Quando si legge che l'AI Act prevede sanzioni fino a 15 milioni di euro o al 3% del fatturato globale annuo, la prima reazione di un blogger con P.IVA forfettaria da 20.000€ annui è comprensibile: panico. Ma il numero è fuorviante se non si legge fino in fondo.
La realtà è che l'art. 99 del Regolamento UE 2024/1689 ha una struttura pensata per colpire le grandi piattaforme, non i singoli professionisti. E le autorità di vigilanza italiane — in particolare l'ACN (Agenzia per la Cybersicurezza Nazionale), designata dalla Legge 132/2025 — hanno un margine ampio di proporzionalità. Capire come funziona davvero è l'unico modo per dormire tranquilli.
La struttura delle sanzioni nell'art. 99
L'art. 99 AI Act prevede sanzioni diverse per violazioni diverse. Per la trasparenza dell'art. 50 (la parte che riguarda i creator di contenuti), il tetto massimo teorico è di 15 milioni di euro o 3% del fatturato globale annuo, a seconda di quale importo sia maggiore.
Ma il regolamento aggiunge una regola cruciale per le piccole e medie imprese: le sanzioni devono essere proporzionate alla natura, gravità e durata della violazione, tenendo conto di dimensioni, fatturato e quota di mercato del soggetto sanzionato. In più, per le microimprese e le piccole imprese, l'importo della sanzione è quello inferiore tra cifra fissa e percentuale.
Significa: per un blogger con fatturato annuo sotto i 100.000€, la sanzione non può essere calcolata come "3% del fatturato globale" di un'azienda multinazionale. È ancorata al fatturato del soggetto che ha violato.
Chi è soggetto alle sanzioni
L'art. 99 si applica a tutti i soggetti che operano come fornitori o deployer di sistemi AI, senza distinzione di forma giuridica o dimensione. In concreto:
i. Imprese, società, P.IVA
Le sanzioni si calcolano sul fatturato globale annuo. Più il fatturato è alto, più alto è il tetto. La regola del "3% del fatturato" si applica per intero, ma con proporzionalità per le PMI (art. 99(7)).
ii. Liberi professionisti con partita IVA
Stesse regole delle imprese, con calcolo sul fatturato individuale. Rientrano in questa categoria avvocati, commercialisti, consulenti, freelance con P.IVA (regime ordinario o forfettario).
iii. Privati cittadini senza P.IVA
Anche chi gestisce un blog personale o un canale social senza partita IVA è soggetto alle sanzioni, in qualità di deployer persona fisica. Non c'è una esenzione per i privati: l'AI Act si applica a chiunque pubblichi contenuti generati con AI. La differenza è che, in assenza di fatturato d'impresa, l'importo della sanzione sarà ancorato a un criterio di equità definito dalle linee guida ACN, con stime realistiche tra €500 e €5.000 per i casi meno gravi.
iv. Associazioni, enti no-profit, ODV, APS, ETS
Le associazioni riconosciute e gli enti del terzo settore sono persone giuridiche soggette all'AI Act quando gestiscono siti, newsletter, chatbot o pubblicano contenuti generati con AI. La sanzione ricade sull'ente, ma il legale rappresentante risponde personalmente in caso di dolo o colpa grave (art. 99(7) e principi generali del diritto amministrativo). Le ODV e le APS con ricavi modesti beneficiano della proporzionalità prevista per i soggetti di piccole dimensioni.
v. Enti pubblici, amministrazioni, scuole, ospedali, enti locali
Anche la pubblica amministrazione è soggetta all'AI Act, con sanzioni calcolate sul "fatturato" (per gli enti pubblici si intende generalmente la dotazione o il bilancio). L'ACN opera in coordinamento con AgID per la parte di notifica e standardizzazione, e con la Corte dei Conti per gli eventuali profili di danno erariale. Le sanzioni possono essere molto più alte rispetto a un soggetto privato, anche per la rilevanza mediatica del caso.
vi. Gruppi, community, canali social non riconducibili a un soggetto identificabile
Per i gruppi Facebook, Telegram, Discord, le community WhatsApp, le subreddit: la sanzione ricade sull'amministratore del gruppo se questi agisce come deployer (es. posta articoli generati con AI, gestisce un chatbot nel gruppo). Se il gruppo è completamente anonimo e non ha un deployer identificabile, l'azione di enforcement diventa di fatto impossibile salvo indagini specifiche.
