volontà di agire, di non agire, o di agire male. Ma l’AI non ha una volontà propria, perché non ha una coscienza. Applicare queste categorie all’AI è impossibile, perché crea attriti concettuali e probatori.

Il danno però, rimane.

Ma se l’AI non è un soggetto attivo, perché manca di volontà… allora, cos’è? Come possiamo inquadrarla giuridicamente?

L’AI come “prodotto digitale”: un vestito troppo stretto

Ad oggi, il diritto tende a trattare l’AI come un prodotto: quindi, in caso di “malfunzionamento” si applicano le regole sulla sicurezza e sulla responsabilità per prodotto difettoso. Che, attenzione!, non ricadono solo sui produttori (manufacturer) ma anche su chi realizza i componenti, i fornitori di materie prime, gli assemblatori, o anche chi appone il proprio marchio presentandosi come produttore (magari di prodotti creati in “etichetta bianca” da terzisti, come spesso accade nella cosmesi).

A nostro avviso, questa interpretazione è fortemente limitante. L’AI non dovrebbe essere considerata un mero “prodotto”. Questo perché un prodotto è…

a) replicabile, ovvero realizzato in serie

b) sempre uguale a se stesso

c) risponde a criteri definiti.

Un tostapane è un tostapane. Se gli fai fare tanti toast, non imparerà da solo come fare un hamburger. L’AI invece sì: impara e può anche migliorare la ricetta, per poi sgridarti perché non mangi abbastanza verdura. È il principio del machine learning, che permette alle AI di apprendere e cambiare comportamento nel tempo. Inquadrare i suoi errori come “difetti” standard, inoltre non è sempre adeguato (è un malfunzionamento o ti ha semplicemente dato una risposta che non ti piace?).

Ma questo dovremmo saperlo tutti, molto bene: è proprio perché non è un prodotto che all’AI vengono delegate mansioni gestionali, anche delicate (e al tostapane, no).

Questo distingue l’AI anche dai suoi “cugini” software classici, nati per eseguire istruzioni predefinite. L’AI, invece, apprende dai dati e adatta le decisioni all’esperienza. Risultato: i comportamenti possono diventare non completamente prevedibili persino per chi ha progettato il sistema.

E allora, in caso di danno, chi chiamiamo a pagare il conto?

Chi c’è “dietro” l’AI? La catena delle responsabilità 

Recita il diritto: machina delinquere non potest. Le macchine non possono commettere crimini.

Se l’AI è un “prodotto digitale”, ovvero una macchina, allora la responsabilità del danno va cercata all’interno della sua filiera produttiva.

Possibili “anelli” della catena sono:

• lo sviluppatore dell’algoritmo,
• il programmatore,
• il produttore del sistema AI (es. OpenAI, Google, Microsoft etc.),
• il fornitore,
• il manutentore,
• l’utilizzatore finale.

Torniamo al caso di Elaine Herzberg: la guidatrice di riserva al volante, Rafaela Vasquez, nel 2023 è stata dichiarata colpevole, perché secondo il regolamento di Uber, avrebbe dovuto comunque vigilare sulla condotta dell’auto ed eventualmente intervenire; si era invece fidata totalmente dell’AI e stava guardando il suo cellulare al momento dello schianto. Quindi, è stata riconosciuta la negligenza (ma non il dolo) dell’utilizzatore finale. Prima della sentenza, tuttavia, sia l’automobile sia il software della guida autonoma sono stati sottoposti a perizia per verificarne eventuali malfunzionamenti.

E non sono mancate le polemiche. Un analista aveva ipotizzato che forse il software aveva compiuto una scelta, perché Elaine stava attraversando in un punto in cui i pedoni dovrebbero dare precedenza alle auto e non avendo una coscienza in grado di mettere la vita umana al di sopra del rispetto delle regole, non si era fermato. Una successiva analisi ha smentito questa possibilità. Ma potrebbe verificarsi una situazione simile, in altre circostanze?

Supponiamo che un’auto a guida autonoma si trovi davanti all’improvviso un bambino che insegue un pallone: per schivarlo, deve accettare di finire nella carreggiata opposta, rischiando un incidente che mette in pericolo la vita dei suoi passeggeri. Come può un software privo di coscienza prendere una decisione simile?

Per riuscirci, è necessario che sia stato adeguatamente programmato e “allenato” con un set di dati in grado di fornirgli le informazioni necessarie a prendere decisioni autonome. Ma se l’essere umano che lo programma, non prevede una possibilità che può effettivamente realizzarsi, anche quella è negligenza, ed è giusto che sia chiamato a risponderne.

l problema pratico è la prova: se non ho accesso al codice o ai registri decisionali, come dimostro dove si è verificato l’errore? E se gli output dipendono da dati e training non trasparenti, o peggio, inquinati da bias informativi? L’AI rende frequenti le “asimmetrie informative” tra chi subisce il danno e chi controlla la tecnologia.

Un altro caso pratico, avvenuto sempre negli Stati Uniti: nel 2019 la rivista “Science” ha pubblicato uno studio che dimostrava come un algoritmo, utilizzato per decidere chi inserire in programmi sanitari speciali, discriminasse i pazienti neri. È opportuno ricordare che il sistema sanitario negli USA è essenzialmente privato e spesso al centro di dibattito. Il sistema AI in questione si basava sui costi sanitari passati per stimare i bisogni di cura: a causa di una lunga storia di discriminazione anche economica, gli afroamericani, mediamente, hanno una spesa sanitaria minore, non perché più sani ma perché hanno meno possibilità di accedere a cure costose.

