ISSN 2704-8098
Con la collaborazione scientifica di
Rassegna di novità in materia di diritto penale e nuove tecnologie
Responsabili scientifici: Prof. Lorenzo Picotti e Prof. Luca Lupària
Monitoraggio e redazione a cura di Chiara Crescioli (C.C.), Stefano Dolci (S.D.), Beatrice Panattoni (B.P.), Lisa Perobello (Li.Pe.), Lorenzo Picotti (L.P.), Marco Pittiruti (M.P.), Simone Tarantino (S.T.), Rosa Maria Vadalà (R.M.V.).
NOVITÀ SOVRANAZIONALI
Il regolamento del Parlamento europeo e del Consiglio dell'8 luglio 2026, pubblicato in GUUE il 24 luglio 2026 ed entrato in vigore il 27 luglio 2026, nasce dalla proposta della Commissione COM (2025) 836 del 19 novembre 2025, nell'ambito del settimo pacchetto di semplificazione dell'attuazione di regole armonizzate sull'intelligenza artificiale, contenute in particolare nell’AI Act (regolamento UE 2024/1689).
I termini della sua applicazione sono stati in particolare posticipati al 2 dicembre 2027 per le disposizioni dell’art. 6 e correlate regole concernenti i sistemi “ad alto rischio”. Il nuovo regolamento comporta altresì la riduzione di oneri amministrativi, il rafforzamento di alcuni divieti, la spiegazione relativa all’applicazione concreta di alcune norme e la precisazione delle materie di competenza dell’AI Office.
Di particolare rilievo è l’ampliamento del catalogo delle pratiche vietate di cui all'art. 5 dell’AI Act, con l’introduzione delle lettere b-bis) e b-ter) al paragrafo 1. Viene vietata l'immissione sul mercato, la messa in servizio o l'uso di sistemi di intelligenza artificiale che generano o manipolano immagini, video o audio realistici raffiguranti le parti intime di una persona fisica riconoscibile, o la stessa mentre compie atti sessualmente espliciti, in assenza del consenso libero, specifico, informato e inequivocabile della persona ritratta (c.d. deepfake, materiale intimo non consensuale, generato soprattutto da applicazioni di IA che consentono la "nudificazione"). Si tratta infatti di materiale lesivo dei diritti fondamentali delle persone, che costituisce una forma di violenza e abuso sessuale soprattutto nei confronti di donne e minori. È per questo parimenti vietata l'immissione sul mercato, la messa in servizio o l'uso di sistemi che generano o manipolano materiale o spettacoli ai sensi dell'art. 2, lettere c) ed e), della direttiva 2011/93/UE, e dunque materiale di abuso sessuale su minori, incluso quello integralmente o parzialmente sintetico, salva l'applicabilità di una causa di giustificazione prevista dal diritto nazionale ai sensi dell'art. 5, paragrafo 1, della medesima direttiva (utilizzo di materiale di abuso sessuale sui minori da parte delle autorità nazionali per condurre attività di contrasto, prevenzione, indagine o red teaming).
Quanto alla portata degli obblighi per i fornitori di servizi e per i deployer, il regolamento (UE) 2026/1744, che introduce il nuovo art. 5, paragrafo 1-bis, dell'AI Act, circoscrive la responsabilità del fornitore ai casi in cui la generazione o manipolazione di tale materiale costituisca la finalità prevista del sistema, ovvero un risultato ragionevolmente prevedibile e riproducibile in assenza di misure tecniche di sicurezza adeguate (tra cui la pulizia dei dati di addestramento, l'addestramento al rifiuto, i controlli sull'output e i meccanismi di rilevamento dell'abuso).
La responsabilità del deployer, per converso, sorge unicamente laddove questi utilizzi effettivamente il sistema per generare o manipolare il materiale vietato, restando esclusi sia l'uso lecito di sistemi privi delle garanzie che il fornitore avrebbe dovuto predisporre, sia la generazione o manipolazione meramente accidentale. Il paragrafo 1-ter esclude dalla nozione di "manipolazione" il mero miglioramento tecnico di materiale preesistente che non ne accresca il livello di esposizione delle parti intime né alteri la natura degli atti sessualmente espliciti raffigurati.
Le violazioni degli obblighi imposti ai fornitori di servizi e ai deployer comportano l’applicazione delle severe sanzioni amministrative ai sensi dell’art. 99 dell’AI Act, ma, come evidenziato al considerando 15 del regolamento (UE) 2026/1744, possono integrare altresì distinte fattispecie di reato previste dalla normativa degli Stati membri e dalle direttive 2011/93/UE e (UE) 2024/1385. Per questo motivo il regolamento ricorda il rispetto del principio del ne bis in idem di cui alla Carta dei diritti fondamentali dell'Unione europea (Li.Pe.)
Il testo del Regolamento 2026/1744 è disponibile al seguente link.
In data 3 giugno 2026 la Commissione europea ha trasmesso al Parlamento un pacchetto in ambito di sovranità tecnologica. L'obiettivo è rafforzare l'autonomia strategica europea nei settori tecnologici considerati essenziali quali, semiconduttori, cloud, intelligenza artificiale, software e infrastrutture digitali, riducendo la dipendenza da fornitori extra-UE, in particolare statunitensi e cinesi. Il pacchetto riunisce quattro iniziative, due legislative e due di natura strategica.
Il primo pilastro è la proposta Chips Act 2.0, che aggiornerà il regolamento (UE) 2023/1781. L'obiettivo è rafforzare l'intera filiera europea dei semiconduttori, incrementando la capacità produttiva dell'Unione, sostenendo la progettazione e la produzione di chip avanzati, migliorando la resilienza delle catene di approvvigionamento e stimolando la domanda di componenti europei. La proposta prevede inoltre nuovi strumenti di coordinamento tra gli Stati membri, un rafforzamento della governance europea del settore e misure per attrarre investimenti pubblici e privati.
Il secondo pilastro è il Cloud and AI Development Act (CADA), che costituisce probabilmente la parte più innovativa del pacchetto. La proposta è volta allo sviluppo della ricerca e dell'innovazione di tecnologie all'avanguardia e sostenibili, bilanciando al contempo le ambizioni di intelligenza artificiale con gli impegni climatici. La proposta mira a creare un ecosistema europeo del cloud e dell'intelligenza artificiale, con particolare attenzione alle strutture altamente sostenibili ed innovative, attraverso:
L'idea di fondo è che il controllo dell'infrastruttura digitale costituisca un elemento essenziale della sicurezza economica e della sovranità tecnologica dell'Unione.
Il terzo pilastro non introduce nuovi obblighi giuridici, ma definisce una strategia per promuovere l'utilizzo di software open source. La Commissione ritiene che una maggiore diffusione di soluzioni aperte possa ridurre il fenomeno del vendor lock-in, favorire l'interoperabilità, rafforzare la sicurezza informatica e aumentare la capacità europea di controllare le tecnologie impiegate nelle amministrazioni pubbliche e nei servizi essenziali. La strategia prevede investimenti nelle competenze, nel sostegno alle start-up e nello sviluppo di infrastrutture digitali aperte.
L'ultimo pilastro riguarda il rapporto tra transizione digitale e sistema energetico. La Commissione evidenzia che lo sviluppo dell'AI comporterà una crescita significativa della domanda di energia, soprattutto per effetto dei data center. Per questo propone una roadmap che favorisca l'integrazione sostenibile dei data center nella pianificazione energetica europea, l'impiego dell'AI nella gestione delle reti e lo sviluppo di modelli di AI sicuri e che rendano il sistema energetico europeo più efficiente.
Al di là delle singole iniziative, il pacchetto riflette un cambiamento di prospettiva della politica europea. Negli ultimi anni l'UE si è concentrata prevalentemente sulla regolazione del mercato digitale (con strumenti quali il Digital Markets Act, il Digital Services Act e l'AI Act), con il pacchetto sulla sovranità tecnologica, invece, l'attenzione si sposta anche sul rafforzamento della capacità industriale europea, attraverso investimenti, infrastrutture e politiche di sostegno alla produzione tecnologica sostenibile. L'obiettivo dichiarato è consentire all'Unione Europea di sviluppare e controllare tecnologie strategiche, preservando la propria autonomia senza rinunciare all'apertura dei mercati. (Li.Pe.)
I documenti sono consultabili al seguente link.
Con il report Internet Organised Crime Threat Assessment, l’Europol rileva come l'accessibilità crescente degli strumenti di intelligenza artificiale consenta più facilmente ai criminali informatici di violare le disposizioni normative con conseguente aumento delle operazioni illecite, riducendo al contempo il coinvolgimento diretto degli autori materiali nelle singole condotte. La diffusione di piattaforme a crittografia end-to-end (E2EE), unita a barriere giurisdizionali e a politiche di data retention non armonizzate tra i fornitori di servizi online, genera significativi punti ciechi investigativi, ostacolando l'identificazione dei sospetti e la raccolta delle prove. In tale contesto, le frodi online costituiscono il settore della criminalità organizzata a crescita più rapida, che con lo strumento del ransomware, con oltre 120 varianti attive censite da Europol nel 2025, evolve verso modelli di estorsione fondati sulla minaccia di divulgazione dei dati.
Sul fronte dello sfruttamento sessuale dei minori online, l'impiego di AI generativa e di piattaforme E2EE aggrava le difficoltà di individuazione delle vittime e di repressione dei reati. Il report raccomanda pertanto alle Autorità Governative un investimento proattivo finalizzato all’implementazione delle conoscenze in tema di intelligenza artificiale, l'armonizzazione delle politiche di conservazione dei dati e un rafforzamento della cooperazione con il settore privato, quale presupposto per colmare il divario di velocità tra evoluzione della minaccia e capacità di risposta istituzionale. (Li.Pe.)
Il report è disponibile al seguente link.
Grazie alla piattaforma denominata UE Most Wanted, sito lanciato nel 2016 dalla Rete Europea delle Squadre di Ricerca Attiva dei Fuggitivi (ENFAST), è stato possibile rintracciare un latitante ungherese ricercato per aver commesso delitti a sfondo sessuale a danno di un minore.
L’uomo, il cui profilo era stato aggiunto alla piattaforma soltanto tre giorni prima, è stato arrestato in Spagna lo scorso 7 maggio, a dimostrazione dell’efficacia e delle tempestività di questo mezzo, il quale fornisce, infatti, un dettagliato elenco dei soggetti indagati o condannati in Europa per reati di particolare gravità, consentendo, così, a chiunque di poter effettuare segnalazioni alle forze dell’ordine. (S.D.)
La notizia è disponibile al seguente link.
Il report Asia and South Pacific Cyber Threat Assessment Report 2025/2026 pubblicato da Interpol Asia and South Pacific Cybercrime Desk (ASP Desk), nell'ambito del progetto ASPJOC (Asia and South Pacific Joint Operations against Cybercrime, finanziato dal Regno Unito), fotografa lo stato della criminalità informatica nella regione asiatica tra gennaio 2024 e marzo 2025, sulla base di un questionario sottoposto a 18 Paesi membri e di dati tecnici forniti da partner privati. Il rapporto rileva, in primo luogo, l'industrializzazione delle truffe online gestite da organizzazioni criminali transnazionali attive in Cambogia, Laos, Myanmar e Filippine attraverso veri e propri scam center, ossia enormi complessi industriali e urbani, dove migliaia di persone sono costrette a compiere truffe informatiche online su scala globale. Le organizzazioni criminali fanno ampio ricorso al lavoro forzato (assimilato a forme di schiavitù moderna) e generano proventi stimati in circa 40 miliardi di dollari USA l'anno.
Nel report viene altresì documentato l'aumento degli attacchi ransomware (oltre 135.000 nel 2024) e delle intrusioni DDoS (+92%), nonché la diffusione di malware infostealer (RedLine, LummaC2, Lokibot, tra i più rilevati nella regione), utilizzati per sottrarre credenziali e dati finanziari, spesso prodromici a frodi su più larga scala.
