Sanzioni AI Act: quanto si rischia e chi le applica

Le cifre delle sanzioni europee sull'AI sono quelle che finiscono nei titoli dei giornali, e spesso spaventano più del necessario. Sono tetti massimi, pensati per i grandi gruppi, e il regolamento stesso chiede di tenere conto della dimensione dell'impresa.

Questo non vuol dire che per una PMI il rischio sia nullo. Vuol dire che conviene capire quali comportamenti portano alle fasce più alte e chi, in Italia, ha il compito di controllare. Le indicazioni qui sono generali: per valutare un caso concreto serve un professionista.

Cosa dice la norma

L'articolo 99 del Regolamento (UE) 2024/1689 fissa tre fasce ¹. La più alta riguarda l'uso o la vendita di pratiche vietate: fino a 35 milioni di euro o fino al 7% del fatturato mondiale annuo, se superiore ¹. La fascia intermedia copre la violazione degli altri obblighi, comprese le regole di trasparenza e gli obblighi di chi usa sistemi ad alto rischio: fino a 15 milioni di euro o al 3% ¹. La terza colpisce chi fornisce informazioni inesatte, incomplete o fuorvianti alle autorità: fino a 7,5 milioni di euro o all'1% ¹.

Per PMI e startup la regola si rovescia: si applica l'importo più basso tra cifra fissa e percentuale ¹. Nel decidere la multa le autorità considerano gravità, durata, intenzionalità, collaborazione e dimensione dell'impresa.

In Italia la legge 132/2025 delega il Governo a definire il sistema sanzionatorio nazionale nel rispetto dell'articolo 99 e affida all'Agenzia per la cybersicurezza nazionale vigilanza, ispezioni e sanzioni ². La stessa legge introduce anche reati nuovi, come la diffusione illecita di contenuti falsificati con l'AI, punita con la reclusione da uno a cinque anni ².

A chi si applica

• Chi usa sistemi di AI nella propria attività, per gli obblighi che lo riguardano.
• Chi sviluppa o vende sistemi di AI, per gli obblighi del fornitore.
• Chiunque dia informazioni false o incomplete alle autorità di controllo.
• Per i reati previsti dalla legge italiana, la singola persona che commette il fatto.

Da quando

Le sanzioni seguono il calendario degli obblighi: per le pratiche vietate i divieti valgono dal 2 febbraio 2025, per la trasparenza dal 2 agosto 2026 ³. La legge 132/2025 è in vigore dal 10 ottobre 2025, e da allora valgono le nuove norme penali che contiene ². Le regole nazionali di dettaglio sulle multe dipendono dai decreti attuativi: verifica il loro stato al momento in cui leggi.

Cosa fare in pratica

1. Comincia dalle pratiche vietate: sono la fascia più alta e la più facile da escludere con un controllo degli strumenti.
2. Sistema la trasparenza di chatbot e contenuti generati, che ricade nella fascia intermedia.
3. Tieni un registro semplice degli strumenti di AI e delle decisioni prese: in caso di controllo dimostra la buona fede.
4. Se ricevi una richiesta da un'autorità, rispondi in modo completo e con l'aiuto di un legale.
5. Ricorda che le regole sulla privacy hanno sanzioni proprie, che si aggiungono a queste.

Gli errori da evitare

• Leggere solo l'importo fisso e dimenticare che per le PMI vale il più basso dei due.
• Pensare che, essendo piccoli, nessuno controllerà mai.
• Concentrarsi sulle multe e trascurare i danni concreti: clienti persi, contestazioni, cause.
• Rispondere a un'autorità con dati approssimativi: è una violazione a sé.

Le altre norme spiegate senza burocratese sono in Regole.