Il fascicolo che vi difende è quello che avreste già buttato

Nel 2015 la Corte di giustizia si è trovata davanti una domanda scomoda. Una serie di pacemaker e defibrillatori impiantabili presentava un rischio di guasto superiore al previsto. Nessuno aveva dimostrato che il singolo dispositivo estratto dal petto di quel paziente fosse difettoso: si sapeva che lo era la serie. La Corte ha risposto che tanto basta, e che il fabbricante paga anche l'intervento di sostituzione, quando sostituire è necessario (sentenza Boston Scientific del 5 marzo 2015, cause riunite C-503/13 e C-504/13).

Quella decisione riguardava metallo e batterie. Dal 9 dicembre 2026 la stessa logica incontra prodotti che cambiano da soli dopo la vendita, e una disciplina scritta per farli arrivare in tribunale con meno attriti: la direttiva (UE) 2024/2853 del Parlamento europeo e del Consiglio, del 23 ottobre 2024, sulla responsabilità per danno da prodotti difettosi.

La direttiva non aggiunge un solo obbligo di conformità, e non chiede un documento che il regolamento (UE) 2017/745 relativo ai dispositivi medici — il MDR — non chieda già. Cambia chi risponde, come si prova il difetto e per quanto tempo. E il materiale con cui quella prova si fa è il vostro fascicolo tecnico.

Venticinque anni contro quindici

Partiamo dalla fine, dove le due normative si guardano e non si riconoscono.

Il paziente ha tre anni per agire da quando sa del danno, del difetto e di chi ne risponde. Ha comunque dieci anni dall'immissione sul mercato del dispositivo. Ma se la lesione si è manifestata tardi, e la latenza gli ha impedito di agire in quei dieci anni, il termine si allunga a venticinque (artt. 16 e 17 della direttiva).

Il MDR, per la stessa macchina, chiede di conservare documentazione tecnica e dichiarazione di conformità per almeno dieci anni dall'immissione dell'ultimo dispositivo coperto dalla dichiarazione, quindici se è impiantabile (art. 10, par. 8, del MDR).

Le due decorrenze non partono dallo stesso momento, quindi lo scarto non è sempre di dieci anni. Resta lo scenario: una causa che arriva quando l'obbligo di conservazione è scaduto, e il fascicolo che avrebbe dimostrato che quella versione era sicura non c'è più perché nessuno aveva ragione di tenerlo. Conservarlo più a lungo non è un obbligo: è una decisione di gestione del rischio, e va presa da chi quel rischio lo porta in bilancio, non dall'archivio.

Che cosa succede quando la causa arriva

La direttiva costruisce il processo in modo che il danneggiato non debba indovinare. Se presenta fatti e prove che rendono plausibile la domanda, il giudice vi ordina di esibire gli elementi di prova pertinenti di cui disponete; lo stesso strumento funziona a vostro favore quando siete voi a dover contrastare la domanda. L'ordine resta proporzionato e i segreti commerciali sono protetti, ma un dettaglio in azienda pesa più di quanto sembri: il giudice può pretendere che le prove siano presentate in modo facilmente accessibile e comprensibile (art. 9 della direttiva). Un fascicolo che capisce solo chi lo ha scritto non basta.

Se non esibite, il difetto si presume. Si presume anche se il danneggiato dimostra che il prodotto viola requisiti obbligatori di sicurezza destinati a proteggere proprio dal rischio che si è realizzato, oppure che il danno viene da un malfunzionamento evidente durante un uso ragionevolmente prevedibile. E quando il difetto è provato, il nesso causale si presume se il tipo di danno è compatibile con quel difetto (art. 10, parr. 2 e 3, della direttiva).

Per un dispositivo medico la seconda porta è l'allegato I del MDR, i requisiti generali di sicurezza e prestazione: non basta una mancanza formale, serve il legame fra requisito violato e rischio che ha colpito il paziente. La terza è la più insidiosa, perché non chiede di individuare il difetto ma di far vedere che l'apparecchio ha smesso di funzionare come doveva.

Resta la valvola per i casi difficili: se, nonostante l'esibizione, la complessità tecnica o scientifica rende la prova eccessivamente difficile, il giudice presume difetto o nesso, purché il danneggiato ne dimostri la probabilità. Il considerando 48 della direttiva fa due esempi: il dispositivo medico innovativo e l'apprendimento automatico. Tutte le presunzioni si possono ribaltare (art. 10, parr. 4 e 5), e la prova contraria esce dalla stessa documentazione.

Un equivoco diffuso va tolto di mezzo. Per l'intelligenza artificiale incorporata in un dispositivo medico gli obblighi europei sull'alto rischio arrivano tardi: il capo III, sezioni 1, 2 e 3, del regolamento (UE) 2024/1689 (AI Act), salvo l'art. 6, par. 5, si applica dal 2 agosto 2028 (art. 113, primo comma, lett. c), punto ii), come modificato dal regolamento (UE) 2026/1744); il regolamento (UE) 2024/2847 (Cyber Resilience Act) non si applica affatto ai prodotti coperti dal MDR (art. 2, par. 2, lett. a)). Nessuno dei due serve a far scattare la presunzione: il metro è già il MDR, e il MDR si applica oggi.