Un capitolo specifico è poi dedicato al ruolo dell'intelligenza artificiale generativa come fattore di amplificazione delle minacce. In particolare, si analizza l’utilizzo dei deepfake impiegati per impersonare dirigenti aziendali richiedendo il pagamento di ingenti somme ai dipendenti dell’azienda vittima dei truffatori. I deepfake vengono inoltre utilizzati nelle cd truffe romance baiting scams (con perdite stimate fino a 37 miliardi di dollari USA), nonché per la realizzazione di contenuti artificiali a sfondo sessuale.
A fronte di tale scenario, il report dà conto, distintamente, di due livelli di risposta. Da un lato, descrive le misure recentemente adottate da singoli Stati membri: tra queste, l'inasprimento sanzionatorio in materia di materiale sessuale deepfake in Corea del Sud, il potenziamento della Cybercrime Directorate indonesiana, la nuova regolamentazione dei prestatori di servizi su cripto-attività a Hong Kong e la messa al bando nazionale dei Philippine Offshore Gaming Operators (POGO) nelle Filippine. Dall'altro lato, illustra la strategia dell'Interpol nell'ambito del più ampio Strategic Framework 2026-2030 (Together Against Crime). Il Global Cybercrime Programme è strutturato in tre pilastri operativi che prevedono lo sviluppo di un sistema di controllo delle cyber minacce, delle capacità investigative dei Paesi membri, nonché la conduzione di operazioni transnazionali coordinate, in continuità con quanto già posto in essere con la c.d. operazione SECURE (febbraio 2025), che ha coinvolto 26 Stati e portato alla disattivazione di oltre 20.000 indirizzi IP e domini malevoli collegati a campagne di infostealer. (Li. Pe. e S. D.)
Il testo del report è consultabile al seguente link.
Con un’operazione denominata Operazione Endgame, coordinata da Europol e Eurojust che ha visto il coinvolgimento di più Stati, quali Canada, Danimarca, Germania, Paesi Bassi, Regno Unito, Stati Uniti e società di software private, come Microsoft, sono state interrotte le cosiddette “catene di montaggio” che i cybercriminali usano per lanciare ransomware, frodi finanziarie e attacchi alle infrastrutture critiche. Questa operazione ha segnato un cambiamento di strategia: invece di concentrarsi esclusivamente sulle minacce individuali, Europol, le forze dell'ordine e le autorità giudiziarie, così come partner privati del settore, hanno interrotto l'intera catena che permetteva agli attacchi informatici di avere successo, contaminando siti web con malware o estraendo informazioni sensibili come password, dati di accesso memorizzati e identità digitali da computer compromessi, rendendole disponibili per un successivo uso illecito, in particolare il commercio e l’utilizzo di dati personali. (Li.Pe.)
Il rapporto dell’Europol è consultabile al seguente link.
7. COMMISSIONE EUROPEA: Europol ed Eurojust rafforzati per intensificare la lotta contro la criminalità transfrontaliera e il terrorismo
La Commissione europea propone l’adozione di nuove misure per implementare la risposta dell’Unione ad un panorama di criminalità organizzata sempre più transfrontaliero, sofisticato ed organizzato, che sfrutta una rete digitale capace di interconnettersi in un ecosistema che combina le infrastrutture digitali, i flussi finanziari illeciti ed i servizi online. A fronte di uno scenario così descritto, ne discende la necessità di un approccio combinato tra Stati, anche grazie all’intervento dell’Unione.
Le proposte mirano a creare un coordinamento tra gli organi giurisdizionali di ogni Stato membro (polizia giudiziaria ed amministrativa, dogana, pubblici ministeri) dalla genesi delle indagini, passando per l’accertamento, la prevenzione, la cooperazione giudiziaria e l’azione penale efficace, fino all’accertamento della responsabilità degli autori con sentenza definitiva.
In particolare, si intendono ampliare due strumenti affidati all’UE: l’Europol e l’Eurojust.
Quanto all’Europol, quale centro dell'UE per la cooperazione di polizia nell'attività di contrasto, questo sosterrà gli Stati membri garantendo: i) uno scambio di informazioni più efficace, veloce e sicuro, tramite un’infrastruttura cloud ed uno spazio condiviso di dati di polizia; ii) maggiore sostegno operativo agli Stati membri, mediante uffici di Europol con personale esperto in cybercriminalità; iii) un polo tecnologico ed innovativo per la lotta sistemica alla criminalità organizzata; iv) una cooperazione più stretta con gli organi e gli organismi dell’UE (in primis, Procura europea ed Eurojust); v) una cooperazione internazionale rafforzata con i Paesi extra-Ue, per contrastare congiuntamente la criminalità transfrontaliera.
Quanto all’Eurojust, quale Agenzia dell’Unione per la cooperazione giudiziaria penale, questa sosterrà le Autorità degli Stati membri, mediante: i) il rafforzamento delle capacità organizzative e dell’intervento operativo; ii) una lotta serrata alle sfere di criminalità emergenti, in specie quella informatica; iii) il rafforzamento della governance e del processo decisionale, specie nei casi più gravi laddove è urgente dare una risposta unitaria forte; iv) la creazione di un sistema integrato di giustizia penale dell’Unione, che coopererà con la Procura europea ed Europol, mediante interscambio di flussi informativi sui casi rilevanti; v) il potenziamento dell’impegno di cooperazione internazionale, che comporti il coinvolgimento anche di Paesi extra-Ue.
La Commissione propone, inoltre, di rafforzare l’ordine europeo di indagine e di introdurre un nuovo ordine europeo di partecipazione a distanza, per consentire alle Parti processuali di partecipare da remoto alle udienze penali che si svolgono in altro Stato membro.
Infine, la Commissione propone anche di aggiornare il regolamento sulla protezione dei dati trattati dalle Istituzioni, dagli Organi e dagli Organismi dell’Unione (EUDPR), per garantire una più efficace cooperazione tra le istituzioni, gli organi e gli organismi di giustizia penale dell'UE, estendendola fra l'altro all'EPPO (S.T.).
Comunicato stampa della Commissione europea rinvenibile al seguente link.
8. CONSIGLIO DELL’UNIONE EUROPEA: lotta contro l'abuso sessuale su minori: l'UE concorda norme di diritto penale più rigorose e un maggiore sostegno per le vittime
La Presidenza del Consiglio ed i Rappresentanti del Parlamento europeo hanno raggiunto un accordo provvisorio di Direttiva, che sia d’impulso all’aggiornamento delle norme di diritto penale dell’UE in materia di tutela dei minori da ogni forma di abuso e sfruttamento, perpetrato anche mediante il ricorso agli sviluppi tecnologici adibiti alla commissione dei crimini.
L’accordo prevede l’aggiornamento delle norme preesistenti, che riformi il quadro normativo risalente alla direttiva 2011/93, con l’introduzione di specifiche fattispecie volte a punire l’abuso o lo sfruttamento perpetrato mediante gli strumenti informatici e telematici. In particolare, per rispondere in modo deciso all’allarmante crescita della condivisione di contenuti pedopornografici realizzati mediante le IA tramite i c.d. deep fake (su cui cfr. supra sub 1.) si intende rendere punibile “il pagamento per accedere alla trasmissione in diretta di abusi sessuali su minori”, la “progettazione o l'adattamento dei sistemi di AI per produrre materiale pedopornografico”, compresa la distribuzione di questi sistemi.
La normativa interviene anche sul fenomeno dell’adescamento online, ossia l'incitamento di un minore che non ha raggiunto l'età del consenso sessuale a “produrre o condividere” materiale pedopornografico, il quale sarà oggetto di specifica fattispecie penale.
Inoltre, tra le innovazioni rilevanti può apprezzarsi la criminalizzazione del possesso e della diffusione di istruzioni, manuali e prompt finalizzati alla realizzazione di contenuti pedopornografici tramite applicativi come agenti virtuali, già in uso di tutti.
Le norme interverranno anche in tema di consenso del minore che ha raggiunto l’età della maturità sessuale, dovendo questo essere espresso, inequivoco, chiaro, libero da condizionamenti ed evidente. Al contrario, il consenso deve ritenersi insussistente quando il minore non acconsenta volontariamente sulla base della sua libera volontà o quando questa non può ritenersi valida in quanto coartata o estorta, comunque resa, mediante inganno o persuasione.
In ogni caso, resta fermo che la definizione normativa dell'età del consenso sessuale, vale a dire l'età al di sotto della quale è vietato compiere atti sessuali con un minore, rimane di competenza nazionale.
Anche l’aumento del tempo previsto per perseguire taluni gravi reati commessi nei confronti dei minori dopo il compimento della maggiore età della vittima, dovrà essere esteso. L’ipotesi “arriva fino a 32 anni per lo stupro di minori di età inferiore e superiore all'età del consenso sessuale e per aver costretto un minore a prostituirsi”.
Infine, dovrà essere migliorato il sostegno alle vittime minori di abuso e sfruttamento sessuale, mediante potenziamento delle “linee telefoniche di assistenza”, che informeranno le vittime ed i familiari degli strumenti a loro disposizione, oltre che garantire un accesso tempestivo e gratuito ai servizi sanitari ed al patrocinio per i non abbienti.
L'accordo provvisorio deve ora essere approvato dal Consiglio e dal Parlamento, per poi essere adottato formalmente dalle due Istituzioni, dopo la messa a punto da parte dei giuristi-linguisti (S.T.).
Comunicato stampa n. 529/2026 del 22 giugno 2026 reperibile al seguente link.
NOVITÀ LEGISLATIVE E NORMATIVE NAZIONALI
1. Le disposizioni penali contenute nel d.lgs. 9 settembre 2026, n. 160 di attuazione delle deleghe contenute nell’art. 24 l. 23 settembre 2025, n. 132 in materia di intelligenza artificiale.
È stato pubblicato nella Gazzetta Ufficiale n. 214 del 15 settembre 2026, entrando dunque in vigore dal 30 settembre 2026, il decreto legislativo delegato dall’art. 24 della legge italiana sull’intelligenza artificiale del 23 settembre 2025, n. 132, che non si limita a completare l’adeguamento dell’ordinamento nazionale al regolamento (UE) 2024/1689, c.d. AI Act, ma contiene numerose altre norme che, innanzitutto, disciplinano l'uso delle nuove tecnologie per le Forze di polizia (Titolo I, artt. 1-10), compreso il discusso ricorso ai dati biometrici ed al riconoscimento facciale, nonché l’incentivazione e la disciplina della ricerca anche sperimentale in questi ambiti; in secondo luogo, le norme delegate (Titolo II, artt. 11-20) introducono nuove disposizioni penali, sostanziali e processuali, in materia di realizzazione e impiego illeciti dei sistemi di intelligenza artificiale, oltre a disposizioni processuali civili in materia di risarcimento dei danni cagionati dall'utilizzo dei medesimi sistemi. Per l’ambito del diritto penale sostanziale, il decreto – in conformità alla delega contenuta nella lettera b) del comma 5 dell’art. 24 legge 132/2025 - introduce un nuovo art. 437-bis c.p., collocato fra i delitti contro l’incolumità pubblica mediante violenza (Titolo VI, capo I del Libro II del codice penale), rubricato “omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale ed alterazione illecita di tali sistemi”, che contiene quattro nuove fattispecie incriminatrici e due circostanze aggravanti speciali. La prima fattispecie, di natura omissiva, sanziona, con la reclusione da uno a cinque anni, chi non adotta “le misure tecniche di sicurezza, previste per la progettazione, l'addestramento, la produzione, l'immissione sul mercato di sistemi di intelligenza artificiale ad alto rischio, idonee a prevenire malfunzionamenti o alterazioni del funzionamento dei sistemi ovvero omette di adottare misure di sorveglianza umana”, sempre che dall’omissione “derivi pericolo per la vita o l'incolumità pubblica o individuale”. Si tratta di un delitto doloso di pericolo concreto, rispetto a cui però non è chiaramente definito l’ambito degli obblighi di sicurezza o delle misure di sorveglianza umana la cui violazione costituisce reato, che devono ricavarsi in via interpretativa dalla disciplina che l’AI Act detta per i sistemi “ad alto rischio”.
