Nuovi rischi di responsabilità per prodotti AI
La recente Direttiva Europea sulla Responsabilità dei Prodotti 2024/2853, entrata in vigore l’8 dicembre 2024, rappresenta una grande pietra miliare per la protezione dei consumatori. Questa nuova direttiva si propone di modernizzare le norme sulla responsabilità dei prodotti e rimuovere gli ostacoli per i consumatori, cambiando significativamente il panorama della responsabilità per i prodotti che utilizzano l’IA.
Responsabilità rigorosa indipendentemente dalla colpa
La nuova direttiva è pertinente a tutte le aziende che immettono prodotti nel mercato dell’UE, sostituendo la direttiva esistente 85/374/EEC, in vigore da quasi 40 anni. La direttiva stabilisce un quadro di responsabilità in caso di danni causati da un difetto nel prodotto. Un prodotto è considerato difettoso quando non offre il livello di sicurezza che una persona ha diritto di aspettarsi. È importante notare che il test rimane di responsabilità rigorosa, il che significa che i consumatori non devono dimostrare negligenza o colpa dell’azienda. La responsabilità del prodotto richiede solamente che:
- un prodotto fosse difettoso
- una persona ha subito un danno
- ci fosse un nesso causale tra il difetto del prodotto e il danno subito.
Software e prodotti integrati con IA rientrano nelle nuove norme
Fino ad ora, la questione se il software costituisca un prodotto ai sensi della legge sulla responsabilità dei prodotti è stata controversa. La nuova direttiva intende colmare questa lacuna e ampliare l’ambito delle nuove norme di responsabilità. I prodotti software e integrati con IA sono quindi esplicitamente considerati un “prodotto” ai sensi della nuova direttiva. Questo si applica sia al software incorporato in un altro prodotto (ad esempio, in un dispositivo di radioterapia) che a quello connesso a un altro prodotto (ad esempio, servizi di monitoraggio della salute digitale che utilizzano i sensori di un prodotto fisico per raccogliere dati).
Responsabilità per aggiornamenti software insufficienti o protezione informatica debole
La nuova direttiva chiarisce che i produttori e i fornitori di prodotti digitali come le app AI possono, in futuro, essere ritenuti responsabili per danni causati da un aggiornamento software difettoso o da debolezze della sicurezza del prodotto. La responsabilità del prodotto, quindi, si estende oltre il momento in cui il prodotto viene semplicemente immesso sul mercato.
Inoltre, la definizione di difetto nella nuova Direttiva sulla Sicurezza dei Prodotti pone un’enfasi ancora maggiore sui requisiti della legge sulla sicurezza dei prodotti. Ciò includerà la conformità ai requisiti di sicurezza stabiliti dalla Legge sull’IA. La non conformità o le misure da parte delle autorità di regolamentazione, come il richiamo di un prodotto, potrebbero indicare un difetto del prodotto.
Adattamento del regime di responsabilità dei prodotti all’era digitale
La nuova Direttiva mira a modernizzare le norme sulla responsabilità dei prodotti e ad adattarle all’era digitale. Ulteriori modifiche riguardanti i prodotti digitali includono che i ricorrenti possono chiedere danni più ampi, inclusa la distruzione o la corruzione dei dati. Inoltre, i limiti attuali di franchigia e di responsabilità massima sono stati rimossi.
Presunzione di difetto in casi complessi
Un ulteriore obiettivo della nuova Direttiva è quello di rimuovere gli ostacoli alla tutela dei consumatori. La nuova direttiva facilita notevolmente ai ricorrenti la possibilità di presentare richieste di responsabilità per prodotti difettosi:
- La nuova direttiva alleggerisce l’onere della prova per il ricorrente stabilendo una presunzione di difettosità e un nesso causale se:
- (i) la prova è “eccessivamente difficile” a causa della complessità tecnica o scientifica del prodotto
- (ii) un difetto del prodotto e/o la causalità è almeno “probabile”. Questo potrebbe essere particolarmente importante per i prodotti AI, poiché sarà spesso difficile per i ricorrenti dimostrare un difetto a causa della complessità e della mancanza di trasparenza su come funziona il prodotto (effetto black box). Sarà quindi compito dell’azienda confutare la presunzione.
