Quadro normativo e autorità competenti
Il decreto legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale dell’8 ottobre e in vigore dal 23 ottobre, adegua l’ordinamento italiano al regolamento (UE) 2024/1689, che definisce i poteri delle autorità nazionali e le sanzioni per le violazioni dell’AI Act.
L’Autorità di vigilanza del mercato (ACN) è designata autorità di vigilanza e punto di contatto unico, mentre l’AgID è l’autorità di notifica. La Banca d’Italia, la CONSOB e l’IVASS vigilano sui sistemi ad alto rischio nei rispettivi settori, e il Garante per la protezione dei dati personali esercita i propri poteri nei limiti dell’articolo 74, paragrafo 8, del regolamento.
Distribuzione dei poteri sanzionatori
- ACN – vigilanza generale sul mercato dell'IA.
- AgID – notifiche e comunicazioni operative.
- Banca d’Italia – sistemi ad alto rischio nel credito.
- CONSOB – strumenti finanziari basati su IA.
- IVASS – assicurazioni e sistemi di scoring.
- Garante privacy – trattamento dei dati personali.
Ogni autorità applica la disciplina specifica prevista dalla normativa di settore, con rinvii all’articolo 24 del decreto per le procedure sanzionatorie.
Procedura di sanzionamento e termini di contestazione
L’articolo 24 prevede che le autorità contestino gli addebiti con un provvedimento motivato «entro un termine ragionevole» e, per il resto, rinviino alle discipline proprie di ciascuna autorità.
Le sanzioni possono arrivare fino al sette per cento del fatturato mondiale annuo, o a importi fissi, a seconda della gravità e della natura della violazione. Le garanzie dell’impresa dipendono da questi rinvii e dalla giurisprudenza che li integra.
Garanzie penali e giurisprudenza di riferimento
- Corte europea dei diritti dell’uomo – criteri dal caso Engel.
- Corte costituzionale – sentenza 63/2019 sulla retroattività della legge più favorevole.
- Corte di giustizia – causa C‑481/19 (DB contro CONSOB), 2 febbraio 2021.
- Corte costituzionale – sentenza 84/2021 sul diritto al silenzio.
L’articolo 99, paragrafo 10, del regolamento richiede garanzie procedurali adeguate, tra cui rimedi giurisdizionali e il giusto processo.
Calendario di attuazione e disposizioni transitorie
Il capitolo del regolamento sulle sanzioni si applica dal 2 agosto 2025, mentre la disciplina italiana entra in vigore più di quattordici mesi dopo. Nel frattempo:
- 2 febbraio 2025 – entrano in vigore i divieti dell’articolo 5.
- 2 agosto 2026 – obblighi di trasparenza dell’articolo 50.
- 2 dicembre 2027 – applicazione dei sistemi ad alto rischio dell’allegato III (regolamento UE 2026/1744).
L’articolo 1 della legge 689/1981 ammette la sanzione amministrativa solo se la legge è entrata in vigore prima della violazione; il decreto 179/2026 non prevede norme transitorie.
Esempio pratico di applicazione
Un’impresa che interrompe prima del 23 ottobre una pratica vietata (ad es. un assistente vocale privo dell’avviso previsto dall’articolo 50) è esentata dalla sanzione per quel periodo. Se la condotta persiste, la sanzione si applica solo per il tempo successivo, e il primo accertamento dell’ACN riguarderà la condotta in corso.
Fasce di sanzione e criteri di calcolo
Le fasce di sanzione riproducono quelle dell’articolo 99, con le seguenti soglie:
- Pratiche vietate: 35 milioni di euro o 7 % del fatturato mondiale, se superiore.
- Obblighi di trasparenza (articolo 50): 15 milioni di euro o 3 % del fatturato mondiale.
- PMI e startup innovative: importo più basso tra cifra fissa e percentuale.
- Fascia aggiuntiva del decreto: fino a 1 milione di euro o 0,5 % del fatturato.