La pena è aggravata se il pericolo cagionato è alla sicurezza dello Stato. Mentre ai sensi del comma terzo, il fatto è punibile con pena ridotta “da un terzo a un sesto” anche a titolo di “colpa grave”, senza che parimenti siano allo stato chiaramente individuabili le regole cautelari cui le predette attività (in sé certamente lecite, ed anzi incentivate dallo stesso legislatore) devono attenersi.
L’ulteriore fattispecie delittuosa, prevista dal secondo comma, punibile solo a titolo di dolo, ma per vero non oggetto espresso della delega legislativa, in quanto commissiva, consiste nella “alterazione” di detti sistemi d’intelligenza artificiale “ad alto rischio”, sempre che ne derivi pericolo concreto per i menzionati ben beni giuridici, anche in questo caso con pene più gravi, se dal fatto deriva “un pericolo per la sicurezza dello Stato”.
Infine, nell’ultimo comma è punito “l’utilizzatore professionale” di tali sistemi “ad alto rischio”, che “intenzionalmente” (dunque con il grado più intenso del dolo, escluso quello eventuale o anche solo diretto) “omette…di adottare misure di sorveglianza umana”, sempre che “da tale omissione derivi, rispettivamente, pericolo per la vita o l'incolumità pubblica o individuale oppure un pericolo per la sicurezza dello Stato”.
Ne emerge senz’altro un apprezzabile rafforzamento della tutela della c.d. prospettiva antropocentrica e di responsabilizzazione per i rischi che possono derivare dai sistemi di intelligenza artificiale, cui si ispira la legge 132/2025 e lo stesso AI Act. Ma la formulazione delle fattispecie dà adito a molte perplessità sotto il profilo della determinatezza e dello stesso rispetto della riserva di legge in materia penale. Come perplessità nascono anche dal fatto che non è stata invece esercitata anche la delega prevista dalla lettera c) del menzionato art. 24 comma 5 legge 132/2025, secondo cui avrebbero dovuto essere precisati “i criteri di imputazione della responsabilità penale delle persone fisiche e amministrativa degli enti per gli illeciti inerenti a sistemi di intelligenza artificiale, che tenga conto del livello effettivo di controllo dei sistemi predetti da parte dell’agente”.
La mancanza di tale “precisazione” rileva anche perché il d.lgs. 160/2025 estende nel contempo l’ambito dei reati presupposto della responsabilità da reato delle persone giuridiche e degli enti, ai sensi del d.lgs. 8 giugno 2001, n. 231, inserendo l’art. 25-vicies, rubricato “Reati commessi con l'uso di sistemi di intelligenza artificiale” che prevede la sanzione pecuniaria da seicento a mille quote in relazione al delitto (in realtà: ai delitti) di cui al citato art. 437-bis c.p., e quella da duecento a settecento quote, in relazione al delitto di cui all'art. 612-quater (già introdotto dalla legge 132/2025, che punisce l’illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale: c.d. deep fake), oltre – in entrambi i casi - alle sanzioni interdittive previste dall'art. 9, comma 2, lettere b), c), d) ed e) dello stesso d.lgs. 231/2001.
Dunque, un tassello importante per la tutela penale di beni giuridici fondamentali, che possono essere esposti a rischio dalla diffusione ed utilizzazione di sistemi di intelligenza artificiale, tuttavia criticabile per le tecniche di formulazione utilizzate e, soprattutto, la mancanza di un approccio sistematico più ampio ai nuovi profili della responsabilità penale in questo campo (L.P.)
Il testo del decreto legislativo è consultabile al seguente link.
Per un commento più ampio cfr. volendo L. Picotti, Le disposizioni penali introdotte dal decreto legislativo delegato in materia di intelligenza artificiale, in JL - Jus Lefebvre Giuffré – UE e Internazionale.
2. Le disposizioni processuali contenute nel d.lgs. 9 settembre 2026, n. 160
Tra le previsioni del d. lgs. n. 160/2026 direttamente afferenti alla materia processuale, merita menzione, anzitutto, l’art. 10, il quale detta «Disposizioni in materia di sistemi di videosorveglianza dotati della tecnologia di riconoscimento facciale a posteriori, integrata dall’intelligenza artificiale, per il contrasto dei reati». Ai sensi del comma 2, onde poter procedere al riconoscimento facciale a posteriori, mediante i sistemi suddetti, di una persona oggetto di ricerca mirata poiché indiziata della commissione di un reato, il pubblico ministero, su istanza degli ufficiali di polizia giudiziaria che hanno avviato i predetti sistemi, richiede l’autorizzazione all’utilizzo senza ritardo e comunque entro quarantotto ore dal loro avvio al giudice per le indagini preliminari; quest’ultimo provvede con decreto motivato entro le successive quarantotto ore. Il mancato rispetto dei termini, così come l’assenza di autorizzazione, comporta l’immediata interruzione dell’uso di tecnologie di riconoscimento facciale e la cancellazione di tutti i dati personali, i risultati e gli output acquisiti, salvo che costituiscano corpo del reato.
La novità di maggiore rilievo, peraltro, concerne l’interpolazione nel tessuto codicistico, ad opera dell’art. 13 del d. lgs. n. 160/2026, dell’art. 359-ter, rubricato «Identificazione e localizzazione mediante sistemi di intelligenza artificiale per l’identificazione biometrica remota in tempo reale».
La disposizione segna l’ingresso dei sistemi di intelligenza artificiale per l’identificazione biometrica remota in tempo reale nel sistema processuale penale italiano, nel tentativo di bilanciare l’efficacia delle tecniche investigative ad alto tasso tecnologico con il rispetto delle garanzie costituzionali. A tal fine, l’ambito operativo del nuovo congegno è, anzitutto, limitato ai procedimenti finalizzati all’accertamento di uno dei delitti di cui all’allegato II al Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio del 13 giugno 2024, puniti con la pena della reclusione non inferiore nel massimo a quattro anni, e può essere impiegato a) per confermare l’identificazione di persona indiziata di tali delitti; b) procedere a ricerca mirata, inclusa la localizzazione, di tale persona (comma 1); c) localizzare una persona ricercata allorché occorra procedere alla ricerca di un latitante ai fini dell’esecuzione di un’ordinanza che dispone una misura cautelare coercitiva, nonché di un ordine di esecuzione non sospeso per i medesimi delitti (comma 3). Infine, l’uso dei sistemi di intelligenza artificiale può essere autorizzato per d) svolgere una ricerca mirata, nell’ambito di un procedimento penale, di specifiche vittime di sottrazione, tratta di esseri umani o sfruttamento sessuale di esseri umani (comma 4).
L’impiego del nuovo congegno è subordinato a un rigido filtro di legalità e proporzionalità, presidiato dalla riserva di giurisdizione. Segnatamente, l’attivazione in via ordinaria dello strumento richiede un decreto motivato del giudice per le indagini preliminari, su richiesta del pubblico ministero (comma 5), allorché sussistano «sufficienti indizi» della commissione del reato. Il decreto deve indicare l’estensione geografica dell’area di monitoraggio, la durata dell’operazione (non superiore a quindici giorni, prorogabili dal giudice con decreto motivato, su richiesta del pubblico ministero, per periodi successivi di quindici giorni, qualora permangano le condizioni) e l’indicazione delle «persone specificamente ricercate» (comma 6).
Nei casi di urgenza, qualora vi sia fondato motivo di ritenere che dal ritardo possa derivare pregiudizio grave e irreparabile, il pubblico ministero può disporre l’esecuzione con decreto motivato, da comunicare immediatamente e comunque entro ventiquattro ore al giudice per le indagini preliminari per la successiva convalida, la quale deve intervenire nelle successive quarantotto ore. Allorché, per ragioni di urgenza, non sia possibile attendere il provvedimento del pubblico ministero, all’attivazione del sistema di identificazione biometrica remota in tempo reale provvedono gli ufficiali di polizia giudiziaria, i quali, senza ritardo e comunque entro le successive dodici ore, trasmettono la richiesta di autorizzazione al pubblico ministero, il quale, a sua volta, dovrà domandare la convalida al giudice per le indagini preliminari (comma 7).
Il comma 8 prevede un espressa regola di esclusione dei risultati forniti dai sistemi di intelligenza artificiale qualora non siano rispettate le previsioni di cui ai commi 6 e 7.
Sul piano operativo, il confronto biometrico deve avvenire esclusivamente con una banca dati di riferimento adeguata per le finalità dell’azione investigativa, contenente i dati biometrici e le relative informazioni identificative, ove disponibili, riferiti alle persone, anche non identificate, da rintracciare. La banca dati «può essere derivata da dati contenuti in banche dati in uso alla polizia giudiziaria o tenute da altre pubbliche amministrazioni e accessibili alla stessa o all’autorità giudiziaria, ovvero da immagini, filmati o altri elementi biometrici acquisiti legalmente nell’ambito delle indagini». Il contenuto della banca dati in discorso «è formato appositamente per ciascun utilizzo, con i soli dati biometrici pertinenti alla specifica finalità, che sono cancellati al termine della validità dell’autorizzazione, in modo da garantire che il set di confronto sia specifico per ciascuna autorizzazione e non sia suscettibile di alimentazione incrementale rispetto alle autorizzazioni pregresse». È espressamente vietato l’uso di banche dati biometriche alimentate mediante tecniche di scraping non mirato, ovvero costituite in violazione delle disposizioni vigenti in materia di protezione dei dati personali (comma 3).
Ai sensi dell’art. 8 del d. lgs. n. 160/2026, ogni utilizzo di sistemi di intelligenza artificiale per l’identificazione biometrica remota in tempo reale è registrato automaticamente in appositi file di log non modificabili, conservati per cinque anni dall’accesso e dall’operazione, resi accessibili esclusivamente alle sole autorità competenti per finalità di verifica della liceità del trattamento, di controllo interno e nell’ambito di un procedimento penale. Un decreto del Ministro dell’interno, di concerto con il Ministro della giustizia, sentiti il Garante e le Autorità nazionali per l’intelligenza artificiale, si occuperà di individuare, tra l’altro, i requisiti tecnici minimi di affidabilità e accuratezza dei sistemi di IA per l’identificazione biometrica remota in tempo reale; le modalità di monitoraggio periodico delle prestazioni dei sistemi, con particolare riguardo alla rilevazione e alla mitigazione di eventuali bias o effetti discriminatori; i requisiti tecnici minimi delle banche dati di riferimento impiegate per il confronto biometrico, anche con riferimento alle relative misure di sicurezza, ai tempi e alle modalità di cancellazione dei dati e alle garanzie di non incrementalità del set di confronto per ogni singolo utilizzo autorizzato; le misure tecniche e organizzative necessarie a garantire un adeguato livello di sicurezza del trattamento; le misure tecniche e organizzative necessarie a impedire accessi illeciti ai dati.
Infine, l’art. 14 del d. lgs. n. 160/2026 modifica l’art. 104, comma 1, lett. e-bis) disp. att. c.p.p., stabilendo che il sequestro preventivo può essere eseguito anche sui contenuti online generati con sistemi di intelligenza artificiale. (M.P.)