Il criterio di proporzionalità in pratica
L'art. 99(7) del Regolamento UE 2024/1689 elenca i criteri che le autorità di vigilanza devono applicare nel calcolo delle sanzioni:
- La natura, la gravità e la durata della violazione
- Le dimensioni del soggetto sanzionato (fatturato annuo, numero di dipendenti)
- Il carattere doloso o colposo della violazione
- Il grado di cooperazione con l'autorità di vigilanza
- Eventuali violazioni precedenti
- Le misure adottate per attenuare il danno
- L'entità del vantaggio economico ottenuto dalla violazione, o delle perdite subite da terzi
In concreto: chi pubblica un singolo articolo AI-generated senza etichetta per distrazione, e poi corregge non appena l'autorità contesta, è in una posizione molto diversa da chi gestisce una piattaforma che genera milioni di contenuti AI al mese conoscendo la norma e non rispettandola.
ACN in Italia: come funziona davvero
L'ACN è l'autorità di vigilanza del mercato designata dalla Legge 132/2025 per l'AI Act. Le sue funzioni principali:
- Vigilanza ex post: riceve segnalazioni, fa ispezioni, contesta violazioni
- Potere di indagine: può chiedere informazioni, accesso a documenti, interviste
- Potere sanzionatorio: può comminare le sanzioni previste dall'art. 99
- Potere di cessazione: può imporre la rimozione del contenuto non conforme
ACN non ha un corpo di ispettori dedicati che "passa al setaccio" tutti i siti web italiani. Opera su segnalazione (di privati, di concorrenti, di altre autorità) e su monitoraggio del mercato a campione, con priorità alle violazioni sistematiche e ai sistemi ad alto rischio. Un singolo blogger che pubblica un articolo AI-generated non etichettato è, realisticamente, in fondo alla lista delle priorità.
Questo non significa che la norma non si applica. Significa che il rischio zero realistico per un singolo professionista è molto alto, e che la prima sanzione "simbolica" arriverà probabilmente su casi più gravi (deepfake, disinformazione elettorale, chatbot non etichettati su larga scala).
4 scenari tipo, con stima realistica del rischio
Scenario 1 — Blogger con P.IVA forfettaria, 15 articoli/mese, uso AI per bozze e revisione editoriale seria
RISCHIO: BASSO
Nessun obbligo di etichettatura se l'eccezione di revisione editoriale si applica. Esposizione: zero.
Scenario 2 — Creator che pubblica 50 articoli/mese con uso massiccio di AI e revisione superficiale
RISCHIO: MEDIO
L'eccezione potrebbe non applicarsi pienamente se la revisione è solo formale. In caso di segnalazione, ACN potrebbe chiedere rimozione di articoli specifici o richiedere etichettatura retroattiva. Sanzione teorica: da €1.000 a €10.000, con sospensione condizionale se ci si mette subito in regola.
Scenario 3 — Piattaforma media (newsletter, aggregatore, sito di news) con 200+ articoli/mese e policy AI assente
RISCHIO: MEDIO-ALTO
Esposizione più seria. ACN potrebbe contestare l'assenza di policy editoriale sull'AI, chiedere disclosure obbligatoria per tutti i contenuti, e comminare una sanzione amministrativa. Stima: da €5.000 a €30.000 a seconda del fatturato.
Scenario 4 — Pubblicazione di deepfake non dichiarati o chatbot ingannevoli su larga scala
RISCHIO: ALTO
Qui l'esposizione diventa strutturale. Sanzione teorica: fino a €15M o 3% del fatturato, ma con concreta possibilità di procedura penale per frode o truffa (art. 494 c.p. per falso, art. 640 c.p. per truffa, art. 612 c.p. per sostituzione di persona in immagini).
Scenario 5 — Privato senza P.IVA con blog personale, 5-10 articoli/mese, uso AI per bozze con revisione
RISCHIO: BASSO
Il blog è gestito da una persona fisica senza attività d'impresa. L'art. 99 si applica comunque (il deployer è la persona fisica), ma il fatturato di riferimento è zero e l'ACN dovrà ancorare la sanzione a un criterio di equità. Esposizione realistica: ammonimento con richiesta di regolarizzazione, oppure sanzione da €500 a €5.000 in caso di violazione seria. Esposizione: gestibile.
