Sanzioni AI Act: quanto rischia davvero una PMI italiana

Le cifre delle sanzioni dell AI Act circolano fuori contesto e producono due reazioni opposte, entrambe sbagliate: il panico di chi pensa di rischiare milioni dal 2 agosto 2026, e l indifferenza di chi conclude che tanto riguarda solo le multinazionali. La realtà per una PMI italiana sta nel mezzo, e il rischio principale non è quello che immagini.

Quali sono le sanzioni previste?

Per le violazioni degli obblighi di trasparenza, il tetto è 15 milioni di euro o il 3% del fatturato annuo globale, applicando l importo più alto tra i due.

Il regolamento prevede però che per le piccole e medie imprese le soglie siano applicate in modo proporzionato, tenendo conto della dimensione dell impresa e della sua sostenibilità economica. Il tetto teorico non è quindi la cifra che una piccola impresa si vedrebbe contestare.

L impianto sanzionatorio è articolato su più livelli, con importi diversi a seconda del tipo di violazione: le pratiche vietate hanno le soglie più alte, gli obblighi di trasparenza si collocano al livello intermedio.

Chi applica le sanzioni in Italia?

La vigilanza è affidata all Agenzia per l Italia Digitale (AGID) e all Agenzia per la Cybersicurezza Nazionale (ACN), con compiti di sorveglianza del mercato.

Questo è un dettaglio con conseguenze pratiche: significa che l attività di controllo si inserisce in un sistema di vigilanza già operativo, non in una struttura da costruire da zero.

Il rischio che pesa di più

Per un impresa piccola, la sanzione non è il costo maggiore. Ce ne sono due che arrivano prima e fanno più male.

L esclusione dai bandi pubblici. Una contestazione formale su un adempimento normativo incide sui requisiti di partecipazione. Per un azienda che lavora anche con la pubblica amministrazione, questo vale più di qualsiasi multa.

Il danno nei rapporti con clienti strutturati. Le aziende medio-grandi trasferiscono i propri obblighi di conformità lungo la filiera. Un fornitore che non sa documentare come usa l AI diventa un rischio da gestire, e la risposta più semplice è cambiarlo.

C è poi un terzo elemento, meno visibile: il costo di rimettersi in regola sotto pressione. Fare l inventario degli strumenti con calma costa un pomeriggio. Farlo mentre rispondi a una richiesta formale costa molto di più, e nel frattempo non stai lavorando.

Quando è probabile un controllo?

Nessuno può dirlo con certezza, ma la logica della sorveglianza di mercato è nota: si parte dalle segnalazioni e dai settori a maggiore esposizione, non dai controlli a campione sulle microimprese.

Il che significa che il rischio concreto per una PMI arriva più facilmente da una segnalazione — un cliente, un concorrente, un ex dipendente — che da un ispezione programmata.

È anche il motivo per cui la documentazione conta più della perfezione: davanti a una segnalazione, poter dimostrare di aver mappato, deciso e formato cambia radicalmente l esito.

Cosa riduce il rischio a costo quasi zero

Tre cose, tutte producibili in pochi giorni.

L inventario degli strumenti AI in uso, con indicazione di chi li usa e per cosa.

Gli avvisi di trasparenza dove il sistema interagisce con persone o genera contenuti.

Il registro della formazione, con date, contenuti e partecipanti.

Non rendono un azienda inattaccabile. Spostano però la conversazione da "non ve ne siete occupati" a "vi siete occupati e discutiamo di come": è una differenza che, in sede di contestazione, vale più di quanto costi produrla.

---

Questo articolo ha finalità informative e non costituisce consulenza legale. Per valutare la posizione specifica della tua azienda rivolgiti a un professionista qualificato.