C'è un fraintendimento che ricorre in quasi ogni conversazione sull'AI Act: l'idea che dal giorno in cui una norma "entra in vigore" scattino automaticamente le multe. Non funziona così, e capire la differenza tra applicabilità di un obbligo ed enforcement — cioè la concreta possibilità di sanzionare — aiuta a evitare due errori opposti: l'allarmismo di chi teme sanzioni immediate e l'eccesso di tranquillità di chi rimanda tutto.

La distinzione che fa la differenza

Un obbligo "in vigore" significa che la regola esiste e va rispettata. L'enforcement è la fase in cui le autorità competenti possono controllare, accertare le violazioni e irrogare sanzioni. Il legislatore europeo ha costruito l'AI Act con un calendario a più velocità proprio per far crescere l'infrastruttura di controllo insieme agli obblighi: sarebbe stato irrealistico pretendere sanzioni dal primo giorno, quando gli organismi di vigilanza e gli standard tecnici non erano ancora pronti.

Il punto pratico è questo: con l'applicazione generale del Regolamento dal 2 agosto 2026, l'impianto acquisisce piena cogenza sul piano dell'enforcement per le fattispecie già applicabili. Da quel momento le autorità di vigilanza del mercato possono effettuare controlli, richiedere documentazione e irrogare le sanzioni amministrative previste.

Le tre fasce di sanzioni

L'AI Act prevede tre livelli di gravità, ognuno con il proprio tetto. Per le violazioni più gravi — l'uso delle pratiche vietate dall'articolo 5 — la sanzione può arrivare fino a 35 milioni di euro o al 7% del fatturato mondiale annuo, a seconda di quale importo sia maggiore. Per la violazione della maggior parte degli altri obblighi il tetto scende a 15 milioni di euro o al 3% del fatturato. Per la fornitura di informazioni inesatte, incomplete o fuorvianti alle autorità la soglia è di 7,5 milioni di euro o all'1% del fatturato.

C'è un dettaglio che riguarda da vicino le PMI: per le piccole e medie imprese e le startup la sanzione applicabile è quella più bassa tra l'importo fisso e la percentuale sul fatturato, non la più alta. È il principio di proporzionalità: un professionista con un fatturato modesto non rischia i 35 milioni di euro pensati per i grandi gruppi, ma una cifra calcolata sulla sua reale dimensione.

Chi controlla, in Italia

L'applicazione è affidata alle autorità nazionali competenti designate da ciascuno Stato membro, mentre per i modelli di IA per finalità generali il controllo è centralizzato presso la Commissione europea. In Italia il quadro è definito dal decreto attuativo della legge 132/2025, che individua le autorità di vigilanza e i loro poteri. Il Garante per la protezione dei dati personali ha una competenza naturale sui sistemi di IA che trattano dati personali, a conferma di quanto AI Act e GDPR siano intrecciati.

Un principio da conoscere: non è "multa automatica"

Il decreto italiano introduce un elemento che vale la pena sottolineare, perché ridimensiona l'idea della sanzione inevitabile: non ogni violazione comporta automaticamente una multa. Le autorità potranno emettere avvertimenti, ordinare la rimozione delle irregolarità o rendere pubblica la violazione prima di arrivare alla sanzione economica. L'obiettivo dichiarato è favorire la conformità senza penalizzare in modo sproporzionato situazioni che non hanno prodotto danni concreti, e nel calcolo delle multe pesa la natura della violazione: quelle puramente formali comportano importi ridotti rispetto a quelle che incidono su sicurezza, diritti fondamentali o trasparenza.

Questo non è un invito a rilassarsi. Il sistema resta severo nei casi gravi, e soprattutto la logica dell'avvertimento premia chi dimostra di essersi attivato in buona fede — cioè chi ha già avviato un percorso di conformità, non chi non ha fatto nulla. Avere documentazione, formazione del personale e una policy interna al momento del controllo fa una differenza sostanziale tra un avvertimento e una sanzione.

In sintesi

Le multe "vere" diventano una possibilità concreta con l'applicazione generale del Regolamento, ma la conformità non è qualcosa da costruire il giorno prima del controllo. Chi arriva a quel momento con un percorso già avviato non solo riduce il rischio di sanzione, ma si colloca esattamente nella condizione che il legislatore intende premiare. È la ragione per cui conviene muoversi ora, con metodo, invece di aspettare.