La cifra da titolo del regolamento sull'IA è 35 milioni di euro o il 7% del fatturato mondiale. Viene citata di continuo ed è il numero sbagliato per quasi tutte le aziende che la leggono: livello sbagliato, violazione sbagliata e, per le PMI, l'aritmetica va nella direzione opposta rispetto a come la descrive la maggior parte degli articoli.
Se sei una PMI o una start-up, la sanzione è la minore tra l'importo fisso e la percentuale - non la maggiore. L'articolo 99(6) lo dice esplicitamente. La maggior parte delle sintesi pubblicate la riporta al contrario.
I tre livelli
| Livello | Che cosa lo fa scattare | Grande impresa | PMI / start-up |
|---|---|---|---|
| Art. 99(3) | Pratiche vietate dell'articolo 5 - scoring sociale, scraping non mirato di immagini facciali, inferenza delle emozioni al lavoro o a scuola, certa categorizzazione biometrica | Fino a 35 M€ o il 7% del fatturato annuo mondiale, a seconda di quale sia maggiore | A seconda di quale sia minore |
| Art. 99(4) | La maggior parte degli altri doveri degli operatori - inclusa la trasparenza dell'articolo 50, gli obblighi del fornitore dell'art. 16 e i doveri del deployer dell'art. 26 | Fino a 15 M€ o il 3% del fatturato, a seconda di quale sia maggiore | A seconda di quale sia minore |
| Art. 99(5) | Fornire informazioni inesatte, incomplete o fuorvianti alle autorità o agli organismi notificati | Fino a 7,5 M€ o l'1% del fatturato, a seconda di quale sia maggiore | A seconda di quale sia minore |
Che cosa significa in numeri veri
Prendi una start-up con 2 M€ di fatturato annuo che viola l'articolo 50 spedendo un chatbot non dichiarato.
- La via percentuale: il 3% di 2 M€ = 60.000 €.
- La via fissa: 15.000.000 €.
- Trattandosi di una PMI, l'articolo 99(6) applica la minore delle due: il massimale è 60.000 €.
È un massimale, non una tariffa. L'articolo 99(7) impone alle autorità di pesare la natura e la gravità della violazione, se l'operatore l'abbia segnalata spontaneamente, se l'infrazione sia stata colposa o dolosa e qualunque azione presa per attenuare il danno. Un'autovalutazione documentata e datata che si è rivelata imperfetta è una posizione sostanzialmente diversa dal non aver mai guardato.
La percentuale è sul fatturato mondiale di gruppo, non sui ricavi UE e non sui ricavi della controllata. Una piccola entità europea dentro un grande gruppo viene sanzionata sul numero del gruppo.
I fornitori di modelli GPAI sono un regime a parte
Se superi la linea e diventi fornitore di un modello di IA per finalità generali, le sanzioni ricadono sotto l'articolo 101 invece che sotto l'articolo 99: fino a 15 M€ o il 3% del fatturato mondiale, irrogate dall'ufficio per l'IA della Commissione anziché da un'autorità nazionale. Se il fine-tuning ti porti lì è l'argomento della guida all'articolo 53.
Quando puoi essere davvero sanzionato
| Obbligo | Sanzionabile |
|---|---|
| Divieti dell'articolo 5 | Ora - dal 2 agosto 2026 |
| Alfabetizzazione in materia di IA dell'articolo 4 | Ora |
| Trasparenza dell'articolo 50 | Ora - non rinviata dall'omnibus |
| Doveri GPAI dell'articolo 53 | Ora |
| Obblighi ad alto rischio del capo III (allegato III) | 2 dicembre 2027 |
| Allegato I - IA nei prodotti regolamentati | agosto 2028 |
La lettura pratica: l'esposizione sanzionatoria che esiste oggi riguarda gli articoli 5, 4, 50 e 53. Tutto quello che sta nella colonna dell'alto rischio è un problema del 2027 - ma un problema che richiede da 12 a 18 mesi di lavoro sulla conformità, ed è per questo che il 2027 non è una data di partenza. La mappa completa delle scadenze.
Gli Stati membri stabiliscono i propri regimi sanzionatori entro questi massimali ai sensi dell'articolo 99(1), quindi le attuazioni nazionali differiscono nelle procedure e nell'aggressività con cui vengono applicate. I massimali qui sopra sono i tetti a livello UE.
Domande frequenti
Qual è la sanzione massima ai sensi del regolamento sull'IA?
Fino a 35.000.000 € o il 7% del fatturato annuo mondiale totale, a seconda di quale sia maggiore, ai sensi dell'articolo 99(3). Quel livello si applica soltanto alle violazioni delle pratiche vietate dell'articolo 5. La maggior parte delle violazioni degli operatori ricade sotto l'articolo 99(4), a 15 M€ o il 3%, e la fornitura di informazioni fuorvianti alle autorità sotto il 99(5), a 7,5 M€ o l'1%.
Alle PMI si applica l'importo maggiore o quello minore?
Quello minore. L'articolo 99(6) stabilisce che per le PMI, comprese le start-up, ogni sanzione è fino alla percentuale o all'importo fisso, a seconda di quale sia minore. Per le grandi imprese la regola è l'inverso: a seconda di quale sia maggiore. La maggior parte delle sintesi pubblicate la riporta al contrario.
La percentuale sul fatturato è calcolata sui ricavi UE?
No. È calcolata sul fatturato annuo mondiale totale dell'esercizio precedente, a livello di gruppo. Una piccola entità europea dentro un grande gruppo viene valutata sul numero del gruppo, non sul proprio.
Posso essere sanzionato oggi per gli obblighi ad alto rischio?
No. Gli obblighi ad alto rischio del capo III per i sistemi dell'allegato III sono sanzionabili dal 2 dicembre 2027, e quelli dell'allegato I da agosto 2028. L'esposizione che esiste oggi riguarda gli articoli 4, 5, 50 e 53.
I fornitori di modelli GPAI rischiano le stesse sanzioni?
No, è un regime a parte. Le sanzioni per i fornitori di modelli di IA per finalità generali stanno sotto l'articolo 101, fino a 15 M€ o il 3% del fatturato mondiale, irrogate dall'ufficio per l'IA della Commissione anziché da un'autorità nazionale.
A quale livello sei esposto?
La verifica gratuita ti dice quali obblighi si attaccano al tuo sistema - e quindi quale livello di sanzione potrebbe mai riguardarti.
Avvia la scansione gratuitaNessuna carta, nessun account. Report completo delle lacune da 59 €. Guarda prima un report di esempio (in inglese). Prezzi IVA esclusa, aggiunta al pagamento se dovuta. Rimborso entro 14 giorni.
Autovalutazione, non consulenza legale. Questa pagina e il report di Reglynn sono un'autovalutazione strutturata basata sul regolamento sull'IA (regolamento 2024/1689, come modificato dall'omnibus di giugno 2026). Indicano dove ti collochi probabilmente e cosa conviene far verificare a un consulente qualificato. Reglynn non è un organismo notificato e non rilascia certificazioni.
Come nascono i report. I report di Reglynn sono generati da un sistema di IA basato su Claude di Anthropic e consegnati automaticamente. Reglynn è un sistema di IA a rischio limitato ai sensi dell'articolo 50; dichiariamo il coinvolgimento dell'IA ovunque avvenga, incluso il nostro assistente in chat. La nostra autovalutazione.