Dal 2 agosto scattano subito le multe dell'AI Act? No, l'enforcement è graduato

No. Dal 2 agosto 2026 l'AI Act è diventato pienamente applicabile e le autorità possono controllarti, ma la legge stessa dice che l'enforcement può partire da avvertimenti e misure non pecuniarie, non dalla multa. La sanzione in euro è l'ultimo gradino della scala, non il primo.

Te lo dico subito perché in questi giorni gira un sacco di rumore. "Dal 2 agosto arrivano le sanzioni", "rischi il 7% del fatturato". Vero a metà. Il regime esiste, ma non funziona come un autovelox che ti multa al primo passaggio.

Vediamo cosa dice la norma, cosa può davvero fare un'autorità, e perché ti conviene comunque avere le carte in ordine da adesso.

Cosa dice davvero l'articolo 99

L'articolo 99 dell'AI Act è quello che disciplina le sanzioni. E al primo comma c'è una frase che i titoli allarmistici saltano: gli Stati stabiliscono le regole su sanzioni "e altre misure di esecuzione, che possono includere anche avvertimenti e misure non pecuniarie".

Tradotto: l'avvertimento è dentro la legge, non è una gentile concessione. Lo strumento pensato per la prima fase è il richiamo, la richiesta di rimettere le cose a posto. La multa arriva dopo, se non collabori o se la violazione è grave.

Lo stesso comma aggiunge che le sanzioni devono essere "effettive, proporzionate e dissuasive" e che vanno tenuti in conto "gli interessi delle PMI, comprese le start-up, e la loro sostenibilità economica". La proporzionalità non è un favore: è scritta nel testo.

Il 2 agosto non arriva la Guardia di Finanza in fabbrica

In Italia la vigilanza sull'AI Act è affidata all'ACN, l'Agenzia per la Cybersicurezza Nazionale, che fa da autorità di vigilanza del mercato e punto di contatto unico. L'AgID è l'autorità di notifica. Sono ruoli fissati dalla Legge 132/2025.

Dal 2 agosto queste autorità possono ispezionare, chiedere documentazione e sanzionare sugli obblighi già applicabili. Ma "possono" non vuol dire "arrivano domani mattina a sorpresa". Una vigilanza di mercato lavora così: apre un procedimento, ti chiede le carte, ti dà un termine per sistemare. È un percorso, non un blitz.

C'è anche un dato di realtà, e ora possiamo dirlo col senno di poi. A cinque giorni dal 2 agosto l'enforcement dell'AI Act è ancora a zero: nessuna multa, nessuna ispezione pubblica, nessuna contestazione, né in Italia né altrove in Europa. Il "dal 2 agosto arrivano le multe" si è sgonfiato da solo.

Ma non è un "tana libera tutti", ed è qui il punto. Il rischio concreto per te e per la tua azienda non è la sanzione a sorpresa ma è la segnalazione mirata di chi ti sta intorno, un concorrente o un ex dipendente, che fa partire il procedimento. Da dove nasce davvero un caso AI Act l'ho spiegato in il primo caso non nascerà da un'ispezione, ma da un reclamo. La difesa, anche lì, è la stessa e bisogna sempre avere le carte in ordine.

Perché prepararti adesso ti conviene lo stesso

Qui sta il punto che i venditori di paura non ti raccontano. Sempre l'articolo 99 elenca i fattori che l'autorità guarda quando decide se multarti e quanto.

Tra questi c'è "il grado di responsabilità dell'operatore, tenendo conto delle misure tecniche e organizzative da esso attuate". C'è la cooperazione per rimediare alla violazione. Ci sono le azioni prese per limitare i danni.

Leggi bene cosa significa. Se il giorno del controllo hai formazione, registro degli strumenti e policy documentati, quella roba pesa a tuo favore: alza il tuo grado di diligenza e abbassa il rischio. Se non hai niente, sei l'operatore che "non ha adottato misure", e questo gioca contro di te.

La documentazione non è la multa che eviti. È lo scudo che ti presenti addosso. È esattamente il fascicolo pronto per il controllo: il set di prove che trasforma un procedimento potenzialmente brutto in una pratica che si chiude con un richiamo. E l'alfabetizzazione (l'articolo 4) è il primo mattone: come funziona lo spiego nella guida all'obbligo di formazione.

Per una PMI la scala è ancora più corta

Se sei una piccola o media impresa, l'AI Act ti tratta con un'asta più bassa. L'articolo 99 prevede che per le PMI e le startup la multa sia calcolata prendendo il valore più basso tra la cifra fissa e la percentuale del fatturato, non il più alto. Il "rischi 35 milioni" detto a una PMI è, semplicemente, falso.

E l'obbligo di formazione, l'articolo 4, non ha nemmeno una multa diretta, non è nemmeno nell'elenco delle violazioni sanzionabili. Non esiste "l'ammenda perché non hai fatto il corso" bensì la mancanza di formazione diventa un aggravante. Se vuoi i numeri veri, soglie e ordini di grandezza, li abbiamo messi in ordine in quanto rischia davvero una PMI o un freelance.

Attenzione a una cosa, però, per non cadere nell'eccesso opposto. La logica graduata vale soprattutto per le irregolarità formali e minori. Sulle pratiche vietate (l'articolo 5, la fascia più grave) le autorità hanno la mano molto più pesante. Ma per l'attività ordinaria di una PMI manifatturiera quelle pratiche è raro toccarle.

Cosa fare questa settimana

Niente panico e niente spesa inutile. Tre mosse concrete.

Guarda dove usi davvero l'AI in azienda: chatbot sul sito, generazione di testi e schede prodotto, strumenti dentro il gestionale. Mettili nero su bianco in un registro. Scrivi una policy corta su come si usa e chi controlla. E documenta la formazione delle persone che questi strumenti li usano.

Non ti serve un avvocato da duemila euro. Ti serve avere qualcosa in mano il giorno in cui qualcuno, un'autorità o un cliente, ti chiede le prove. Se vuoi capire il quadro completo di cosa è entrato in vigore e cosa è stato rinviato, parti da cosa scatta davvero il 2 agosto e cosa no.

Domande frequenti

Dal 2 agosto 2026 arrivano subito le multe dell'AI Act? No. L'AI Act è pienamente applicabile e le autorità possono controllare e sanzionare, ma l'articolo 99 prevede che le misure di esecuzione possano partire da avvertimenti e misure non pecuniarie. La sanzione in denaro è l'ultimo passaggio, non il primo.

Cosa può fare l'ACN dal 2 agosto? In Italia l'ACN è l'autorità di vigilanza del mercato per l'AI Act. Può ispezionare, chiedere documentazione e avviare procedimenti sugli obblighi già applicabili. In genere apre una procedura e chiede di rimettere le cose in regola, prima di arrivare alla multa.

Se non ho ancora la documentazione dell'articolo 4, rischio la multa il 2 agosto? No, non per quello: l'articolo 4 non ha una multa diretta. Ma l'assenza di formazione, registro e policy pesa a tuo sfavore se scatta un controllo per un'altra violazione, perché l'autorità valuta le misure tecniche e organizzative che avevi adottato.

L'enforcement graduato vale anche per le pratiche vietate? Molto meno. Gli avvertimenti e le misure non pecuniarie sono la logica della prima fase per le irregolarità formali e minori. Sulle pratiche vietate dall'articolo 5, che sono la fascia più grave e con i tetti più alti, l'approccio è ben più severo.