/ Published in Articoli

La responsabilità civile per i danni alla salute causati dall’intelligenza artificiale in ambito sanitario

Sintesi: L’impiego crescente dell’intelligenza artificiale (AI) nei processi diagnostici, terapeutici e decisionali pone il problema dell’individuazione del regime di responsabilità applicabile quando il suo utilizzo provochi un danno alla salute. L’ordinamento italiano ed europeo non richiede la costruzione di un autonomo sistema di responsabilità civile per l’AI, ma impone un coordinamento tra gli strumenti già esistenti. Quando il danno deriva dalla difettosità del sistema di AI, trova applicazione la Direttiva (UE) 2024/2853 sulla responsabilità da prodotti difettosi; quando, invece, il danno rappresenta la concretizzazione del rischio inerente alle attività di progettazione, addestramento, aggiornamento, monitoraggio o gestione del sistema, può trovare applicazione l’art. 2050 c.c. quale disciplina dell’attività pericolosa. Più limitato appare il ricorso all’art. 2051 c.c., mentre restano ferme le regole proprie della responsabilità della struttura sanitaria e dell’esercente la professione sanitaria. Il contributo propone un’interpretazione sistematica dei diversi regimi di responsabilità, evidenziandone l’ambito di applicazione e i possibili rapporti di concorso. La disciplina dell’art. 2050 risulta preferibile ai fini dell’ottimizzazione delle chance di ottenimento del risarcimento, presentando indubbi vantaggi, rispetto alla disciplina europea sui danni da prodotto difettoso e al diritto interno sui danni da cose in custodia, sia sul piano del riparto dell’onere probatorio sia su quello del termine di prescrizione e decadenza. 

Indice:

Introduzione

L’intelligenza artificiale sta modificando profondamente l’organizzazione dell’assistenza sanitaria, assumendo un ruolo sempre più rilevante nei processi di prevenzione, diagnosi, monitoraggio e cura. I sistemi di AI sono oggi impiegati, tra l’altro, nell’interpretazione di immagini diagnostiche, nella stratificazione del rischio clinico, nella medicina personalizzata, nella chirurgia robotica e nei sistemi di supporto alle decisioni mediche.

L’elevata complessità di tali tecnologie, unita alla loro capacità di apprendere, aggiornarsi e modificare il proprio funzionamento nel tempo, rende particolarmente delicata l’individuazione del soggetto chiamato a rispondere quando il loro impiego provochi un danno al paziente.

Il problema non consiste soltanto nello stabilire se il danno sia stato causato da un errore umano o dal sistema di AI, ma soprattutto nell’individuare il regime di responsabilità più idoneo in relazione alla concreta origine dell’evento lesivo. Il danno, infatti, può derivare da un difetto di progettazione del software, da errori nell’addestramento dell’algoritmo, da dati di input incompleti o inaccurati, da aggiornamenti non correttamente eseguiti, da carenze nell’attività di monitoraggio successiva alla commercializzazione ovvero da un utilizzo improprio da parte degli operatori sanitari.

Ne consegue che non esiste un unico modello di responsabilità civile applicabile ai danni prodotti dall’intelligenza artificiale. Al contrario, la disciplina deve essere ricostruita attraverso il coordinamento tra i diversi strumenti offerti dall’ordinamento, ciascuno destinato a operare in funzione della specifica fonte del rischio che ha determinato il danno.

In tale prospettiva assumono particolare rilievo la Direttiva (UE) 2024/2853 sulla responsabilità per danno da prodotti difettosi, il Regolamento (UE) 2024/1689 (AI Act), le norme del codice civile sulla responsabilità per esercizio di attività pericolose e per danno cagionato da cose in custodia, nonché la disciplina della responsabilità sanitaria introdotta dalla legge n. 24 del 2017.

La tesi sostenuta nel presente contributo è che tali discipline non siano tra loro alternative, bensì complementari: ciascuna trova applicazione in relazione alla diversa causa del danno e al diverso soggetto che ha creato, gestito o avrebbe dovuto controllare il rischio.

Le possibili cause del danno da intelligenza artificiale in medicina

L’individuazione del regime di responsabilità presuppone l’accertamento della concreta origine del danno. I sistemi di intelligenza artificiale possono infatti arrecare pregiudizi alla salute attraverso modalità profondamente differenti, che coinvolgono fasi diverse del loro ciclo di vita.