3. Prove elettroniche nei procedimenti penali: i decreti legislativi attuativi del pacchetto europeo sugli ordini di conservazione e produzione
Con i decreti legislativi 30 dicembre 2025, nn. 215 e 216 (in G.U. n. 11 del 15 gennaio 2026, in vigore dal 30 gennaio 2026), l'Italia ha dato attuazione al pacchetto europeo sull'e-evidence, costituito dal regolamento (UE) 2023/1543, contenente disposizioni per l'introduzione degli ordini europei di conservazione e di acquisizione delle prove elettroniche e dalla direttiva (UE) 2023/1544 del 12 luglio 2023, che contiene disposizioni relative all’obbligatoria designazione di “stabilimenti designati” e nomina di “rappresentanti legali” negli Stati membri dell'Unione, da parte dei prestatori di servizi tenuti a dare esecuzione ai predetti ordini .
La prima esigenza è di rafforzare e sviluppare quell’unico “spazio di libertà, sicurezza e giustizia” rappresentato dall’Unione Europea, con un intervento incisivo nel campo giuridico e giudiziario, in particolare del diritto penale e del contrasto alla criminalità, da perseguire mediante la cooperazione giudiziaria e di polizia fra gli Stati membri e l’armonizzazione legislativa guidata dall’Unione.
Dall’altro lato, si persegue anche un’impellente esigenza del mercato digitalizzato: quella di garantire ai prestatori di servizi della società dell'informazione, che hanno e sono destinati ad avere un ruolo preponderante e sempre più importante nel prossimo sviluppo dell’economia e dell'integrazione sociale e politica dell’Unione, un quadro di disciplina uniforme in tutto il suo territorio, superando l’attuale frammentazione determinata dalla grande diversità dei diritti nazionali sulla possibilità di acquisire prove elettroniche da tali soggetti, anche al di fuori dei confini nazionali.
Il d.lgs. n. 215/2025, che adotta le misure organizzative e procedurali che il regolamento stesso demanda agli Stati membri per la sua concreta operatività, individua le Autorità competenti per la procedura di emissione degli ordini nel Pubblico Ministero e nel Giudice competente a pronunciarsi sulla richiesta. In caso di “emergenza” l’ordine può essere emesso anche da ufficiali di Polizia Giudiziaria con successiva convalida in termini tassativi, ma solo per acquisire i dati relativi all'abbonato (art. 2 d.lgs. 215 del 2025). In concreto, sia l'ordine europeo di produzione, sia l'ordine europeo di conservazione, non sono emessi da un’autorità od istituzione europea, ma dalle diverse autorità giudiziarie degli Stati membri “richiedenti” e vengono però ora diretti e trasmessi, non tramite le competenti autorità giudiziarie degli Stati membri “richiesti”, bensì direttamente ai prestatori di servizi, che ne sono destinatari, tramite certificati denominati rispettivamente EPOC (certificato di ordine europeo di produzione) ed EPOC-PR (certificato di ordine europeo di conservazione), redatti secondo modelli standardizzati.
Il d.lgs. n. 216/2025 attua parallelamente la direttiva, imponendo ai prestatori di servizi digitali operanti nel mercato UE l'obbligo di designare un rappresentante legale ai fini della ricezione e dell'esecuzione degli ordini europei. Il nuovo assetto normativo, superando il tradizionale modello di cooperazione Stato-Stato, introduce un canale di interlocuzione diretta tra autorità giudiziaria e fornitori di servizi digitali nel territorio dell’Unione Europea, applicabile indipendentemente dalla loro sede legale, oltreché ai prestatori di servizi digitali extraeuropei con un numero significativo di utenti negli Stati membri, al fine di assicurare tempi certi nell'acquisizione della prova digitale e di contrastarne la volatilità. In caso di violazione degli obblighi imposti dalle disposizioni applicabili alla ricezione, ottemperanza ed esecuzione delle decisioni e degli ordini in questione, il d.lgs. 216/2025 stabilisce una responsabilità in solito dei prestatori di servizi, degli stabilimenti da essi designati e dei rappresentanti legali degli stessi. (Li.Pe)
Il testo dei decreti legislativi 30 dicembre 2025, n. 215 e 216 è disponibile al seguente link.
NOVITÀ GIURISPRUDENZIALI EUROPEE E NAZIONALI
Con la sentenza del 19 marzo 2026, emessa nella causa C-371/24, la Quinta Sezione della Corte di Giustizia dell’Unione Europea chiamata ad interpretare l’art. 10 della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati, ritiene illegittima una normativa interna che consenta alla Polizia Giudiziaria una raccolta investigativa sistematica, indifferenziata e generalizzata – quindi immotivata alle peculiarità del caso di specie – di dati biometrici (rilievi dattiloscopici e fotografie segnaletiche) di qualsiasi persona, anche solo sospettata di aver commesso, o tentato di commettere, un reato.
La legittimità della raccolta può essere compatibile con la normativa dell’Unione, infatti, solo qualora sussistano due condizioni imprescindibili a tutela dei diritti fondamentali: da un lato i) una normativa nazionale che definisca gli obiettivi e le finalità reali che giustifichino tale raccolta; dall’altro, ii) una singolare e specifica valutazione della necessità, nel singolo caso concreto, di procedere con la raccolta dei dati per realizzare tali obiettivi e finalità.
La Corte ricorda che i dati biometrici rientrano nella categoria dei dati personali c.d. “sensibili”, per cui è imposta una loro tutela rafforzata: la legittimità della normativa interna impone, pertanto, la presenza simultanea di due requisiti: una disciplina chiara a livello interno, posta a tutela dei diritti fondamentali, che individui le finalità e gli obiettivi del loro trattamento, a cui si affianchi un obbligo di concreta motivazione nel singolo caso di specie sul carattere “strettamente necessario” della loro raccolta. (S.T.).
Corte di Giustizia dell’Unione Europea, sentenza del 19 marzo 2026, Causa C-371/24.
Nel solco della precedente pronuncia, con la sentenza n. 77 del 14 maggio 2026, la Consulta ha dichiarato non fondate le questioni di legittimità costituzionale sollevate da due ordinanze della Prima Sezione Penale della Corte di cassazione dell’art. 87-bis, commi 7, lett. c), e 8, del d.lgs. n. 150 del 2022 in riferimento agli artt. 3 e 24 della Costituzione, nonché in relazione all’art. 6, paragrafo 1, della Convenzione europea dei diritti dell’uomo: «nella parte in cui sancisce l’inammissibilità dell’impugnazione trasmessa ad indirizzo di posta elettronica certificata diverso da quello prescritto (costituito dall’indirizzo assegnato all’ufficio che ha emesso il provvedimento impugnato) pur quando essa pervenga al giudice a quo entro il termine perentorio di proposizione».
In entrambi i casi, i ricorrenti nei giudizi a quibus avevano presentato i propri atti di impugnazione di un provvedimento del Magistrato di Sorveglianza, ad indirizzi PEC riferibili al Tribunale di Sorveglianza, con la conseguente pronuncia di loro inammissibilità. Infatti, costoro non avevano osservato le disposizioni di cui al censurato art. 87-bis, comma 7, lettera c), del d.lgs. n. 150 del 2022, nella parte in cui stabilisce che l’impugnazione è inammissibile «quando l’atto è trasmesso a un indirizzo di posta elettronica certificata non riferibile […] all’ufficio che ha emesso il provvedimento impugnato», e dunque anche quando esso sia riferibile all’ufficio competente per il giudizio sull’impugnazione. Nei due casi oggetto dei procedimenti a quibus, peraltro, la cancelleria del Tribunale aveva trasmesso analogicamente, quindi in forma cartacea, gli atti di impugnazione all’Ufficio di sorveglianza competente alla ricezione dell’impugnazione, prima della scadenza del termine previsto per l’impugnazione. Pertanto, osservavano le Corti rimettenti, l’errore sarebbe stato “sanato” e sarebbe rimasto “privo di conseguenze effettive”.
La disciplina dell'art. 87‑bis, commi 7, lett. c), e 8, d.lgs. n. 150/2022 è costituzionalmente compatibile, a condizione che sia interpretata nel senso che “l’inammissibilità resta esclusa nell’ipotesi in cui l’atto di impugnazione sia stato inoltrato, su iniziativa della cancelleria cui è riferibile l’indirizzo PEC cui esso sia stato erroneamente presentato, all’indirizzo PEC – anch’esso incluso nell’elenco del DGSIA – riferito all’ufficio del giudice che ha emesso il provvedimento, laddove l’inoltro sia effettuato entro il termine perentorio stabilito per l’impugnazione medesima”. In tal caso, la "continuità digitale" del flusso telematico e il tempestivo raggiungimento dello scopo impongono di escludere la sanzione di inammissibilità, in ossequio a un'interpretazione costituzionalmente e convenzionalmente orientata (S.T.).
Corte cost., Sentenza, 14/05/2026, n. 77.
La Grande Sezione della Corte di Giustizia, con sentenza del 16.7.2026, emessa nelle cause riunite C-258/23, C-259/23 e C-260/23, ha stabilito che nell’ambito di un’indagine avente ad oggetto la presunta violazione delle norme in materia di concorrenza, l’Autorità nazionale Garante della Concorrenza può disporre il sequestro dei messaggi di posta elettronica scambiati nei locali professionali o commerciali tra i dipendenti e gli amministratori delle società sottoposte ad indagine senza che ciò comporti una violazione del diritto dell’Unione.
La Corte riconosce che il sequestro di messaggi di posta elettronica di carattere professionale costituisca una limitazione al diritto al rispetto della vita privata e familiare e al diritto alla protezione dei dati di carattere personale; tuttavia, tali limitazioni sono giustificate dalla finalità di preservare una concorrenza leale, quale finalità di interesse generale riconosciuta dall’Unione europea.
Tali limitazioni, precisa la Corte, sono ammesse anche in assenza di un’autorizzazione preventiva rilasciata da un giudice poiché normalmente, la tutela degli individui contro gli abusi e gli arbitri delle Autorità competenti è garantita da discipline normative che prevedono un successivo controllo giurisdizionale completo.
Nel caso in cui, invece, il sequestro dei messaggi di posta elettronica sia effettuato su dispositivi utilizzati anche per finalità private e non solo lavorative, è necessaria l’autorizzazione preventiva di un giudice o di un organo amministrativo indipendente poiché l’accesso a tali dati potrebbe consentire l’ottenimento di informazioni sulla vita privata degli interessati, integrando una grave ingerenza nei diritti fondamentali sopra richiamati (Li.Pe. e B.P.).
La Cassazione aderisce alla linea del rigore metodologico e procedurale: inammissibile l’atto d’impugnazione inviato ad un indirizzo PEC non ricompreso nell’elenco ufficiale del decreto direttoriale del DGSIA del 9 novembre 2020, quand’anche riferibile all’ufficio del destinatario corretto.
Il deposito telematico, infatti, è disciplinato in modo analitico, con regole tassative e causa di inammissibilità tipizzate ed inderogabili, che escludono interpretazioni correttive fondate sul raggiungimento dello scopo. Inoltre, non può ritenersi scusabile l’errore commesso dal difensore nell’individuazione dell’indirizzo telematico corretto, dato che il provvedimento ministeriale sopra indicato è atto pubblico, facilmente accessibile, individuabile nelle forme chiaramente riconosciute e riconoscibili, quali “depositoattipenali”, seguite dalla specificazione dell’ufficio competente.
Aderendo a quest’impostazione, la Corte esclude un’interpretazione estensiva o flessibile del sistema, con la conseguenza di non poter ammettere il deposito telematico presso qualsiasi indirizzo riferibile all'ufficio giudiziario, compresi quelli non istituzionalmente deputati alla ricezione degli atti. Una tale interpretazione, infatti, si sostanzierebbe nell’annullamento di ogni requisito di forma, ponendosi in contrasto con la ratio legis e con il principio di legalità processuale. Ciò, parimenti, nell’ipotesi in cui l’atto inoltrato ad indirizzo PEC errato, venga analogicamente trasmesso dal relativo funzionario all’ufficio competente all’elaborazione dell’impugnazione.
