L'Art. 99 del Regolamento (UE) 2024/1689 fissa un regime sanzionatorio su tre livelli, calibrato in base alla gravità della violazione. Gli importi sono tra i più alti dell'intero corpus normativo UE, comparabili — non a caso — a quelli del GDPR.

I tre livelli sanzionatori

  • Fino a 35 milioni di € o il 7% del fatturato globale annuo (si applica il valore più alto tra i due) — per la violazione delle pratiche di IA vietate (Art. 5): manipolazione subliminale, social scoring, identificazione biometrica remota in tempo reale non autorizzata e le altre fattispecie escluse in radice dal mercato UE.
  • Fino a 15 milioni di € o il 3% del fatturato globale annuo — per la violazione della maggior parte degli altri obblighi del Regolamento: requisiti sui sistemi ad Alto Rischio, obblighi dei provider di modelli GPAI, obblighi di trasparenza (Art. 50).
  • Fino a 7,5 milioni di € o l'1% del fatturato globale annuo — per la fornitura di informazioni inesatte, incomplete o fuorvianti alle autorità competenti o agli organismi notificati.

Il regime agevolato per le PMI

Per le piccole e medie imprese, incluse le startup, il Regolamento prevede un correttivo: si applica il valore più basso tra l'importo fisso e la percentuale di fatturato, non automaticamente l'importo più alto come per le grandi aziende. Non significa che le PMI siano esenti — significa che il calcolo della sanzione segue una logica diversa, pensata per essere proporzionata.

Chi vigila sull'applicazione

Ogni Stato membro designa una o più autorità di vigilanza nazionali, responsabili di far rispettare il Regolamento sul proprio territorio. A livello europeo operano inoltre l'AI Office (per i modelli GPAI e il coordinamento generale) e il Comitato europeo per l'intelligenza artificiale, che assicura coerenza applicativa tra Stati membri.

Cosa conta davvero in caso di controllo

Le autorità, nel determinare l'importo di una sanzione, tengono conto di elementi come la natura e la gravità della violazione, l'eventuale danno causato, se l'azienda ha agito intenzionalmente o per negligenza, e le misure adottate per attenuare il danno. In pratica, questo significa che poter dimostrare misure di conformità concrete — a partire dalla formazione del personale prevista dall'Art. 4, il primo obbligo già in vigore — pesa a favore dell'azienda anche quando non elimina del tutto il rischio di una violazione.