Una prima ipotesi ricorre quando il danno deriva dalla difettosità del prodotto, come nel caso di errori di progettazione, sviluppo o fabbricazione del software, di istruzioni d’uso inadeguate, di aggiornamenti difettosi o di livelli di sicurezza inferiori a quelli che il pubblico può legittimamente attendersi. In tali casi il sistema di AI si presenta come un prodotto difettoso, con conseguente applicazione della disciplina europea sulla responsabilità da prodotto.

Diversa è l’ipotesi in cui il danno costituisca la concretizzazione del rischio derivante dalle attività di progettazione, addestramento, validazione, aggiornamento, monitoraggio o gestione del sistema di AI. In tali situazioni il profilo centrale non è rappresentato dal difetto del prodotto, bensì dalla pericolosità dell’attività economica svolta dai soggetti che sviluppano, mantengono o governano il funzionamento dell’intelligenza artificiale.

Ulteriori ipotesi possono riguardare l’utilizzo improprio del sistema da parte della struttura sanitaria o dell’esercente la professione sanitaria, l’omessa verifica della correttezza degli output prodotti dall’algoritmo, la violazione delle istruzioni del produttore ovvero l’impiego del sistema al di fuori delle condizioni previste per il suo utilizzo.

La molteplicità delle possibili cause dell’evento lesivo esclude che possa individuarsi un’unica disciplina applicabile a tutte le fattispecie. Il corretto inquadramento giuridico richiede, invece, di individuare, caso per caso, la fonte del rischio concretizzatosi nel danno e il soggetto sul quale gravava il dovere di prevenirlo.

La responsabilità da prodotto difettoso nella Direttiva (UE) 2024/2853

La principale innovazione introdotta dal legislatore europeo è rappresentata dalla Direttiva (UE) 2024/2853 del Parlamento europeo e del Consiglio del 23 ottobre 2024, destinata a sostituire la Direttiva 85/374/CEE e ad adeguare la disciplina della responsabilità da prodotto all’evoluzione tecnologica, includendovi espressamente il software e i sistemi di intelligenza artificiale.

La Direttiva amplia il concetto di prodotto, ricomprendendovi anche il software, indipendentemente dalla modalità di distribuzione, e considera rilevanti, ai fini della responsabilità, gli aggiornamenti, gli upgrade e le modifiche che incidano sulla sicurezza del sistema. Particolare rilievo assume inoltre la disciplina relativa ai prodotti capaci di continuare ad apprendere o modificare il proprio funzionamento dopo l’immissione sul mercato, fenomeno particolarmente frequente nei sistemi di AI.

Elemento centrale della disciplina è la nozione di difetto, che non coincide con il malfunzionamento tecnico del prodotto, ma consiste nella mancata offerta del livello di sicurezza che il pubblico può ragionevolmente attendersi, tenuto conto di tutte le circostanze del caso concreto. La valutazione della sicurezza deve considerare, tra gli altri elementi, la presentazione del prodotto, l’uso ragionevolmente prevedibile, gli aggiornamenti disponibili, le interazioni con altri prodotti e le caratteristiche proprie dei sistemi dotati di capacità evolutive.

La responsabilità disciplinata dalla Direttiva è oggettiva e prescinde dalla prova della colpa del produttore. Il danneggiato è tenuto a dimostrare il danno, il difetto del prodotto e il nesso causale tra difetto ed evento lesivo, mentre il produttore può liberarsi dalla responsabilità soltanto nelle ipotesi tassativamente previste dalla normativa europea.^1

La Direttiva individua come principali destinatari della responsabilità il produttore e gli altri operatori economici della filiera che, secondo le specifiche circostanze del caso, assumano un ruolo tale da giustificare l’imputazione del rischio derivante dalla commercializzazione del prodotto difettoso.^2

L’introduzione della nuova disciplina non esaurisce, tuttavia, i problemi posti dall’intelligenza artificiale. Essa regola esclusivamente le ipotesi in cui il danno derivi dalla difettosità del prodotto, ma non disciplina tutte quelle situazioni nelle quali l’evento lesivo costituisca la concretizzazione del rischio derivante dall’attività di sviluppo, gestione o controllo del sistema. Proprio in tale ambito acquista rilievo l’art. 2050 c.c., la cui applicabilità ai sistemi di intelligenza artificiale costituisce uno dei profili più interessanti del dibattito dottrinale.

