La Direttiva (UE) 2024/2853, pubblicata in G.U. il 18.11.24, aggiorna il quadro normativo sulla responsabilità per danni da prodotti difettosi, adeguandolo agli sviluppi legati alle nuove tecnologie.
La nuova normativa – che dal 9.12.26 sostituirà la precedente Direttiva 85/374/CEE – sarà applicabile a tutti i beni mobili, compresi i software e i sistemi di intelligenza artificiale.
Il software viene incluso nella nozione di «prodotto»
Ai fini dell’applicazione della nuova disciplina sulla responsabilità oggettiva per danni da prodotti difettosi, il software viene espressamente incluso nella definizione di «prodotto», a prescindere dalle modalità con cui viene fornito o usato e, quindi, dal fatto che il software sia integrato in un dispositivo, utilizzato in cloud o fornito con modelli SaaS (software-as-a-service).
Al riguardo, la Direttiva chiarisce che, nel mercato dell’era digitale, il software ha acquisito un’importanza primaria, soprattutto se si considerano le possibili implicazioni in tema di sicurezza che possono derivare dall’uso di sistemi operativi, firmware, applicazioni o sistemi AI. Pertanto, dato che il software può essere immesso sul mercato come prodotto a sé stante o come componente di altri prodotti, la Direttiva riconosce che anche il software stesso possa causare danni dovuti al suo funzionamento.
Il responsabile del danno
La Direttiva amplia il novero dei soggetti responsabili, includendo qualunque soggetto che partecipa al processo produttivo.
In particolare, la Direttiva definisce come fabbricante – quindi come soggetto chiamato a rispondere degli eventuali danni – non solo chi effettivamente produce o sviluppa il prodotto o il componente difettoso, ma anche chi si presenta come fabbricante apponendo o autorizzando un terzo ad apporre il proprio nome, marchio o altro segno distintivo sul prodotto. Si prevede altresì la possibilità, per il danneggiato, di poter chiedere il risarcimento del danno sia al fabbricante del prodotto sia al fabbricante del componente, nel caso in cui un fabbricante integri in un prodotto un componente difettoso fornito da altro fabbricante.
Con particolare riguardo al software, la Direttiva considera fabbricante anche lo sviluppatore del software e il fornitore di sistemi di intelligenza artificiale. Si precisa inoltre che, una volta immesso sul mercato, un prodotto continua a rimanere sotto il controllo del fabbricante se quest’ultimo mantiene la capacità di fornire aggiornamenti o migliorie.
Rispetto al software, questo comporta che il prodotto sia ritenuto sotto il controllo del fabbricante anche se gli aggiornamenti riguardano soltanto il software integrato come componente di altro prodotto e anche se tali aggiornamenti vengono forniti da terze parti. È il caso, ad esempio, del fabbricante di un elettrodomestico intelligente che acconsenta alla fornitura da parte di terzi di aggiornamenti del software integrato nell’elettrodomestico da lui fabbricato.
Valutazione della sicurezza del software
La nuova normativa prevede che il carattere difettoso di un prodotto debba essere determinato in base alla mancanza di sicurezza “che una persona può legittimamente attendersi” in relazione a quel prodotto. Così, per i prodotti che generano elevate aspettative di sicurezza a causa dell’elevato rischio di causare danni alle persone (come le apparecchiature di sostegno vitale), si consente agli organi giurisdizionali di ritenere difettoso un prodotto anche senza accertarne l’effettivo carattere difettoso, a condizione che quel prodotto appartenga alla stessa serie di un altro prodotto già dichiarato difettoso.
Rispetto ai sistemi AI viene preso in considerazione l’effetto che ha, sulla sicurezza del prodotto, la capacità di quest’ultimo di imparare o acquisire nuove caratteristiche dopo la sua immissione sul mercato. Di conseguenza, un “fabbricante che progetti un prodotto in grado di sviluppare un comportamento inatteso dovrebbe rimanere responsabile dei comportamenti che causano danni”.
Software open source
Al fine di non ostacolare la ricerca e l’innovazione, viene esclusa l’applicabilità della Direttiva al software open source ma solo a condizione che tale software sia sviluppato o fornito nel corso di un’attività non commerciale.
La Direttiva resta invece applicabile quando il software viene fornito nel corso di un’attività commerciale e, per attività commerciale, si intende sia la fornitura del software in cambio di un prezzo, sia la fornitura di dati personali usati per fini ulteriori rispetto a quelli necessari a migliorare la sicurezza, la compatibilità o l’interoperabilità del software.
La Direttiva resta inoltre pienamente applicabile se il software open source viene successivamente integrato come componente in un altro prodotto nel corso di un’attività commerciale. In tal caso, viene considerato responsabile degli eventuali danni solo il fabbricante che ha messo in commercio il prodotto ma non lo sviluppatore del software, in quanto quest’ultimo non soddisferebbe la condizione di “avere immesso sul mercato un prodotto o un componente”.
Ilaria Feriti