Cosa significa la nuova direttiva UE sulla responsabilità per danno da prodotti per la tua azienda
Per quasi quarant’anni la normativa europea sulla responsabilità per danno da prodotti è stata pensata per un mondo fisico: tostapane difettosi, freni d’auto guasti, alimenti contaminati. Software, algoritmi e servizi digitali vivevano in una zona grigia del diritto, in cui i consumatori avevano poche possibilità di rivalsa e le aziende operavano con pochissime regole chiare.
Quell’epoca è finita. A novembre 2024 l’Unione europea ha adottato la Direttiva (UE) 2024/2853, una revisione profonda delle regole sulla responsabilità per danno da prodotti che porta software, sistemi di AI e prodotti digitali sotto lo stesso regime di responsabilità oggettiva che da tempo disciplina i beni fisici. Ogni Stato membro dovrà recepirla nel diritto nazionale entro il 9 dicembre 2026. Se gestisci un’azienda che sviluppa, distribuisce o integra prodotti digitali in Europa, la cosa ti riguarda direttamente.
Il software è ora un “prodotto” a tutti gli effetti di legge
Il cambiamento più grande della direttiva rivista è ingannevolmente semplice: il software è ufficialmente un prodotto. Rientrano applicazioni autonome, firmware integrato, piattaforme SaaS in cui il fornitore mantiene il controllo e sistemi di AI di ogni tipo. Con la vecchia direttiva del 1985, un algoritmo difettoso che causava un danno economico o una falla di sicurezza in un’applicazione cloud finivano in una terra di nessuno della responsabilità. In alcuni casi si applicava il diritto contrattuale, in altri le regole generali sulla negligenza, ma la responsabilità oggettiva da prodotto quasi mai.
Con le nuove regole, responsabilità oggettiva significa che chi chiede il risarcimento non deve dimostrare la negligenza dello sviluppatore, ma solo che il software era difettoso e che il difetto ha causato un danno. Anche la definizione di “difetto” si è ampliata. Un prodotto digitale può essere considerato difettoso per vulnerabilità di cybersecurity, per la mancata fornitura degli aggiornamenti di sicurezza necessari oppure, nel caso dei sistemi di machine learning, per il mancato apprendimento corretto dai dati di addestramento.
Le conseguenze sono concrete. La vecchia soglia di 500 euro per le richieste di risarcimento dei danni alle cose è stata eliminata, quindi anche gli incidenti di piccolo valore sono ora perseguibili. Il precedente massimale di responsabilità aggregata di 500 milioni di euro per tipo di prodotto è sparito del tutto. Per le piccole e medie imprese che lavorano con margini più stretti, una singola vulnerabilità trascurata o una patch mancata potrebbe far scattare richieste che prima erano troppo piccole da perseguire o troppo difficili da vincere.
Il problema della “scatola nera” dell’AI trova una risposta giuridica
La disposizione forse più lungimirante della direttiva affronta un problema che ha messo in difficoltà regolatori e ricorrenti: come si dimostra che un sistema di AI è difettoso quando nemmeno chi lo ha sviluppato riesce a spiegare del tutto come prende le decisioni?
La direttiva introduce una presunzione relativa di difettosità. Quando la complessità tecnica di un prodotto rende eccessivamente difficile per il ricorrente provare il difetto o dimostrare il nesso causale, una situazione quasi su misura per i sistemi di AI opachi, i giudici possono presumere che il prodotto fosse difettoso una volta che il ricorrente presenta un caso plausibile. L’onere di dimostrare il contrario passa poi al produttore.
I giudici possono anche ordinare alle aziende di rendere disponibili le prove tecniche rilevanti. In caso di rifiuto, il tribunale può semplicemente presumere la difettosità. Per le aziende che sviluppano o utilizzano l’AI, il messaggio pratico è chiaro: spiegabilità e logging non sono più soltanto buone pratiche o aspirazioni etiche. Sono necessità legali. Se il tuo sistema causa un danno e non sai spiegare perché, i tribunali europei hanno ora gli strumenti per ritenerti comunque responsabile.
Questa disposizione lavora in tandem con l’AI Act europeo (Regolamento (UE) 2024/1689), che stabilisce obblighi basati sul rischio per i sistemi di AI. Pur non creando uno scudo contro la responsabilità, la conformità all’AI Act può servire come prova contro la presunzione di difettosità, e dà alle aziende un forte incentivo ad allinearsi a entrambi i quadri normativi.