Sotto la nuova Direttiva, i tribunali possono obbligare i convenuti a divulgare prove rilevanti in loro possesso se la parte lesa ha presentato un reclamo sufficientemente plausibile per danni. Ciò mira ad affrontare i potenziali svantaggi della parte lesa riguardo all’accesso alle informazioni sulla fabbricazione e sul funzionamento del prodotto. È fondamentale che i tribunali adottino misure per proteggere i segreti commerciali del convenuto.
Nuovo: ritiro dei piani dell’UE per una direttiva sulla responsabilità dell’IA
La Commissione Europea aveva inizialmente proposto una direttiva sulla responsabilità dell’IA nel settembre 2022, come parte di un pacchetto con la Legge sull’IA e la nuova Direttiva sulla Responsabilità dei Prodotti. Mentre le ultime due sono state adottate, il processo legislativo per la direttiva sulla responsabilità dell’IA si è bloccato. Il 19 settembre 2024, il Servizio di Ricerca del Parlamento Europeo ha pubblicato un studio sull’abbozzo della direttiva sulla responsabilità dell’IA suggerendo molte modifiche.
Il 11 febbraio 2025, nel suo programma di lavoro finale per il 2025, la Commissione UE ha aggiunto la direttiva all’elenco delle proposte che intende ritirare. La ragione fornita è che non si prevede alcun accordo sulla proposta. Tuttavia, la Commissione valuterà se dovrebbe essere presentata un’altra proposta o se dovrebbe essere scelto un altro tipo di approccio.
Questa decisione è comprensibile, poiché l’ambito della nuova direttiva sarebbe stato limitato. Tuttavia, c’erano anche differenze tra le direttive: sotto la nuova Direttiva sulla Responsabilità dei Prodotti, i produttori o i fornitori di sistemi AI difettosi che causano danni fisici, danni materiali o perdita di dati agli individui sono responsabili senza colpa, se c’è un difetto del prodotto. L’abbozzo della direttiva sulla responsabilità dell’IA, d’altra parte, copriva la responsabilità per colpa non contrattuale, in caso di violazione di un dovere di diligenza, per qualsiasi tipo di danno (inclusi i danni puramente finanziari e non materiali) e a favore di qualsiasi tipo di parte lesa, comprese le entità legali. Dopo il ritiro della direttiva sulla responsabilità dell’IA, diventa ancora più importante che la nuova Direttiva sulla Responsabilità dei Prodotti copra anche i prodotti software e AI.
Conclusione e come prepararsi nel 2025
La nuova Direttiva Europea sulla Responsabilità dei Prodotti introduce un regime di responsabilità più favorevole ai ricorrenti nell’UE e riduce la certezza legale per le imprese. Questo può avere un impatto significativo sulle aziende di dispositivi medici AI, poiché renderà più facile per i consumatori presentare reclami nell’UE per prodotti difettosi. Questo è particolarmente vero in situazioni in cui ci sono difficoltà probatorie causate da concetti scientifici e tecnologici complessi, come è probabile con i prodotti AI.
La nuova Direttiva sulla Responsabilità dei Prodotti dovrà essere attuata dagli Stati Membri entro il 9 dicembre 2026. La vecchia Direttiva sulla Responsabilità dei Prodotti 85/237/EEC continuerà ad applicarsi ai prodotti già sul mercato entro tale data. Le aziende dovrebbero utilizzare il tempo a disposizione per condurre valutazioni approfondite dei rischi, anche con riferimento alla protezione della sicurezza informatica. Sarà fondamentale stabilire e dimostrare la conformità normativa, inclusa quella ai requisiti della Legge sull’IA. Inoltre, le aziende dovrebbero rivedere il loro profilo di rischio di responsabilità dei prodotti, la loro copertura assicurativa e i sistemi esistenti di monitoraggio e richiamo.
