Il decreto legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale dell’8 ottobre e in vigore dal 23, adegua l’ordinamento italiano al regolamento (UE) 2024/1689 per i poteri delle autorità nazionali e per le sanzioni. L’ACN è autorità di vigilanza del mercato e punto di contatto unico e l’AgID è autorità di notifica. La Banca d’Italia, la CONSOB e l’IVASS vigilano sui sistemi ad alto rischio impiegati nei rispettivi settori, e il Garante per la protezione dei dati personali esercita i propri poteri nei limiti dell’articolo 74, paragrafo 8, del regolamento.
Sul procedimento con cui queste autorità sanzionano, l’articolo 24 prevede la contestazione degli addebiti e un provvedimento motivato «entro un termine ragionevole», e per il resto rinvia, autorità per autorità, alle discipline proprie di ciascuna. Con sanzioni che arrivano al sette per cento del fatturato mondiale, le garanzie dell’impresa dipendono da quei rinvii e dalla giurisprudenza che li integra.
Indice degli argomenti
Le garanzie per le sanzioni AI Act in Italia
Sanzioni di questa entità rientrano nella materia penale secondo i criteri che la Corte europea dei diritti dell’uomo applica dal caso Engel, e la Corte costituzionale ne ha tratto le garanzie penali per le sanzioni amministrative di carattere punitivo, dalla retroattività della legge più favorevole con la sentenza 63 del 2019, sull’abuso di informazioni privilegiate sanzionato dalla CONSOB, al diritto al silenzio con la sentenza 84 del 2021. L’articolo 99, paragrafo 10, del regolamento esige a sua volta garanzie procedurali adeguate, tra cui rimedi giurisdizionali e il giusto processo.
Quando si applica il regime sanzionatorio italiano sull’IA
Il capitolo del regolamento sulle sanzioni si applica dal 2 agosto 2025, e la disciplina italiana entra in vigore oltre quattordici mesi dopo. Nell’intervallo i divieti dell’articolo 5 hanno vincolato le imprese dal 2 febbraio 2025 e la trasparenza dell’articolo 50 dal 2 agosto 2026, mentre i sistemi ad alto rischio dell’allegato III attendono il 2 dicembre 2027 per effetto del regolamento (UE) 2026/1744. L’articolo 1 della legge 689 del 1981 ammette la sanzione amministrativa soltanto in forza di una legge entrata in vigore prima della violazione, e il decreto è privo di norme transitorie.
L’impresa che ha interrotto prima del 23 ottobre una pratica vietata, o un assistente vocale sprovvisto dell’avviso dell’articolo 50, è sottratta alla sanzione amministrativa per quel passato, e chi prosegue la stessa condotta risponde per il tempo successivo. Il primo accertamento dell’ACN avrà dunque per oggetto una condotta in corso.
Importi delle sanzioni AI Act e obblighi a rischio
Le fasce riproducono quelle dell’articolo 99. Le pratiche vietate arrivano a 35 milioni di euro o al sette per cento del fatturato mondiale annuo, se superiore, e gli obblighi degli operatori, compresa la trasparenza dell’articolo 50, a 15 milioni o al tre per cento, mentre per le piccole e medie imprese e per le start-up innovative vale l’importo più basso tra cifra e percentuale. Il decreto aggiunge una fascia propria, fino a un milione di euro o allo 0,5 per cento del fatturato, e la riserva a due obblighi che riguardano la persona esposta al sistema.
Alcuni deployer, tra cui le banche che valutano il merito di credito, devono valutare l’impatto sui diritti fondamentali prima di impiegare un sistema ad alto rischio (articolo 27), e chi subisce una decisione fondata sull’esito di un sistema ad alto rischio può chiedere una spiegazione (articolo 86). Il regolamento le lascia fuori da ogni fascia, e il decreto le colloca nella più bassa. L’articolo 23, comma 6, aggiunge ai criteri del regolamento la natura sostanziale o formale dell’obbligo violato.
La collocazione nella fascia più bassa tratta i due obblighi come presidi formali, e la scelta sottovaluta due norme con cui il regolamento rende contestabile la decisione algoritmica. Su questo punto il legislatore delegato ha scelto da solo, e dal 2 dicembre 2027 una banca che omette la valutazione prima di impiegare un modello di scoring rischia un tetto più basso di quello della società che dimentica di dichiarare che il proprio assistente vocale è una macchina.
Autorità e procedure nel sistema italiano dell’AI Act
Il procedimento dipende dall’autorità, e l’autorità dipende dal sistema. Una banca che affida il numero verde a un assistente vocale e prepara un modello di scoring per i mutui ha davanti due vigilanze. L’assistente rientra nell’articolo 50 ed esula dall’alto rischio, e spetta quindi all’ACN, che l’articolo 5 designa autorità di vigilanza sui sistemi di IA e che l’articolo 9 chiama a collaborare con le autorità finanziarie per i sistemi usati dagli istituti. Il modello di scoring, ad alto rischio secondo l’allegato III, spetta alla Banca d’Italia.
Per la stessa legge la banca risponde quindi davanti a due autorità, e per ciascuna l’articolo 24 indica una procedura diversa, la legge 689 con il regolamento dell’ACN nel primo caso e l’articolo 145 del testo unico bancario nel secondo. Sono sei i rinvii dell’articolo 24, uno per autorità. La CONSOB porta con sé l’articolo 195 del testo unico della finanza, l’IVASS il codice delle assicurazioni, il Garante l’articolo 166 del codice privacy e l’AgID un regolamento proprio.
