Autorità competenti e sistema sanzionatorio

Le sanzioni dell'AI Act sono pesanti: fino a 35 milioni di euro o al 7% del fatturato globale annuo. Chi vigila, cosa rischia chi sbaglia, e come ridurre concretamente il rischio.

Un'architettura di vigilanza articolata

L'AI Act prevede un'architettura di vigilanza che opera su due livelli: europeo e nazionale. A livello europeo, l'Ufficio per l'Intelligenza Artificiale (AI Office), istituito presso la Commissione, ha competenze specifiche soprattutto sui modelli GPAI e sul coordinamento. Il Comitato europeo per l'IA (AI Board) riunisce le autorità nazionali e garantisce l'applicazione uniforme del Regolamento. A livello nazionale, ogni Stato membro designa una o più autorità di vigilanza del mercato e una o più autorità di notifica.

In Italia, la Legge 132/2025 (art. 20) ha definito l'architettura nazionale, individuando come autorità di notifica l'Agenzia per l'Italia Digitale (AgID) e come autorità di vigilanza del mercato l'Agenzia per la Cybersicurezza Nazionale (ACN), con compiti ispettivi e sanzionatori. Restano salve le competenze del Garante per la protezione dei dati personali su tutto quanto attiene al trattamento dei dati personali, e le competenze delle autorità di settore (Banca d'Italia, CONSOB, IVASS, AGCOM) sui sistemi che operano nei rispettivi ambiti regolati.

Tre fasce di sanzioni

L'articolo 99 dell'AI Act struttura le sanzioni amministrative in tre fasce, calibrate sulla gravità della violazione. La fascia più alta riguarda la violazione delle pratiche vietate dall'articolo 5: chi usa un sistema vietato — per esempio un sistema di social scoring o di riconoscimento emozioni sul posto di lavoro — rischia sanzioni fino a 35 milioni di euro o, se superiore, fino al 7% del fatturato globale annuo dell'esercizio precedente. È la soglia più alta mai vista nel diritto europeo dell'economia digitale, superiore persino al massimo del GDPR.

La fascia intermedia riguarda la violazione degli altri obblighi sostanziali: documentazione tecnica, sistema di gestione del rischio, governance dei dati, supervisione umana, trasparenza, registrazione. Le sanzioni arrivano fino a 15 milioni di euro o al 3% del fatturato globale annuo. La fascia più bassa, infine, riguarda la fornitura di informazioni inesatte, incomplete o ingannevoli alle autorità: fino a 7,5 milioni di euro o all'1% del fatturato globale annuo.

Per le PMI e le start-up, l'articolo 99 prevede tetti più bassi, applicando ai medesimi parametri la cifra inferiore tra l'importo fisso e la percentuale (anziché la cifra superiore). È una tutela importante che tiene conto della capacità economica del soggetto, ma che non azzera il rischio: anche per una piccola impresa, una sanzione AI Act può essere gravissima.

Le sanzioni specifiche per i fornitori di modelli GPAI

L'articolo 101 prevede sanzioni specifiche per i fornitori di modelli GPAI, irrogate direttamente dalla Commissione Europea: fino al 3% del fatturato globale annuo o a 15 milioni di euro, se superiore. Queste sanzioni colpiscono soggetti come OpenAI, Google, Anthropic, Meta per le violazioni degli obblighi specifici sui modelli (artt. 53-55). Riguardano un numero limitato di operatori globali, ma sono rilevanti perché ricadono indirettamente sulla disponibilità e sulle condizioni d'uso dei modelli stessi.

Il rapporto con le sanzioni GDPR

Le sanzioni dell'AI Act sono cumulabili con quelle del GDPR. Se un sistema di IA viola contemporaneamente entrambi i regolamenti — per esempio, un sistema HR ad alto rischio non documentato, che tratta dati personali senza base giuridica adeguata — l'azienda può subire sanzioni da entrambe le autorità competenti. È un punto importante che spesso sfugge: la convergenza dei rischi sanzionatori amplifica significativamente l'esposizione finanziaria.

Non solo sanzioni: gli altri rischi

Il rischio sanzionatorio non è l'unico da considerare. C'è il rischio reputazionale: un provvedimento del Garante o di ACN viene pubblicato, viene ripreso dalla stampa, può minare la fiducia di clienti, dipendenti, investitori. C'è il rischio commerciale: i contratti con clienti business sempre più spesso richiedono dichiarazioni di conformità all'AI Act, e l'incapacità di fornirle blocca l'accesso a determinati mercati. C'è il rischio civile: le persone che subiscono pregiudizio da un sistema di IA non conforme possono chiedere il risarcimento del danno, e l'inadempimento agli obblighi del Regolamento facilita la prova della responsabilità. C'è infine, in alcuni casi previsti dalla Legge 132/2025 (art. 26, nuovo art. 612-quater c.p.), anche un rischio penale, soprattutto per la diffusione di deepfake con intento lesivo.

Come iusprivacy riduce il rischio sanzionatorio

Il modo migliore per evitare le sanzioni non è sperare di non essere controllati, ma costruire un sistema di compliance solido che, in caso di controllo, dimostri l'adozione di tutte le misure ragionevoli. L'approccio di iusprivacy.eu è proprio questo: costruire con il cliente un sistema documentato, basato sulla piattaforma proprietaria iusprivacy.eu, che produca evidenze concrete e ordinate per ogni adempimento.

Avere il registro dei sistemi di IA, la documentazione della formazione AI Literacy, i verbali delle informazioni date ai lavoratori, le FRIA e le DPIA aggiornate, le policy interne sull'uso dell'IA generativa, i contratti con i fornitori e gli integratori: tutto questo, se ben organizzato e mantenuto, non solo riduce il rischio di errori sostanziali, ma in caso di controllo sposta il quadro probatorio a favore dell'azienda. È quello che il diritto della protezione dei dati chiama accountability (artt. 5, par. 2, e 24 GDPR), e che oggi è centrale anche per l'AI Act.