Sanzioni dell’AI Act: importi massimi e regole per PMI

Gli importi massimi

L’AI Act fissa per ogni tipo di violazione un importo massimo in euro e una percentuale del fatturato mondiale annuo dell’esercizio precedente. Quale dei due valori conta dipende dalla dimensione dell’impresa.

Sono tetti: la sanzione concreta la stabilisce l’autorità caso per caso. Una sanzione presuppone inoltre un obbligo già applicabile, e molti obblighi dell’AI Act partono in date diverse: le trovi nel calendario delle scadenze.

Valore più alto o più basso

Per una grande impresa il massimo è il valore più alto tra importo fisso e percentuale del fatturato; per PMI e startup è il valore più basso (art. 99(6)). La differenza è ampia. Per una grande impresa la percentuale supera l’importo fisso solo oltre 500 milioni di euro di fatturato (750 milioni per l’art. 99(5)): sotto quella soglia il tetto resta l’importo fisso. Per una PMI il tetto è quasi sempre la percentuale, cioè una cifra proporzionata al fatturato.

Il Digital Omnibus (Reg. UE 2026/1744), in vigore dal 27 luglio 2026, estende il criterio del valore più basso alle small mid-cap, ma solo per le violazioni degli artt. 99(4) e 99(5). Per le pratiche vietate una small mid-cap resta soggetta al valore più alto, come una grande impresa.

Le sanzioni dell’art. 101 hanno un ambito a sé: riguardano solo i fornitori di modelli per finalità generali e le applica la Commissione europea.

PMI e small mid-cap: le soglie

La dimensione dell’impresa si stabilisce in base ai dipendenti e al fatturato annuo o, in alternativa, al totale di bilancio. Presidio IA usa le soglie della definizione europea di PMI e quelle delle small mid-cap, a cui l’Omnibus estende alcune agevolazioni delle PMI.

Il limite sui dipendenti va sempre rispettato; per i valori economici basta rispettarne uno, fatturato o bilancio. Le startup seguono la regola delle PMI. Oltre alle sanzioni ridotte, PMI e small mid-cap che forniscono sistemi ad alto rischio possono usare un formato semplificato per la documentazione tecnica (art. 11).

Un esempio con 20 milioni di fatturato

Con 20 milioni di euro di fatturato, il massimo per la violazione di un obbligo dell’art. 99(4) va da 600.000 euro per una media impresa a 15 milioni per una grande impresa, venticinque volte tanto. Prendiamo tre imprese con lo stesso fatturato e un numero diverso di dipendenti.

Il calcolo è semplice. Il 7% di 20 milioni fa 1,4 milioni, il 3% fa 600.000 euro, l’1% fa 200.000 euro. La media impresa prende sempre il valore più basso, cioè la percentuale. La small mid-cap prende la percentuale per gli artt. 99(4) e 99(5), ma per le pratiche vietate le si applica il valore più alto: 35 milioni. La grande impresa prende sempre il valore più alto, che con questo fatturato è l’importo fisso.

Le regole italiane

Il decreto attuativo italiano prevede massimali inferiori e, per le violazioni lievi, misure non pecuniarie. Fa parte dei decreti di adeguamento all’AI Act approvati dal Consiglio dei ministri il 4 agosto 2026, che riguardano autorità, sanzioni e lavoro.

Questa pagina non riporta gli importi italiani: prima di stimare l’esposizione della tua organizzazione verifica il testo definitivo del decreto.

Il reato dell’art. 437-bis c.p.

Dal 30 settembre 2026 l’omessa adozione di misure di sicurezza nei sistemi di IA ad alto rischio è anche un reato (art. 437-bis c.p.). Lo introduce il D.Lgs. 9 settembre 2026, n. 160, pubblicato nella Gazzetta Ufficiale n. 214 del 15 settembre 2026, che contiene anche regole sulla responsabilità civile.

Il reato può coinvolgere l’ente. Le evidenze su sicurezza e sorveglianza umana dei sistemi ad alto rischio vanno quindi portate nel modello organizzativo 231. Per capire se un tuo sistema è ad alto rischio, parti dalla classificazione del rischio; per il quadro italiano completo leggi la pagina sulla legge 132/2025.

Chi vigila e sanziona

In Italia l’autorità di vigilanza del mercato è l’ACN, che svolge le ispezioni e applica le sanzioni. Per alcuni settori la vigilanza sui sistemi ad alto rischio spetta ad altre autorità:

• ACN, Agenzia per la cybersicurezza nazionale: vigilanza del mercato, ispezioni e sanzioni; punto di contatto unico con l’Unione europea.
• Banca d’Italia, Consob e IVASS: sistemi ad alto rischio nei servizi bancari, finanziari e assicurativi.
• Garante per la protezione dei dati personali: sistemi ad alto rischio per attività di contrasto, frontiere, giustizia e processi democratici, oltre alla competenza generale sui dati personali.
• AgID, Agenzia per l’Italia digitale: autorità di notifica, accredita gli organismi di valutazione della conformità e vigila su di loro.
• Ufficio europeo per l’IA: vigilanza sui modelli per finalità generali e su alcuni sistemi basati su di essi.

Il modo più diretto per ridurre l’esposizione è sapere quali sistemi usi e quali obblighi valgono per ciascuno. I termini usati in questa pagina, come PMI e small mid-cap, sono spiegati nel glossario.