A conclusione difforme, invece, perviene la Corte nell’ipotesi in cui l’atto d’impugnazione, inizialmente veicolato telematicamente ad indirizzo PEC non contemplato nel decreto DGSIA – seppur riferibile all’organo giudiziario competente – venga inoltrato telematicamente dal cancelliere, addetto a quell’ufficio, all’indirizzo abilitato alla ricezione dell’atto d’impugnazione, entro il termine decadenziale previsto dalla legge. Infatti, la trasmissione interna tra caselle PEC dello stesso ufficio giudiziario garantisce il rispetto dell’iter telematico imposto ex lege. Così facendo, l’interpretazione garantisce al contempo il diritto all’impugnazione, sottoposta così tempestivamente al giudice competente con modalità conformi al sistema, e la “continuità digitale” così assicurata dall’inoltro del cancelliere, sebbene non obbligato giuridicamente a quest’operazione.
Solo in questi termini, la fattispecie rientra nella lettera della norma e consente di rispettare gli obblighi di informatizzazione gravanti sulla professione (S.T.).
Cass., Sez. Unite pen., Sent., (data ud. 11/12/2025) 18/02/2026, n. 6565.
Integra il reato di truffa, e non di insolvenza fraudolenta, la condotta del reo che usufruisce gratuitamente di un soggiorno presso una struttura alberghiera, fornendo per i pagamenti gli estremi di carte di credito di terzi ignari, pagamenti successivamente non andati a buon fine per la revoca delle transazioni per effetto del disconoscimento da parte dei titolari delle carte, in quanto sussistono sia l’induzione in errore dell’albergatore sulla effettività delle operazioni e l’ingiusto profitto consistente nella fruizione del soggiorno, mentre non sussiste la dissimulazione dello stato di insolvenza. (C.C.)
Cass. pen., sez. II, ud. 9 settembre 2026 (dep. 11 settembre 2026), n. 33382
Nel caso della truffa, la percezione dell'ingiusto profitto costituisce prova e non mero indizio della riferibilità all’agente della condotta costitutiva la fattispecie illecita, poiché la truffa contrattuale realizzata attraverso la vendita di beni "on line" in cui il pagamento eseguito dalla parte offesa avvenga tramite bonifico bancario con accredito su conto corrente, si consuma nel luogo ove l'agente consegue l'ingiusto profitto tramite la riscossione della somma e non già in quello in cui viene data la disposizione per il pagamento da parte della persona offesa. Pertanto, il percettore del profitto illecito, individuato nel caso di specie in modo puntuale, con riferimento all’evidente disponibilità e titolarità della carta Postepay, pone in essere una frazione essenziale della condotta tipica e vi è quindi dimostrazione del suo ruolo essenziale nella consumazione dell’illecito. (C.C.)
Cass. pen., sez. II, ud. 19 giugno 2026 (dep. 3 luglio 2026), n. 25160
Con la presente ordinanza la Corte di Cassazione ha avuto modo di rilevare in via preliminare come i richiami giurisprudenziali contenuti nel ricorso non si attagliassero al caso concreto, essendo frutto della c.d. allucinazione informatica, conseguente all’utilizzo di strumenti di AI generativa. (S.D.)
Cass. pen., Sez. VII, Ord., (data ud. 27/02/2026) 26/03/2026, n. 11431
In tema di intelligenza artificiale, la Corte di Cassazione ha precisato come la citazione di precedenti giurisprudenziali alterati o inesistenti, frutto, pertanto, di c.d. “allucinazione informatica”, rappresenti un chiaro segno di trascuratezza professionale e costituisca “un indice particolarmente significativo di colpa qualificata nelle determinazione della causa di inammissibilità”, giustificando, di conseguenza, l’irrogazione della più elevata sanzione di cui all’art. 616 c.p.p. (S.D.)
Cass. pen., Sez. III, Sent., (data ud. 11/06/2026) 22/06/2026, n. 23006
La Cassazione è tornata a pronunciarsi sulla frode informatica aggravata, ex art. 640-ter, comma terzo, c.p., dal furto di identità digitale, ritenendola sussistente nella condotta di chi accede abusivamente al sistema operativo di un servizio di home banking utilizzando le credenziali di accesso riconducibili all'identità digitale della persona offesa. Per la Corte ciò che risulta determinante ai fini della ricorrenza dell’ipotesi aggravata non è tanto la modalità attraverso cui le credenziali di accesso siano state originariamente acquisite, quanto l'utilizzazione consapevole delle stesse per realizzare un'interferenza non autorizzata nel sistema informatico, produttiva di un vantaggio patrimoniale indebito con artificiosa rappresentazione dell'operazione come proveniente dal titolare del rapporto bancario. (R.M.V.)
Cass. pen., Sez. II, Sent., (data ud. 30/01/2026) 24/04/2026, n. 14918
Nel caso di truffa on line sussiste l’aggravante della minorata difesa solo quando l'autore abbia tratto, consapevolmente ed in concreto, specifici vantaggi dall'utilizzazione dello strumento della rete e specificamente dalle modalità telematiche della vendita. A tal fine per la Corte la circostanza che il primo contatto tra gli inserzionisti di annunci, persone offese del reato, e l'imputato sia avvenuto online non è sufficiente in presenza di successive trattative che sono state condotte telefonicamente. (R.M.V.)
Cass. pen., Sez. II, Sent., (data ud. 26/03/2026) 26/05/2026, n. 18913
La rivendita di codici di accesso a sistemi abusivi e smart card pirata ad utenti privati per fine di lucro costituisce la parte finale di un’azione criminosa complessiva finalizzata a truffare le piattaforme a pagamento, cosicché sussiste concorso dei rivenditori di tali strumenti anche nella commissione da parte di terzi sia della condotta di accesso abusivo a sistema informatico, sia di quella di truffa informatica data la loro conoscenza delle attività dei correi nelle fasi antecedenti.
Per la corte la predetta rivendita integra, altresì, delitto di cui all'art. 171-ter della legge n. 633/1941 in quanto comportante l'abusiva trasmissione di opere dell'ingegno coperte dal diritto d'autore senza alcuna autorizzazione del titolare. (R.M.V.)
Cass. pen., Sez. II, Sent., (data ud. 06/03/2026) 18/03/2026, n. 10451
La Cassazione ribadisce che l'utilizzo di programmi di file sharing (come eMule) non integra automaticamente il reato di diffusione di materiale pedopornografico, ma è necessario accertare ulteriori elementi che dimostrino la volontà, anche solo eventuale, di divulgare i file. Nel caso concreto, la condivisione durante il download con altri utenti della rete e fruitori del programma, la piena conoscenza del funzionamento del programma e l'ingente quantità di contenuti pedopornografici rinvenuti nei dispositivi dell’imputato consentono di ritenere ai fini cautelari sussistente oltre che il delitto di detenzione, anche quello di diffusione consapevole del materiale pedopornografico. (R.M.V.)
Cass. pen., Sez. III, Sent., (data ud. 09/12/2025) 11/02/2026, n. 5443
In contrasto con quanto deciso in primo grado dal Tribunale di Piacenza, la Sezione quinta della Suprema Corte di Cassazione ha specificato come un contenuto pubblicato su Facebook non debba essere ritenuto diffamatorio qualora si evinca il carattere ironico e colloquiale dello stesso.
Il Giudice delle leggi ha infatti ribadito un consolidato orientamento giurisprudenziale, per cui “ai fini della configurabilità del delitto di diffamazione, è necessario che le parole utilizzate siano attributive di qualità sfavorevoli alla persona offesa, ovvero, che gettino, comunque, una luce negativa su quest’ultima” (cfr. da ultimo, Cass. Pen. Sez. V, 09.04.2024, n. 21869), precisando, inoltre, che detta affermazione dispregiativa debba essere avvertita e percepita come tale dal c.d. “soggetto medio”. (S.D.)
Cass. pen., Sez. V, Sent., (data ud. 18/03/2026) 12/05/2026, n. 17017
La Corte di legittimità ha recentemente ribadito un principio consolidato in giurisprudenza, secondo il quale il sequestro probatorio di dispositivi elettronici ed, in particolare, di smartphone, richiede una motivazione “specifica e non meramente generica” precisando, infatti, come il Pubblico Ministero non possa acquisire, tramite tale mezzo di ricerca della prova, tutti i messaggi, le fotografie e gli altri documenti privati contenuti nello smartphone dell’indagato, “senza indicare le ragioni per le quali, ai fini dell’accertamento dei reati ipotizzati, si rende imprescindibile la integrale verifica di tutti i predetti dati”, sacrificando, di conseguenza, il diritto di quest’ultimo alla segretezza della corrispondenza. (S.D.)
Cass. pen., Sez. II, Sent., (data ud. 23/04/2026) 07/05/2026, n. 16495
Con la sentenza n. 16564/2026 Reg. Gen. Sent., la terza sezione della Suprema Corte di Cassazione ha avuto modo di esprimersi in tema di pedopornografia (art. 600-ter c.p.), violenza sessuale (art. 609-bis c.p.) ed atti sessuali con minorenni (art. 609-quater c.p.), evidenziando, anzitutto, come sia il reato di cui all’art. 609-bis c.p. sia quello disciplinato dall’art. 609-quater c.p. possano essere commessi anche “fra assenti”, non essendo necessaria la contestuale presenza fisica dei soggetti.
Nello specifico si è precisato come il delitto di violenza sessuale possa dirsi integrato solo qualora la condotta minatoria o quella di abuso di autorità “abbiano una forza tale da perdurare nel tempo”, mentre per quanto concerne l’art. 609-quater c.p. “è sufficiente che vi sia un mero rapporto di mera causalità fra la condotta del soggetto agente e quella della persona offesa”.
La Corte di legittimità ha, poi, avuto modo di soffermarsi su ulteriori aspetti rilevanti, tra i quali rientra senz’altro il concetto di “utilizzazione” del minore, già oggetto di numerosi interventi interpretativi (cfr. ex multis Cass. Pen. Sez. III, Sent. 21.11.2024, n. 5700), specificando come tale requisito, previsto espressamente dall’art. 600-ter c.p., debba essere rilevato ogni volta che il minore diventa oggetto di una certa condotta e non un soggetto autonomo in grado di esprimere un consenso libero e non viziato dall’adulto. (S.D.)
Cass. pen., Sez. III, Sent., (data ud. 19/11/2025) 08/05/2026, n. 16564
Con la sentenza in esame, la Quinta Sezione Penale della Corte di Cassazione ha deciso l’impugnativa proposta dal ricorrente in tema di diffamazione aggravata dal mezzo informatico, ex art. 595, commi 1 e 3, c.p., per aver costui pubblicato sul social network “Facebook” messaggi e post lesivi dell’onore e della reputazione professionale di due agenti assicurativi, in particolare, affermando l’appropriazione, da parte di costoro, di somme di denaro al proprio anziano genitore.
In sede di legittimità, l’imputato si era difeso rappresentando l’omessa valutazione, e quindi il mancato riconoscimento, della sussistenza degli estremi della prova liberatoria, quale causa di esclusione della punibilità, che lo avrebbe mandato prosciolto. Egli, infatti, nel merito aveva allegato la circostanza che le Persone offese dalla presunta diffamazione fossero soggette a procedimento penale per i medesimi fatti da lui indicati nei post sopra indicati.
La Corte, ponendosi in continuità con l’insegnamento consolidato, nel rigettare il ricorso ha ricordato come non sia sufficiente che nei confronti della persona la cui reputazione è stata offesa, sia pendente un procedimento penale. Questa circostanza, infatti, rappresenta solo la condizione di fatto che abilita l’ingresso della prova liberatoria nel processo a carico del presunto diffamante. L’onere della prova, che grava su costui, potrà ritenersi assolto sia in forma diretta, con la piena dimostrazione dell’esistenza della circostanza attribuita all’interno del procedimento stesso, sia in forma indiretta, acquisendo la pronuncia irrevocabile di condanna.
