Cluster · sanzioni AI Act
AI Act: sanzioni e chi controlla
Come funzionano le sanzioni dell'AI Act, quali violazioni pesano di più, chi vigila in Italia e qual è il rischio reale per una PMI.
Tempo di lettura: 8 min
Guida operativa · AI Act e conformità
Le sanzioni dell'AI Act fanno notizia per gli importi massimi, ma per un'azienda italiana normale il rischio concreto è un altro, e ragionare solo sulle cifre porta a decisioni sbagliate: si compra conformità dove non serve e si trascura dove servirebbe.
L'impianto sanzionatorio è graduato come tutto il resto del regolamento: più grave è la violazione, più alta è la fascia. In cima ci sono le pratiche vietate; alla base, le violazioni di obblighi procedurali e le informazioni fuorvianti fornite alle autorità.
In sintesi
- Le sanzioni sono strutturate su fasce, con i massimi riservati alle pratiche vietate.
- Gli importi sono espressi in alternativa come cifra fissa o percentuale del fatturato mondiale, applicando il valore più alto.
- Le sanzioni seguono lo stesso scaglionamento degli obblighi: non si sanziona un obbligo non ancora applicabile.
- Il regolamento impone sanzioni proporzionate, con attenzione specifica a PMI e start-up.
- Per una PMI il rischio realistico non è la multa record: è il blocco di un progetto o la perdita di clienti B2B.
- Fornitore e utilizzatore rispondono ciascuno dei propri obblighi.
Come sono strutturate le fasce
La logica sanzionatoria segue quella della classificazione del rischio, spiegata in i quattro livelli di rischio.
| Gravità | Tipo di violazione | Posizione nella scala |
|---|---|---|
| Massima | Impiego di pratiche vietate (rischio inaccettabile) | Fascia più alta |
| Alta | Inosservanza degli obblighi su sistemi ad alto rischio | Fascia intermedia |
| Media | Violazione di obblighi di trasparenza e altri requisiti | Fascia inferiore |
| Specifica | Informazioni false, incomplete o fuorvianti alle autorità | Fascia dedicata |
Il criterio di calcolo prevede l'alternativa tra un importo fisso e una percentuale del fatturato mondiale annuo, con applicazione del valore più elevato. È lo stesso meccanismo del GDPR, e produce lo stesso effetto: per le grandi imprese morde la percentuale, per le piccole l'importo fisso.
Chi vigila
Il sistema di controllo è a due livelli. A livello europeo opera una struttura dedicata soprattutto ai modelli di uso generale e al coordinamento. A livello nazionale operano le autorità di notifica e di vigilanza del mercato, individuate da ciascuno Stato membro.
Per l'Italia l'assetto delle competenze è definito dalla normativa nazionale di attuazione e coinvolge più soggetti a seconda dell'ambito. È una materia in assestamento: se hai bisogno di sapere a chi risponderesti in concreto, la risposta va cercata sulle fonti istituzionali aggiornate e non in una guida.
Qual è il rischio reale per una PMI
Qui va fatta una distinzione che di solito manca.
Rischio teorico
- Sanzione nella fascia massima
- Presuppone una pratica vietata
- Scenario remoto per un'impresa normale
Rischio concreto
- Progetto bloccato per assenza di documentazione
- Contestazione da parte di un interessato
- Cliente B2B che chiede garanzie in contratto e non le ottiene
- Gara persa per requisiti di conformità non dimostrabili
La colonna di destra è quella che si materializza davvero, ed è anche quella che nessuno racconta. Il costo tipico della non conformità per una PMI non è una multa: è un contratto che salta. Sempre più capitolati B2B e sempre più clienti strutturati chiedono di dichiarare quali sistemi AI vengono impiegati e con quali garanzie. Non avere una risposta pronta è un problema commerciale prima che sanzionatorio.
