La sanzione dell’EU AI Act dipende dalla disposizione violata, dal soggetto responsabile e dai fatti utilizzati per determinarne l’importo. L’Articolo 99 prevede tre principali fasce di sanzioni amministrative: 35 milioni di EUR o 7%, 15 milioni di EUR o 3% e 7,5 milioni di EUR o 1%. La percentuale si basa sul fatturato annuo mondiale complessivo di un’impresa nell’esercizio finanziario precedente. Ogni cifra costituisce un massimale. L’autorità deve comunque applicare i fattori di proporzionalità previsti dal Regolamento e la procedura nazionale. Questo riferimento riflette il Regolamento (UE) 2024/1689, come modificato dal Regolamento (UE) 2026/1744, entrato in vigore il 27 luglio 2026. Informazioni generali. Questo articolo non fornisce consulenza legale.
Le fasce sanzionatorie dell’Articolo 99 a colpo d’occhio
L’importo fisso si applica a una persona o a un organismo che non è trattato come impresa ai fini del calcolo sul fatturato. Per un’impresa, l’autorità utilizza il maggiore tra l’importo fisso e la percentuale del fatturato, fatto salvo il limite speciale per le imprese più piccole indicato di seguito.
| Violazione | Sanzione massima | Ruoli responsabili | Limite per le imprese più piccole |
|---|---|---|---|
| Mancato rispetto delle pratiche di AI vietate dall’Articolo 5 | 35 milioni di EUR o il 7% del fatturato annuo mondiale, se superiore | Il soggetto responsabile della pratica vietata | PMI, comprese le start-up: l’importo inferiore. Nessuna riduzione SMC per questa fascia. |
| Mancato rispetto degli obblighi elencati nell’Articolo 99(4) | 15 milioni di EUR o il 3% del fatturato annuo mondiale, se superiore | Fornitori, rappresentanti autorizzati, importatori, distributori, deployer, organismi notificati e fornitori o operatori soggetti all’Articolo 25(2) o (4) | PMI, comprese le start-up, e SMC: l’importo inferiore |
| Informazioni errate, incomplete o fuorvianti fornite a un organismo notificato o a un’autorità nazionale competente in risposta a una richiesta | 7,5 milioni di EUR o l’1% del fatturato annuo mondiale, se superiore | La persona o l’impresa che risponde alla richiesta | PMI, comprese le start-up, e SMC: l’importo inferiore |
La sanzione massima è un massimale
L’Articolo 99 richiede che le sanzioni siano effettive, proporzionate e dissuasive. Gli Stati membri possono inoltre utilizzare avvertimenti e misure non pecuniarie. Il diritto nazionale stabilisce le regole sanzionatorie dettagliate, i poteri di applicazione e le garanzie procedurali.
Quando sceglie l’importo, un’autorità considera la natura, la gravità e la durata della violazione; le sue conseguenze e il numero di persone interessate; dimensioni, fatturato e quota di mercato dell’organizzazione; i vantaggi ottenuti o le perdite evitate; la cooperazione; la responsabilità e le misure correttive; la divulgazione; l’intenzionalità o la negligenza; e le circostanze attenuanti. Considera inoltre le sanzioni già imposte da altre autorità per la stessa violazione o attività.
Il regime delle sanzioni amministrative non determina la responsabilità civile, la responsabilità penale, il risarcimento o l’esposizione ai sensi di un’altra legge. Le autorità e gli organismi pubblici possono essere soggetti alle regole sanzionatorie nazionali nella misura stabilita da ciascuno Stato membro.
35 milioni di EUR o 7%: pratiche di AI vietate
La fascia più alta dell’Articolo 99 copre il mancato rispetto dell’Articolo 5. Riguarda il soggetto che mette in atto o immette sul mercato una pratica vietata. Tra gli esempi previsti dal testo originario del regolamento figurano la manipolazione dannosa, lo sfruttamento della vulnerabilità, il social scoring, alcune forme di polizia predittiva, la raccolta indiscriminata di immagini facciali, il riconoscimento delle emozioni nei luoghi di lavoro e nelle scuole, alcune forme di categorizzazione biometrica e l’identificazione biometrica remota in tempo reale negli spazi pubblici al di fuori delle eccezioni previste.
I divieti originari dell’Articolo 5 si applicano dal 2 febbraio 2025. Il Regolamento (UE) 2026/1744 aggiunge i divieti relativi ai sistemi di AI destinati a generare materiale di abuso sessuale su minori e ai sistemi di AI destinati a generare o manipolare contenuti intimi senza consenso. Tali aggiunte si applicano dal 2 dicembre 2026.