Il prodotto che continua a cambiare

C'è una difesa classica del fabbricante: il difetto non c'era quando il prodotto è uscito, è venuto dopo. La direttiva la conserva (art. 11, par. 1, lett. c), ma la chiude nei casi che descrivono un dispositivo connesso: quando il difetto dipende da un servizio correlato, da un software e dai suoi aggiornamenti, dalla mancanza degli aggiornamenti necessari a mantenere la sicurezza o da una modifica sostanziale, e il prodotto è sotto il controllo del fabbricante (art. 11, par. 2). E il controllo, per la direttiva, è anche solo la capacità di mandare un aggiornamento (art. 4, punto 5).

Tradotto: finché potete aggiornare quella macchina, quella macchina è ancora un po' vostra. Il MDR lo aveva già detto a modo suo, chiedendovi di sviluppare il software secondo lo stato dell'arte, con il ciclo di vita, la gestione del rischio e la sicurezza delle informazioni, e di indicare i requisiti minimi di sicurezza informatica, compresa la protezione contro l'accesso non autorizzato (allegato I, punti 17.2 e 17.4, del MDR). Una vulnerabilità nota e mai corretta, da domani, non è solo una non conformità: può essere il difetto.

E se qualcuno sfrutta quella vulnerabilità? L'attacco di un terzo non riduce la vostra responsabilità verso il danneggiato: la riduce, o la esclude, solo la colpa del danneggiato o di chi risponde per lui (art. 13 della direttiva). Conviene rileggere con altri occhi il registro delle vulnerabilità: se documenta solo la data della segnalazione, e non la valutazione, il rimedio e i tempi, in giudizio racconta metà della storia.

Un dispositivo del 2019, aggiornato nel 2027

La domanda arriva sempre: le nuove regole toccano solo quello che vendiamo da dicembre, o anche il parco già installato?

La regola di partenza è netta: valgono per i prodotti immessi sul mercato o messi in servizio dal 9 dicembre 2026, giorno compreso — l'art. 2, par. 1, della direttiva, come corretto dalla rettifica del 7 maggio 2026, dice «dopo l'8 dicembre 2026» — mentre ai dispositivi venduti prima resta la direttiva del 1985 (art. 21). Un aggiornamento ordinario non sposta niente: il considerando 39 tiene fuori dalla nuova responsabilità chi esegue riparazioni e operazioni che non comportano modifiche sostanziali, e il considerando 58 aggiunge che gli aggiornamenti non sostanziali non toccano i termini del prodotto originario.

Cambia tutto se la modifica è sostanziale. Il considerando 39 lo dice senza giri di parole: il prodotto che subisce modifiche sostanziali e viene poi messo a disposizione sul mercato o messo in servizio «è considerato un prodotto nuovo». E il considerando 40 precisa che, quando la modifica sostanziale arriva con un aggiornamento del software o dall'apprendimento continuo di un sistema di IA, il prodotto si considera messo a disposizione nel momento in cui la modifica è effettivamente apportata. Da quel momento riparte anche il termine di dieci anni (art. 17, par. 1, lett. b).

Un apparecchio venduto nel 2019 e modificato in maniera sostanziale nel 2027, per quella versione, è un prodotto nuovo e segue le regole nuove. Lo dicono i considerando; la norma sull'ambito di applicazione non lo ripete, quindi è una lettura, non un dato.

Resta da capire quando una modifica è sostanziale, e qui la direttiva non decide da sola: rinvia alle norme di sicurezza dei prodotti (art. 4, punto 18). Per un dispositivo medico si torna al MDR, dove cambiare la destinazione d'uso o intervenire in modo da poter compromettere la conformità fa assumere gli obblighi del fabbricante. Detto in termini operativi: la classificazione degli aggiornamenti che il vostro sistema qualità già fa — correttivo, migliorativo, cambio di destinazione d'uso — diventa la mappa di quali macchine, e da quale giorno, sono passate sotto il regime nuovo.

Quello che si scopre dopo

Il rischio da sviluppo resta una difesa: se lo stato oggettivo delle conoscenze scientifiche e tecniche non permetteva di scoprire il difetto, non rispondete. La direttiva però non guarda solo al giorno dell'immissione: guarda anche al periodo in cui il prodotto è rimasto sotto il controllo del fabbricante (art. 11, par. 1, lett. e), e lascia agli Stati la facoltà di derogare a questo esonero (art. 18).

Da qui una domanda sulla vostra sorveglianza post-commercializzazione. Il MDR impone di raccogliere e analizzare in modo attivo e sistematico i dati su qualità, prestazioni e sicurezza per l'intera vita del dispositivo, e di tradurli in azioni preventive e correttive (art. 83 del MDR). Quei dati raccontano anche da quando una certa cosa era conoscibile. È ragionevole attendersi che entrino nella valutazione del rischio da sviluppo, senza automatismi: il criterio resta oggettivo e non coincide con ciò che sapeva la vostra azienda. Chi vi porta in causa, però, quei dati li chiederà.