Esempi pratici
Fornitore di software gestionale che integra uno scoring. L'azienda vende ad altre imprese un modulo che assegna punteggi. È fornitore, il sistema tocca decisioni su persone, e la documentazione tecnica è un obbligo suo. Il rischio non è astratto: al primo cliente strutturato che chiede la documentazione di conformità in fase di gara, l'assenza si traduce in vendita persa.
Azienda che usa uno strumento di screening dei CV. Un candidato scartato chiede su quale base è stata presa la decisione. L'azienda è utilizzatore e ha l'obbligo di informazione e di sorveglianza umana. Se non può dimostrare che una persona competente ha potuto valutare e ribaltare, la posizione è debole — indipendentemente da chi ha scritto il software.
Piccolo e-commerce con assistente sul sito. L'obbligo è la trasparenza. Il rischio sanzionatorio è la fascia più bassa, e l'adempimento costa un quarto d'ora. È il classico caso in cui il rapporto tra costo di conformità e rischio rende insensato rimandare.
Come si dimostra di essere in regola
Nel momento in cui qualcuno chiede conto — un cliente in gara, un interessato che contesta, un'autorità in verifica — quello che conta non è ciò che hai fatto, ma ciò che puoi mostrare.
La documentazione minima che rende una PMI difendibile è più leggera di quanto si teme:
| Documento | A cosa serve | Sforzo |
|---|---|---|
| Inventario dei sistemi AI | Dimostra che sai cosa usi | 1-2 ore |
| Classificazione per fascia | Dimostra che hai valutato | 1 ora |
| Policy interna | Dimostra che hai governato l'uso | mezza giornata |
| Prova della trasparenza | Screenshot del disclaimer con data | 10 minuti |
| Accordi con i fornitori | Copre il fronte dati | recupero documenti |
| Nota sulla supervisione umana | Chi controlla cosa nei processi sensibili | 1 ora |
Un giorno di lavoro complessivo, aggiornato una volta l'anno. È sproporzionatamente poco rispetto al valore che ha nel momento in cui serve — e nella maggior parte dei casi non serve mai per un'autorità, ma serve eccome quando un cliente strutturato manda il suo questionario fornitori.
Il fronte che colpisce prima: i questionari fornitori
Molte PMI italiane incontreranno l'AI Act non attraverso un'autorità, ma attraverso un modulo. Sempre più aziende strutturate inseriscono nei processi di qualifica fornitori domande come: «utilizzate sistemi di intelligenza artificiale nell'erogazione del servizio?», «quali garanzie offrite sul trattamento dei dati?», «avete una policy interna sull'uso dell'AI?».
Sono domande a cui bisogna rispondere in fase commerciale, con tempi stretti e senza margine per improvvisare. Chi ha l'inventario e la policy risponde in dieci minuti. Chi non li ha, o perde tempo o perde la gara.
- Prepara una risposta standard di mezza pagina alle domande tipiche
- Tieni pronti policy e inventario in formato condivisibile
- Sii preciso su cosa fai e cosa non fai: le risposte generiche generano altre domande
- Se usi fornitori terzi, sappi dire quali e con che garanzie
È il motivo per cui conviene fare questo lavoro adesso e non alla scadenza: la scadenza commerciale arriva prima di quella normativa. Il quadro completo è in AI Act: la guida per le aziende e la parte contrattuale in contratto con un fornitore AI.
Errori da evitare
- Decidere in base all'importo massimo. Porta a sovrainvestire dove non serve e a ignorare gli obblighi banali che invece si applicano davvero.
- Assumere che risponda solo il fornitore. Gli obblighi dell'utilizzatore sono autonomi.
- Fidarsi delle cifre di seconda mano. Le fasce vanno lette nel testo, non in un titolo.
- Ignorare il fronte contrattuale. Per molte PMI la conformità diventa un requisito commerciale prima che un obbligo controllato.
- Non scrivere niente nel contratto con il fornitore. Vedi contratto con un fornitore AI: è lì che si distribuiscono le responsabilità.
Come applicarlo in azienda
La misura di prudenza più efficace non è un budget di conformità: è poter dimostrare cosa fai.
