Le sanzioni dell'AI Act possono raggiungere 35 milioni di euro o il 7% del fatturato mondiale. Dettaglio delle multe per tipo di violazione e confronto con il GDPR.
Il Regolamento Europeo sull’Intelligenza Artificiale (Regolamento 2024/1689) introduce uno dei sistemi sanzionatori più severi del diritto digitale europeo. Con sanzioni fino a 35 milioni di euro o il 7% del fatturato mondiale, l’AI Act invia un segnale chiaro: la non conformità in materia di IA non è un rischio astratto — è un rischio finanziario di primo piano.
Articolo 99 — Règlement (UE) 2024/1689
Gli Stati membri stabiliscono le norme relative alle sanzioni e ad altre misure di esecuzione, che possono includere anche avvertimenti e misure non pecuniarie, applicabili alle violazioni del presente regolamento da parte degli operatori, e adottano tutte le misure necessarie per garantirne l’attuazione corretta ed efficace […].
L’Articolo 99 del regolamento definisce tre livelli di sanzioni, in base alla gravità della violazione.
Il livello sanzionatorio più elevato si applica alle violazioni dell’Articolo 5 (pratiche vietate):
La sanzione può raggiungere 35 milioni di euro o il 7% del fatturato annuo mondiale, prevalendo l’importo più elevato.
Per un’azienda con 500 milioni di euro di fatturato, questo significa potenzialmente 35 milioni di euro di sanzione. Per un gruppo mondiale con 10 miliardi di euro di fatturato, la sanzione teorica sale a 700 milioni di euro.
Il secondo livello sanziona le violazioni degli obblighi relativi ai sistemi di IA ad alto rischio e ai modelli di IA per finalità generali:
Quest’ultimo punto è cruciale: la mancata formazione dei collaboratori sull’IA rientra in questo livello. Un’azienda che non ha adottato alcuna misura per garantire un livello sufficiente di competenza in IA del proprio personale rischia sanzioni fino a 15 milioni di euro o il 3% del fatturato mondiale.
Il terzo livello si applica quando un’azienda fornisce informazioni inesatte, incomplete o fuorvianti alle autorità competenti o agli organismi notificati:
La sanzione può raggiungere 7,5 milioni di euro o l’1,5% del fatturato annuo mondiale.
Per misurare la severità del regime dell’AI Act, il confronto con il GDPR è illuminante:
| Criterio | GDPR | AI Act |
|---|---|---|
| Sanzione massima (importo fisso) | 20 milioni di euro | 35 milioni di euro |
| Sanzione massima (% del fatturato) | 4% del fatturato mondiale | 7% del fatturato mondiale |
| Numero di livelli | 2 | 3 |
| In vigore dal | Maggio 2018 | Progressivo (2025-2027) |
| Autorità di controllo | Autorità per la protezione dei dati | Autorità nazionali + Ufficio europeo per l’IA |
Il legislatore europeo ha deliberatamente fissato le sanzioni dell’AI Act al di sopra di quelle del GDPR. Il messaggio è chiaro: i rischi legati a un’IA mal gestita sono considerati almeno altrettanto gravi di quelli legati alla protezione dei dati — e le aziende saranno sanzionate di conseguenza.
Per riferimento, le sanzioni del GDPR non sono rimaste teoriche. Nel 2023, Meta ha ricevuto una sanzione di 1,2 miliardi di euro dall’autorità irlandese. Amazon è stata multata per 746 milioni di euro in Lussemburgo nel 2021. Le autorità europee hanno dimostrato di non esitare ad applicare le sanzioni massime alle grandi aziende. In Italia, il Garante per la protezione dei dati personali si è distinto per la sua attività sanzionatoria, avendo già comminato sanzioni significative a grandi piattaforme tecnologiche, inclusa la sanzione a Clearview AI (20 milioni di euro) e le misure restrittive nei confronti di ChatGPT nel 2023.
Il regolamento prevede un trattamento adeguato per le piccole imprese. L’Articolo 99(6) precisa che le sanzioni devono essere “effettive, proporzionate e dissuasive”. Per le PMI e le startup, le autorità devono tener conto della sostenibilità economica dell’impresa.
Concretamente:
Ogni Stato membro deve designare una o più autorità nazionali competenti incaricate della sorveglianza del mercato e dell’applicazione del regolamento. In Italia, questa responsabilità è condivisa tra diversi soggetti istituzionali:
Istituito all’interno della Commissione europea, l’Ufficio europeo per l’IA svolge un ruolo di coordinamento e dispone di competenze dirette sui modelli di IA per finalità generali. Può:
Al di là delle sanzioni, il meccanismo dell’AI Act si basa su un principio fondamentale: l’onere della prova spetta all’azienda. Non è l’autorità a dover dimostrare che non sei conforme — sei tu a dover dimostrare che lo sei.
Un punteggio di competenza misurabile e tracciabile per ogni collaboratore costituisce una prova particolarmente solida per l’Articolo 4. Allo stesso modo, uno storico completo delle formazioni completate, con date, contenuti e risultati, permette di dimostrare la conformità in modo oggettivo.
In caso di ispezione, la situazione più sfavorevole non è avere un programma di conformità imperfetto — è non averne affatto. Le autorità terranno conto degli sforzi compiuti dall’azienda. Aver avviato un approccio strutturato, anche incompleto, è sempre preferibile all’inazione totale.
📄Audit IA in azienda: guida pratica passo dopo passo→Le sanzioni si applicano progressivamente, in linea con l’entrata in vigore dei diversi obblighi:
| Data | Obblighi in vigore | Sanzioni applicabili |
|---|---|---|
| 1° febbraio 2025 | Pratiche vietate (Articolo 5) | Fino a 35 milioni / 7% |
| 2 agosto 2025 | Competenza in IA (Articolo 4) + Modelli per finalità generali | Fino a 15 milioni / 3% |
| 2 agosto 2026 | Sistemi di IA ad alto rischio | Fino a 15 milioni / 3% |
| 2 agosto 2027 | Sistemi ad alto rischio integrati in prodotti regolamentati | Fino a 15 milioni / 3% |
Le prime due scadenze sono già passate. Le aziende che non hanno ancora adottato misure sulle pratiche vietate e sulla competenza in IA si trovano già nella zona di rischio.
Le sanzioni finanziarie sono solo la parte visibile. La non conformità all’AI Act espone ad altri rischi altrettanto importanti:
Ce que ça implique pour vous
L’AI Act introduce le sanzioni più pesanti del diritto digitale europeo: 35 milioni di euro o il 7% del fatturato mondiale per le pratiche vietate, 15 milioni per i sistemi ad alto rischio e la mancata formazione. La chiave per minimizzare il rischio: dimostrare la conformità attraverso una documentazione rigorosa, formazioni tracciate e valutazioni misurabili. Le prime scadenze sono già passate — ogni giorno senza azione aumenta l’esposizione.