Il malfunzionamento di un servizio digitale può integrare un inadempimento della prestazione contrattualmente assunta, qualora costituisca una violazione degli obblighi derivanti dal contratto o dalla disciplina applicabile. Se dall'evento deriva un danno a un soggetto estraneo al rapporto contrattuale, può inoltre sorgere una responsabilità extracontrattuale, purché ne ricorrano i presupposti. Nei casi previsti dalla legge, può trovare applicazione anche un regime speciale di responsabilità, quale quello relativo ai prodotti difettosi.
La ripartizione effettiva del rischio tra le parti non discende soltanto da ciò che viene pattuito, ma anche dalla disciplina legale inderogabile vigente e dalla natura del sistema concretamente impiegato.
Una interruzione del servizio protratta per diverse ore in un giorno lavorativo, un sistema conversazionale che fornisce all'utente finale un'informazione inesatta, un modulo di classificazione automatica che attribuisce un documento alla categoria sbagliata costituiscono tutte fattispecie ricorrenti nella prassi, rispetto alle quali la domanda che si pone è sempre la medesima: su chi ricade, e in quale misura, la conseguenza giuridica dell'evento?
1. I due piani della responsabilità civile: contrattuale ed extracontrattuale
Il fornitore di un servizio digitale che non adempia esattamente l'obbligazione assunta è tenuto, ai sensi dell'art. 1218 c.c., al risarcimento del danno, salvo che provi che l'inadempimento o il ritardo sono stati determinati da causa a lui non imputabile. La norma rappresenta il fondamento della responsabilità contrattuale applicabile nei confronti dei contraenti, rispetto ai quali il contratto opera come strumento di conformazione preventiva del rischio, potendo limitare l'entità del risarcimento del danno eventualmente cagionato, entro i limiti posti dalla legge.
Qualora, invece, l'evento dannoso incida sulla sfera di un soggetto terzo, estraneo al rapporto contrattuale, trova applicazione il principio generale di cui all'art. 2043 c.c. in tema di responsabilità extracontrattuale, che impone il risarcimento di ogni danno ingiusto cagionato con dolo o colpa. In tale ipotesi, la responsabilità del cliente e quella del fornitore devono essere valutate separatamente, sulla base delle rispettive condotte, degli obblighi assunti, del nesso causale e degli altri presupposti applicabili. Il cliente che abbia risarcito il terzo potrà eventualmente agire nei confronti del fornitore sulla base del rapporto contrattuale, ove ne ricorrano i presupposti. Le limitazioni pattuite tra fornitore e cliente non sono, per ciò solo, opponibili al terzo danneggiato.
2. La qualificazione della prestazione: obblighi contrattuali, livelli di servizio e diligenza professionale
Un primo elemento da definire con chiarezza nel testo contrattuale attiene alla natura della prestazione dedotta. Si pensi, a titolo esemplificativo, a un servizio Software as a Service (SaaS). La natura degli obblighi assunti dal fornitore deve essere individuata sulla base del contratto e delle caratteristiche effettive del servizio. A seconda della prestazione, rilevano il parametro della diligenza professionale previsto dall'art. 1176, comma 2, c.c. e gli specifici livelli di servizio o risultati contrattualmente promessi, quali disponibilità del sistema, tempi di ripristino, funzionalità dichiarate e livelli di assistenza. La corretta delimitazione della prestazione consente di individuare le aspettative legittime del cliente e il perimetro della responsabilità del fornitore, senza presupporre né una garanzia assoluta di funzionamento né l'assenza di obblighi specifici di risultato.
3. Service level agreement (SLA), clausola penale e limiti di responsabilità
Lo SLA rappresenta una pattuizione importante nel settore dei servizi digitali, poiché definisce in via preventiva i livelli di servizio e i rimedi applicabili in caso di mancato raggiungimento degli standard concordati, spesso mediante un credito di servizio, riduzioni del corrispettivo o altre forme di ristoro commisurate alla gravità e alla durata del disservizio. Inoltre, quando detto accordo sia strutturato dalle parti come una prestazione dovuta in caso di inadempimento o ritardo e sia destinato a predeterminare l'ammontare del risarcimento, potrà assumere la natura di clausola penale ai sensi dell'art. 1382 c.c. Pertanto, il cliente che abbia accettato un simile meccanismo difficilmente potrà, per il medesimo evento, pretendere un risarcimento ulteriore secondo le regole generali, salvo diversa e specifica previsione contrattuale.
