Direttiva prodotti difettosi (PLD) Dir. (UE) 2024/2853

La Direttiva (UE) 2024/2853 rende responsabile del danno chi fabbrica un prodotto difettoso, e per prodotto intende anche il software. L’art. 4, punto 1, lo dice in modo espresso: un sistema di AI, un’app, un firmware o un componente software integrato in un altro prodotto rientrano nella definizione. Resta fuori solo il software libero e open source sviluppato o fornito al di fuori di un’attività commerciale (art. 2, par. 2).

Il cuore della direttiva è l’elenco degli operatori che rispondono, all’art. 8:

Due conseguenze pratiche. Chi rivende in Europa prodotti di un fabbricante extra-UE senza indicare un operatore stabilito nell’Unione può trovarsi a rispondere al suo posto. E chi integra un modulo di AI di terzi nel proprio prodotto, o lo modifica in modo sostanziale, risponde del prodotto intero, accanto al fornitore del modulo.

La direttiva non impone adempimenti: stabilisce chi paga quando un prodotto non offre la sicurezza che ci si può legittimamente attendere, e rende molto più semplice la prova per chi ha subito il danno.

La direttiva si applica ai prodotti immessi sul mercato o messi in servizio dopo l’8 dicembre 2026: il testo originale indicava il 9 dicembre, la rettifica del 7 maggio 2026 ha corretto la data. Per i prodotti immessi prima resta la direttiva 85/374/CEE (art. 21).

Il Consiglio dei ministri ha approvato in via definitiva il decreto legislativo di attuazione della Direttiva (UE) 2024/2853 il 28 ottobre 2026 (comunicato n. 195), dopo l’esame preliminare del 4 agosto 2026 e i pareri delle commissioni parlamentari. Al 29 ottobre 2026 il decreto non è ancora pubblicato in Gazzetta Ufficiale: numero, testo definitivo e data di entrata in vigore si conosceranno solo con la pubblicazione.

In Italia la responsabilità da prodotto difettoso sta oggi negli artt. 114-127 del Codice del consumo, che attuano la vecchia direttiva; il nuovo decreto interviene su quella disciplina. Il termine di recepimento è il 9 dicembre 2026 (art. 22). Questa pagina verrà aggiornata con il riferimento in Gazzetta.

Per una software house la direttiva sposta il rischio dal contratto al prodotto. Il metodo che propongo nella serie dedicata alla PLD si riassume in quattro mosse, da fare prima che i nuovi prodotti vadano in produzione.

1. Mappa i prodotti e il tuo ruolo in ciascuno. Per ogni prodotto stabilisci se sei fabbricante, fabbricante di un componente o integratore, ricordando che aggiornamenti e funzioni di AI sono parte del prodotto. Un modulo di AI di terzi rivenduto con il tuo marchio ti rende fabbricante (art. 8) e responsabile in solido con chi te lo ha fornito (art. 12).
2. Rileggi i contratti. Cerca nel contratto tipo le parole «difetto» e «aggiornamento». La clausola che scarica tutto sul cliente non regge verso il danneggiato (art. 15) e, nel migliore dei casi, regola solo la rivalsa fra te e il cliente.
3. Verifica la polizza. Una copertura professionale per il software senza estensione alla responsabilità da prodotto, senza retroattività o con una copertura postuma più corta dei dieci anni dell’art. 17 lascia scoperta proprio la parte nuova del rischio.
4. Costruisci prove difendibili. Le presunzioni dell’art. 10 scattano anche quando non divulghi le prove richieste ai sensi dell’art. 9. Servono log attribuibili e non manipolabili, versioni e aggiornamenti tracciati, decisioni di progetto datate, conservati per tutto il periodo in cui puoi essere chiamato a rispondere.

B2C e B2B non pesano allo stesso modo

La prima domanda per capire quanto sei esposto è a chi arriva il tuo prodotto. Se arriva ai consumatori, la PLD si applica in pieno, e con essa le regole del Codice del consumo e, per i contenuti generati con l’AI, la trasparenza dell’AI Act. Se lavori solo fra imprese in un settore non regolato, l’esposizione è soprattutto contrattuale e passa per il Codice civile, perché la direttiva non risarcisce i danni a beni usati esclusivamente a fini professionali né la perdita di dati professionali.

«Soprattutto», non «soltanto»: morte e lesioni personali sono risarcibili chiunque sia il danneggiato, e un prodotto venduto a un’impresa può finire nelle mani di consumatori. La scorciatoia «siamo B2B, la PLD non ci riguarda» va verificata prodotto per prodotto, non data per scontata.

Il go-live diventa così un atto formale: fa partire i dieci anni dell’art. 17 e conviene che sia accompagnato da un fascicolo con la documentazione del prodotto, chi ha firmato, una data certa e la polizza in essere. Una modifica sostanziale successiva fa ripartire il termine e riapre la valutazione.

• D.Lgs. 160/2026 — per i danni causati da sistemi di AI, esibizione dei log e nesso causale presunto in caso di violazione dell’AI Act; fa salva espressamente la normativa di recepimento della PLD.
• AI Act — un requisito obbligatorio di sicurezza non rispettato è uno dei casi in cui la PLD presume la difettosità (art. 10, par. 2, lett. b).
• Cyber Resilience Act — i requisiti di cibersicurezza rilevanti per la sicurezza entrano nella valutazione del difetto (art. 7); gestione delle vulnerabilità e aggiornamenti diventano anche una questione di responsabilità civile.
• GDPR — la direttiva lascia impregiudicata la protezione dei dati (art. 2, par. 4): un incidente può dare luogo a entrambe le responsabilità.

Le norme si sommano: lo stesso fatto può generare più titoli di responsabilità. Per lo stesso motivo un deliverable ben fatto ne copre più d’una: la tracciabilità serve alla PLD e al GDPR, la gestione delle vulnerabilità alla PLD, al CRA e alla NIS2.

• «Il software è un servizio, non un prodotto». Per la direttiva il software è un prodotto (art. 4, punto 1), sistemi di AI compresi.
• «Abbiamo una clausola di esonero». Verso il danneggiato non vale (art. 15).
• «Il difetto è nato con un aggiornamento successivo». Se il prodotto è sotto il tuo controllo, il difetto dovuto al software o alla mancanza di aggiornamenti di sicurezza non ti esonera (art. 11, par. 2).
• «Il fabbricante è fuori dall’UE, non ci riguarda». Importatore, rappresentante autorizzato, fornitore di servizi di logistica, distributore e piattaforma possono rispondere al suo posto (art. 8).
• «La legge italiana è già in vigore». Al 29 ottobre 2026 il decreto di recepimento è approvato ma non pubblicato in Gazzetta; la direttiva fissa comunque l’applicazione ai prodotti immessi sul mercato dopo l’8 dicembre 2026.