L’applicabilità dell’art. 2050 c.c. ai sistemi di intelligenza artificiale

La disciplina della responsabilità da prodotto difettoso non esaurisce le possibili ipotesi di danno derivante dall’impiego dell’intelligenza artificiale in ambito sanitario. Vi sono, infatti, situazioni nelle quali l’evento lesivo non è riconducibile alla difettosità del prodotto, bensì al rischio insito nell’attività di progettazione, addestramento, validazione, aggiornamento, monitoraggio o gestione del sistema di AI.

In tali casi assume rilievo l’art. 2050 c.c., secondo cui chiunque cagioni un danno nello svolgimento di un’attività pericolosa è tenuto al risarcimento se non prova di avere adottato tutte le misure idonee a evitarlo.^3

La norma, pur non definendo il concetto di attività pericolosa, è stata costantemente interpretata dalla giurisprudenza in senso estensivo, ricomprendendovi non soltanto le attività espressamente qualificate come tali dalla legge, ma anche quelle che, per la natura dei mezzi impiegati, per le modalità di esercizio o per l’elevata probabilità di arrecare danni particolarmente gravi, presentino un rischio superiore alla normale tollerabilità.^4

L’intelligenza artificiale utilizzata in medicina possiede caratteristiche che consentono di prospettarne l’inquadramento nell’ambito dell’art. 2050 c.c. Si tratta, infatti, di sistemi destinati a incidere direttamente su beni costituzionalmente protetti quali la vita e la salute, il cui funzionamento dipende da processi tecnologici complessi e da attività continue di sviluppo, addestramento, validazione e sorveglianza. L’eventuale errore del sistema può determinare conseguenze particolarmente gravi, soprattutto quando l’AI viene impiegata per formulare diagnosi, suggerire trattamenti o supportare decisioni cliniche.

La pericolosità, tuttavia, non deriva dalla mera esistenza dell’algoritmo, bensì dall’attività economica complessivamente svolta per realizzarlo e mantenerlo operativo. È questa attività — caratterizzata dalla gestione di rischi tecnologici elevati e dalla necessità di un controllo costante — che può integrare l’esercizio di un’attività pericolosa ai sensi dell’art. 2050 c.c.

Ne consegue che la responsabilità potrebbe gravare sui soggetti che, in relazione al concreto assetto organizzativo, esercitano tale attività e sono tenuti ad adottare tutte le misure tecniche e organizzative necessarie a prevenire il verificarsi del danno.

L’onere probatorio previsto dall’art. 2050, come vedremo nel dettaglio nel successivo paragrafo, assume particolare rilievo in questo contesto. Il soggetto che esercita l’attività non può limitarsi a dimostrare di avere rispettato gli standard generalmente adottati nel settore, ma deve provare di avere posto in essere tutte le misure concretamente idonee a evitare il danno. Si tratta di una prova particolarmente rigorosa, coerente con la funzione preventiva della norma e con l’elevato livello di rischio che caratterizza determinate applicazioni dell’intelligenza artificiale in medicina.

Inoltre, rispetto sia alla Direttiva (UE) 2024/2853 sia all’art. 2051 c.c., l’art. 20250 offre una tutela più ampia sotto diversi profili: presupposti applicativi, soggetti passivamente legittimati, prova, prescrizione e ampiezza della fattispecie.

Il precedente della responsabilità per farmaci e dispositivi medici

L’applicazione dell’art. 2050 c.c. ai sistemi di intelligenza artificiale trova un significativo precedente nella giurisprudenza e nella dottrina sviluppatesi in materia di farmaci e dispositivi medici.^5

È stato infatti osservato che la produzione e la commercializzazione di prodotti destinati a incidere sulla salute umana costituiscono attività caratterizzate da un livello di rischio intrinseco particolarmente elevato. Tale rischio non si esaurisce nella fase della progettazione o della fabbricazione del prodotto, ma permane anche dopo la sua immissione sul mercato, imponendo al produttore obblighi continui di controllo, raccolta delle segnalazioni, monitoraggio degli effetti avversi e, ove necessario, aggiornamento delle informazioni di sicurezza o ritiro del prodotto.

Secondo tale impostazione, la pericolosità non coincide con il singolo bene immesso in commercio, bensì con l’intera attività economica che ne consente la realizzazione e la permanenza sul mercato. Il prodotto rappresenta soltanto lo strumento attraverso il quale si manifesta il rischio generato dall’attività esercitata.

