AI Act: Sanzioni fino a 35 milioni di euro

1. Il quadro sanzionatorio in tre fasce

gavel

Il Regolamento UE 2024/1689, noto come AI Act, non si limita a fissare obblighi di conformità per chi sviluppa o utilizza sistemi di intelligenza artificiale: costruisce attorno a quegli obblighi un apparato sanzionatorio a tre livelli, proporzionato alla gravità della violazione. Non è un dettaglio tecnico da rimandare all'ufficio legale a tempo perso: è un dato che dovrebbe entrare nel piano industriale di qualsiasi impresa che tratta sistemi di IA, dalla PMI che integra un chatbot al gruppo che sviluppa modelli proprietari.

I primi due contributi di questa serie hanno affrontato le scadenze effettive del Regolamento e la genesi dell'art. 4 sull'alfabetizzazione in materia di IA. Qui l'angolo è diverso e circoscritto: quanto costa, in euro, sbagliare.

2. Le tre fasce sanzionatorie

payments

L'art. 99 del Regolamento articola le sanzioni amministrative pecuniarie su tre livelli, calcolati sul maggiore tra un importo fisso in euro e una percentuale del fatturato mondiale annuo dell'esercizio precedente. Vale sempre il valore più alto tra i due, non il più basso: un dettaglio che cambia radicalmente l'esposizione per le imprese di grandi dimensioni.

3. Prima fascia: pratiche vietate (fino a 35 milioni o 7%)

block

La fascia più severa colpisce le pratiche di IA vietate dall'art. 5 del Regolamento: sistemi che manipolano il comportamento umano eludendo la consapevolezza della persona, che sfruttano vulnerabilità legate a età, disabilità o condizione socioeconomica, che attuano social scoring da parte di autorità pubbliche o private, o che effettuano categorizzazione biometrica per dedurre dati sensibili, tra gli altri casi elencati dalla norma. Qui non si tratta di un adempimento mancato, ma di un utilizzo che il legislatore europeo considera incompatibile con i diritti fondamentali: la sanzione riflette questa gravità.

4. Seconda fascia: sistemi ad alto rischio e altri obblighi (fino a 15 milioni o 3%)

rule

La fascia intermedia riguarda la non conformità dei sistemi ad alto rischio agli obblighi del Regolamento diversi dall'art. 5: requisiti di gestione del rischio, qualità dei dati di addestramento, documentazione tecnica, trasparenza verso gli utilizzatori, supervisione umana. È la fascia che intercetta il maggior numero di imprese operative, perché l'alto rischio non riguarda solo i grandi sviluppatori di modelli ma anche chi impiega sistemi di IA in ambiti come selezione del personale, valutazione del credito, gestione delle infrastrutture critiche.

5. Terza fascia: informazioni scorrette alle autorità (fino a 7,5 milioni o 1%)

description

La fascia più contenuta si applica a chi fornisce informazioni inesatte, incomplete o fuorvianti alle autorità di vigilanza o agli organismi notificati, in risposta a una richiesta. È un profilo di rischio spesso sottovalutato: riguarda la qualità e la completezza della documentazione prodotta in fase di verifica, non solo la conformità sostanziale del sistema di IA.

6. Perché la quantificazione cambia le priorità aziendali

calculate

Un rischio espresso in termini generici ("bisogna adeguarsi all'AI Act") si scontra facilmente con altre urgenze nell'agenda di un'impresa. Un rischio espresso in una forbice tra 7,5 e 35 milioni di euro, o in una percentuale di fatturato che può superare quella cifra nominale per le imprese più grandi, entra invece nel linguaggio con cui i consigli di amministrazione e le direzioni finanziarie già valutano l'esposizione aziendale. Tradurre l'obbligo normativo in un numero comparabile ad altre voci di rischio d'impresa è spesso il passo che sposta l'adeguamento dalla lista delle cose rimandabili a quella delle priorità con una scadenza.

7. Cosa fare in concreto

checklist

Una prima mappatura interna dei sistemi di IA utilizzati o sviluppati, con l'obiettivo di classificarli secondo le categorie di rischio del Regolamento, è il punto di partenza più utile prima di qualsiasi valutazione di impatto economico. Da lì discende la verifica puntuale degli obblighi applicabili a ciascun sistema e la stima, anche approssimativa, dell'esposizione potenziale rispetto al fatturato dell'impresa o del gruppo.

Affidarsi a una consulenza legale specializzata per mappare i sistemi di IA in uso, classificarli correttamente e verificare gli obblighi applicabili è il passo naturale per trasformare questa quantificazione in un piano di adeguamento concreto, con priorità e scadenze definite.

8. Domande frequenti

Le tre fasce di sanzioni si sommano tra loro?

Le fasce sanzionano violazioni diverse e si applicano alla condotta specifica contestata. Una stessa impresa può, in astratto, incorrere in più violazioni distinte, ciascuna valutata secondo la fascia di pertinenza.

Come si calcola il fatturato rilevante per la percentuale?

Il Regolamento fa riferimento al fatturato mondiale annuo dell'esercizio finanziario precedente, non al solo fatturato realizzato in Italia o nell'Unione Europea.

Le PMI hanno un trattamento sanzionatorio diverso?

Il Regolamento prevede un principio di proporzionalità nell'applicazione delle sanzioni che tiene conto delle dimensioni e degli interessi economici dell'impresa, incluse le PMI e le startup.

La sanzione più alta si applica sempre?

Tra l'importo fisso in euro e la percentuale sul fatturato, si applica il valore più elevato dei due: per imprese con fatturato globale significativo, questo può tradursi in cifre ben superiori all'importo nominale indicato per ciascuna fascia.

Da quando sono applicabili queste sanzioni?

Il sistema sanzionatorio segue il calendario di applicazione graduale del Regolamento, con obblighi e relative sanzioni che si attivano progressivamente secondo le scadenze fissate dall'AI Act.