Pertanto, l’esclusione della punibilità dell’imputato si fonda non tanto sulla mera allegazione della sussistenza del procedimento penale a carico della persona offesa, quanto piuttosto sull’elemento oggettivo della verità del fatto oggetto della presunta diffamazione, la cui prova grava inevitabilmente sulla difesa (S.T.).
Cass., Sez. V pen., Sent., (data ud. 05/11/2025) 02/02/2026, n. 4263.
La Seconda Sezione Penale della Corte Suprema ribadisce come l’invio di messaggi WhatsApp alla persona offesa dal reato, contenenti espressioni larvate, indirette o allusive, possa integrare il concetto di minaccia penalmente rilevante, che connota la condotta del reato di estorsione, ai sensi dell’art. 629 c.p.. Tuttavia, l’invio minatorio non basta, dovendo inserirsi in un concreto contesto relazionale e temporale di successivi episodi violenti, idonei ad incutere oggettivamente timore agli occhi della stessa, incidendo così nella libertà di autodeterminazione della persona offesa (S.T.)
Cass. pen., Sez. II, Sent., (data ud. 30/04/2026) 27/05/2026, n. 19338
Con la sentenza in commento, la Quinta Sezione Penale della Suprema Corte conferma la pronuncia di colpevolezza pronunciata per il delitto di diffamazione aggravata, ex art. 595, comma terzo, c.p., nei confronti del gestore di un blog che non provvede alla rimozione dei contenuti diffamatori ivi pubblicati da terzi.
In particolare, la Corte ha valorizzato la scelta del blogger di mantenere online i contenuti offensivi, nonostante il loro patente contenuto diffamatorio, estrinsecando così una condotta equivalente a quella volta alla consapevole condivisione del contenuto lesivo dell’altrui reputazione, di cui ha parimenti consentito – ed anzi ampliato – la diffusione in rete.
Per ricondurre tale scelta ad una “consapevole condivisione” di questi contenuti, i Giudici di merito hanno valorizzato: i) la continuità del blog con il periodico cartaceo che l'imputato dirigeva e di cui era proprietario; ii) l’utilizzo in tutti gli undici articoli diffamatori, del medesimo segno identificativo dell'Associazione di cui l'imputato era Presidente; nonché iii) la condivisione dei contenuti degli articoli sui profili social dell'imputato, con invito alla lettura dei post sul blog. Di qui la conferma della pronuncia della Corte di Venezia, il rigetto del ricorso e la condanna dell’imputato al pagamento delle spese processuali (S.T.).
Cass. pen. Sez. V. Sent, (data ud. 25/03/2026) 17/07/2026, n. 27079
18. Non è consentita l’estrazione e la conservazione di copia di documenti digitali qualora il sequestro d’iniziativa da parte della p.g. non sia stato convalidato
La Terza Sezione Penale della Corte di cassazione affronta una questione peculiare: quali siano le conseguenze della mancata convalida del provvedimento di sequestro probatorio di materiale digitale operato d’iniziativa dalla polizia giudiziaria, cui abbia nondimeno fatto seguito l’estrazione di copia del materiale appreso. Nel caso di specie, il pubblico ministero rigettava la richiesta di restituzione di quel materiale; il giudice per le indagini preliminari, dal canto suo, adito ai sensi dell’art. 263, comma 5, c.p.p., rigettava l’opposizione dell’interessato, giacché vi sarebbe comunque stata la necessità di mantenere il vincolo probatorio sui documenti estratti. L’assunto ha trovato secca smentita da parte dei giudici di legittimità, a parere dei quali «costituisce comunque sequestro probatorio l’acquisizione, mediante estrazione di copia informatica o riproduzione su supporto cartaceo, dei dati contenuti in un archivio informatico visionato nel corso di una perquisizione […], quando il trattenimento della copia determina la sottrazione all’interessato della esclusiva disponibilità dell'informazione; in materia di dati digitali, la distinzione tra “originale” e “copia” perde in larga misura significato, poiché le caratteristiche del mezzo informatico consentono la coesistenza di una pluralità di “originali”. Pertanto, finché i dati rimangono sottratti alla disponibilità dell’avente diritto, non può ritenersi avvenuta un’effettiva restituzione del bene». Di qui, l’enunciazione del principio di diritto secondo cui «in mancanza di un titolo cautelare idoneo, perché inefficace ovvero dichiarato illegittimo, è illegittima l’estrazione e la conservazione di copia dei documenti sia digitali che cartacei di cui deve essere disposta la restituzione». (M.P.)
Cass. pen., Sez. III, (data ud. 1° aprile 2026) 20 luglio 2026, n. 27310
19. Tre questioni rilevanti in materia di indagini informatiche: a) la circolazione dei risultati dell’analisi del materiale digitale; b) i limiti dell’attività di polizia giudiziaria; c) la mancata consegna alla difesa di una copia integrale e l’interruzione della chain of custody
Con la sentenza in commento, i giudici di legittimità chiariscono tre questioni di estrema rilevanza pratica nell’ambito delle indagini informatiche.
In primo luogo, i giudici di legittimità affermano che le risultanze investigative digitali acquisite a seguito di sequestro probatorio nell’ambito di un procedimento penale possono confluire in altro procedimento penale senza che vi sia necessità di un “nuovo” provvedimento di sequestro. Invero, se i dati sono stati legittimamente acquisiti, gli esiti selezionati devono essere correttamente identificati quale prova documentale ai sensi dell’art. 234 c.p.p. Ciò in quanto «il sequestro è mezzo di ricerca/conservazione della fonte; una volta che la fonte è entrata nel fascicolo e gli esiti sono documentati, la loro circolazione è regolata dalle norme sulla prova documentale e non dipende dall’adozione di nuove misure reali». Per converso, «laddove la “nuova” ipotesi richieda ulteriori acquisizioni (ulteriori ricerche all’interno di sistemi o l’apprensione di nuovi supporti), allora la soluzione dovrà necessariamente essere diversa: occorrerà un nuovo provvedimento con motivazione autonoma e rafforzata quanto a pertinenza e proporzionalità».
In secondo luogo, la Corte di cassazione precisa che il divieto per la polizia giudiziaria di prendere cognizione del contenuto della corrispondenza – ivi inclusa quella informatica – stabilito dall’art. 254, comma 2, c.p.p. si riferisce unicamente alla fase di apprensione e non impedisce, dopo il vincolo legittimamente disposto con decreto dal pubblico ministero, che l’analisi tecnica sia svolta dal consulente o direttamente dalla polizia giudiziaria delegata, purché nel rispetto di tracciabilità, immodificabilità della copia originale e criteri di selezione fissati dall’autorità giudiziaria. Diversamente, è sanzionata con inutilizzabilità l’iniziativa autonoma della polizia giudiziaria, ad esempio laddove realizzi screenshot di un sistema informatico.
Nondimeno, la consegna della “copia lavoro” del materiale digitale acquisito alla polizia giudiziaria non può essere considerata una “delega in bianco”. Invero, nella prospettiva patrocinata dalla Terza Sezione Penale, «la giurisprudenza di legittimità non vieta l’uso di copie (integrali/di lavoro) per l’analisi, anzi ne descrive le regole: la copia integrale è “copia‑mezzo” funzionale alla restituzione del device e alla selezione successiva dei soli dati pertinenti. L’illegittimità sorge non per il fatto in sé di consegnare una copia di lavoro alla P.G., ma se l’analisi è priva di governo del pubblico ministero, criteri selettivi, limiti oggettivi/temporali, tracciabilità (altrimenti si sfocia nel sequestro esplorativo)».
Da ultimo, la pronuncia affronta il tema della mancata consegna alla difesa di una copia integrale dei dati digitali e quello, strettamente connesso, del mancato rispetto della catena di custodia. A tale riguardo, i giudici di legittimità affermano che, in ragione del principio di tassatività delle nullità, non è possibile mutuare sul terreno della prova digitale l’assunto secondo cui, in materia di intercettazioni, l’ingiustificato rifiuto del pubblico ministero di consentire l’accesso o il rilascio della copia dei file audio integrerebbe una nullità di ordine generale a regime intermedio per compressione del diritto di difesa. Al contempo, il sistema non prevede una “catena di custodia” codificata per la digital evidence a pena di inutilizzabilità: «la mancata osservanza di standard tecnici o prassi forensi non comporta ipso iure l’esclusione probatoria, ma impone al giudice una verifica concreta di integrità e affidabilità del dato». E, ad ogni modo, «perdita della “copia lavoro” e il danneggiamento della copia depositata non equivalgono, ipso facto, a “rottura” della catena di custodia se l’acquisizione originaria è tracciata e riproducibile e se sono ricostruibili gli elementi tecnici (strumenti, parametri, hash o riscontri alternativi) per verificarne l’identità». (M.P.)
Cass. pen., Sez. III, (ud. 1° ottobre 2025) 22 dicembre 2025, n. 41055
20. Sulle intercettazioni a mezzo captatore informatico
La Suprema Corte torna ad affrontare alcune questioni in materia di intercettazioni mediante trojan horse. Nel caso di specie, il virus era stato installato sul dispositivo target attraverso una tecnica peculiare, vale a dire l’invio di un link-“trappola” che, una volta “cliccato” dall’inconsapevole destinatario, provocava l’installazione del malware. Simile tecnica, a parere della difesa, contrastava con la libertà morale della persona di cui all’art. 188 c.p.p.; di diverso avviso, però, la Corte, la quale ha sostenuto che, mentre tale ultima disposizione tutela la genuinità e l’attendibilità del risultato probatorio, l’attività di ricerca della prova prescinde dal consenso dell’interessato. Del resto, il trojan horse «non esercita alcuna pressione sulla libertà fisica e morale della persona, né altera l’apporto dichiarativo degli interlocutori, ma consente solo di documentare le libere comunicazioni intercorse tra terze persone, così come esse – nella loro libertà di espressione – le hanno formulate».
La difesa si doleva, altresì, del fatto che le intercettazioni mediante virus fossero state operate in via intermittente, con conseguente pericolo, per un verso, di captazione decontestualizzata e, per altro verso, di smarrimento di dati probatori utili a fini difensivi. La Cassazione, tuttavia, ha rilevato che è «lo stesso legislatore a predicare, con previsione generale e astratta, la possibilità di procedere all’attività di intercettazione con modalità esecutive discontinue (“a singhiozzo”)», ex art. 267, comma 1, c.p.p.; la circostanza che nei procedimenti per alcune categorie di reati sia possibile l’intercettazione always on non significa che ciò sia doveroso, in assenza di divieti espressi di legge. (M.P.)
Cass. pen., Sez. VI, (ud 28 maggio 2026) 31 luglio 2026, n. 29131
21. Sulla distinzione tra rilievi e accertamenti tecnici irripetibili nelle indagini informatiche urgenti
Con la sentenza in commento, la Terza Sezione Penale della Corte di cassazione ha qualificato come rilievo – e non come accertamento tecnico irripetibile – l’attività della polizia giudiziaria che, durante una perquisizione domiciliare, compia attività di osservazione e costatazione (nel caso di specie, verifica della connessione a Internet di un computer, utilizzo del software eMule e scaricamento di file pornografici) documentata mediante foto e video. Ciò, sulla base della tradizionale distinzione tra rilievi e accertamenti tecnici: i primi, «consistenti nella sola constatazione, raccolta e conservazione dei dati materiali pertinenti al reato, anche laddove la relativa attività assuma connotati di irripetibilità»; i secondi, afferenti lo studio e la valutazione degli elementi appresi. (M.P.)