Questa ricostruzione appare suscettibile di essere estesa anche ai sistemi di intelligenza artificiale. Analogamente ai farmaci e ai dispositivi medici, essi richiedono infatti un’attività permanente di progettazione, addestramento, validazione, aggiornamento e sorveglianza, destinata a proseguire anche dopo la loro commercializzazione. Nei sistemi dotati di capacità adattive o di apprendimento continuo tale esigenza risulta ancora più evidente, poiché il comportamento dell’algoritmo può evolversi nel tempo in funzione dei dati elaborati o delle modifiche successivamente introdotte.

In questa prospettiva il rischio non deriva esclusivamente dall’eventuale difettosità del software, ma anche dall’insufficiente controllo dell’attività attraverso la quale il sistema viene sviluppato, mantenuto e continuamente verificato. L’art. 2050 c.c. appare pertanto idoneo a disciplinare quelle ipotesi nelle quali il danno costituisce la conseguenza della gestione di tale attività, indipendentemente dall’esistenza di un difetto del prodotto in senso tecnico.

Questa impostazione risulta coerente anche con la crescente centralità attribuita, nel diritto europeo, agli obblighi di sorveglianza post-commercializzazione e di gestione del rischio tecnologico, che assumono un ruolo essenziale soprattutto nei sistemi di AI ad alto rischio.

Il rapporto tra la Direttiva (UE) 2024/2853 e l’art. 2050 c.c.

L’eventuale applicabilità dell’art. 2050 c.c. non determina un conflitto con la disciplina europea sulla responsabilità da prodotti difettosi, poiché le due normative perseguono finalità differenti e operano su presupposti diversi.

La Direttiva (UE) 2024/2853 disciplina le ipotesi nelle quali il danno sia conseguenza della difettosità del prodotto, individuando un regime speciale di responsabilità oggettiva fondato sulla mancanza del livello di sicurezza che il pubblico può legittimamente attendersi.

L’art. 2050 c.c., invece, prescinde dalla nozione di difetto e concentra l’attenzione sulla natura dell’attività esercitata. Il presupposto della responsabilità non è rappresentato dall’insicurezza del prodotto, bensì dall’esistenza di un’attività che, per le sue caratteristiche, espone terzi a un rischio particolarmente elevato e impone all’esercente l’adozione di tutte le misure idonee a prevenire il danno.

Le due discipline risultano pertanto destinate a operare su piani diversi. Quando il danno sia riconducibile a un difetto del sistema di AI, troverà applicazione la Direttiva sulla responsabilità da prodotto. Qualora, invece, l’evento lesivo derivi dalla gestione dell’attività di sviluppo, addestramento, aggiornamento o monitoraggio del sistema, potrà trovare applicazione l’art. 2050 c.c., sempre che ricorrano i presupposti dell’attività pericolosa.

Non può escludersi, inoltre, che in alcune fattispecie i due regimi concorrano. Ciò potrebbe verificarsi quando un prodotto presenti un difetto rilevante ai sensi della Direttiva e, al contempo, il danno sia stato favorito dall’inadeguata gestione dell’attività di controllo o di sorveglianza successiva alla commercializzazione. In tali ipotesi la responsabilità da prodotto e quella per esercizio di attività pericolosa potrebbero coesistere, ferma restando la necessità di individuare, nel caso concreto, il contributo causale imputabile a ciascun soggetto.

La distinzione tra i due modelli di responsabilità assume particolare importanza anche sotto il profilo probatorio. Mentre la Direttiva richiede la dimostrazione del difetto del prodotto, l’art. 2050 impone all’esercente l’attività di dimostrare di avere adottato tutte le misure concretamente idonee a evitare il danno. Si tratta di due regimi autonomi, accomunati dalla finalità di rafforzare la tutela del danneggiato, ma fondati su differenti criteri di imputazione del rischio.

L’art. 2051 c.c., la responsabilità della struttura sanitaria e dell’esercente la professione sanitaria

Accanto alla responsabilità da prodotto difettoso e a quella per esercizio di attività pericolosa, occorre verificare se l’utilizzo dell’intelligenza artificiale possa ricondursi anche alla disciplina dell’art. 2051 c.c., che pone a carico del custode la responsabilità per i danni cagionati dalla cosa, salvo la prova del caso fortuito.

