Un aggiornamento informatico che provoca un incendio, un sistema di intelligenza artificiale che compromette la sicurezza di un dispositivo o un programma che cancella definitivamente fotografie e documenti personali. Sono alcuni dei casi che potrebbero rientrare nella nuova disciplina europea sulla responsabilità per danno da prodotto difettoso, destinata a cambiare profondamente le tutele dei consumatori. Dal 9 dicembre prossimo, infatti, entreranno in vigore le nuove regole previste dalla direttiva (UE) 2024/2853, recepita dal Governo attraverso un decreto legislativo approvato definitivamente dal Consiglio dei ministri lo scorso 28 ottobre.
La riforma aggiorna una normativa risalente agli anni '80, quando i prodotti erano prevalentemente beni materiali e il software non aveva ancora assunto il ruolo centrale che ricopre oggi. L'obiettivo è adeguare la responsabilità dei produttori all'evoluzione tecnologica, ampliando sia le categorie di prodotti interessati sia i danni risarcibili e gli strumenti a disposizione di chi subisce un pregiudizio.
La prima novità riguarda la definizione stessa di prodotto. La suddetta direttiva comprende espressamente software, file per la fabbricazione digitale, elettricità e materie prime, superando la tradizionale distinzione tra beni materiali e componenti immateriali. La disciplina può perciò riguardare anche i sistemi di intelligenza artificiale, indipendentemente dalle caratteristiche e modalità di utilizzo.
Attenzione però: non ogni errore informatico determinerà automaticamente la difettosità del prodotto. La responsabilità oggettiva del produttore scatterà quando il prodotto non offre la sicurezza che un consumatore può legittimamente attendersi o quella richiesta dalle norme applicabili. Non è perciò sufficiente che un chatbot fornisca una risposta inesatta o che un'applicazione presenti un temporaneo disservizio: occorre una carenza di sicurezza dalla quale derivi un danno risarcibile.
Inoltre, per valutare la difettosità, bisognerà considerare la capacità del prodotto di apprendere e acquisire nuove funzionalità dopo la commercializzazione, gli effetti dell'interconnessione con altri dispositivi e i requisiti di cybersicurezza. Saranno rilevanti anche gli aggiornamenti che introducono nuove vulnerabilità o la mancata installazione di quelli necessari a mantenere sicuro il prodotto, quando il fabbricante conserva il relativo controllo.
La riforma amplia anche la platea dei soggetti responsabili. Il principale obbligato rimane il fabbricante, ma possono essere chiamati a rispondere anche gli sviluppatori di componenti difettosi, gli importatori e i rappresentanti autorizzati di produttori stabiliti fuori dall'Unione europea. Non solo. In determinate circostanze, la responsabilità può estendersi altresì ai fornitori di servizi logistici, ai distributori e alle piattaforme online. Queste ultime possono essere coinvolte, alle condizioni previste dalla normativa, quando non sia possibile identificare un operatore economico responsabile nell'Unione europea. E, se più operatori rispondono dello stesso danno, possono essere obbligati in solido nei confronti del danneggiato, ferma restando la possibilità di regolare successivamente i rispettivi rapporti attraverso il diritto di regresso.
Le nuove disposizioni ampliano altresì le categorie di pregiudizi che possono essere risarciti. Rientrano innanzitutto i danni derivanti dalla morte e dalle lesioni personali, compresi quelli psicologici riconosciuti sotto il profilo medico. Ma sono risarcibili anche i danni a beni diversi dal prodotto difettoso, purché non siano utilizzati esclusivamente per finalità professionali. Una novità particolarmente significativa riguarda la distruzione o il danneggiamento dei dati personali e degli altri dati utilizzati per finalità non professionali. Se un programma difettoso cancella fotografie, documenti o archivi privati, il danneggiato potrà chiedere il risarcimento delle perdite patrimoniali conseguenti, compresi i costi necessari al recupero o al ripristino dei dati.