Accanto allo SLA, è prassi diffusa introdurre un limite massimo alla responsabilità del fornitore, sovente parametrato a un multiplo dei corrispettivi annui. Tale clausola è ammessa dall'ordinamento, ma soggetta a condizioni di validità precise: se il contratto è predisposto unilateralmente dal fornitore, la clausola rientra tra quelle che, ai sensi dell'art. 1341, comma 2, c.c., richiedono specifica approvazione per iscritto; in ogni caso, l'art. 1229 c.c. sanziona con la nullità il patto che escluda o limiti preventivamente la responsabilità del debitore per dolo o colpa grave. Un limite di responsabilità redatto senza tali accortezze espone il fornitore al rischio di vederlo dichiarato parzialmente o totalmente inefficace in sede giudiziale, e cioè proprio nelle ipotesi più gravi, ossia quelle in cui la sua funzione di contenimento del rischio sarebbe maggiormente necessaria.
4. L'esclusione del danno indiretto o consequenziale
Accanto al limite quantitativo, è frequente prevedere clausole volte ad escludere o limitare l'entità del danno indiretto o consequenziale: si pensi, ad esempio, a determinate perdite di profitto, a perdite di opportunità commerciali o ad altri danni qualificati contrattualmente come indiretti o consequenziali. La validità e la portata di tali clausole dipendono, tuttavia, dalla loro formulazione concreta e dai limiti inderogabili posti dalla legge. Sul piano risarcitorio, l'art. 1223 c.c. circoscrive il danno alle conseguenze immediate e dirette dell'inadempimento, mentre l'art. 1225 c.c. limita, in assenza di dolo, il risarcimento ai danni prevedibili al momento in cui è sorta l'obbligazione. Tra professionisti, tale clausola è generalmente valida, nei limiti in cui non ricada nelle ipotesi di nullità previste dall'art. 1229 c.c.; essa deve tuttavia essere formulata con precisione, poiché una indicazione generica, quale: "nessuna responsabilità è prevista per danni consequenziali", può dare luogo a contestazioni sulla stessa qualificazione del danno di volta in volta lamentato.
5. L'output erroneo dei sistemi di intelligenza artificiale
Per le ipotesi di malfunzionamento non consistente nell'indisponibilità del servizio, bensì in un output erroneo generato da un componente basato su intelligenza artificiale, è necessaria una integrazione specifica della clausola di responsabilità. È opportuno, dunque, che il contratto descriva correttamente la natura e i limiti funzionali del componente di intelligenza artificiale, chiarendo, ove coerente con il servizio offerto, che l'output ha natura probabilistica e non costituisce di per sé una garanzia di correttezza o completezza. Tale disciplina contrattuale deve, tuttavia, essere coerente con le funzionalità effettivamente offerte, con gli obblighi assunti dal fornitore e con le eventuali cautele tecniche e organizzative previste per gli utilizzi a maggiore impatto.
Sul piano della responsabilità contrattuale, poi, l'errore prodotto da un componente di intelligenza artificiale non costituisce, di per sé, una categoria autonoma di inadempimento, ma occorre verificare se l'output o il comportamento del sistema rappresentino una violazione degli obblighi assunti dal fornitore. Restano tuttavia applicabili, ove ne ricorrano i presupposti, ulteriori regimi di responsabilità previsti dall'ordinamento, compresa la disciplina della responsabilità da prodotto difettoso relativa al software.
6. La responsabilità verso i terzi e il quadro normativo europeo
Quando l'output erroneo di un sistema di intelligenza artificiale cagiona un danno a un soggetto estraneo al rapporto contrattuale, la responsabilità del fornitore e quella del cliente devono essere valutate separatamente, sulla base delle rispettive condotte, degli obblighi assunti e dei regimi di responsabilità applicabili. Il quadro normativo non è più costituito soltanto dalle disposizioni codicistiche e dalla disciplina europea, in quanto dal 30 settembre 2026 è in vigore il d.lgs. n. 160, del 9 settembre 2026, che introduce specifici strumenti processuali per le azioni risarcitorie, contrattuali ed extracontrattuali, derivanti dall'utilizzo di sistemi di intelligenza artificiale.
