La documentazione come prova

Il problema non si risolve accumulando carte o riducendo le tracce al minimo. Occorre documentare decisioni verificabili, con la relativa motivazione e l’indicazione di chi le ha assunte.

Che cosa cambia dal 30 settembre

Dal 30 settembre il decreto legislativo 9 settembre 2026, n. 160, pubblicato nella Gazzetta Ufficiale n. 214 del 15 settembre 2026, incide su tre piani.

• Nel codice penale entra l’art. 437-bis. Il primo comma punisce chi, nella produzione o nella messa in circolazione di sistemi di IA ad alto rischio, omette le misure tecniche di sicurezza o di sorveglianza umana e provoca un pericolo per la vita o per l’incolumità pubblica o individuale. La pena è la reclusione da uno a cinque anni, elevata da due a otto anni se il pericolo riguarda la sicurezza dello Stato. Il quarto comma riguarda invece l’utilizzatore professionale che omette la sorveglianza umana e provoca uno dei pericoli indicati dalla norma.
• Il nuovo art. 25-vicies del decreto legislativo 8 giugno 2001, n. 231, include il reato tra quelli che possono determinare la responsabilità amministrativa dell’ente. Per la fattispecie dell’art. 437-bis è prevista una sanzione pecuniaria da 600 a 1.000 quote.
• Gli artt. 17, 18 e 19 del decreto legislativo 160/2026 introducono un regime probatorio civile specifico. Il giudice può ordinare l’esibizione dei registri e della documentazione tecnica e valutare il rifiuto ingiustificato; la violazione di un obbligo dell’AI Act fa presumere il nesso causale con il danno, salvo prova contraria; la conformità al regolamento (UE) 2024/1689, anche se formalmente certificata, non esclude da sola la responsabilità.

Il regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus, in vigore dal 27 luglio 2026, rinvia gli obblighi per i sistemi ad alto rischio al 2 dicembre 2027 (per i sistemi autonomi) e al 2 agosto 2028 per quelli incorporati nei prodotti. È il punto rilevato dall’Avv. Prof. Iaselli nella nota La sanzione prima della regola.

Queste scadenze non incidono sull’entrata in vigore delle disposizioni italiane. Dal 30 settembre l’articolo 17 del decreto legislativo 160/2026 disciplina l’esibizione della documentazione nel giudizio civile. Nel procedimento penale gli stessi documenti possono assumere rilievo per ricostruire le misure adottate e la sorveglianza effettivamente esercitata.

Quando lo stesso fascicolo aziendale può difendere l’ente o danneggiarlo

Valutazioni di rischio, registri, log, verbali di supervisione umana e istruzioni operative possono essere letti da soggetti con interessi opposti.

Nel sistema 231, questi documenti servono a dimostrare che l’ente si era organizzato. Senza riscontri concreti, il Modello resta una dichiarazione di intenti con la conseguenza che l’esimente prevista dall’art. 6 del decreto legislativo 231/2001 perde efficacia.

Nel giudizio civile, gli stessi documenti possono essere esibiti su ordine del giudice. L’inadempimento ingiustificato all’ordine produce le conseguenze dell’art. 17 del decreto legislativo 160/2026. La presunzione del nesso causale prevista dall’art. 18 opera invece soltanto quando il danno deriva dalla violazione di un obbligo dell’AI Act. Sono due meccanismi distinti.

Il giudice, su istanza di chi allega di avere subito il danno, ordina alla controparte o al terzo che ne dispone l’esibizione degli elementi di prova pertinenti al funzionamento del sistema, ogni qualvolta l’istante presenta fatti ed elementi che rendono verosimile la domanda. Il comma 2 indica espressamente quattro categorie di documenti che l’AI Act prevede per i sistemi ad alto rischio:

• i registri previsti dall’art. 12 del regolamento (UE) 2024/1689;
• la documentazione relativa al sistema di gestione dei rischi, prevista dall’art. 9 dello stesso regolamento;
• le informazioni pertinenti contenute nella documentazione tecnica, prevista dall’art. 11;
• le informazioni sui parametri e sulle modalità di supervisione umana, previste dall’art. 14 del regolamento (UE) 2024/1689.