Come è noto, uno degli ostacoli maggiori per chi chiede un risarcimento è dimostrare che il danno dipende effettivamente da un difetto del prodotto. Il problema è palese con software e intelligenza artificiale, perché informazioni tecniche come codici sorgente, registri di funzionamento e cronologia degli aggiornamenti sono spesso nella disponibilità esclusiva del produttore. Ebbene, la riforma introduce la possibilità per il giudice di ordinare all'operatore economico di esibire le prove necessarie, quando il danneggiato abbia presentato elementi sufficienti a rendere plausibile la richiesta. La stessa possibilità è, però, riconosciuta all'impresa nei confronti del consumatore. L'esibizione deve sempre rispettare criteri di necessità e proporzionalità, tutelando segreti commerciali e informazioni riservate.
Sono previste anche presunzioni legali relative della difettosità e del nesso causale: in determinate circostanze, la legge consente di presumere che il prodotto sia difettoso o che il danno sia stato causato da un suo difetto, senza che il danneggiato debba dimostrarlo direttamente. Il giudice può applicare queste presunzioni, per esempio, quando l'impresa non presenta le prove richieste, quando vengono violate norme obbligatorie di sicurezza o quando il prodotto manifesta un malfunzionamento evidente nel normale utilizzo. In ogni caso, il danneggiato deve fornire elementi a sostegno della propria richiesta, mentre il produttore può superare le presunzioni dimostrando il contrario.
Rimane tuttavia una causa di esonero dalla responsabilità che può limitare le possibilità di ottenere un risarcimento: quella legata ai cosiddetti rischi di sviluppo. Il produttore può infatti evitare di rispondere del danno se dimostra che, al momento dell'immissione sul mercato del prodotto, lo stato delle conoscenze scientifiche e tecniche non consentiva di individuare il difetto. Questa regola può lasciare senza risarcimento alcuni danni causati da vulnerabilità tecnologiche, che non era possibile riconoscere in precedenza.
Il diritto al risarcimento si prescrive in tre anni dalla conoscenza del danno, del difetto e dell'identità del responsabile. È previsto anche un termine massimo di dieci anni dall'immissione del prodotto sul mercato o dalla sua messa in servizio: trascorso questo periodo, il risarcimento non è più possibile, salvo che il danneggiato abbia già avviato un procedimento.
Le nuove regole varranno per i prodotti immessi sul mercato o messi in servizio dal 9 dicembre prossimo. Per quelli precedenti continuerà invece a valere la disciplina previgente, ossia il D. Lgs. 206/2005 (Codice del consumo).
La riforma aggiorna una normativa risalente agli anni '80, quando i prodotti erano prevalentemente beni materiali e il software non aveva ancora assunto il ruolo centrale che ricopre oggi. L'obiettivo è adeguare la responsabilità dei produttori all'evoluzione tecnologica, ampliando sia le categorie di prodotti interessati sia i danni risarcibili e gli strumenti a disposizione di chi subisce un pregiudizio.
La prima novità riguarda la definizione stessa di prodotto. La suddetta direttiva comprende espressamente software, file per la fabbricazione digitale, elettricità e materie prime, superando la tradizionale distinzione tra beni materiali e componenti immateriali. La disciplina può perciò riguardare anche i sistemi di intelligenza artificiale, indipendentemente dalle caratteristiche e modalità di utilizzo.
Attenzione però: non ogni errore informatico determinerà automaticamente la difettosità del prodotto. La responsabilità oggettiva del produttore scatterà quando il prodotto non offre la sicurezza che un consumatore può legittimamente attendersi o quella richiesta dalle norme applicabili. Non è perciò sufficiente che un chatbot fornisca una risposta inesatta o che un'applicazione presenti un temporaneo disservizio: occorre una carenza di sicurezza dalla quale derivi un danno risarcibile.
Inoltre, per valutare la difettosità, bisognerà considerare la capacità del prodotto di apprendere e acquisire nuove funzionalità dopo la commercializzazione, gli effetti dell'interconnessione con altri dispositivi e i requisiti di cybersicurezza. Saranno rilevanti anche gli aggiornamenti che introducono nuove vulnerabilità o la mancata installazione di quelli necessari a mantenere sicuro il prodotto, quando il fabbricante conserva il relativo controllo.