Chi è responsabile lungo la catena di fornitura
La direttiva affronta anche un problema noto a chiunque abbia provato a risolvere un reclamo su un prodotto acquistato da un venditore extra-UE tramite un marketplace online. Con le vecchie regole, se non era possibile individuare un produttore o un importatore con sede nell’UE, il consumatore restava spesso senza una possibilità concreta di azione.
Ora marketplace online e fornitori di servizi di logistica possono essere considerati responsabili quando nessun operatore economico con sede nell’UE risponde del prodotto. Questo sposta un rischio considerevole sulle piattaforme e sulle imprese europee che distribuiscono o integrano componenti di terze parti provenienti da fuori dell’UE.
Per le PMI significa che la due diligence sulla catena di fornitura è più importante che mai. Se integri componenti software di terze parti, comprese librerie open source, in un prodotto commerciale, rispondi dei difetti del prodotto finale. La direttiva esclude i contributi open source davvero non commerciali, ma nel momento in cui quel codice entra in un’offerta commerciale, il rischio è di chi la vende.
Secondo la valutazione d’impatto della Commissione europea, solo il 6% circa dei consumatori che avevano subito danni da prodotti difettosi aveva chiesto un risarcimento, con tassi di successo bassi. Le nuove disposizioni sull’onere della prova dovrebbero far crescere le richieste accolte dal 20 al 30%: un dato che dovrebbe richiamare l’attenzione sui processi di controllo qualità e collaudo.
Passi pratici per le PMI europee
Con la scadenza di recepimento di dicembre 2026 che si avvicina, le aziende dovrebbero muoversi adesso senza aspettare che la normativa nazionale di attuazione si cristallizzi. Alcune misure meritano attenzione immediata.
Rivedi la qualità e le politiche di aggiornamento
La direttiva crea una responsabilità continuativa per i prodotti che diventano difettosi dopo la vendita a causa di patch di sicurezza o aggiornamenti software mancanti. L’approccio “rilascia e dimentica” non è più praticabile. Documenta le tue politiche di aggiornamento, mantieni un calendario delle patch e conserva i registri delle vulnerabilità note e dei tempi di risposta.
Investi in documentazione e tracciabilità
Registri dettagliati di scelte progettuali, valutazioni del rischio, protocolli di test e processi di addestramento dell’AI sono la tua principale difesa contro le richieste di risarcimento. Con l’onere della prova ribaltato per i prodotti tecnicamente complessi, poter dimostrare la dovuta diligenza non è facoltativo.
Verifica le coperture assicurative
Le polizze tradizionali di responsabilità da prodotto sono state scritte per i beni fisici. Molte non coprono in modo adeguato difetti del software, incidenti legati all’AI o corruzione dei dati, che ora rientrano tutti nell’ambito risarcitorio della direttiva. Rivedi la copertura con il tuo assicuratore e adeguala prima che arrivino le richieste, non dopo.
Mappa la tua catena di fornitura
Individua ogni componente di terze parti presente nei tuoi prodotti digitali, verifica se dietro ciascuno c’è un operatore economico con sede nell’UE e valuta le tutele contrattuali di cui disponi. Dove ci sono lacune, colmale con accordi con i fornitori o cercando alternative.
La fine della zona grigia
La direttiva rivista sulla responsabilità per danno da prodotti non è una norma isolata. Si affianca all’AI Act, al Cyber Resilience Act e alla più ampia strategia del mercato unico digitale, nell’ambito di uno sforzo complessivo per allineare il quadro giuridico dell’UE all’economia digitale, un’economia che oggi pesa per oltre il 15% del PIL dell’UE.
Per le PMI europee il messaggio è semplice. L’immunità informale di cui godevano software e servizi digitali con le vecchie regole sulla responsabilità è finita. Le aziende che si adattano per tempo (rafforzando i processi di controllo qualità, documentando le proprie decisioni e comprendendo la propria catena di fornitura) saranno le meglio posizionate nel nuovo regime. Chi considera dicembre 2026 un problema di qualcun altro potrebbe scoprire che la prima richiesta arriva prima che siano pronti.