Cass. pen., Sez. III, (ud. 9 dicembre 2025) 11 febbraio 2026, n. 5443
22. Sulla necessità di una previa autorizzazione del giudice o di un’autorità giudiziaria indipendente per l’accesso ad archivi informatici
Nella vicenda de qua, il difensore domandava alla Corte di cassazione la declaratoria di inutilizzabilità dei messaggi acquisiti dai telefoni cellulari degli imputati dal pubblico ministero, senza la previa autorizzazione del giudice; invero, durante le indagini, il pubblico ministero aveva sottoposto a sequestro probatorio i telefoni degli imputati ed aveva proceduto, ai sensi dell’art. 360 c.p.p., alla estrazione di copia forense ed all’analisi del contenuto mediante un consulente appositamente nominato. La doglianza faceva perno sui principi enunciati dalla sentenza della Corte di Giustizia dell’Unione europea del 2 marzo 2021, la quale ha stabilito che l’art. 15, par. 1, della Direttiva 2002/58/CE del Parlamento europeo e del Consiglio del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche, deve essere interpretato nel senso che esso osta ad una normativa nazionale, la quale renda il pubblico ministero – il cui compito è di dirigere il procedimento istruttorio penale e di esercitare, eventualmente, l’azione penale in un successivo procedimento – competente ad autorizzare l’accesso ai dati relativi al traffico e ai dati relativi all’ubicazione.
A parere dei giudici di legittimità, «il richiamo a tali fonti del diritto euro-unitario non è pertinente al caso in esame in quanto, vertendosi in tema di utilizzabilità di dati acquisti dal telefono cellulare dell’imputato, viene in rilievo la Direttiva 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali». A tale riguardo, sull’interpretazione della Direttiva 2016/680/UE si è espressa la Corte di giustizia dell’Unione europea, Grande Camera con sentenza del 4 ottobre 2024, nella quale si è precisato che la finalità di garantire che il principio di proporzionalità sia rispettato in ciascun caso concreto, effettuando una ponderazione di tutti gli elementi pertinenti, impone il controllo di un giudice o di un organo amministrativo indipendente.
Dunque, come evidenziato dalla pronuncia in commento, «la normativa interna non è conforme alla previsione della Direttiva 2016/680/UE come interpretata dalla Corte di Giustizia, nella parte in cui richiede che un giudice o un organo amministrativo indipendente intervengano in via preventiva con una pronuncia di carattere autorizzatorio». Tuttavia, «deve escludersi che la Direttiva 2016/680/UE, come interpretata dalla Corte di Giustizia dell’Unione europea con la sentenza del 4 ottobre 2024, abbia efficacia diretta nell’ordinamento interno, con conseguente esclusione dell’obbligo di disapplicare la normativa interna contrastante». Invero, «dall’analisi del contenuto della Direttiva 2016/680/UE emerge che l’applicazione delle norme in essa contenute richiede l’emanazione di ulteriori atti del legislatore nazionale, alla quale non può provvedere l’autorità giudiziaria, con esiti potenzialmente contrastanti», giacché essa «demanda ai legislatori degli Stati membri di prevedere in maniera chiara e precisa la base legale della limitazione dei diritti fondamentali e, in particolare, la natura o le categorie dei reati da prendere in considerazione», anche in ordine «della individuazione dell’organo al quale demandare il controllo preventivo sull’accesso ai dati (o successivo in caso di urgenza)».
Conseguentemente, «in assenza di una normativa dell’Unione in materia, spetta all’ordinamento giuridico interno di ciascuno Stato membro, ai sensi del principio dell’autonomia procedurale, stabilire le modalità procedurali dei ricorsi intesi a garantire la tutela dei diritti spettanti ai singoli in forza del diritto dell’Unione, a condizione tuttavia che esse non siano meno favorevoli rispetto a quelle relative a situazioni analoghe assoggettate al diritto interno (principio di equivalenza) e che non rendano in pratica impossibile o eccessivamente difficile l’esercizio dei diritti conferiti dal diritto dell’Unione (principio di effettività)». E, a parere della Corte, la disciplina italiana in materia di indagini digitali risponde a tali requisiti: nella vicenda oggetto di scrutinio, «i dati del telefono cellulare dell’imputato sono stati acquisiti nell’ambito di un procedimento penale, al fine dell’accertamento di gravi delitti, quali usura ed estorsione; a seguito del sequestro probatorio del telefono dell’imputato da parte del pubblico ministero, i dati contenuti nella memoria dello stesso sono stati acquisiti ed analizzati dal consulente del pubblico ministero, dunque da un soggetto diverso dalla polizia giudiziaria e dal pubblico ministero che conduceva le indagini; la procedura è stata quella dell’art. 360 c.p.p., che prevede che i difensori nonché i consulenti tecnici eventualmente nominati hanno diritto di assistere al conferimento dell'incarico, di partecipare agli accertamenti e di formulare osservazioni e riserve e che, prima del conferimento dell’incarico, la persona sottoposta alle indagini può formulare riserva di promuovere incidente probatorio, sollecitando così l’intervento del giudice […]». (M.P.)
Cass. pen., Sez. II, (ud. 13 novembre 2025) 16 dicembre 2025, n. 40451
23. La legittimità dell’accesso da parte della polizia giudiziaria ai contenuti di un dispositivo elettronico senza preventiva autorizzazione dell’autorità giudiziaria
La questione sottoposta allo scrutinio della pronuncia in commento riguarda la legittimità dell’accesso d’iniziativa da parte della polizia giudiziaria ai contenuti di un dispositivo elettronico, alla luce della sentenza della Corte di giustizia 4 ottobre 2024, causa C-548/21.
Come noto, ai sensi dell’art. 354 c.p.p., la polizia giudiziaria, ove ciò sia necessario per evitare alterazioni, dispersioni o modifiche, può procedere, prima dell’intervento dell’autorità giudiziaria, ad accedere a dati, informazioni e programmi informatici, nonché a sistemi informatici o telematici, e ad estrarne copia. A questo riguardo, i giudici europei, nella pronuncia suddetta, hanno affermato che la disciplina euro-unitaria non osta a una normativa nazionale che conceda alla polizia giudiziaria la possibilità di accedere ai dati contenuti in un telefono cellulare, a fini di prevenzione, ricerca, accertamento e perseguimento di reati in generale, se tale normativa subordina l’esercizio di tale possibilità a un controllo di tipo preventivo di un giudice o di un organo amministrativo indipendente. Nondimeno, nei casi d’urgenza «debitamente comprovati» il controllo può anche essere di tipo successivo, purché ciò avvenga «in tempi brevi».
A parere della Suprema Corte, la disciplina prevista dal codice di rito per le indagini informatiche urgenti è pienamente rispettosa dei principi giurisprudenziali teorizzati a livello europeo: invero, un controllo giurisdizionale sull’operato della polizia giudiziaria è possibile in tempi estremamente contenuti, come avvenuto nel caso di specie, mediante la proposizione del riesame. (M.P.)
Cass. pen., Sez. III, (ud. 18 novembre 2025) 20 gennaio 2026, n. 2218
24. Flagranza “digitale” e reati di natura abituale
La pronuncia merita segnalazione giacché concerne l’applicazione del congegno di recente introduzione di cui all’art. 382-bis, comma 1, c.p.p., ai sensi del quale si considera comunque in stato di flagranza colui il quale, sulla base di documentazione legittimamente ottenuta da dispositivi di comunicazione informatica o telematica, dalla quale emerga inequivocabilmente il fatto, ne risulta autore. Segnatamente, nel caso di specie, la Cassazione era chiamata a fornire risposta al seguente quesito: se, ai fini della legittimità dell’arresto, la documentazione videofotografica o informatica legittimamente acquisita debba contenere in sé, in via autonoma ed esaustiva, la prova dell’abitualità della condotta, o se invece tale dato documentale possa saldarsi con il patrimonio conoscitivo già in possesso della polizia giudiziaria. Nella prospettiva patrocinata dalla sentenza in commento, il quesito va sciolto nel senso della seconda alternativa: «pretendere […] che lo smartphone restituisca, da solo, l’intera sequenza storica dello stalking significherebbe, di fatto, abrogare l’arresto in flagranza differita per tutte le fattispecie a condotta abituale, in contrasto con la volontà del legislatore di potenziare gli strumenti di contrasto alla violenza di genere». Per converso, l’abitualità della condotta ben può essere desunta dalla documentazione informatica valutata unitamente al bagaglio conoscitivo già noto alla polizia giudiziaria. (M.P.)
Cass. pen., Sez. V, (ud. 26 novembre 2025) 29 dicembre 2025, n. 41636
25. Sezioni Unite della Corte di Cassazione e giurisprudenza europea a confronto. Ancora sull’utilizzabilità delle comunicazioni scambiate attraverso criptofonini
Con la pronuncia in commento, la Corte di cassazione è stata chiamata a verificare la tenuta dei principi di diritto espressi dalle note sentenze “gemelle” in materia di criptofonini (Cass., Sez. Un., n. 23755 e n. 23756 del 29 febbraio 2024) alla luce di quelli teorizzati dalla Grande Sezione della Corte di Giustizia del 30 aprile 2024 (C-670/22, M.N., EncroChat).
I giudici di legittimità hanno ritenuto che i due orientamenti si sposino perfettamente: in linea con quanto stabilito dalle Sezioni Unite, invero, dalla decisione europea si ricaverebbero i seguenti princìpi: «a) l’autorità di emissione non è autorizzata a controllare la regolarità del procedimento con il quale lo Stato di esecuzione ha raccolto le prove (§ 100); b) la competenza del pubblico ministero ad emettere l’OEI per la trasmissione di prove già acquisite deriva dalla Direttiva e dal diritto dello Stato membro di emissione (§§ 72-74); c) l’impossibilità di accedere all’algoritmo di decriptazione non determina di per sé una violazione dei diritti fondamentali, purché il diritto ad un processo equo sia garantito e la difesa abbia la possibilità di esperire rimedi effettivi nello Stato di esecuzione (§§ 90 e 104)». Inoltre, «la necessità e la proporzionalità dell’OEI devono essere valutate unicamente alla luce del diritto dello Stato di emissione, senza che l’autorità italiana sia tenuta a sindacare la regolarità dell'attività di raccolta svolta dalla Francia (§ 100 CGUE)».
A quest’ultimo riguardo, del resto, i giudici evidenziano che «la Corte EDU, con le sentenze del 24 settembre 2024 (nn. 44715/20 e 47930/21, A.L. e E.J. contro Francia […]), ha confermato che in Francia gli imputati disponevano di un sistema di garanzie effettivo per contestare la legalità e la proporzionalità della raccolta dei dati, ai sensi dell’art. 694-41 c.p.p. francese». Dunque, si ribadisce il principio di diritto secondo cui, «in tema di ordine europeo di indagine, non può dedursi dinanzi al giudice dello Stato di emissione l’acquisizione illegittima, in quanto avvenuta in violazione del diritto di difesa e del disposto dell'art. 6 Convenzione EDU, degli esiti di intercettazioni trasmessi da un'autorità giudiziaria straniera, nel caso in cui non si provi il previo esperimento dei rimedi impugnatori previsti nello Stato di esecuzione» (M.P.).
Cass., Sez. VI, (ud. 10 luglio 2026) 31 luglio 2026, n. 29132
NOVITÀ RILEVANTI A LIVELLO NAZIONALE
Con atto di citazione depositato lo scorso dicembre, Mediaset ha dato il via alla prima causa in Italia avverso un sistema di intelligenza artificiale.
Nello specifico, la società milanese ha agito contro Perplexity A.I., denunciando la violazione del c.d. diritto di opt-out, previsto espressamente dall’art. 4 della Direttiva Copyright (Direttiva UE 2019/790), che consente di opporsi alla possibilità che proprie opere siano destinate all’addestramento di sistemi di I.A.
Mediaset sostiene, infatti, che Perplexity si starebbe “addestrando” avvalendosi dei propri formati, malgrado la stessa società di Cologno Monzese combatta da tempo questo fenomeno, avendo, infatti, introdotto nelle proprie trasmissioni il monito: “E’ severamente vietato ogni utilizzo delle immagini trasmesse atto all’addestramento di sistemi di IA generativa così come l’utilizzo di mezzi automatizzati di data scraping”.
