Sanzioni AI Act: a quanto ammontano e come evitarle

Le sanzioni previste dall’AI Act sono tra le più alte nel panorama normativo europeo, paragonabili solo a quelle del GDPR. Ma il dato economico, da solo, racconta solo metà della storia: capire come sono calibrate (art. 99 del regolamento) aiuta a valutare l’esposizione reale della propria azienda, non solo il tetto massimo.

Il sistema sanzionatorio a tre livelli

• Pratiche vietate (art. 5) — le violazioni più gravi, relative a sistemi di IA a rischio inaccettabile (vedi la classificazione del rischio), possono comportare multe fino a 35 milioni di euro o al 7% del fatturato annuo globale, a seconda di quale valore sia più alto.
• Violazione degli altri obblighi del regolamento — per provider, deployer, importatori e distributori che non rispettano gli obblighi previsti per i sistemi ad alto rischio o per i modelli GPAI, le sanzioni possono arrivare a 15 milioni di euro o al 3% del fatturato globale.
• Informazioni scorrette o incomplete alle autorità — fornire informazioni inesatte, incomplete o fuorvianti alle autorità competenti o agli organismi notificati può comportare sanzioni fino a 7,5 milioni di euro o all’1% del fatturato.

Non solo sanzioni pecuniarie

Oltre alle multe, il quadro di vigilanza può portare anche a misure correttive o restrittive sul sistema non conforme — come limitazioni d’uso, ritiro o richiamo dal mercato — secondo i poteri riconosciuti alle autorità nazionali. Sono misure che possono di fatto bloccare l’attività di un’azienda anche a prescindere dall’importo della multa.

Come viene calcolato in concreto l’importo

L’autorità competente non applica automaticamente il massimale: valuta l’importo tenendo conto di una serie di fattori, tra cui:

• Natura, gravità e durata della violazione, numero di persone coinvolte ed entità del danno subito;
• Se l’azienda ha già ricevuto sanzioni analoghe da altre autorità per la stessa violazione o per violazioni collegate ad altre norme UE;
• Fatturato, quota di mercato e dimensione dell’organizzazione;
• Il grado di cooperazione con le autorità e le misure tecniche e organizzative già adottate;
• Se la violazione è stata intenzionale o colposa, e le azioni messe in campo per mitigarne l’impatto.

In altre parole, due aziende con la stessa violazione formale possono ricevere sanzioni molto diverse a seconda di come hanno gestito la situazione prima e dopo la scoperta del problema — un ulteriore motivo per documentare per tempo il proprio percorso di adeguamento.

Il regolamento prevede che le PMI e le start-up siano soggette a sanzioni amministrative proporzionate. Non è un’esenzione dagli obblighi, ma una modulazione dell’importo che tiene conto della dimensione dell’organizzazione (vedi il regolamento).

Il costo che va oltre la multa

La sanzione economica non è l’unico rischio concreto. Un procedimento per non conformità all’AI Act può tradursi in danni reputazionali, difficoltà nei rapporti commerciali con clienti e partner che richiedono garanzie di conformità nei propri fornitori, ed esclusione da gare pubbliche che prevedono requisiti specifici su governance dell’IA.

Come ridurre concretamente l’esposizione

• Partire da un inventario e da una classificazione dei sistemi di IA in uso — il gap analysis descritto nell’articolo dedicato — invece di attendere una scadenza percepita come lontana.
• Documentare in modo continuativo le decisioni prese sui sistemi di IA, anche quando non sono ancora scattati obblighi formali di documentazione: dimostra un impegno in buona fede in caso di controllo.
• Investire nella formazione sull’AI literacy, già applicabile dal 2 febbraio 2025, e documentare le misure adottate: è uno degli obblighi più trasversali e uno dei primi da rendere verificabile all’interno dell’organizzazione.
• Costruire un presidio interno condiviso tra IT, legal e responsabili di processo, invece di trattare l’AI Act come un tema esclusivamente legale o esclusivamente tecnico.

La prevenzione, in altre parole, costa sempre meno della sanzione — ed è l’unico investimento che riduce contemporaneamente il rischio economico e quello reputazionale.

Chi conosce oggi la propria esposizione può governare il rischio. Chi non la conosce, lo scopre quando è già un problema.