Detto d.lgs. n. 160 del 9 settembre 2026, rispettivamente, agli artt. 16-20 introduce specifici strumenti processuali; all'art. 17 consente al giudice, su istanza della parte che allega di avere subito un danno e in presenza degli elementi richiesti dalla norma, di ordinare l'esibizione di prove pertinenti relative al funzionamento del sistema, comprese, nei casi applicabili, le informazioni sui registri, sulla gestione dei rischi, sulla documentazione tecnica e sulla supervisione umana. Con l'art. 18 prevede una presunzione relativa del nesso di causalità quando il danno deriva dalla violazione di uno o più obblighi previsti dall'AI Act, salvo prova contraria; con l'art. 19 precisa che la conformità del sistema agli obblighi del Regolamento, anche se certificata, non esclude di per sé la responsabilità del convenuto.
Nell'ambito del diritto dell'Unione Europea, invece, assume un ruolo centrale il Regolamento (UE) 2024/1689 (AI Act). Il testo introduce, all'art. 50, precisi obblighi di trasparenza ai quali si aggiungono, per i sistemi di intelligenza artificiale classificati ad alto rischio, le specifiche disposizioni in materia di trasparenza e istruzioni per l'uso dettate dall'articolo 13. La violazione della normativa appena citata può assumere rilievo anche nella valutazione complessiva della condotta del fornitore e della conformità del servizio, ma non determina di per sé una responsabilità civile o un aggravamento della colpa al di fuori dei presupposti previsti dalle norme applicabili. Rileva, inoltre, la Direttiva (UE) 2024/2853 che introduce una nuova disciplina della responsabilità da prodotto difettoso, includendo espressamente il software, compresi i sistemi di intelligenza artificiale, a prescindere dalle modalità di fornitura, anche tramite cloud o secondo il modello SaaS. Tale ultima direttiva dovrà essere recepita dagli Stati membri, entro il 9 dicembre 2026, e si applicherà ai prodotti immessi sul mercato o in servizio dopo l'8 dicembre 2026. La disciplina non si applicherà automaticamente a qualsiasi danno derivante da un servizio SaaS, ma richiederà la verifica dei presupposti oggettivi e soggettivi previsti dalla direttiva.
7. La forza maggiore e le cause esterne di esonero
La clausola di forza maggiore rappresenta un importante strumento a tutela dei contraenti, poiché esonera temporaneamente o definitivamente una o entrambe le parti dalla responsabilità per il mancato o ritardato adempimento degli obblighi contrattuali, quando questo è causato da eventi imprevedibili, straordinari e al di fuori del loro ragionevole controllo. Detta clausola, se correttamente redatta, individua gli eventi esterni alla sfera di controllo del fornitore che, secondo la disciplina contrattuale e i presupposti dell'impossibilità non imputabile, possono incidere sull'adempimento dell'obbligazione. Tra questi possono rientrare, a seconda delle circostanze e delle misure ragionevolmente esigibili, determinati attacchi informatici, eventi eccezionali o indisponibilità di infrastrutture di terzi. La loro qualificazione, tuttavia, non può essere automatica: occorre verificare concretamente la prevedibilità dell'evento, la possibilità di prevenirne o limitarne gli effetti e gli obblighi di continuità e sicurezza assunti dal fornitore.
8. Il rapporto con il consumatore: il controllo di vessatorietà
Quando il destinatario del servizio riveste la qualità di consumatore, il regime di responsabilità sin qui descritto subisce un temperamento significativo. Le clausole che escludono o limitano la responsabilità del professionista nei confronti del consumatore, sono infatti sottoposte al controllo di vessatorietà previsto dall'art. 33 del d.lgs. 206/2005, Codice del consumo. In caso di controversia, il giudice adito può dichiarare tali clausole nulle ove risultino, nonostante la buona fede, causa di un significativo squilibrio dei diritti e degli obblighi a carico del consumatore. Ne consegue che, nei contratti B2C, le clausole di esonero e limitazione della responsabilità devono essere calibrate con maggiore prudenza rispetto a quanto consentito nei rapporti tra professionisti.
