Quanto sono alte le sanzioni dell'AI Act e del GDPR?
In breve
L'AI Act ha tre massimali: fino a 35 milioni di euro o il 7 % del fatturato mondiale annuo per l'AI vietata, fino a 15 milioni di euro o il 3 % per la maggior parte degli altri obblighi (per esempio quelli sull'alto rischio e sull'art. 50) e fino a 7,5 milioni di euro o l'1 % per informazioni inesatte fornite alle autorità. Per le piccole e medie imprese vale il più basso tra l'importo e la percentuale. Il GDPR ha massimali di 20 milioni di euro o il 4 % e di 10 milioni di euro o il 2 %. Le autorità possono anche dare avvertimenti e ordini.
I massimali delle sanzioni
| Violazione | Sanzione massima | Base normativa |
|---|---|---|
| Usi vietati dell’AI | 35 milioni di € o 7 % del fatturato mondiale | art. 99, paragrafo 3, dell’AI Act |
| Altri obblighi dell’AI Act, per esempio sorveglianza umana, log e obblighi di trasparenza | 15 milioni di € o 3 % | art. 99, paragrafo 4, dell’AI Act |
| Decisioni automatizzate, diritti degli interessati e trasferimenti fuori dall’UE | 20 milioni di € o 4 % | art. 83, paragrafo 5, GDPR |
| Per esempio mancata valutazione d’impatto (DPIA) o mancata protezione dei dati fin dalla progettazione | 10 milioni di € o 2 % | art. 83, paragrafo 4, GDPR |
La sanzione raramente è il costo maggiore
Per la maggior parte delle piccole imprese il rischio non è la grande multa, ma l'ordine di interrompere un uso dell'AI, le richieste di clienti e dipendenti e la fiducia persa. Per questo conviene avere in ordine le basi: un registro dei tuoi usi dell'AI, una policy, un corso e la prova che le decisioni sulle persone le prendono le persone.
Come fare
- Blocca gli usi vietati.Il massimale più alto riguarda l'AI vietata.
- Documenta ciò che fai.Registro, policy, corso e decisioni mostrano che prendi sul serio le regole.
- Correggi in fretta gli errori.Le autorità guardano se hai collaborato e rimediato.
Cosa dice la legge
- Art. 99 dell'AI Act – sanzioni
- Massimali, attenzione alle piccole imprese e – dopo il Digital Omnibus – avvertimenti e misure non pecuniarie.
- Art. 83 GDPR – sanzioni amministrative pecuniarie
- Massimali di 20 milioni di euro / 4 % e 10 milioni di euro / 2 %.
Domande e risposte
Le piccole imprese pagano sanzioni più basse?
Sì. Per le piccole e medie imprese vale il più basso tra l'importo e la percentuale. Le autorità devono anche tenere conto della sostenibilità economica dell'azienda.
Chi applica le sanzioni in Italia?
Le sanzioni del GDPR le applica direttamente il Garante privacy. Per l'AI Act le regole nazionali sono nel decreto legislativo 179/2026 (in vigore dal 23 ottobre 2026), con l'ACN e le autorità di settore come autorità di vigilanza del mercato.
Quanto costa non avere l'alfabetizzazione in materia di IA?
L'art. 4 rientra nelle regole nazionali sulle sanzioni. La vigilanza sull'art. 4 è iniziata ad agosto 2026.
Fonti
A cura di Redazione GoalCube. Ultimo aggiornamento 11 ottobre 2026. GoalCube ti aiuta a rispettare l’AI Act e il GDPR. Non è consulenza legale.
Sii tra i primi.
Prevediamo di partire a novembre 2026. Iscriviti e ti scriveremo quando potrai iniziare.