La riserva a due obblighi riguarda la persona esposta al sistema, con sanzioni più contenute.
Obblighi specifici per i deployer ad alto rischio
Alcuni deployer, come le banche che valutano il merito di credito, devono valutare l’impatto sui diritti fondamentali prima di impiegare un sistema ad alto rischio (articolo 27). Chi subisce una decisione basata su un tale sistema può chiedere una spiegazione (articolo 86).
Il regolamento originale non assegna queste situazioni a una fascia di sanzione; il decreto le colloca nella più bassa, aggiungendo al criterio del regolamento una “natura sostanziale o formale dell’obbligo violato” (articolo 23, comma 6).
Conseguenze pratiche per le banche
Dal 2 dicembre 2027, una banca che omette la valutazione preliminare di un modello di scoring rischia una sanzione più bassa rispetto a una società che dimentica di dichiarare che il proprio assistente vocale è una macchina, perché la prima rientra nella fascia più bassa introdotta dal decreto.
Procedura operativa in caso di violazione
Il procedimento dipende dall’autorità competente e dal tipo di sistema:
- Assistenza vocale (articolo 50) – vigilanza ACN.
- Modello di scoring ad alto rischio (allegato III) – vigilanza Banca d’Italia.
Una banca che utilizza sia un assistente vocale per il numero verde sia un modello di scoring per i mutui risponde davanti a due autorità. Per ciascuna, l’articolo 24 prevede una procedura diversa: la legge 689 per l’ACN e l’articolo 145 del Testo unico bancario per la Banca d’Italia.
In totale sono sei i rinvii dell’articolo 24, uno per ogni autorità: CONSOB (articolo 195 del Testo unico della finanza), IVASS (codice delle assicurazioni), Garante (articolo 166 del codice privacy), AgID (regolamento proprio), oltre a ACN e Banca d’Italia.
Fasi del procedimento
- Richiesta di documenti e informazioni da parte dell’autorità.
- Ispezione sul campo, eventualmente con il supporto della Guardia di finanza.
- Contestazione motivata entro un “termine ragionevole”.
- Notifica dell’estremi della violazione entro 90 giorni (legge 689) o 180 giorni (articolo 195 TF).
- Possibilità di ricorso e rimedi giurisdizionali.
Obblighi di correttezza delle informazioni
L’articolo 23, comma 3, prevede una sanzione fino a 7,5 milioni di euro o 1 % del fatturato per chi fornisce informazioni inesatte, incomplete o fuorvianti in risposta a una richiesta dell’autorità.
Il diritto al silenzio è riconosciuto dalla Corte di giustizia (cassa 2 febbraio 2021, causa DB contro CONSOB) e dalla Corte costituzionale (sentenza 84/2021), che ha dichiarato illegittimo l’articolo 187‑quinquies‑decies del Testo unico della finanza, in parte perché puniva il rifiuto di rispondere a domande da cui poteva emergere la responsabilità.
Assenza di norme sul diritto al silenzio nel decreto
Il decreto 179/2026 omette regole sul diritto al silenzio, lasciando il riferimento al rinvio alla legge 689 «in quanto compatibile» e alle sentenze citate. Questo vuoto riguarda anche i professionisti che usano sistemi di IA nell’attività professionale, poiché il regolamento chiama “deployer” ogni persona fisica che utilizza l’IA in ambito professionale.
Termini di notifica e conclusione del procedimento
La legge 689 impone di notificare gli estremi della violazione entro novanta giorni dall’accertamento a chi risiede in Italia; l’articolo 195 del Testo unico della finanza concede centottanta giorni. ACN e AgID fissano termini e modalità con regolamenti propri, ma il decreto stabilisce solo il requisito di un provvedimento «entro un termine ragionevole».
Quando la sanzione può raggiungere il sette per cento del fatturato mondiale, la formula è elastica: la durata del procedimento è determinata dagli atti che l’autorità stessa adotta, lasciando ampio margine di discrezionalità.