Tra le domande che le imprese fanno più spesso sull’AI Act, quella sulle sanzioni è sempre tra le prime. È comprensibile: gli importi massimi sono molto elevati e le regole sono ancora poco conosciute. Con il decreto legislativo 179/2026, in vigore dal 23 ottobre 2026, anche l’Italia ha completato il proprio regime sanzionatorio. Ecco le risposte essenziali.

Quanto si rischia?

L’AI Act prevede tre fasce di sanzioni amministrative pecuniarie. Ognuna è calcolata sul valore più alto tra un importo fisso e una percentuale del fatturato mondiale annuo:

fino a 35 milioni di euro o al 7% del fatturato per l’uso di pratiche di IA vietate, come la manipolazione che causa danni significativi, il social scoring o il riconoscimento delle emozioni sul luogo di lavoro. Dal 2 dicembre 2026 si aggiungono due nuovi divieti: i sistemi che generano immagini intime non consensuali e quelli che generano materiale pedopornografico;
fino a 15 milioni di euro o al 3% del fatturato per la violazione degli altri obblighi dell’AI Act, tra cui quelli sui sistemi ad alto rischio e gli obblighi di trasparenza dell’art. 50 su chatbot e contenuti generati;
fino a 7,5 milioni di euro o all’1% del fatturato per la fornitura di informazioni inesatte, incomplete o fuorvianti alle autorità o agli organismi notificati.

Il decreto italiano aggiunge una fascia nazionale: fino a 1 milione di euro o allo 0,5% del fatturato per la mancata valutazione d’impatto sui diritti fondamentali e per la violazione del diritto alla spiegazione delle decisioni.

Si tratta di massimi: la sanzione concreta è determinata caso per caso.

Per le PMI valgono gli stessi importi?

No. Per le piccole e medie imprese, comprese le start-up, si applica il valore più basso tra l’importo fisso e la percentuale del fatturato, e non quello più alto. È una differenza rilevante: per una PMI con 5 milioni di fatturato, la sanzione massima per la violazione degli obblighi di trasparenza non sarebbe 15 milioni di euro, ma il 3% del fatturato, cioè 150.000 euro.

Con il Digital Omnibus lo stesso criterio si applica anche alle small mid-cap, cioè le imprese con meno di 750 dipendenti e fino a 150 milioni di fatturato. Per loro non vale però per le sanzioni sulle pratiche vietate.

E per i fornitori di modelli di IA per uso generale?

I fornitori di modelli come quelli alla base dei principali chatbot sono sanzionati direttamente dalla Commissione europea, fino a 15 milioni di euro o al 3% del fatturato mondiale. La Commissione può esercitare questo potere dal 2 agosto 2026.

Come viene calcolata la sanzione?

Le autorità devono tenere conto di tutte le circostanze del caso, in particolare:

la natura, la gravità e la durata della violazione e le sue conseguenze;
il numero di persone coinvolte e il danno subito;
le dimensioni, il fatturato e la quota di mercato dell’impresa;
l’eventuale carattere doloso o colposo della violazione;
le misure adottate per attenuare il danno e il grado di cooperazione con le autorità;
eventuali sanzioni già applicate per la stessa condotta, anche in base ad altre normative.

Per le violazioni minori, il decreto italiano consente all’autorità di ordinare di porre fine alla violazione o di imporre una dichiarazione pubblica, invece della sanzione pecuniaria. Se l’ordine non viene rispettato, la sanzione può essere aumentata fino a un terzo. Non è invece ammesso il pagamento in misura ridotta. I provvedimenti sanzionatori sono pubblicati.

In pratica, un’impresa che ha fatto un inventario dei propri sistemi, ha documentato le proprie valutazioni e collabora con l’autorità è in una posizione molto diversa da chi non ha fatto nulla.

Chi applica le sanzioni in Italia?

Le sanzioni per la maggior parte degli obblighi sono applicate a livello nazionale. La legge 132/2025 ha designato come autorità nazionali per l’IA l’Agenzia per l’Italia digitale (AgID) e l’Agenzia per la cybersicurezza nazionale (ACN). Il d.lgs. 179/2026 ha poi definito le competenze:

AgID è l’autorità di notifica e sanziona gli organismi notificati;
le autorità di vigilanza del mercato sanzionano gli altri operatori, ciascuna nel proprio ambito;
Banca d’Italia, CONSOB e IVASS sono competenti nei settori bancario, finanziario e assicurativo e applicano le proprie procedure;
il Garante per la protezione dei dati personali mantiene i propri poteri, anche su alcuni sistemi ad alto rischio, come quelli biometrici o usati nelle attività di contrasto.

Da quando si rischiano sanzioni?

Le sanzioni si applicano agli obblighi già in vigore:

i divieti delle pratiche inaccettabili valgono dal 2 febbraio 2025 e le norme sulle sanzioni dal 2 agosto 2025;
dal 2 agosto 2026 si applicano gli obblighi di trasparenza, con un periodo transitorio fino al 2 dicembre 2026 per la marcatura dei contenuti generati da sistemi già sul mercato;
sempre dal 2 agosto 2026 la Commissione può esercitare i propri poteri sanzionatori sui modelli per uso generale.

In Italia il regime nazionale è pienamente operativo dal 23 ottobre 2026.

Per i sistemi ad alto rischio, il Digital Omnibus ha rinviato gli obblighi, e quindi le relative sanzioni: al 2 dicembre 2027 per i sistemi dell’allegato III e al 2 agosto 2028 per quelli dell’allegato I.

Le sanzioni dell’AI Act sono l’unico rischio?

No. La stessa condotta può violare anche altre norme: il GDPR, con sanzioni fino a 20 milioni di euro o al 4% del fatturato, il diritto dei consumatori, il diritto del lavoro. Le autorità possono inoltre ordinare di adeguare o ritirare un sistema dal mercato, e chi subisce un danno può chiedere il risarcimento. Senza contare il danno reputazionale.

Cosa conviene fare subito?

Verificare che nessun sistema in uso rientri tra le pratiche vietate, compresi i nuovi divieti dal 2 dicembre 2026;
adeguare chatbot e contenuti generati agli obblighi di trasparenza già in vigore;
documentare inventario, classificazione e decisioni prese;
prepararsi per tempo agli obblighi sui sistemi ad alto rischio.

La domanda da porsi non è “quanto rischiamo al massimo?”. È “se un’autorità ci chiedesse domani cosa abbiamo fatto, cosa potremmo mostrare?”.

‍

‍