Le richieste di documenti e informazioni
Il procedimento comincia con una richiesta di documenti e di informazioni. L’ACN esercita i poteri del regolamento e quelli degli articoli 14 e 16 del regolamento (UE) 2019/1020 sulla vigilanza del mercato. Nelle ispezioni individua forme di coordinamento con la Guardia di finanza e con le forze di polizia, e sui sistemi degli istituti finanziari può avvalersi della Guardia di finanza.
L’articolo 23, comma 3, assoggetta a una sanzione fino a 7,5 milioni di euro o all’uno per cento del fatturato chi fornisce alle autorità, per dare seguito a una richiesta, informazioni inesatte, incomplete o fuorvianti. L’autorità che interroga l’impresa indaga su una violazione per la quale la stessa impresa può essere sanzionata, e la domanda sul silenzio si pone fin dalla prima risposta.
Il diritto al silenzio di persone e imprese
Una persona fisica sottoposta a un procedimento che può concludersi con una sanzione amministrativa punitiva può rifiutare le risposte da cui emergerebbe la propria responsabilità. La Corte di giustizia lo ha affermato il 2 febbraio 2021 nella causa C-481/19, DB contro CONSOB, su rinvio della Corte costituzionale, e la Corte costituzionale ha dichiarato illegittimo con la sentenza 84 del 2021 l’articolo 187-quinquiesdecies del testo unico della finanza nella parte in cui puniva il rifiuto di rispondere a domande da cui sarebbe emersa quella responsabilità.
Alle imprese la Corte di giustizia aveva riconosciuto una tutela più stretta nel diritto della concorrenza, con la causa Orkem del 1989, secondo cui l’autorità può pretendere i documenti e domandare risposte soltanto fino al punto in cui l’impresa dovrebbe ammettere l’infrazione. Il decreto omette ogni regola sul diritto al silenzio. Il confine tra ciò che l’autorità può esigere e ciò che l’interessato può rifiutare passa per il rinvio alla legge 689 «in quanto compatibile» e per queste sentenze, e riguarda anche il professionista che usa un sistema nell’esercizio dell’attività, perché il regolamento chiama deployer ogni persona fisica che lo usa in ambito professionale.
Contestazione, termini e giudice dell’opposizione
Alla richiesta segue la contestazione, e il tempo concesso all’autorità cambia con l’autorità. La legge 689 impone di notificare gli estremi della violazione entro novanta giorni dall’accertamento a chi risiede in Italia, e l’articolo 195 del testo unico della finanza ne concede centottanta. L’ACN e l’AgID fissano termini e modalità con regolamenti propri, e l’unico vincolo posto dal decreto alla conclusione è il provvedimento «entro un termine ragionevole». Quando la sanzione può raggiungere il sette per cento del fatturato mondiale la formula è elastica, e la durata del procedimento è rimessa ad atti che l’autorità stessa adotta.
Il pagamento in misura ridotta dell’articolo 16 della legge 689 è escluso dall’articolo 24. Il decreto lascia ai rinvii anche l’individuazione del giudice dell’opposizione. Le sanzioni della Banca d’Italia e della CONSOB si impugnano davanti alla corte d’appello, secondo gli articoli 145 del testo unico bancario e 195 del testo unico della finanza, mentre per l’ACN e per l’AgID il rinvio alla legge 689 indica il giudice ordinario del luogo della violazione.
Rimedi alternativi e pubblicazione delle sanzioni sull’IA
Per le violazioni di scarsa offensività l’articolo 22 consente all’autorità di ordinare l’eliminazione dell’infrazione, indicando le misure e il termine, in alternativa alla sanzione pecuniaria. Quando l’infrazione è cessata la sanzione può consistere in una dichiarazione pubblica della violazione e del soggetto responsabile, e l’ordine inosservato riapre la sanzione pecuniaria, aumentata fino a un terzo entro i massimali dell’articolo 23. Ogni provvedimento sanzionatorio si pubblica senza ritardo, per estratto, sul sito dell’autorità, con la menzione dell’eventuale impugnazione a margine.
L’anonimato è previsto quando la pubblicazione lede in modo sproporzionato dati personali o mette a rischio la cybersicurezza o un’indagine penale, e quando causa ai soggetti coinvolti un pregiudizio sproporzionato, purché determinabile. Il mercato conosce dunque la sanzione e il nome dell’impresa prima che il giudice dell’opposizione abbia esaminato il provvedimento, e chi aspira all’anonimato deve portare nel procedimento gli elementi che rendono il pregiudizio determinabile.
Prepararsi ai controlli ACN sui sistemi di intelligenza artificiale
Alla prima richiesta dell’ACN l’impresa arriva preparata se dispone di un censimento dei sistemi che indichi l’autorità competente su ciascuno, e di una decisione anticipata su chi risponde e con quale assistenza, in modo da separare i documenti che l’autorità può esigere dalle dichiarazioni che l’interessato può rifiutare. Il decreto 179 attribuisce alle autorità il potere di sanzionare e affida le garanzie a testi che richiama senza riscriverli.
Il giudice dell’opposizione, con la cognizione piena sul merito che la Corte di Strasburgo richiede per le sanzioni punitive dal caso Menarini del 2011, dirà se quei rinvii bastano, quando l’ACN adotterà i primi provvedimenti.
Partecipa alla community