Chi risponde insieme a voi

Risponde il fabbricante del prodotto e, in solido, quello del componente difettoso, se il componente è stato integrato sotto il vostro controllo e ha reso difettoso il dispositivo (artt. 8 e 12 della direttiva). Per i fabbricanti extra UE rispondono anche importatore e rappresentante autorizzato: una regola che il MDR conosce già, perché il mandatario risponde in solido dei dispositivi difettosi quando il fabbricante non ha sede nell'Unione e non ha rispettato i suoi obblighi (art. 11, par. 5, del MDR).

Nei contratti con i fornitori di software c'è una clausola nuova da cercare. Chi integra un software perde la rivalsa verso il fornitore se questo, quando il componente è stato immesso sul mercato, era una microimpresa o una piccola impresa — valutata insieme alle imprese associate e collegate — e se la rinuncia al regresso è stata concordata per contratto (art. 12, par. 2, della direttiva). Servono entrambe: una firma che oggi sembra una formalità e fra cinque anni decide chi paga.

In Italia, un testo è già pubblicato e uno no

Il decreto italiano di recepimento non c'è ancora. Lo schema è l'Atto del Governo n. 434, trasmesso alle Camere il 7 agosto 2026 ai sensi dell'art. 1 della legge 17 marzo 2026, n. 36: sostituisce gli articoli da 114 a 127 del codice del consumo (decreto legislativo 6 settembre 2005, n. 206) e mantiene l'esonero per rischio da sviluppo. Al 17 settembre 2026 l'esame è in corso.

C'è un dettaglio che vale la pena tenere d'occhio. L'art. 3 dello schema applica le nuove regole ai prodotti immessi «dopo il 9 dicembre 2026» e lascia le vecchie a quelli immessi «anteriormente a tale data»: è la formula europea prima della rettifica del 7 maggio 2026, che ha spostato la soglia a «dopo l'8 dicembre». Così com'è, il 9 dicembre non sta né di qua né di là. Con ogni probabilità il testo definitivo sarà allineato; nel frattempo, per i prodotti immessi quel giorno, conviene comportarsi come se il nuovo regime già si applicasse.

Chi incorpora intelligenza artificiale, invece, ha già un testo pubblicato da cui partire: il decreto legislativo 9 settembre 2026, n. 160, pubblicato nella Gazzetta Ufficiale n. 214 del 15 settembre 2026 ed efficace dal 30 settembre. In qualunque causa per danni cagionati nell'utilizzo di un sistema di IA — contrattuale o extracontrattuale, per qualunque sistema, non solo per quelli ad alto rischio — il giudice, su istanza del danneggiato che renda verosimile la domanda, ordina l'esibizione degli elementi di prova pertinenti al funzionamento del sistema. L'art. 17 indica espressamente registri, gestione dei rischi, documentazione tecnica e informazioni sulla sorveglianza umana: documenti che l'AI Act prevede per i sistemi ad alto rischio, e che non si possono presumere obbligatori per ogni altro sistema.

Se una parte non adempie senza giustificato motivo all'ordine relativo a quei documenti, il giudice, valutato ogni altro elemento di prova, ritiene ammessi i fatti allegati da chi ha chiesto l'esibizione. Il terzo inadempiente è invece soggetto alla pena pecuniaria da 1.500 a 10.000 euro (artt. 16 e 17 del d.lgs. 160/2026). Se il danno deriva dalla violazione di un obbligo dell'AI Act, il nesso causale si presume (art. 18 dello stesso decreto), e la conformità, anche certificata, non basta a escludere la responsabilità (art. 19). Il danneggiato può chiedere in anticipo se esiste una polizza e agire direttamente contro l'assicuratore (art. 20).

Da dove cominciare

Non da un progetto: da quattro domande, e dalle risposte che avete già in casa.

Il fascicolo racconta versioni, rischi noti e decisioni sugli aggiornamenti in modo che lo capisca anche chi non è del mestiere? La politica di aggiornamento e di correzione delle vulnerabilità copre tutto il periodo in cui mantenete il controllo? I tempi di conservazione sono decisi sull'esposizione al contenzioso o solo sull'obbligo regolatorio? I contratti dicono chi controlla il software, chi conserva le prove e chi paga nei rapporti interni?

Poi c'è la copertura finanziaria che il MDR vi chiede già (art. 10, par. 16). Quella norma rinvia ancora alla direttiva del 1985, ma dal 9 dicembre i rinvii alla direttiva abrogata si leggono come rinvii alla nuova (art. 21), e il nuovo regime vieta di limitare o escludere la responsabilità verso il danneggiato, per contratto o per legge nazionale (art. 15). Non è l'obbligo di una polizza senza massimale: è l'obbligo di guardare in faccia rischi, esposizione ed esclusioni, sapendo che per i danni da IA l'assicuratore può essere convenuto direttamente.