Sanzioni AI Act: cifre, tempi e chi controlla

Le cifre dell'AI Act hanno fatto notizia: decine di milioni di euro, percentuali sul fatturato mondiale. Lette senza contesto spaventano chiunque, comprese le imprese che usano un chatbot per rispondere ai clienti. Lette con il contesto raccontano un'altra storia: le fasce più alte riguardano le pratiche vietate, mentre per chi usa strumenti ordinari il rischio concreto passa da altro.

Questa guida mette in fila le fasce, la regola di favore per le piccole imprese, i tempi e i criteri con cui l'importo viene stabilito.

Che cosa significa per voi

• Usate strumenti di AI — vi riguarda la fascia intermedia, legata agli obblighi.
• Siete una piccola impresa — esiste una regola di proporzionalità da conoscere.
• State valutando un fornitore — la ripartizione delle responsabilità si scrive nel contratto.

Le tre fasce

Per le imprese si applica l'importo più elevato fra la cifra fissa e la percentuale. La prima fascia riguarda comportamenti circoscritti e gravi: manipolazione, sfruttamento di vulnerabilità, punteggio sociale, riconoscimento biometrico in tempo reale negli spazi accessibili al pubblico fuori dai casi ammessi.

La regola di favore per le PMI

Per le piccole e medie imprese e per le start-up il criterio si rovescia: si applica l'importo inferiore fra la cifra fissa e la percentuale sul fatturato. È una norma di proporzionalità che evita di schiacciare realtà piccole con massimali pensati per i grandi fornitori di modelli.

Resta però una precisazione utile: la riduzione riguarda il calcolo, invece dell'obbligo. Un'impresa piccola che pubblica contenuti generati senza dichiararli resta sanzionabile, su scala proporzionata.

I tempi

Aggiornamento di ottobre 2026. Il regolamento (UE) 2026/1744 ha rinviato l'applicazione delle regole sui sistemi ad alto rischio dell'Allegato III al 2 dicembre 2027, e al 2 agosto 2028 per quelli integrati in prodotti già regolati. Gli obblighi di trasparenza e le relative sanzioni restano in vigore da agosto 2026.

Come viene stabilito l'importo

L'autorità valuta il caso concreto su una serie di elementi, e il risultato si allontana quasi sempre dal massimale.

• Gravità e durata della violazione, e numero di persone coinvolte.
• Dimensione dell'impresa, fatturato e quota di mercato.
• Intenzionalità o negligenza, con la differenza che ne consegue.
• Misure adottate per attenuare il danno e per porvi rimedio.
• Cooperazione con l'autorità durante l'accertamento.
• Violazioni precedenti e rispetto di eventuali provvedimenti già emessi.

Due righe meritano attenzione perché dipendono interamente da voi: le misure adottate e la cooperazione. Un'impresa che arriva con il registro degli strumenti, le dichiarazioni pubblicate e le valutazioni documentate parla una lingua diversa rispetto a chi presenta una cartella vuota.

Chi controlla in Italia

La Legge 132/2025 disegna il sistema nazionale: la vigilanza di mercato spetta all'Agenzia per la cybersicurezza nazionale, con poteri ispettivi e sanzionatori, mentre AgID promuove l'innovazione e segue notifica e accreditamento degli organismi. Per i modelli per finalità generali la competenza resta della Commissione europea, attraverso l'ufficio dedicato all'AI.

Restano inoltre le autorità già competenti per materia: il Garante per la protezione dei dati personali quando la violazione tocca dati personali, l'Autorità garante della concorrenza e del mercato quando riguarda pratiche commerciali.

Il rischio concreto per una PMI

Per un'impresa che usa l'AI in modo ordinario il percorso che porta a una contestazione somiglia poco alle cifre dei titoli. Nella pratica comincia da una segnalazione: un cliente che si accorge di parlare con un sistema automatico senza averlo saputo, un concorrente attento a un'immagine generata presentata come fotografia, un lavoratore informato in ritardo dell'uso di uno strumento automatico nella selezione.

Da lì partono una richiesta di chiarimenti e la verifica della documentazione. Ed è qui che si gioca la partita, molto prima della quantificazione.

Cosa riduce il rischio, in concreto

1. Registro degli strumenti: elenco, finalità, fornitore, categoria di rischio.
2. Dichiarazioni pubblicate: chatbot dichiarato, contenuti generati marcati.
3. Istruzioni per il personale: cosa è permesso, quali dati restano fuori, chi verifica prima di pubblicare.
4. Valutazioni documentate, comprese quelle che concludono per l'esenzione.
5. Contratti con i fornitori che chiariscono ruoli e responsabilità.

Cinque voci che una PMI mette insieme in pochi giorni, e che valgono come prova di diligenza. Il dettaglio degli obblighi di trasparenza sta in art. 50: trasparenza per chatbot e contenuti generati, mentre i ruoli e il perimetro sono in AI Act: a chi si applica.

Quando conviene farsi aiutare

La verifica preliminare è gratuita e chiude in tre giorni lavorativi: elenchiamo gli strumenti in uso, indichiamo quali obblighi vi riguardano e cosa manca per documentarli. Da lì nascono le dichiarazioni sul sito, il registro dei sistemi e le istruzioni interne. Il percorso sta nella pagina conformità AI Act.

Fonti

• Regolamento (UE) 2024/1689 (AI Act), artt. 5, 99 e 101
• Regolamento (UE) 2026/1744, rinvio per i sistemi ad alto rischio
• Legge 23 settembre 2025, n. 132, vigilanza e poteri delle autorità nazionali

Aggiornato il 21.10.2026.