- Tieni l'inventario dei sistemi AI in uso, aggiornato e datato.
- Per ognuno annota fascia di rischio e ruolo (fornitore o utilizzatore).
- Dove l'AI parla con qualcuno, conserva prova di aver dichiarato la natura automatica.
- Dove l'AI supporta decisioni su persone, documenta chi esercita la sorveglianza umana e con quale potere.
- Nei contratti con i fornitori, chiedi per iscritto le garanzie di conformità e chi risponde di cosa.
Questi cinque punti costano poche ore e coprono sia il fronte sanzionatorio sia — più utile — quello commerciale. Il metodo di valutazione è in come valutare i rischi di un sistema AI.
Conclusione
Le sanzioni dell'AI Act sono serie ma proporzionate, e i massimi che fanno titolo riguardano comportamenti che una PMI normale non tiene. Costruire la propria strategia sull'importo massimo significa spendere male.
Il modo corretto di guardare al rischio è chiedersi: se domani qualcuno mi chiedesse quali sistemi AI uso, per cosa, e con quali garanzie, saprei rispondere? Se la risposta è sì, sei coperto sul fronte che conta. Se è no, il problema si presenterà prima come contratto perso che come sanzione.
Se vuoi capire quali processi della tua azienda possono essere automatizzati con l'AI, Giallo Studio può aiutarti a trasformare il problema in un workflow reale. Il quadro generale è in AI Act: la guida per le aziende.
Schema consigliato: Article + FAQPage + BreadcrumbList
Risorse correlate
FAQ
Quanto sono alte le sanzioni dell'AI Act?
Il regolamento prevede fasce differenziate, con i massimi riservati alle pratiche vietate e importi calcolati in alternativa come cifra fissa o percentuale del fatturato mondiale annuo, applicando il valore più alto. Le fasce scendono per le violazioni degli obblighi ordinari e per le informazioni false alle autorità. Gli importi esatti vanno letti nel testo ufficiale, perché la loro applicazione dipende anche dalle norme nazionali di attuazione.
Le sanzioni si applicano già?
L'applicazione dell'apparato sanzionatorio segue lo stesso scaglionamento degli obblighi: non si può essere sanzionati per un obbligo che non è ancora applicabile. Poiché il calendario è stato oggetto di revisioni, la data di riferimento va verificata sulle fonti ufficiali europee e sulle disposizioni nazionali.
Chi controlla l'applicazione dell'AI Act in Italia?
Il regolamento prevede autorità nazionali di notifica e di vigilanza del mercato, affiancate a livello europeo da un ufficio dedicato per i modelli di uso generale. L'assetto italiano è definito dalla normativa nazionale di attuazione: è il punto su cui conviene guardare le fonti istituzionali aggiornate, perché le competenze sono distribuite tra più soggetti.
Una PMI rischia davvero una multa milionaria?
È lo scenario meno probabile. Le fasce più alte colpiscono le pratiche vietate, che una PMI normale non mette in atto. Il rischio realistico è diverso: il blocco di un progetto, la richiesta di documentazione inesistente durante una verifica, o la perdita di un cliente B2B che chiede garanzie di conformità in gara o in contratto.
Le sanzioni tengono conto della dimensione dell'impresa?
Sì. Il regolamento richiede che le sanzioni siano effettive, proporzionate e dissuasive, e prevede attenzione specifica alla situazione di PMI e start-up. Proporzionalità significa che l'importo tiene conto della gravità, della durata, della dimensione dell'operatore e della cooperazione mostrata, non che le piccole imprese siano escluse.
Cosa succede se la violazione riguarda un fornitore e non me?
Ognuno risponde per i propri obblighi. Se il difetto di conformità è del sistema fornito, la responsabilità primaria è del fornitore. Ma se hai usato il sistema fuori dalle istruzioni, senza sorveglianza umana o senza informare gli interessati, quelli sono obblighi tuoi e rispondi tu. È il motivo per cui il contratto con il fornitore va scritto bene.