AI Act e assicurazioni: cosa è cambiato tra luglio e settembre 2026

In breve

• Le regole sui sistemi ad alto rischio dell'allegato III, che comprende la valutazione del rischio e il prezzo nelle polizze vita e salute, si applicano dal 2 dicembre 2027 invece che dal 2 agosto 2026.
• Dal 2 agosto 2026 vale l'articolo 50: chi parla con un chatbot deve sapere che dall'altra parte c'è un sistema di IA.
• Dal 30 settembre 2026 chi subisce un danno causato da un sistema di IA può agire direttamente contro l'assicuratore della responsabilità civile del responsabile (D.Lgs. 160/2026, art. 20).
• L'obbligo di formazione sull'IA (art. 4) resta in vigore, riscritto: servono misure concrete, non più un livello di competenza «sufficiente» per ogni persona.

Il Digital Omnibus sposta l'alto rischio al 2 dicembre 2027

Il Consiglio dell'UE ha approvato in via definitiva il pacchetto il 29 giugno. È diventato il regolamento (UE) 2026/1744 dell'8 luglio 2026, pubblicato in Gazzetta ufficiale UE il 24 luglio ed entrato in vigore il 27. Per i sistemi ad alto rischio elencati nell'allegato III dell'AI Act la data di applicazione passa dal 2 agosto 2026 al 2 dicembre 2027. Per quelli integrati in prodotti già regolati (allegato I) slitta al 2 agosto 2028.

Al settore assicurativo interessa il punto 5, lettera c), dell'allegato III: i sistemi destinati a valutare il rischio e a fissare il prezzo delle assicurazioni vita e malattia per le persone fisiche. Restano ad alto rischio, con gestione del rischio, documentazione tecnica, registri e sorveglianza umana. L'Omnibus cambia la data e lascia intatto l'elenco.

Nella pratica di un intermediario il caso tipico è il motore tariffario della compagnia, che resta un sistema dell'impresa. Diverso è il broker che sviluppa, o si fa sviluppare, un modello proprio per stimare il rischio di una persona su una polizza vita o salute. In quel caso gli obblighi dell'allegato III vanno letti adesso: per documentare un modello come chiede la norma, poco più di un anno non è molto.

Cosa vale già oggi: chatbot dichiarati e formazione

La data dell'articolo 50 è rimasta il 2 agosto 2026. I sistemi che dialogano con le persone devono essere progettati in modo che l'utente sappia di parlare con un'IA, a meno che sia evidente dal contesto. L'obbligo è in capo al fornitore del sistema. Se l'agenzia mette un assistente sul sito o su WhatsApp, la domanda da fare al fornitore è concreta: dove compare l'avviso, e con quali parole?

Per i contenuti sintetici, cioè testi, immagini e audio generati, c'è una proroga breve. I sistemi già sul mercato prima del 2 agosto 2026 hanno tempo fino al 2 dicembre 2026 per la marcatura leggibile dalle macchine dell'articolo 50, paragrafo 2.

Poi c'è l'articolo 4, sull'alfabetizzazione in materia di IA, in vigore dal 2 febbraio 2025. L'Omnibus lo ha riformulato: fornitori e deployer devono adottare misure per formare chi usa i sistemi, ma non devono più garantire a ciascuno un livello di competenza «sufficiente». Una formazione breve e documentata per chi in agenzia usa strumenti di IA resta la prova più semplice da tenere nel fascicolo.

D.Lgs. 160/2026: azione diretta contro l'assicuratore per i danni da IA

Per chi vende responsabilità civile è la novità più concreta dell'estate. Il decreto legislativo 9 settembre 2026, n. 160, pubblicato nella Gazzetta Ufficiale n. 214 del 15 settembre e in vigore dal 30 settembre, attua la delega della legge 132/2025. Il titolo II, capo II, introduce strumenti processuali per chi chiede il risarcimento di un danno causato nell'uso di un sistema di IA, sia contrattuale sia extracontrattuale.

• Art. 17. Il giudice può ordinare di esibire le prove sul funzionamento del sistema: i registri previsti dall'art. 12 dell'AI Act, la documentazione del sistema di gestione dei rischi, la documentazione tecnica, le informazioni sulla sorveglianza umana. Se la parte non esibisce senza giustificato motivo, il giudice può trarne argomenti di prova; se manca proprio questa documentazione, valutato ogni altro elemento ritiene ammessi i fatti allegati da chi ha chiesto l'esibizione (comma 5).
• Art. 18. Se il danno deriva dalla violazione di un obbligo dell'AI Act, il nesso di causalità si presume, salvo prova contraria.
• Art. 19. Essere conformi all'AI Act, anche con certificazione, non esclude da solo la responsabilità.
• Art. 20. Il danneggiato ha azione diretta contro l'impresa che assicura la responsabilità civile del convenuto, nei limiti del massimale. Prima della causa può chiedere al presunto responsabile se ha una polizza RC per quel danno, e la risposta, con gli estremi del contratto e il nome della compagnia, va data entro trenta giorni. La richiesta non è condizione di procedibilità della causa; se la risposta manca o è incompleta, il giudice può desumerne argomenti di prova (art. 116 c.p.c.).

Per broker e agenzie le conseguenze sono pratiche. La richiesta dei trenta giorni arriverà ai clienti, e i clienti la gireranno a voi: bisogna sapere in fretta se la RC generale o professionale del cliente copre i danni causati da strumenti di IA, e con quali esclusioni. Le eccezioni contrattuali restano opponibili al danneggiato solo se anteriori al sinistro (comma 3), e la compagnia che paga può rivalersi sull'assicurato quando avrebbe potuto rifiutare o ridurre la prestazione (comma 4). Le clausole su software e IA nelle condizioni di polizza diventano così un pezzo di consulenza da spiegare prima della firma.

Il decreto aggiunge anche l'art. 25-vicies al D.Lgs. 231/2001. Le società rispondono di due reati legati all'IA: l'omessa adozione delle misure di sicurezza nei sistemi ad alto rischio (nuovo art. 437-bis c.p.) e la diffusione illecita di contenuti generati o alterati con l'IA (art. 612-quater c.p.). Chi ha un modello 231 ne deve rivedere la mappatura dei rischi.

Le date da segnare

Quattro verifiche da fare in agenzia entro fine anno

• Fate l'elenco degli strumenti di IA in uso, con fornitore e dati che passano dallo strumento: assistenti di scrittura, trascrizione delle chiamate, lettura dei documenti, chatbot.
• Per ogni chatbot rivolto ai clienti controllate l'avviso «stai parlando con un'IA» e cosa il bot può dire su prodotti e prezzi. Sul secondo punto è appena intervenuto il direttore esecutivo di EIOPA, in un contributo alla rivista Eurofi: ne parliamo in IVASS ed EIOPA sull'intelligenza artificiale.
• Mettete per iscritto chi ha fatto formazione sull'IA, quando e su quale materiale.
• Rileggete le RC dei clienti che usano l'IA nel lavoro, come studi professionali e PMI: esclusioni, definizioni di danno, massimali. E preparate la risposta tipo alla richiesta dei trenta giorni.

L'articolo spiega fonti pubbliche e non è una consulenza legale. Prima di decidere, leggete i testi originali linkati sotto.