Un’etichetta contrattuale non stabilisce quale attore previsto dalla legge sia responsabile. I team devono identificare l’attività effettiva, la parte che la svolge e ogni ruolo di fornitore, deployer, importatore, distributore o fabbricante del prodotto creato dall’Atto.
15 milioni di EUR o 3%: obblighi e ruoli responsabili elencati
L’Articolo 99(4) è un elenco tassativo. Assegna la fascia intermedia agli obblighi riportati di seguito. Un fornitore e un deployer possono entrambi essere destinatari di misure di esecuzione per i propri obblighi nello stesso sistema. La responsabilità segue l’obbligo violato e il soggetto su cui gravava tale obbligo.
| Ruolo responsabile | Disposizione | Obbligo coperto |
|---|---|---|
| Fornitore | Articolo 16 | Gli obblighi del fornitore per i sistemi di AI ad alto rischio |
| Rappresentante autorizzato | Articolo 22 | Gli obblighi di mandato, documentazione, cooperazione e verifica assegnati al rappresentante |
| Importatore | Articolo 23 | I controlli e gli obblighi di azione correttiva dell’importatore |
| Distributore | Articolo 24 | I controlli e gli obblighi di azione correttiva del distributore |
| Fornitori e operatori soggetti all’Articolo 25 | Articolo 25(2) e (4) | Gli obblighi di cooperazione e informazione aggiunti a questa fascia dal Regolamento (UE) 2026/1744 |
| Deployer | Articolo 26 | Gli obblighi del deployer per i sistemi di AI ad alto rischio |
| Organismo notificato | Articoli 31, 33(1), 33(3), 33(4) e 34 | Gli obblighi di idoneità, informazione, documentazione, accesso e operatività |
| Fornitore o deployer | Articolo 50 | Gli obblighi di trasparenza applicabili per l’AI interattiva e i contenuti sintetici |
Articolo 27 e obblighi al di fuori dell’elenco della fascia intermedia
La valutazione d’impatto sui diritti fondamentali dell’Articolo 27 non è indicata nell’elenco dell’Articolo 99(4). L’Articolo 99(1) richiede comunque agli Stati membri di stabilire sanzioni e altre misure di applicazione per le violazioni del Regolamento. La misura nazionale applicabile deve essere verificata nella giurisdizione pertinente. La stessa attenzione si applica a qualsiasi obbligo che non rientri nella fascia intermedia tassativa.
Usa la guida agli obblighi del deployer dell’Articolo 26 e il modello FRIA per separare gli obblighi sottostanti prima di assegnare una fascia sanzionatoria.
7,5 milioni di EUR o 1%: informazioni fornite in risposta a una richiesta
La fascia più bassa dell’Articolo 99 è precisa. Copre la fornitura di informazioni errate, incomplete o fuorvianti a un organismo notificato o a un’autorità nazionale competente in risposta a una richiesta. Il massimale è 7,5 milioni di EUR o 1% del fatturato annuo mondiale, se superiore per un’impresa.
La condizione della richiesta fa parte della violazione. I team devono conservare la richiesta ricevuta, l’ambito, la scadenza, la risposta inviata, i documenti di supporto, il revisore e ogni correzione. Questo registro aiuta a dimostrare cosa ha chiesto l’autorità e cosa ha fornito l’organizzazione.
Il Regolamento (UE) 2026/1744 assegna inoltre all’Ufficio per l’AI poteri di supervisione diretta in casi specifici. Il nuovo quadro applica le regole dell’Articolo 99(3)–(7) con i necessari adattamenti e include nella fascia delle informazioni richieste le informazioni errate, incomplete o fuorvianti fornite in risposta a una richiesta dell’Ufficio per l’AI.
Esposizione di fornitori, deployer, GPAI e organismi pubblici
Un singolo servizio di AI può creare obblighi per diversi attori. La tabella separa i principali percorsi sanzionatori.