9. La gestione del danno e la funzione della copertura assicurativa
Al verificarsi dell'evento dannoso, la condotta del fornitore assume rilievo autonomo, anche ai fini della valutazione della diligenza complessivamente tenuta. Si segnala che la conservazione ordinata delle evidenze tecniche può assumere rilievo anche in un eventuale contenzioso: l'art. 17 del d.lgs. n. 160/2026 consente infatti al giudice di ordinare, alle condizioni previste, l'esibizione di elementi di prova pertinenti, relativi al funzionamento del sistema di intelligenza artificiale. La norma disciplina, anche, le conseguenze dell'inosservanza ingiustificata dell'ordine, tenendo conto delle garanzie relative ai segreti commerciali e alle informazioni riservate. È fortemente consigliato provvedere tempestivamente alla documentazione dell'evento, conservarne le evidenze rilevanti, contenerne gli effetti e ripristinare il servizio. Il cliente deve essere informato secondo le modalità e i tempi previsti dal contratto e nel rispetto degli eventuali obblighi applicabili. Qualora l'incidente comporti una violazione dei dati personali, devono essere valutati gli adempimenti previsti dagli artt. 33 e 34 del Regolamento (UE) 2016/679 (GDPR): il titolare valuterà la necessità di notificare la violazione all'autorità di controllo e, ricorrendone i presupposti, di comunicarla agli interessati; il fornitore che operi quale responsabile del trattamento deve informare il titolare senza ingiustificato ritardo ai sensi dell'art. 33, par. 2, GDPR. Accertate le cause dell'evento dannoso, dovranno essere attivati tutti i rimedi contrattuali previsti, e, ove l'episodio abbia rivelato una lacuna nelle clausole relative allo SLA o ai sistemi di intelligenza artificiale utilizzati, il fornitore del servizio dovrà valutare l'opportunità di provvedere all'aggiornamento del modello contrattuale in uso per i rapporti successivi.
Sul punto, si segnala che una polizza di responsabilità civile professionale, o una specifica copertura assicurativa cyber, può costituire un complemento rilevante della gestione contrattuale del rischio, consentendo di trasferire all'assicuratore, nei limiti della copertura, del massimale e delle condizioni di polizza, parte dell'esposizione economica derivante dagli eventi assicurati. Per i danni cagionati dall'utilizzo di sistemi di intelligenza artificiale, occorre inoltre considerare quanto disposto dall'art. 20 del d.lgs. n. 160, del 9 settembre 2026, che riconosce al danneggiato, nei casi e nei limiti previsti, un'azione diretta nei confronti dell'impresa di assicurazione che presta la copertura della responsabilità civile del convenuto. In ogni caso, la copertura assicurativa non sostituisce una corretta disciplina contrattuale della responsabilità, ma può assumere un ruolo significativo nella gestione processuale della pretesa risarcitoria.
Fonti normative
Codice civile — artt. 1175, 1176, 1218, 1223, 1225, 1229, 1256, 1341, 1375, 1382, 1384 e 2043.
Regolamento (UE) 2016/679 (GDPR) — artt. 33, 34 e 82.
Direttiva (UE) 2024/2853 — riforma della responsabilità da prodotto difettoso, estesa al software e ai sistemi di intelligenza artificiale (in corso di recepimento)
Regolamento (UE) 2024/1689 (AI Act) — artt. 9, 11, 12, 13, 14 e 50, nei rispettivi ambiti di applicazione.
D.lgs. 160/2026 — artt. 16-20, strumenti processuali civili per il risarcimento dei danni cagionati dall'utilizzo di sistemi di AI.
D.lgs. 206/2005 (Codice del Consumo) — artt. 33, 35
Quando una verifica legale personalizzata è particolarmente utile
L'analisi mirata delle clausole contrattuali assume particolare rilievo quando il contratto in uso non preveda un limite di responsabilità, quando il servizio integri componenti di intelligenza artificiale il cui output sia destinato a influire su decisioni operative del cliente o su soggetti terzi, quando il destinatario del servizio sia un consumatore, oppure quando si sia già verificato un incidente e occorra gestirne le conseguenze e aggiornare il modello contrattuale per i rapporti successivi.
Gestisci in modo consapevole i rischi del servizio digitale
Verranno analizzate le tue clausole di responsabilità, quelle relative ai componenti di intelligenza artificiale e, infine, quelle del contratto in generale, al fine di verificarne la validità formale e la proporzionalità rispetto al rischio effettivo del servizio offerto.
Con una prima chiamata gratuita sarà possibile descrivere il proprio progetto nel rispetto della riservatezza e del segreto professionale, comprendere quali sono le necessità operative e richiedere un preventivo per l'attività del professionista.
Contatta l'avvocatoL'articolo ha finalità puramente informativa e non costituisce consulenza legale né instaura un rapporto professionale. Le norme e gli orientamenti richiamati sono indicati nella versione vigente alla data di pubblicazione; la loro applicazione concreta dipende dalla specifica formulazione contrattuale e dalla configurazione del servizio offerto.
L'articolo è dell'Avv. Alessandro Marinuzzi, che ne ha la responsabilità professionale.