Dal 9 dicembre 2026 anche il software difettoso ha un responsabile

Una direttiva europea considera app, sistemi operativi e sistemi di intelligenza artificiale dei prodotti come un tostapane: se un difetto ti causa un danno, puoi chiedere i danni a chi li ha fatti.

Perché conta

Per la prima volta un software, comprese le app con l'intelligenza artificiale, viene trattato dalla legge europea come un prodotto qualsiasi: chi lo fa può doverti risarcire se un suo difetto ti danneggia davvero.

In pratica

Se un'app o un programma con un difetto ti causa un danno vero ai tuoi dati personali, alla tua salute o ai tuoi beni, dal 9 dicembre 2026 puoi chiedere un risarcimento a chi l'ha fatto, non solo disinstallarlo.

Dal 9 dicembre 2026 un'app, un sistema operativo, un firmware o un sistema di intelligenza artificiale diventano, agli occhi della legge europea, un prodotto come un elettrodomestico: se hanno un difetto e quel difetto ti causa un danno, puoi chiedere un risarcimento a chi li ha fatti. Lo stabilisce la Direttiva (UE) 2024/2853, pubblicata nella Gazzetta ufficiale dell'Unione europea il 18 novembre 2024, che sostituisce le regole europee del 1985 sui prodotti difettosi.

Cosa cambia davvero

La direttiva si applica ai prodotti messi sul mercato o messi in funzione dopo il 9 dicembre 2026: non c'è un effetto retroattivo generale sui programmi già distribuiti prima. L'articolo 4 della direttiva include il software, insieme all'elettricità e ai file per la fabbricazione digitale, nella definizione di "prodotto"; il considerando 13 tratta i sistemi di intelligenza artificiale come una forma di software, e chi fornisce un sistema di AI viene considerato un fabbricante.

Chi è responsabile

Chi produce il software non può dire che il difetto è comparso dopo la vendita, se dipende da aggiornamenti o servizi che restano sotto il suo controllo. Per un sistema di AI conta anche il suo comportamento dopo il rilascio, quando cambia per l'apprendimento del sistema o per modifiche volute dal produttore. Il software open source sviluppato fuori da un'attività commerciale resta escluso; se però un'azienda lo integra in un prodotto che vende, la responsabilità resta sua.

Aggiornamenti e fine del supporto

La direttiva non obbliga nessuno a mantenere un programma aggiornato per sempre: un produttore può fissare una data fino alla quale garantisce aggiornamenti di sicurezza, e dopo quella data non ha un obbligo automatico di correggere nuove vulnerabilità. Se però un aggiornamento difettoso viene distribuito durante il periodo di supporto e causa un danno, la scadenza successiva del supporto non cancella da sola la responsabilità già maturata.

Cosa non è risarcibile

I danni coperti sono morte o lesioni personali (compresi i danni psicologici riconosciuti dalla medicina), danni a beni (con alcune esclusioni) e la distruzione o la corruzione di dati non usati per lavoro. Una risposta sbagliata di un chatbot, un crash isolato o un servizio momentaneamente non disponibile non bastano da soli: serve un difetto vero, un danno tra quelli previsti dalla legge, e un nesso causale tra i due.

Quanto tempo hai per agire

Si può chiedere il risarcimento entro 3 anni da quando scopri il danno, il difetto e chi ne è responsabile, e comunque entro 10 anni dalla messa in commercio del prodotto (il termine riparte se il prodotto cambia in modo sostanziale). Solo per le lesioni personali che si manifestano tardi, il limite sale fino a 25 anni.

In pratica: se un'app per le foto cancella il tuo archivio personale per un difetto, il danno ai tuoi dati può rientrare nella tutela; se un gestionale aziendale perde delle fatture, i dati usati per lavoro restano fuori. E se il router di casa, dopo i suoi anni di supporto dichiarati, riceve una falla nuova, la direttiva non obbliga il produttore a correggerla.