| Attore | Esposizione ai sensi dell’Articolo 99 | Percorso separato da verificare |
|---|---|---|
| Fornitore di un sistema di AI ad alto rischio | Articolo 5 se è responsabile di una pratica vietata; Articolo 16 nella fascia intermedia; fascia delle informazioni richieste quando la sua risposta soddisfa l’Articolo 99(5) | Una modifica a valle può creare o trasferire un ruolo di fornitore ai sensi dell’Articolo 25 |
| Deployer di un sistema di AI ad alto rischio | Articolo 5 se è responsabile di una pratica vietata; Articolo 26 nella fascia intermedia; fascia delle informazioni richieste quando la sua risposta soddisfa l’Articolo 99(5) | Applicazione nazionale dell’Articolo 27 quando è richiesta una valutazione d’impatto sui diritti fondamentali |
| Fornitore o deployer soggetto all’Articolo 50 | Gli obblighi di trasparenza applicabili dell’Articolo 50 rientrano nella fascia intermedia | L’Articolo 50 si applica dal 2 agosto 2026 |
| Fornitore di un modello di AI per finalità generali | L’Articolo 99 può applicarsi alla condotta rientrante nel suo ambito | L’Articolo 101 consente separatamente alla Commissione di sanzionare i fornitori di modelli GPAI fino a 15 milioni di EUR o al 3% dal 2 agosto 2026 |
| Istituzione, organo, ufficio o agenzia dell’UE | L’Articolo 100 prevede un regime separato amministrato dal Garante europeo della protezione dei dati | Fino a 1,5 milioni di EUR per l’Articolo 5 e 750.000 EUR per le altre violazioni |
| Autorità o organismo pubblico nazionale | Il diritto dello Stato membro determina in quale misura può ricevere una sanzione amministrativa | Verifica il diritto di attuazione e procedurale nello Stato membro pertinente |
Come il Regolamento (UE) 2026/1744 modifica l’Articolo 99
La modifica del 2026 è entrata in vigore il 27 luglio 2026. Mantiene le tre fasce sanzionatorie principali e introduce modifiche mirate alla loro copertura.
- L’Articolo 99(1) descrive ora espressamente le sanzioni amministrative, gli avvertimenti e le misure non pecuniarie come forme di sanzione disponibili per qualsiasi violazione.
- Determinati obblighi di cooperazione e informazione dell’Articolo 25(2) e (4) entrano nella fascia da 15 milioni di EUR o 3%.
- La regola per la determinazione della sanzione ora menziona le piccole imprese a media capitalizzazione, o SMC, insieme a PMI e start-up quando le autorità considerano la sostenibilità economica.
- Una SMC riceve il minore tra l’importo fisso e la percentuale per la fascia intermedia e per quella delle informazioni richieste. La riduzione per le SMC non si estende alla fascia dell’Articolo 5.
- La modifica collega il regime in tre fasce alla supervisione specifica dell’Ufficio per l’AI e alle informazioni richieste fornite all’Ufficio per l’AI.
Calendario di applicazione dopo la modifica del 2026
Una disposizione sanzionatoria può essere in vigore prima che si applichi l’obbligo sottostante. Un’autorità ha bisogno di un obbligo sostanziale applicabile e di una sua violazione. Le date seguenti mantengono distinte queste due domande.
| Data | Cosa si applica |
|---|---|
| 2 febbraio 2025 | Le pratiche vietate originarie dell’Articolo 5 |
| 2 agosto 2025 | Le sanzioni del Capo XII, compreso l’Articolo 99, salvo il potere sanzionatorio GPAI dell’Articolo 101 rinviato |
| 27 luglio 2026 | Il Regolamento (UE) 2026/1744 entra in vigore e modifica l’Articolo 99 |
| 2 agosto 2026 | Gli obblighi di trasparenza dell’Articolo 50 e il potere sanzionatorio della Commissione dell’Articolo 101 per i fornitori di modelli GPAI |
| 2 dicembre 2026 | I nuovi divieti dell’Articolo 5 e la data di transizione per la marcatura leggibile automaticamente di determinati output di sistemi generativi |
| 2 dicembre 2027 | Gli obblighi del Capo III, Sezioni da 1 a 3, per i sistemi di AI ad alto rischio autonomi dell’Allegato III |
| 2 agosto 2028 | Gli obblighi del Capo III, Sezioni da 1 a 3, per i sistemi di AI ad alto rischio integrati in prodotti dell’Allegato I |
Costruisci le evidenze prima che le chieda un’autorità
Inizia da un registro di ruoli e obblighi. Registra se l’organizzazione è fornitore, deployer, importatore, distributore, rappresentante autorizzato, fabbricante del prodotto o altro attore dell’Articolo 25 per ciascun sistema. Collega ogni obbligo applicabile a un responsabile, a un controllo, a un registro operativo e a una cadenza di revisione. Conserva le richieste di autorità di regolamentazione e organismi notificati come casi governati, con le risposte inviate e i documenti di supporto.
