Delle sanzioni AI Act si parla da due anni con una cifra sola: 35 milioni di euro. È vera, ma è la punta della piramide, e non è quella che riguarda te.
Dal 2 agosto 2026 le autorità nazionali possono contestare le violazioni e irrogare le multe. Prima di quella data il regolamento c’era ma non aveva chi lo facesse rispettare. Adesso ce l’ha.
I tre livelli, in ordine di gravità
L’articolo 99 del Regolamento UE 2024/1689 gradua le sanzioni su tre scalini:
| Cosa hai violato | Tetto massimo |
|---|---|
| Pratiche di AI vietate (art. 5) | 35 milioni o il 7% del fatturato mondiale |
| Altri obblighi, compresa la trasparenza (art. 50) | 15 milioni o il 3% |
| Informazioni inesatte o fuorvianti alle autorità | 7,5 milioni o l’1% |
Il primo scalino riguarda cose che quasi nessuna PMI fa: riconoscimento delle emozioni sul posto di lavoro, punteggio sociale, categorizzazione biometrica. Il secondo invece riguarda tutti: è quello dove finisce chi genera contenuti con l’AI e non lo dichiara, o chi fa parlare un chatbot con i clienti senza dire che è una macchina.
La riga che cambia tutto per le piccole imprese
Nei titoli si legge sempre «fino a 35 milioni o il 7% del fatturato, se superiore». Quel «se superiore» vale per le grandi imprese.
Per PMI e start-up il regolamento ribalta il criterio: si applica il minore tra l’importo fisso e la percentuale. Su un fatturato da 400.000 euro, il 3% fa 12.000 euro, non 15 milioni. Il regolamento chiede inoltre alle autorità di tenere conto della proporzionalità e degli interessi delle piccole imprese quando definiscono l’importo.
Non è un liberi tutti: è la differenza tra una sanzione che chiude l’azienda e una che fa male e basta. Ma toglie l’alibi del «tanto quella roba lì è per le multinazionali».
Chi controlla, in Italia
La vigilanza non è di un solo soggetto. In Italia il ruolo di autorità di vigilanza del mercato è affidato all’Agenzia per la cybersicurezza nazionale, mentre restano competenti nei rispettivi ambiti il Garante per la protezione dei dati personali, la Banca d’Italia, la Consob e l’Ivass.
Sopra di loro, sui modelli di uso generale, agisce direttamente la Commissione europea attraverso l’AI Office: può chiedere informazioni, valutare i modelli, imporre misure correttive e multare.
Tradotto per chi vende online: se usi un sistema di AI nel rapporto con i clienti, la contestazione può arrivare da più parti, e la più probabile non è quella europea. È quella di chi già ti controlla per altri motivi.
Cosa fare questa settimana
Tre cose concrete, nell’ordine.
- Scrivi la lista dei sistemi che usi. Chatbot sul sito, generatore di descrizioni prodotto, strumento che scrive le mail, assistente che risponde ai messaggi. Se non sai cosa usi, non puoi dichiararlo.
- Controlla dove parli con un cliente attraverso una macchina. Lì scatta l’obbligo di dirlo, ed è la violazione più facile da contestare perché è visibile a chiunque apra il tuo sito.
- Tieni traccia di chi rilegge. La revisione umana sui testi pubblicati non è solo buon senso editoriale: incide sugli obblighi di etichettatura.
Il rischio vero, per una piccola impresa, non è la multa da record. È arrivare a una verifica senza saper dire quali strumenti usa e chi li ha autorizzati. Quella lista costa un’ora.
Se vuoi capire quali dei tuoi strumenti ricadono negli obblighi, scrivimi: parto sempre dall’elenco di quello che usi davvero.
Fonti
- Regolamento (UE) 2024/1689 (AI Act), articolo 99: regime sanzionatorio e criterio applicabile a PMI e start-up
- Il Sole 24 Ore, AI Act, dal 2 agosto debuttano la vigilanza e i doveri di trasparenza, luglio 2026
- Cybersecurity360, AI Act 2026: guida a divieti, sanzioni e nuove scadenze di compliance
- Altalex, AI Act: che cosa cambia davvero dal 2 agosto 2026 per imprese e professionisti, 31 luglio 2026
Le competenze delle autorità nazionali sono in via di definizione operativa: prima di adempimenti formali, verifica lo stato dei provvedimenti attuativi.