L’applicazione di tale disposizione ai sistemi di AI presenta, tuttavia, profili problematici. La nozione di custodia presuppone infatti un effettivo potere di governo, controllo e vigilanza sulla cosa, requisito difficilmente ravvisabile nei confronti di sistemi software caratterizzati da autonomia operativa, aggiornamenti continui e dipendenza dall’attività del produttore o del fornitore.

Diversa è l’ipotesi in cui l’intelligenza artificiale sia incorporata in un dispositivo medico o in un’apparecchiatura materialmente detenuta dalla struttura sanitaria. In tali casi la struttura potrebbe assumere la qualità di custode del bene, rispondendo dei danni derivanti dal suo utilizzo ove non dimostri l’intervento di un fattore esterno imprevedibile e inevitabile.

L’ambito applicativo dell’art. 2051 c.c. appare pertanto limitato alle fattispecie nelle quali il danno sia riconducibile alla disponibilità materiale e al controllo esercitato sulla cosa, mentre risulta meno idoneo a disciplinare le ipotesi in cui il rischio derivi dal funzionamento dell’algoritmo o dall’attività di sviluppo e gestione del sistema.

Resta naturalmente ferma la responsabilità della struttura sanitaria ai sensi della legge 8 marzo 2017, n. 24. La struttura è infatti tenuta a organizzare l’attività assistenziale in modo da garantire un impiego sicuro delle tecnologie utilizzate, selezionando strumenti adeguati, predisponendo protocolli di utilizzo, assicurando la formazione del personale e verificando che i sistemi di intelligenza artificiale siano impiegati conformemente alla loro destinazione d’uso.

Analogamente, l’esercente la professione sanitaria non può ritenersi esonerato dalle proprie responsabilità per il solo fatto di essersi avvalso di un sistema di AI. L’algoritmo costituisce uno strumento di supporto alla decisione clinica e non sostituisce il giudizio professionale del medico, il quale conserva il dovere di valutare criticamente gli output forniti dal sistema, rapportandoli alle condizioni del singolo paziente e alle conoscenze scientifiche disponibili. L’affidamento acritico alle indicazioni dell’intelligenza artificiale, ove determini un danno evitabile, potrà quindi integrare una condotta colposa secondo i principi generali della responsabilità sanitaria.

Ne consegue che, nelle fattispecie più complesse, il danno potrà essere imputato a una pluralità di soggetti, ciascuno secondo il regime di responsabilità corrispondente alla propria condotta e alla specifica fonte del rischio concretizzatasi nell’evento lesivo.

La preferibilità dell’art. 2050 c.c. rispetto alla responsabilità da prodotto e alla responsabilità da cose in custodia

Qualora ne ricorrano i presupposti applicativi, l’azione fondata sull’art. 2050 c.c. appare, sotto molteplici profili, maggiormente favorevole rispetto sia alla disciplina della Direttiva (UE) 2024/2853 sia alla responsabilità per danno cagionato da cose in custodia prevista dall’art. 2051 c.c.

Un primo elemento di differenziazione riguarda la configurabilità della fattispecie.

La Direttiva europea presuppone che il danno sia stato causato da un prodotto difettoso, sicché il fulcro dell’indagine processuale è rappresentato dall’accertamento del difetto del sistema di intelligenza artificiale. L’art. 2051 c.c., invece, richiede che il danno sia stato cagionato da una cosa sottoposta alla custodia del convenuto, presupponendo un effettivo potere di governo e controllo sulla cosa stessa.

L’art. 2050 c.c. presenta, invece, un ambito applicativo significativamente più ampio, poiché non richiede né la dimostrazione della difettosità del prodotto né la prova di un rapporto di custodia. È sufficiente che il danno costituisca la concretizzazione del rischio proprio dell’attività pericolosa esercitata dal convenuto. Nel caso dei sistemi di intelligenza artificiale, ciò consente di valorizzare non tanto il software in sé, quanto l’intera attività di progettazione, sviluppo, addestramento, validazione, aggiornamento, monitoraggio e gestione del sistema, attività che, soprattutto nell’ambito sanitario, presenta caratteristiche tali da giustificare l’applicazione della disciplina di cui all’art. 2050 c.c.

Anche sotto il profilo dell’individuazione dei soggetti responsabili, l’art. 2050 offre una tutela più ampia.

La Direttiva (UE) 2024/2853 individua i soggetti responsabili sulla base del loro inserimento nella filiera del prodotto, mentre l’art. 2051 limita la responsabilità al soggetto che abbia la custodia della cosa.