La riforma amplia anche la platea dei soggetti responsabili. Il principale obbligato rimane il fabbricante, ma possono essere chiamati a rispondere anche gli sviluppatori di componenti difettosi, gli importatori e i rappresentanti autorizzati di produttori stabiliti fuori dall'Unione europea. Non solo. In determinate circostanze, la responsabilità può estendersi altresì ai fornitori di servizi logistici, ai distributori e alle piattaforme online. Queste ultime possono essere coinvolte, alle condizioni previste dalla normativa, quando non sia possibile identificare un operatore economico responsabile nell'Unione europea. E, se più operatori rispondono dello stesso danno, possono essere obbligati in solido nei confronti del danneggiato, ferma restando la possibilità di regolare successivamente i rispettivi rapporti attraverso il diritto di regresso.
Le nuove disposizioni ampliano altresì le categorie di pregiudizi che possono essere risarciti. Rientrano innanzitutto i danni derivanti dalla morte e dalle lesioni personali, compresi quelli psicologici riconosciuti sotto il profilo medico. Ma sono risarcibili anche i danni a beni diversi dal prodotto difettoso, purché non siano utilizzati esclusivamente per finalità professionali. Una novità particolarmente significativa riguarda la distruzione o il danneggiamento dei dati personali e degli altri dati utilizzati per finalità non professionali. Se un programma difettoso cancella fotografie, documenti o archivi privati, il danneggiato potrà chiedere il risarcimento delle perdite patrimoniali conseguenti, compresi i costi necessari al recupero o al ripristino dei dati.
Come è noto, uno degli ostacoli maggiori per chi chiede un risarcimento è dimostrare che il danno dipende effettivamente da un difetto del prodotto. Il problema è palese con software e intelligenza artificiale, perché informazioni tecniche come codici sorgente, registri di funzionamento e cronologia degli aggiornamenti sono spesso nella disponibilità esclusiva del produttore. Ebbene, la riforma introduce la possibilità per il giudice di ordinare all'operatore economico di esibire le prove necessarie, quando il danneggiato abbia presentato elementi sufficienti a rendere plausibile la richiesta. La stessa possibilità è, però, riconosciuta all'impresa nei confronti del consumatore. L'esibizione deve sempre rispettare criteri di necessità e proporzionalità, tutelando segreti commerciali e informazioni riservate.
Sono previste anche presunzioni legali relative della difettosità e del nesso causale: in determinate circostanze, la legge consente di presumere che il prodotto sia difettoso o che il danno sia stato causato da un suo difetto, senza che il danneggiato debba dimostrarlo direttamente. Il giudice può applicare queste presunzioni, per esempio, quando l'impresa non presenta le prove richieste, quando vengono violate norme obbligatorie di sicurezza o quando il prodotto manifesta un malfunzionamento evidente nel normale utilizzo. In ogni caso, il danneggiato deve fornire elementi a sostegno della propria richiesta, mentre il produttore può superare le presunzioni dimostrando il contrario.
Rimane tuttavia una causa di esonero dalla responsabilità che può limitare le possibilità di ottenere un risarcimento: quella legata ai cosiddetti rischi di sviluppo. Il produttore può infatti evitare di rispondere del danno se dimostra che, al momento dell'immissione sul mercato del prodotto, lo stato delle conoscenze scientifiche e tecniche non consentiva di individuare il difetto. Questa regola può lasciare senza risarcimento alcuni danni causati da vulnerabilità tecnologiche, che non era possibile riconoscere in precedenza.
Il diritto al risarcimento si prescrive in tre anni dalla conoscenza del danno, del difetto e dell'identità del responsabile. È previsto anche un termine massimo di dieci anni dall'immissione del prodotto sul mercato o dalla sua messa in servizio: trascorso questo periodo, il risarcimento non è più possibile, salvo che il danneggiato abbia già avviato un procedimento.
Le nuove regole varranno per i prodotti immessi sul mercato o messi in servizio dal 9 dicembre prossimo. Per quelli precedenti continuerà invece a valere la disciplina previgente, ossia il D. Lgs. 206/2005 (Codice del consumo).
