Sanzioni AI Act: cosa rischia davvero una PMI

Le tre fasce dell'articolo 99

Il tetto agevolato per PMI e start-up

È la parte che non viene quasi mai citata, e cambia completamente il quadro. Per le PMI, comprese le start-up, l'articolo 99 prevede che si applichi il valore più basso tra la percentuale sul fatturato e l'importo fisso — l'esatto contrario di quanto vale per le grandi imprese, dove si applica il più alto dei due.

Concretamente: per un'impresa con un fatturato di due milioni, il tetto teorico non è 15 milioni. È il 3% di due milioni. Resta una sanzione seria, ma è un ordine di grandezza diverso da quello che si legge in giro.

Chi ti mostra i 15 milioni come il tuo rischio, o non ha letto l'articolo 99 fino in fondo, o conta sul fatto che tu non lo abbia letto.

Le sanzioni sono proporzionate, e la norma dice come

L'articolo 99 elenca i criteri di cui si tiene conto nel decidere l'importo: la natura, la gravità e la durata della violazione, il numero di persone coinvolte, il fatto che la violazione sia dolosa o colposa, le misure adottate per attenuare il danno, la dimensione e la quota di mercato dell'operatore, e se la violazione sia stata segnalata spontaneamente.

Due di questi criteri sono direttamente nelle tue mani: aver adottato misure e averle documentate. È la ragione per cui un registro dei sistemi di AI e un programma di formazione, anche imperfetti, valgono più del loro contenuto: dimostrano diligenza.

Chi vigila, in Italia

La Legge 132/2025 individua due autorità nazionali per l'intelligenza artificiale: l'Agenzia per l'Italia digitale (AgID), con funzioni di notifica, e l'Agenzia per la cybersicurezza nazionale (ACN), con funzioni di vigilanza e controllo. Restano ferme le competenze delle autorità di settore.

Tra queste, quella con cui è più probabile avere a che fare è il Garante per la protezione dei dati personali, che è già competente ogni volta che un sistema di AI tratta dati personali — e un chatbot che parla con i clienti tratta dati personali per definizione. È il canale attraverso cui, in pratica, arrivano le contestazioni: non dall'AI Act in astratto, ma da un reclamo su come sono stati trattati i dati di una persona.

Quindi, quanto rischia davvero un e-commerce?

Onestamente: è improbabile che un'autorità apra un procedimento contro un negozio online perché il suo chatbot non dichiara di essere un'AI. Non è lì che si concentrano le risorse di vigilanza.

Ma il rischio non è solo la sanzione. È che l'inadempienza sia visibile a chiunque apra il tuo sito — inclusi un concorrente, un cliente scontento, un giornalista. È che diventi un aggravante nel momento in cui, per tutt'altra ragione, arriva un reclamo al Garante. Ed è che sia una delle poche cose che si sistemano in poche ore. Un rischio piccolo e facile da eliminare è, semplicemente, un rischio che non ha senso correre.