Prodotti difettosi, dal 9 dicembre risarcimento esteso al software

Chi vende un prodotto immesso sul mercato dopo il 9 dicembre 2026 risponde anche del software che lo governa. È l’effetto del decreto legislativo approvato in esame preliminare dal Consiglio dei ministri, che riscrive la responsabilità per prodotti difettosi nel Codice del consumo e recepisce la direttiva europea arrivata a sostituire la disciplina del 1985.

In sintesi:

• il software, i file per la fabbricazione digitale e i servizi digitali collegati a un bene sono prodotti ai sensi dell’art. 4 della direttiva (UE) 2024/2853;
• rispondono del danno anche importatori, rappresentanti autorizzati, fornitori di servizi di logistica, piattaforme online e chi modifica in modo sostanziale un bene;
• tra i danni risarcibili compaiono la distruzione o la corruzione di dati non usati a fini professionali e i danni psicologici accertati sul piano medico;
• il diritto al risarcimento si estingue dopo dieci anni dall’immissione sul mercato, con termine elevato a venticinque anni per le lesioni a lenta manifestazione;
• ai prodotti immessi sul mercato prima di quella data continuano ad applicarsi gli artt. 114-127 del Codice del consumo nella formulazione vigente.

Il software diventa prodotto, chi lo scrive ne risponde

Il software è un prodotto a tutti gli effetti e il suo sviluppatore risponde dei danni senza che il danneggiato debba provarne la colpa. L’art. 4, punto 1 della direttiva mette sullo stesso piano il bene mobile, l’elettricità, le materie prime, i file per la fabbricazione digitale e il codice.

Non conta come il programma arriva all’utente. Sistemi operativi, firmware, applicazioni e sistemi di intelligenza artificiale rientrano nella definizione sia da installati sia erogati in cloud o in abbonamento, e il considerando 13 qualifica come fabbricante anche il fornitore di sistemi di IA ai sensi del regolamento (UE) 2024/1689. Fuori dal campo di applicazione rimangono le informazioni in quanto tali: il contenuto di un file multimediale, un e-book, il mero codice sorgente.

La responsabilità si estende ai servizi correlati, quelli senza i quali il bene perde una funzione. I dati sul traffico che alimentano un navigatore, il monitoraggio della temperatura di un frigorifero connesso, l’assistente vocale che comanda un elettrodomestico. Il criterio è il controllo del fabbricante, che non si esaurisce con la vendita e prosegue finché l’azienda può rilasciare aggiornamenti.

Due esclusioni delimitano il campo. L’art. 2, paragrafo 2 lascia fuori il software libero e open source sviluppato o fornito al di fuori di un’attività commerciale; il paragrafo 3 esclude i danni da incidenti nucleari già coperti da convenzioni internazionali. Il regolamento (UE) 2023/988 sulla sicurezza dei prodotti torna in gioco da un’altra porta, perché violare i requisiti obbligatori fa presumere il difetto.

Responsabili anche importatori, logistica e marketplace

Il danneggiato deve trovare sempre qualcuno stabilito nell’Unione a cui rivolgersi, e l’art. 8 costruisce una scala di soggetti responsabili pensata per non lasciare vuoti. In cima ci sono il fabbricante del prodotto e quello del componente difettoso integrato sotto il suo controllo.

Se il fabbricante sta fuori dall’Unione rispondono l’importatore e il rappresentante autorizzato. Mancano entrambi? Il conto passa al fornitore di servizi di logistica, cioè chi offre almeno due fra magazzinaggio, imballaggio, indirizzamento e spedizione senza possedere la merce, con esclusione dei corrieri e dei servizi postali.

All’ultimo gradino stanno distributori e piattaforme online, che rispondono quando il danneggiato chiede loro di indicare un operatore stabilito nell’Unione e non ottiene risposta entro un mese. Il marketplace viene coinvolto anche se presenta l’articolo in modo da far credere al consumatore medio che a venderlo sia la piattaforma. Quando i responsabili sono più di uno, la responsabilità è solidale.

Sparisce la soglia dei 387 euro sui danni alle cose

L’art. 6 risarcisce tre categorie di danno: morte e lesioni personali compresi i danni psicologici riconosciuti sul piano medico, distruzione o danneggiamento di beni diversi dal prodotto difettoso, distruzione o corruzione di dati. Coperte le perdite materiali e, nei limiti del diritto nazionale, quelle immateriali come dolore e sofferenza.

Per le imprese la lettura si rovescia. Beni usati esclusivamente a fini professionali e dati usati a fini professionali, anche non in via esclusiva, sono esclusi dal risarcimento: l’azienda che perde l’archivio gestionale per un software difettoso non può invocare questa disciplina e deve cercare tutela nel contratto. Chi produce o distribuisce sta dall’altro lato, quello degli obblighi.

Sulla franchigia serve una precisazione onesta. Palazzo Chigi non la nomina nel comunicato e il testo del decreto non è pubblicato. L’art. 6 della direttiva però non prevede soglie e l’art. 3 vieta agli Stati membri discipline divergenti, più o meno rigorose che siano. Su questa base la soglia dei 387 euro dell’art. 123 non sopravvive per i prodotti immessi sul mercato dopo il 9 dicembre 2026.

Il giudice può ordinare all’azienda di esibire le prove

Chi agisce in giudizio ottiene dal giudice l’ordine di esibizione delle prove in possesso della controparte, purché abbia portato fatti sufficienti a rendere plausibile la domanda. L’art. 9 impone che la divulgazione sia necessaria e proporzionata e consente al giudice di proteggere i segreti commerciali con misure specifiche ai sensi della direttiva (UE) 2016/943.