Il KLA Control Plane può rendere operativa una parte di questo assetto di controllo per le azioni degli agenti di AI. Il KLA Policy Engine valuta un’azione e restituisce allow, warn, require approval o block. Un risultato require approval crea una Decision Request in Decision Desk. Ogni esecuzione governata produce un Lineage Record con la versione della policy, il verdetto, le regole corrispondenti, la motivazione e il contesto dell’azione. Evidence Room e Sealed Evidence Bundles supportano la revisione e l’esportazione di questi record, mentre Control Mapping collega i controlli ai requisiti dei framework.
KLA non determina il ruolo legale di un’organizzazione, non decide se si applica un obbligo, non stabilisce una sanzione e non garantisce la conformità. Restano necessarie l’analisi legale e la documentazione di conformità più ampia dell’organizzazione.
Fonti ufficiali e guide correlate sull’AI Act
Testi giuridici primari: Regolamento (UE) 2024/1689 nella Gazzetta ufficiale e Regolamento (UE) 2026/1744 nella Gazzetta ufficiale di modifica. Materiale ufficiale di supporto: Articolo 99 presso l’AI Act Service Desk della Commissione e il record dell’adozione della modifica del 2026 da parte del Consiglio.
Per classificazione e ambito, usa il hub dell’EU AI Act, la guida ai requisiti del 2026, la guida per fornitori e deployer e la guida alla classificazione ad alto rischio.
Per il lavoro a livello di obbligo, usa la guida alla documentazione dell’Allegato IV, la checklist dell’Articolo 17, la guida al deployer dell’Articolo 26, il modello FRIA, la guida alla registrazione, la checklist dell’Articolo 50 e il piano di monitoraggio post-commercializzazione.
Per le date modificate, leggi la guida alle nuove scadenze del Digital Omnibus e la guida a ciò che resta applicabile il 2 agosto 2026.
Domande frequenti
Qual è la sanzione massima prevista dall’EU AI Act?
Il massimale più alto dell’Articolo 99 è di 35 milioni di EUR o del 7% del fatturato annuo mondiale complessivo di un’impresa nell’esercizio finanziario precedente, se superiore. Si applica al mancato rispetto delle pratiche di AI vietate dall’Articolo 5.
Quando si applica la sanzione del 7% dell’EU AI Act?
La fascia del 7% si applica al mancato rispetto delle pratiche di AI vietate dall’Articolo 5. L’autorità applica comunque i fattori di proporzionalità dell’Articolo 99 e la procedura nazionale pertinente.
Un fornitore e un deployer possono essere sanzionati entrambi?
Sì. Un fornitore e un deployer possono entrambi essere destinatari di misure di esecuzione per gli obblighi assegnati al proprio ruolo. L’autorità deve identificare l’obbligo applicabile, il soggetto su cui gravava e la violazione commessa da tale soggetto.
Cosa fa scattare la fascia da 7,5 milioni di EUR o 1%?
Copre le informazioni errate, incomplete o fuorvianti fornite a un organismo notificato o a un’autorità nazionale competente in risposta a una richiesta. Il Regolamento (UE) 2026/1744 estende il quadro alle informazioni fornite in risposta a determinate richieste dell’Ufficio per l’AI.
PMI e piccole imprese a media capitalizzazione hanno massimali inferiori?
Le PMI, comprese le start-up, ricevono il minore tra l’importo fisso e la percentuale in tutte e tre le fasce dell’Articolo 99. Le piccole imprese a media capitalizzazione ricevono tale limite inferiore per la fascia da 15 milioni di EUR o 3% e per quella da 7,5 milioni di EUR o 1% relativa alle informazioni richieste. Non lo ricevono per la fascia dell’Articolo 5.
Le sanzioni per i fornitori di modelli GPAI rientrano nell’Articolo 99?
L’Articolo 101 crea un potere sanzionatorio distinto della Commissione per i fornitori di modelli di AI per finalità generali, con un limite di 15 milioni di EUR o 3% del fatturato annuo mondiale. Si applica dal 2 agosto 2026.
Quando ha iniziato ad applicarsi l’Articolo 99?
Il Capo XII, compreso l’Articolo 99, si applica dal 2 agosto 2025. Il Regolamento (UE) 2026/1744 ha modificato l’Articolo 99 ed è entrato in vigore il 27 luglio 2026. Una sanzione dipende comunque dall’applicabilità dell’obbligo sottostante al momento della violazione.
Punti chiave
Considera la tabella dell’Articolo 99 il punto di partenza dell’analisi. Conferma l’attore, l’obbligo applicabile, la data di applicazione, la procedura dello Stato membro e i fatti che incidono sulla proporzionalità. Conserva le evidenze che mostrano come ha operato ciascun controllo e come è stata preparata ogni risposta richiesta.