Nell’attesa che il giudice civile si pronunci, vale la pena, dunque, di sottolineare l’attualità di questo procedimento, nella convinzione che non rimarrà un caso isolato, ma verrà presto seguito da altri contenziosi concernenti la medesima causa petendi. (S.D.)
Il comunicato stampa di Mediaset consultabile al seguente link.
In attuazione di quanto disposto dall’art. 8 del Regolamento (UE) 2022/868 (Data Governance Act), dal 28 maggio 2026 è stato reso operativo in Italia lo Sportello Unico Nazionale dei Dati protetti, con l’intento di favorire la trasparenza e, in particolare, l’accesso da parte dei cittadini interessati ai c.d. dati informatici protetti, come i dati sanitari e quelli salvaguardati dal diritto di proprietà intellettuale, i quali, infatti, non sono liberamente accessibili da chiunque.
La nascita di questo sportello rappresenta una decisiva svolta, che comporterà, come conseguenza, il sorgere di nuovi obblighi in capo alla Pubblica Amministrazione, la quale sarà infatti chiamata ad annotare tutti i dati protetti.
Tale sportello garantirà dunque una maggiore tutela del cittadino, inserendosi in un panorama ben più vasto, volto a consentire la più ampia circolazione di dati ed a favorire la collaborazione tra la Pubblica Amministrazione ed il cittadino stesso (S.D.)
Il comunicato dell’Agenzia per l’Italia Digitale è disponibile al seguente link.
Il Garante della protezione dei dati personali si è recentemente espresso su un caso di particolare rilevanza, concernente la possibilità, in capo all’ex dipendente, di accedere alla propria casella di posta elettronica aziendale, malgrado la cessazione del rapporto lavorativo, in quanto la società aveva consentito l’accesso limitatamente ai soli dati personali.
Il Garante ha dunque ritenuto che tale decisione non fosse legittima, poiché in contrasto con quanto disposto dagli artt. 12 e 15 del regolamento UE 2016/679 (GDPR), dato che lo scambio di corrispondenza, seppur intrattenuto sull’account aziendale, non è di “piena ed esclusiva disponibilità dell’azienda stessa”. (S.D.)
Il provvedimento del Garante della Privacy del 12.3.2026, n. 165 è consultabile al seguente link.
4. Dossier Viminale di agosto 2026: il quadro della sicurezza in Italia
Nel dossier pubblicato dal Ministro dell’Interno Piantedosi, utile ad avere un quadro dei numeri che caratterizzano la criminalità in Italia, per quanto di nostro interesse, una sezione è dedicata all’approfondimento della “Sicurezza informatica e cibernetica”.
L’analisi di campione è stata effettuata nel periodo 1° gennaio – 30 giugno 2025 e 1° gennaio – 30 giugno 2026.
I numeri riportati parlano di una riduzione del 16,9 % degli attacchi rilevati a danno delle infrastrutture critiche (reti energetiche, ospedali, infrastruttura di trasporto, etc.): 4.911 contro i 4.082 del primo semestre dell’anno in corso. Quanto al cyberterrorismo, si segnala anche in questo caso una riduzione del 23,3 % dei casi, passando da 116 a 89. Rispetto al primo semestre del 2025, invece, aumentano gli indagati del 71% per i reati connessi (S.T.).
Il dossier completo è rinvenibile al seguente link.
Volumi e Contributi dottrinali di rilievo
Altalex
Riccio G. M., Grok, deepfake e immagini sessualizzanti: quali rimedi in Europa e negli Stati Uniti, 19.3.2026.
Biarella L., L’UE verso la sovranità tecnologica, nuovo pacchetto per indipendenza e innovazione, 5.6.2026.
Romito C. C., AI Act e attuazione italiana: il primato normativo alla prova della tenuta del sistema, 16.06.2026.
Archivio della nuova procedura penale
Alongi B.C., La «stretta necessità» come nuovo confine mobile della data retention biometrica: conferme e oscillazioni, n. 1/2026, p. 85 ss.
Archivio penale
Maestri E., Verità giudiziaria e intelligenza artificiale. Dalla prova baconiana alla meta-prova algoritmica, n. 3/2025, 17.11.2025.
Pulito L., Algoritmi predittivi e valutazione della pericolosità sociale: livelli di rischio alla luce dell’AI Act e prospettive interne di impiego, n. 3/2025, 21.11.2025.
Scerbo N., Algoritmi predittivi, law enforcement, n. 3/2025, 12.12.2025.
Trapella F., Introduzione ad una ricerca su indagini preliminari, intelligenza artificiale e bias del ragionamento, n. 3/2025, 13.11.2025.
Triggiani N., Dubbi e perplessità sull’utilizzo investigativo e probatorio dei sistemi automatici di riconoscimento facciale nel procedimento penale dopo l’AI Act e la L. n. 132/2025, n. 3/2025, 4.1.2026.
Vele A., Identificazione, intelligenza artificiale e riconoscimento facciale ai sensi dell’art. 349 c.p.p., n. 1/2026, 17.2.2026.
Schiavone S., Digital Evidence Seizures in Criminal Proceedings: Ensuring Effective Judicial Oversight in EU and Italian Law, n. 1/2026, 18.2.2026.
Marchetti F., Intercettazioni per mezzo del captatore informatico: tra potenzialità tecniche ed esigenze di garanzia, n. 1/2026, 30.3.2026.
Scalfati A., Allucinazioni e pregiudizi dell’intelligenza artificiale, n. 1/2026, 7.4.2026
Mirto P., Giustizia predittiva e processo penale: l’algoritmo alla prova del «giusto processo», n. 2/2026, 13.5.26.
Mirto P., La dematerializzazione della sanzione e della prova: l’illusione del vero algoritmico e la tenuta del «ragionevole dubbio» nell’era dei deepfake, n. 2/2026, 18.6.26.
Della Torre J., Decision Rules in the Age of Algorithms, n. 2/2026, 20.7.26.
Cassazione penale
Kostoris R.E., Intelligenza artificiale e prove penali, n. 9/2025, p. 2601 ss.
Cascone G., Mezzi tecnologici di ricerca della prova e disciplina dell’attività d’indagine atipica, n. 9/2025, p. 2960 ss.
Camon A., Intelligenza artificiale, indagini preliminari e diritti di libertà, n. 10/2025, p. 3006 ss.
Grifo M., La selezione ab origine e l’impiego di “parole chiave” tra i criteri che rendono legittimo il sequestro dei dati informatici e telematici consentendo il trattamento della “copia forense”, n. 11/2025, p. 3673 ss.
Cerqua F., Sequestro probatorio informatico: il cortocircuito tra norme interne e diritto UE, n. 5/2026, p. 1315 ss.
Palma I., Il sequestro di materiale informatico d’iniziativa del pubblico ministero o della polizia giudiziaria è incompatibile con le garanzie comunitarie?, n. 6/2026, p. 2111 ss.
Diritto di Internet
Picotti L., Gli ordini di produzione e conservazione di prove elettroniche nei procedimenti penali e l’implementazione in Italia della normativa dell’Unione, n. 3/2026.
Aterno S. – Patriarca P., La messaggistica istantanea nel procedimento penale: evoluzione della nozione di corrispondenza e garanzie costituzionali, n. 1/2026, p. 154 ss.
Cerqua F., La reputazione nel flusso di bit: diffamazione in chat e regime probatorio, n. 2/2026, p. 362 ss.
Di Domenico A., Procedimento di captazione e rifiuto di ottenere copia dei file di log, n. 2/2026, p. 368 ss.
Diritto penale e processo
Gaudieri A., Ordini europei di produzione e di conservazione: individuate le autorità nazionali e le relative procedure, n. 2/2026, p. 155 ss.
Torre M., Sequestro probatorio dello smartphone: il principio di proporzionalità assurge a canone di legittimità dell’ingerenza, n. 4/2026, p. 505 ss.
Giurisprudenza penale
La nuova Direttiva sulla lotta contro la corruzione approvata dal Parlamento europeo, 27.3.2026.
Rinaldini F., Intelligenza artificiale: in arrivo nuovi reati e nuove responsabilità per gli enti, 02.09.2026.
L’Indice Penale
Maccione A., Categorie probatorie obsolete e utilizzabilità delle chat decriptate acquisite con ordine europeo di indagine, n. 1/2026, p. 113 ss.
Nicolicchia F., Per rotte inesplorate verso approdi prevedibili. Ancora un rinvio pregiudiziale del giudice italiano sul nuovo art. 132 “codice privacy”, n. 2/2026, p. 254 ss.
L’Indice Penale web
Dei-Cas E., Quale futuro per la prova biometrica? Riflessioni al crocevia tra garanzie dell’individuo e accertamento penale, n. 1/2026, p. 247 ss.
Processo penale e giustizia
Scaccianoce C., I riflessi dell’intelligenza artificiale sulle indagini nominate, n. 1/2026, p. 1 ss.
Belvini L., La disciplina dei software di riconoscimento facciale: rischi e prospettive, n. 1/2026, p. 147 ss.
Blefari C.R., Le indagini nel Metaverso, tra tecnologie avanzate e questioni giuridiche, n. 2/2026, p. 428 ss.
Felicioni P., Il quadro normativo europeo in materia di IA e il modello italiano sub constructione. Osservazioni sui profili processuali penali, n. 3/2026, p. 483 ss.
Trapella F., Acquisizione dei file di log e prerogative della difesa: alla ricerca di un difficile equilibrio, n. 3/2026, p. 708 ss.
Oddis M., Screenshot e prova documentale: tra problemi di autenticità e tutela del dato informatico, n. 4/2026, p. 876 ss.
Marandola A., L’attuazione dei d.lgs. nn. 215 e 216 del 2025: un ulteriore tassello all’esecuzione dell’e-evidence package, n. 4/2026, p. 1040 ss.
Pittiruti M., Inosservanza delle best practices e invalidità della prova tecnico-scientifica, n. 5/2026, p. 1370 ss.
Vele A., L’intelligenza artificiale nel procedimento penale, n. 5/2026, p. 1436 ss.
Sistema Penale
Picotti L., I contenuti penali della legge sull’intelligenza artificiale, 2.12.2025.
De Lazzaro C., L’acquisizione delle prove elettroniche nello spazio di libertà, sicurezza e giustizia: una prima implementazione dell’e-evidence package, 2.2.2026.
Intelligenza artificiale: una prima pronuncia di inammissibilità di un ricorso per cassazione imputabile (anche) a richiami giurisprudenziali non pertinenti, 20.5.2026.
Fragasso B., Disposizioni attuative in materia di intelligenza artificiale: il reato di omessa adozione di misure di sicurezza nei sistemi di I.A. e altre novità in materia di autorità di vigilanza, identificazione biometrica, responsabilità da reato degli enti e responsabilità civile, 12.6.2026.
Parodi C., Le nuove Raccomandazioni del CSM sull’intelligenza artificiale nella giustizia. Dalla cautela difensiva alla governance del rischio, 24.7.2026
Salvi G., La giurisdizione penale e l’intelligenza artificiale: meriti e limiti della scelta regolatoria e classificatoria dell’Unione europea e prospettive di evoluzione del diritto nazionale, 4.08.2026.
Monografie e Collettanee
Gennari G. – Lupária Donati L. – Taroni F., La scienza non giudica. Prevenire gli errori giudiziari con un uso consapevole delle prove scientifiche, Pacini Editore, 2026.
Incampo A. – Triggiani N. (a cura di), Giudizio penale e intelligenza artificiale. Una riflessione sistemica, Cacucci Editore, 2026.
De Caro A. – Maffeo V. – Rossi G. – Tessitore G. (a cura di), Il processo penale alla prova delle nuove tecnologie e dell’intelligenza artificiale, Giappichelli, 2026.