L’art. 2050, invece, consente di convenire in giudizio chiunque eserciti l’attività pericolosa dalla quale sia derivato il danno. A seconda delle circostanze del caso concreto, tale qualifica potrebbe spettare al produttore del sistema di AI, al soggetto che ne cura l’addestramento o gli aggiornamenti, al distributore qualora svolga attività tecniche di implementazione o manutenzione, nonché, in presenza di un ruolo attivo nella gestione del sistema, anche alla struttura sanitaria. Tale maggiore elasticità consente di adeguare l’individuazione del responsabile all’effettiva ripartizione del rischio tecnologico, anziché ai soli rapporti di commercializzazione del prodotto o di custodia del bene.

Un ulteriore profilo di favore concerne l’onere della prova.

Nella responsabilità da prodotto il danneggiato è tenuto a dimostrare il danno, il difetto del prodotto e il nesso causale tra quest’ultimo e l’evento lesivo, sebbene la Direttiva introduca alcuni meccanismi di agevolazione probatoria.

Nell’ambito dell’art. 2051 c.c., il danneggiato deve dimostrare il rapporto di custodia, il danno e il nesso causale tra la cosa e l’evento, mentre incombe sul custode la prova del caso fortuito.

L’art. 2050 c.c. offre una tutela ancora più incisiva, poiché impone all’esercente l’attività pericolosa di dimostrare di avere adottato tutte le misure idonee a evitare il danno. La giurisprudenza interpreta tale prova liberatoria in termini particolarmente rigorosi, richiedendo la dimostrazione non della semplice osservanza delle regole tecniche normalmente adottate, ma dell’effettiva adozione di ogni cautela concretamente esigibile secondo lo stato delle conoscenze scientifiche e tecnologiche. Nel settore dell’intelligenza artificiale, caratterizzato da algoritmi spesso opachi e da elevata complessità tecnica, tale riparto dell’onere probatorio appare particolarmente coerente con l’esigenza di assicurare un’effettiva tutela del paziente.

Anche il regime temporale dell’azione appare, in linea generale, più favorevole.

La responsabilità da prodotto disciplinata dalla Direttiva è assoggettata a un termine di prescrizione di tre anni, decorrente dal giorno in cui il danneggiato ha avuto, o avrebbe dovuto ragionevolmente avere, conoscenza del danno, del difetto del prodotto e dell’identità del soggetto responsabile. 

L’azione è inoltre soggetta a un termine finale di estinzione del diritto (long-stop) di dieci anni dalla data in cui il prodotto che ha causato il danno è stato immesso sul mercato o messo in servizio. 

Tale termine è elevato a venticinque anni nei casi in cui, a causa della latenza del danno, non sia stato oggettivamente possibile promuovere l’azione entro il termine ordinario di dieci anni.

L’azione fondata sull’art. 2050 c.c., invece, resta soggetta al termine prescrizionale ordinario previsto dall’art. 2947 c.c. e non è assoggettata al termine di estinzione del diritto (long-stop) previsto dalla Direttiva. Sotto tale profilo, il ricorso all’art. 2050 può risultare particolarmente vantaggioso nei casi in cui il danno si manifesti o venga accertato a distanza di molti anni dall’immissione sul mercato del sistema di intelligenza artificiale, evitando il rischio che l’azione sia definitivamente preclusa dal decorso del termine ventennale speciale previsto dalla disciplina europea.

Sotto il profilo risarcitorio, inoltre, l’art. 2050 trova applicazione nell’ambito dei principi generali della responsabilità civile, fondati sulla integrale riparazione del danno, senza essere subordinato agli eventuali limiti quantitativi o alle condizioni previste dalla disciplina speciale della responsabilità da prodotto.

Infine, mentre l’art. 2051 c.c. appare costruito per disciplinare il rischio derivante da una cosa sulla quale il custode esercita un potere materiale di controllo, l’art. 2050 c.c. risulta maggiormente coerente con la natura dell’intelligenza artificiale. Il rischio, infatti, non deriva normalmente dalla mera esistenza del software o del dispositivo, bensì dall’insieme delle attività di sviluppo, addestramento, aggiornamento, monitoraggio e supervisione che ne governano il funzionamento durante l’intero ciclo di vita. È proprio questa attività, più che il bene in sé considerato, a costituire la fonte del rischio che si concretizza nel danno.

