AI Act in Italia: le nuove sanzioni e chi controlla

Il 23 ottobre 2026 entra in vigore in Italia il decreto legislativo 179, che adegua l'ordinamento nazionale al regolamento europeo sull'intelligenza artificiale (AI Act). La norma distribuisce i poteri sanzionatori tra diverse autorità: l'ACN diventa il punto di contatto unico per la vigilanza del mercato, l'AgID gestisce le notifiche, mentre Banca d'Italia, CONSOB e IVASS sorvegliano i sistemi ad alto rischio nei rispettivi settori finanziari e assicurativi. Il Garante per la protezione dei dati personali mantiene i propri poteri nei limiti stabiliti dal regolamento UE.

Cosa cambia nel sistema sanzionatorio

La novità principale riguarda la struttura delle multe, che rispecchiano le fasce previste dall'articolo 99 del regolamento europeo, con alcune integrazioni specifiche italiane. Le sanzioni possono raggiungere importi significativi, calcolati in base al fatturato mondiale annuo dell'impresa.

• Pratiche vietate: multe fino a 35 milioni di euro o al 7% del fatturato mondiale annuo, se superiore.
• Violazione di obblighi generali: fino a 15 milioni di euro o al 3% del fatturato.
• Piccole e medie imprese: si applica l'importo più basso tra la cifra fissa e la percentuale.
• Fascia italiana specifica: fino a 1 milione di euro o allo 0,5% del fatturato per obblighi legati ai diritti delle persone esposte al sistema, come la valutazione d'impatto o il diritto a una spiegazione.

Un punto critico riguarda la tempistica: il capitolo sulle sanzioni dell'AI Act è applicabile dall'agosto 2025, ma la disciplina italiana è entrata in vigore solo a ottobre 2026. Non essendoci norme transitorie, le violazioni commesse prima del 23 ottobre 2026 non sono sanzionabili amministrativamente in Italia, a meno che non si tratti di condotte in corso al momento dell'accertamento.

Implicazioni per chi opera in Italia

Per le aziende, la frammentazione delle competenze implica che il rischio non dipende solo dal tipo di tecnologia, ma dal settore di attività. Una banca che utilizza un modello di scoring per il merito di credito risponde davanti a Banca d'Italia, mentre un'azienda che offre un assistente vocale senza l'obbligo di trasparenza risponde davanti all'ACN. La giurisprudenza italiana, richiamando i criteri della Corte Europea dei Diritti dell'Uomo, applica garanzie penali anche a queste sanzioni amministrative, garantendo il diritto al silenzio e la retroattività della legge più favorevole. Per i consumatori, la norma rafforza il diritto a comprendere le decisioni algoritmiche che li riguardano, come quelle su crediti o assicurazioni, anche se la sanzione per l'omissione di queste informazioni è collocata nella fascia di importo più basso.

Il primo vero test del sistema arriverà con gli accertamenti dell'ACN, che dovranno valutare condotte in corso rispetto a un quadro normativo ora pienamente operativo, sebbene con alcune zone d'ombra lasciate alla interpretazione giudiziale.

Domande frequenti

Chi controlla le sanzioni per l'IA in Italia?

L'ACN è l'autorità principale di vigilanza del mercato. Tuttavia, per i sistemi ad alto rischio in settori specifici, la competenza è ripartita: Banca d'Italia per la finanza, CONSOB per i mercati, IVASS per le assicurazioni e il Garante Privacy per i dati personali.

Qual è la multa massima prevista?

Per le pratiche vietate, la sanzione può arrivare fino a 35 milioni di euro o al 7% del fatturato mondiale annuo dell'impresa, se quest'ultimo è superiore. Per le PMI si applica sempre l'importo più basso tra la cifra fissa e la percentuale.

Le violazioni passate sono punibili?

No. Poiché il decreto è entrato in vigore il 23 ottobre 2026 e non contiene norme transitorie, le violazioni amministrative commesse prima di questa data non sono sanzionabili, a meno che la condotta non sia continuata oltre la data di entrata in vigore.