L’ordine di esibizione può riguardare qualunque sistema di IA. Per i sistemi che non sono ad alto rischio, tuttavia, non si può presumere che le quattro categorie appena elencate siano obbligatorie in forza degli articoli citati.

L’ordine resta limitato a quanto necessario e proporzionato rispetto alla domanda, e il giudice adotta le misure idonee a tutelare i segreti commerciali e le informazioni riservate.

Le conseguenze dell’inadempimento sono graduate, ed è qui che la norma diventa concreta.

Se la parte non adempie senza giustificato motivo, il giudice può desumere argomenti di prova ai sensi dell’art. 116 del codice di procedura civile. Ma se l’inadempimento riguarda i quattro documenti appena elencati, il giudice, valutato ogni altro elemento di prova, ritiene ammessi i fatti allegati da chi ha chiesto l’esibizione. Il terzo che non adempie è condannato a una pena pecuniaria da 1.500 a 10.000 euro.

La parte che non adempie all’ordine senza giustificato motivo non si limita quindi a restare senza prove: quando l’inadempimento riguarda quei documenti, rischia che i fatti allegati dalla controparte siano ritenuti ammessi. Al terzo inadempiente si applica invece la sola pena pecuniaria prevista dal comma 6.

Quindi, limitare le tracce per ridurre ciò che potrà essere esibito rende più difficile provare che l’ente si era organizzato. Mentre, accumulare documenti senza governarli espone l’impresa a contraddizioni e decisioni rimaste senza seguito.

Perché documentare meno o documentare tutto non funziona

L’assenza di documenti e il loro accumulo indiscriminato indeboliscono la posizione dell’impresa per ragioni diverse.

Documentare il minimo. Diminuisce il materiale disponibile, ma non l’esposizione. L’art. 17 del decreto legislativo 160/2026 disciplina l’inadempimento ingiustificato all’ordine di esibizione; l’art. 18 riguarda la violazione dell’obbligo, non il numero dei documenti prodotti. Nel sistema 231, inoltre, senza tracce adeguate è difficile dimostrare l’attuazione del Modello.

Documentare tutto. Genera fascicoli che nessuno riesce a controllare e aumenta il rischio di incongruenze. Un verbale che segnala un rischio noto senza indicare il trattamento deciso o il responsabile incaricato può diventare un elemento contrario all’impresa.

Il criterio da seguire è l’utilità probatoria di ciascun documento: deve spiegare quale decisione è stata presa, su quali elementi e da chi.

Il rischio delle conformità dichiarate sulla carta

Dichiarare la conformità a standard tecnici non ancora disponibili espone l’impresa su entrambi i fronti. L’Avv. Prof. Iaselli segnala il problema sul piano penale, in relazione alla determinatezza della fattispecie. Sul piano civile, l’art. 19 del decreto legislativo 160/2026 precisa che la conformità, anche se certificata, non esclude la responsabilità. Se il parametro richiamato non esiste ancora, la dichiarazione non offre alcuna protezione.

Il problema riguarda anche i Modelli 231 aggiornati copiando formule generiche, con richiami a standard e procedure che in azienda non trovano applicazione. La distanza tra quanto è scritto e quanto viene fatto può dimostrare che il Modello non è stato attuato.

Che cosa verificare subito

1. Individuate chi produce la documentazione sull’IA e per quale destinatario. I documenti tecnici devono poter essere compresi anche da chi valuterà le decisioni dell’impresa dall’esterno.
2. Inserite questi documenti nei flussi verso l’Organismo di Vigilanza. Definite una cadenza e conservate prova della ricezione. Il nuovo reato presupposto porta l’uso dell’IA nell’ambito della vigilanza prevista dal decreto legislativo n. 231 del 2001.
3. Rileggete i documenti già prodotti. Chiedetevi quale decisione dimostrerebbero, chi ne risulterebbe responsabile e se registrano anche le attività svolte dopo l’individuazione del rischio.

Non serve attendere il 2027. Conviene produrre solo i documenti necessari e scriverli in modo che le decisioni dell’ente restino comprensibili anche in un successivo giudizio.