Per tali ragioni, ogniqualvolta il danno alla salute sia riconducibile alla gestione del rischio tecnologico connesso all’impiego dell’intelligenza artificiale, l’art. 2050 c.c. appare offrire una tutela più ampia ed efficace rispetto sia alla responsabilità da prodotto disciplinata dalla Direttiva (UE) 2024/2853 sia alla responsabilità da cose in custodia prevista dall’art. 2051 c.c., consentendo una più agevole tutela del danneggiato senza alterare il coordinamento sistematico tra i diversi modelli di responsabilità.

Considerazioni conclusive

L’intelligenza artificiale rappresenta una delle innovazioni più significative della medicina contemporanea, ma il suo impiego non rende necessaria la costruzione di un nuovo modello generale di responsabilità civile. Gli strumenti offerti dall’ordinamento appaiono, infatti, già idonei a disciplinare le diverse ipotesi di danno, purché vengano coordinati in funzione della concreta origine dell’evento lesivo.

Quando il danno derivi dalla difettosità del sistema di AI, trova applicazione la disciplina speciale introdotta dalla Direttiva (UE) 2024/2853, che individua nel difetto del prodotto il criterio di imputazione della responsabilità e attribuisce rilievo alla posizione dei soggetti che partecipano alla sua immissione sul mercato.

Diversa è la prospettiva dell’art. 2050 c.c., il quale assume rilievo nelle ipotesi in cui il danno rappresenti la concretizzazione del rischio proprio dell’attività di progettazione, sviluppo, addestramento, aggiornamento, validazione o monitoraggio del sistema di intelligenza artificiale. In tale contesto il precedente elaborato dalla giurisprudenza in materia di farmaci e dispositivi medici offre un significativo criterio interpretativo, dimostrando come la pericolosità possa riguardare non il prodotto in sé, bensì l’attività economica complessivamente esercitata.

L’art. 2051 c.c. conserva invece un ruolo residuale, limitato ai casi in cui il danno derivi dalla cosa sottoposta all’effettiva custodia della struttura sanitaria, mentre la responsabilità della struttura e dell’esercente la professione sanitaria continua a essere disciplinata dalle regole proprie della responsabilità sanitaria, senza che l’utilizzo dell’intelligenza artificiale determini un’attenuazione degli obblighi professionali.

L’analisi svolta conduce pertanto a escludere l’esistenza di un unico regime di responsabilità per i danni prodotti dall’intelligenza artificiale. La disciplina applicabile deve essere individuata attraverso un accertamento della concreta fonte del rischio che ha determinato il danno e del soggetto sul quale gravava il dovere giuridico di prevenirlo.

Proprio questa impostazione consente di coordinare il diritto europeo della responsabilità da prodotto con gli strumenti già presenti nel codice civile, evitando sia inutili sovrapposizioni sia vuoti di tutela. Ne deriva un sistema articolato ma coerente, nel quale ciascun regime di responsabilità conserva una propria autonoma funzione e contribuisce, secondo presupposti differenti, a garantire un’effettiva protezione del diritto fondamentale alla salute.

Note essenziali

1. Direttiva (UE) 2024/2853 del Parlamento europeo e del Consiglio, del 23 ottobre 2024, relativa alla responsabilità per danno da prodotti difettosi.

2. Sul progressivo ampliamento dei soggetti responsabili nella disciplina europea della responsabilità da prodotto, v. Direttiva (UE) 2024/2853.

3. Art. 2050 c.c.

4. Tra le numerose pronunce della Corte di cassazione in materia di attività pericolose, v., ex multis, Cass. civ., sez. III, 20 luglio 2002, n. 10649; Cass. civ., sez. III, 15 maggio 2007, n. 11149; Cass. civ., sez. III, 28 febbraio 2012, n. 3021.

5. Sul fondamento dell’applicazione dell’art. 2050 c.c. alla produzione e commercializzazione di farmaci e dispositivi medici, nonché sull’obbligo permanente di controllo e vigilanza successivo all’immissione sul mercato, v. A. Querci, Sicurezza e danno da prodotti medicali, Giappichelli, Torino, 2011, cap. III, §§ 1-2.

6. Sul rapporto tra responsabilità da prodotto e responsabilità per attività pericolosa applicata alle nuove tecnologie, v. F. Bonamini, Criteri di rischio e regole di responsabilità nell’utilizzo dell’intelligenza artificiale, in Responsabilità civile e previdenza, 2025.