Basandosi solo sul criterio di spesa, l’algoritmo li classificava come pazienti a rischio sanitario più basso, escludendoli da programmi sanitari speciali (ad esempio, per malattie croniche). Alcuni afroamericani, per colpa di questo algoritmo, non hanno avuto accesso a cure agevolate a cui avrebbero avuto diritto; pazienti bianchi più “sani” invece sì. Ma come si individua, in un caso del genere, la responsabilità? È colpa dell’azienda che ha configurato l’algoritmo “insegnandogli” su quali dati basarsi? O è anche colpa della software house che lo ho creato e che non ha inserito preventivamente sistemi di controllo anti-discriminazione?

In breve: la responsabilità può essere “diffusa” lungo la filiera, ma dimostrarla è spesso la parte più difficile.

L’AI Act: il nuovo quadro Europeo (e cosa cambia davvero)

Nel 2024 l’UE ha approvato l’Artificial Intelligence Act (Regolamento (UE) 2024/1689): è il primo quadro organico al mondo sull’AI.

L’AI Act non decide direttamente chi paga i danni o chi è colpevole di reato, ma costruisce un ecosistema di obblighi che incide su come l’AI deve essere progettata, validata, documentata e sorvegliata. Il principio è chiaro: se la legge impone a monte registri, tracciabilità, supervisione e ruoli chiari, a valle diventa più semplice ricostruire i fatti e attribuire responsabilità (civile o regolatoria).

È il senso dell’approccio europeo orientato alla prevenzione del rischio (si veda anche il quadro di policy della Commissione).

Un’analisi divulgativa e aggiornata sul perché questo impianto “plasma” il futuro dell’AI in Europa è disponibile su Agenda Digitale (luglio 2025), un articolo che vale la pena leggere.

Ecco i punti salienti della nuova normativa:

1) Classificazione del rischio

Ogni “prodotto” di intelligenza artificiale andrà catalogato secondo una scala di rischio:

• Rischio inaccettabile (art. 5): vietato.

Esempi: le pratiche di manipolazione subliminale; il “social scoring” generalizzato (sul modello cinese); alcune forme di sorveglianza e categorizzazione biometrica.

•  Alto rischio (art. 6): ammesso ma con obblighi stringenti; la regola sta nell’art. 6 (classificazione) e nell’intero Capo III (requisiti, obblighi, valutazioni). 

Esempi: algoritmi sanitari che supportano diagnosi mediche o decidono i piani terapeutici; sistemi di triage automatizzato nei pronto soccorso; software di selezione e valutazione dei candidati (screening CV, video-interviste analizzate da AI); algoritmi che gestiscono credito e prestiti bancari, decidendo se concedere un mutuo o un finanziamento; sistemi che valutano l’accesso a prestazioni sociali o a sussidi pubblici; algoritmi usati in indagini giudiziarie o nella valutazione del rischio di recidiva; AI che controllano reti energetiche, trasporti, approvvigionamento idrico; sistemi che guidano la circolazione ferroviaria o aerea.

Per i sistemi ad alto rischio, il Regolamento pretende tracciabilità e governance dei dati, registri automatici, sorveglianza umana e robustezza (tra gli altri: art. 10 sui dati; art. 14 sulla human oversight; art. 19 sui logs)

3) Responsabilità lungo la catena del valore

L’AI Act esplicita doveri e accountability per fornitori, importatori, distributori, utilizzatori (deployers), articolando chi fa cosa e quando (art. 25 “Responsibilities along the AI value chain”). Questo non sostituisce il codice civile o penale, ma aiuta a individuare chi doveva prevenire il rischio (documentare, testare, sorvegliare) e non lo ha fatto.

4) Trasparenza e diritti

Tra i rimedi procedurali, il diritto a una spiegazione per le decisioni individuali automatizzate (art. 86) rafforza la posizione di chi subisce l’esito di un sistema di AI, facilitando la contestazione e la tutela davanti alle autorità competenti.

E allora: chi paga davvero?

• Nell’ambito della responsabilità civile, dipende dal binario (contratto o extra-contratto) e da chi (lungo la filiera) ha violato doveri di diligenza, sicurezza, informazione o controllo. Ma la qualifica dell’AI come prodotto si rivela fortemente limitante quando il comportamento deriva da apprendimento e scelte non pienamente prevedibili dagli “umani” in cima alla filiera.
• Nel penale; anche qui, la macchina non è mai imputabile .Si guarda alle condotte umane (progettazione, messa in servizio, manutenzione, uso, omissioni rilevanti) e alla prevedibilità dell’evento. La UE ha scelto un approccio di governo del rischio: non assegna “colpe” per legge, ma spinge a prevenire, tracciare e spiegare. È qui che si gioca, oggi, la vera tutela delle persone e la certezza per le imprese.

In altri termini: in base all’AI Act, HAL 9000 è assolto: una macchina può prendere decisioni contro-intuitive per noi umani. Ma nel diritto non è (e non diventa) un soggetto imputabile: la responsabilità resta umana, distribuita tra chi progetta, fornisce e utilizza.

Il punto debole è che documentazione, trasparenza e log diventano cruciali: senza accesso a dati, modelli e registri decisionali, provare un malfunzionamento o una negligenza rimane difficilissimo.

La strada è ancora lunga. Andiamo avanti adagio, un prompt alla volta.

(embed del video dal canale YouTube per cinefili AntoniusBlock)