Tre situazioni fanno scattare la presunzione di difettosità: il convenuto non ottempera all’ordine di esibizione, l’attore prova la violazione di requisiti obbligatori di sicurezza, il danno nasce da un malfunzionamento evidente durante un uso ragionevolmente prevedibile. Il nesso causale si presume quando il difetto è accertato e il tipo di danno vi è compatibile.

Poi arriva la clausola che riguarda da vicino chi produce tecnologia. All’attore in difficoltà eccessive per la complessità tecnica del caso basta dimostrare che il difetto è probabile, e la direttiva cita l’esempio di chi dovrebbe spiegare il funzionamento interno di un sistema di IA. Il convenuto può confutare ogni presunzione, il che sposta la difesa sulla documentazione di progettazione, test e rilasci.

Responsabilità fino a 25 anni per danni tardivi

I tre anni di prescrizione e i dieci di decadenza non sono una novità: figurano già negli artt. 125 e 126 del Codice del consumo. L’art. 16 conferma il triennio, che decorre da quando il danneggiato ha conosciuto o avrebbe dovuto conoscere il danno, il difetto e l’identità dell’operatore.

Cambia l’art. 17. Alla decadenza decennale dall’immissione sul mercato si affianca un termine di venticinque anni quando la lesione si manifesta tardi e prima non era possibile agire. Per i prodotti modificati in modo sostanziale il conteggio riparte dalla nuova messa a disposizione.

Nessuna clausola contrattuale può limitare o escludere la responsabilità verso il danneggiato. L’art. 15 lo vieta, il comunicato del Consiglio dei ministri conferma la nullità di ogni patto in tal senso, e il divieto copre anche i massimali fissati per legge.

Chi rigenera un prodotto ne diventa il nuovo fabbricante

Chi apporta una modifica sostanziale fuori dal controllo del fabbricante originario e rimette il bene sul mercato risponde come se lo avesse costruito. L’art. 4, punto 18 rinvia ai criteri della normativa sulla sicurezza dei prodotti e, in loro assenza, qualifica come sostanziale l’intervento che altera prestazioni, finalità o tipo del bene modificandone il profilo di rischio.

Le riparazioni ordinarie non rientrano, come chiarisce il considerando 39, e chi rigenera si libera provando che il danno riguarda una parte non toccata dall’intervento. Il confine fra riparazione e rigenerazione diventa così una questione di bilancio per il ricondizionato elettronico e la rifabbricazione industriale.

Nel digitale la trappola è un’altra. L’art. 11, paragrafo 2 impedisce di invocare l’esimente del difetto sopravvenuto quando il vizio dipende da un servizio correlato, da un aggiornamento software o dalla mancanza degli aggiornamenti di sicurezza necessari a tenere sicuro il prodotto. Una vulnerabilità nota e non corretta fa responsabilità civile, anche se il bene era conforme il giorno della vendita.

Contratti di fornitura da aggiornare entro il 9 dicembre

Le piccole software house hanno una tutela specifica. L’art. 12, paragrafo 2 permette al fabbricante che integra un componente software di rinunciare al diritto di rivalsa verso il fornitore, a due condizioni cumulative: il fornitore dev’essere una microimpresa o una piccola impresa ai sensi della raccomandazione 2003/361/CE quando il componente arriva sul mercato, e la rinuncia dev’essere pattuita fra le parti.

La clausola vale solo nei rapporti interni. Verso il danneggiato la responsabilità rimane intera e solidale, perché l’art. 15 fulmina di nullità ogni accordo che la comprima. È una protezione contrattuale contro il regresso, non uno scudo.

Le verifiche da avviare in azienda nei prossimi mesi sono le seguenti:

• censire il catalogo separando i prodotti immessi sul mercato prima del 9 dicembre 2026, ai quali continuano ad applicarsi gli artt. 114-127 del Codice del consumo, da quelli successivi;
• verificare se il software ceduto a terzi finisce integrato in beni destinati a persone fisiche, perché in quel caso la responsabilità segue il prodotto finale;
• negoziare per iscritto la rinuncia alla rivalsa dell’art. 12 quando si fornisce software da microimpresa o piccola impresa;
• mappare i servizi digitali collegati ai propri prodotti e i terzi autorizzati a fornire aggiornamenti, perché quell’autorizzazione tiene il bene sotto il controllo del fabbricante;
• tracciare in modo documentato versioni distribuite e patch di sicurezza rilasciate, dato che la vulnerabilità nota e non corretta preclude l’esimente del difetto sopravvenuto;
• chiedere al broker una verifica della polizza di responsabilità civile prodotti sulle nuove voci di danno, a partire dalla distruzione di dati e dai danni psicologici accertati;
• rivedere i contratti con importatori, fornitori di servizi di logistica e marketplace per stabilire in anticipo chi risponde alle richieste di identificazione entro il mese previsto.

Il decreto passa ora ai pareri delle commissioni parlamentari prima di tornare in Consiglio dei ministri per l’esame definitivo. La delega arriva dall’allegato A della legge 17 marzo 2026, n. 36, pubblicata nella Gazzetta Ufficiale n. 70 del 25 marzo 2026, e scade il 9 dicembre 2026: lo stesso giorno in cui la direttiva (UE) 2024/2853 abroga la direttiva 85/374/CEE.