Scenario 6 — Associazione culturale, no-profit, ODV, APS con newsletter e sito
RISCHIO: MEDIO
L'ente è una persona giuridica (associazione riconosciuta, ODV, APS, ETS) e risponde come tale. Il volume di attività è spesso limitato, ma l'ACN può contestare la mancata disclosure su chatbot, deepfake, o testi di interesse pubblico generati con AI. Sanzione realistica: da €1.000 a €10.000 a seconda del volume di attività e del fatturato dell'ente (anche se non-profit, un'associazione con entrate da quote, contributi, 5×1000 ha pur sempre un bilancio d'esercizio). Responsabilità ricade sul legale rappresentante, che risponde personalmente in caso di dolo o colpa grave.
Scenario 7 — Pubblica amministrazione, ente locale, scuola, ospedale pubblico
RISCHIO: MEDIO
Gli enti pubblici sono soggetti all'AI Act quando usano sistemi AI per comunicazione, servizi al cittadino, chatbot, o produzione di contenuti. L'ACN è competente anche per questi, in coordinamento con AgID. Sanzione teorica più alta perché il fatturato di un Comune o di una ASL è consistente, e l'art. 99(7) fa riferimento esplicito alle dimensioni del soggetto sanzionato. Stima: da €10.000 a €100.000+ a seconda dell'ente, con possibile segnalazione alla Corte dei Conti per danno erariale in caso di spesa per sanare la violazione.
La tabella delle soglie sanzionatorie
Una sintesi delle soglie per violazione, in base all'art. 99 AI Act:
| Violazione | Sanzione massima teorica | Probabilità sanzione per singolo blogger (entro 24 mesi) |
|---|---|---|
| Mancata etichettatura chatbot (art. 50(1)) | €15M o 3% fatturato | Molto bassa |
| Pubblicazione deepfake non dichiarato (art. 50(3)) | €15M o 3% fatturato | Alta se il caso emerge |
| Testo interesse pubblico senza etichetta e senza revisione (art. 50(4)) | €15M o 3% fatturato | Bassa per singolo articolo |
| Rimozione watermark tecnico (art. 50(2)) | €15M o 3% fatturato | Alta se tecnicamente dimostrabile |
| Mancata cooperazione con ACN | Fino a €7,5M o 1% fatturato | Medio se indagine aperta |
La colonna "probabilità" è una stima basata sullo stato attuale (agosto 2026): ACN ha appena ricevuto la designazione formale e sta ancora costruendo le procedure operative. Nei prossimi 12-18 mesi l'attività di enforcement sarà progressiva, non repressiva massiva.
Confronto con le sanzioni GDPR
Per chi è abituato al GDPR, l'AI Act sembra meno drammatico. Le sanzioni massime del GDPR arrivano a €20M o 4% del fatturato, con casi reali che hanno colpito anche PMI (Meta, WhatsApp, Google). L'AI Act ha tetto leggermente inferiore (€15M o 3%), e al momento non ci sono precedenti italiani di sanzioni AI Act.
Il Garante Privacy italiano ha sanzionato Character.AI per €158.000 nel luglio 2026, ma per violazione del GDPR (mancata verifica dell'età dei minori), non dell'AI Act. È un caso che insegna molto sulla rapidità con cui il Garante si muove quando ci sono tutele deboli, ma non è un precedente AI Act.
Cosa succede in caso di segnalazione ad ACN
Se qualcuno segnala il tuo sito ad ACN per violazione dell'art. 50, il tipico iter è:
- ACN riceve la segnalazione e la valuta in base a gravità e priorità
- ACN contatta il titolare del sito con una richiesta di informazioni e un termine (di norma 10-30 giorni) per rispondere
- ACN valuta la risposta: se la violazione è sanabile e il soggetto collabora, spesso si chiude con una diffida e richiesta di regolarizzazione, senza sanzione
- Se la violazione è grave o reiterata, ACN avvia procedura sanzionatoria con possibilità di audizione e sanzione amministrativa
- La sanzione può essere impugnata davanti al Tribunale Amministrativo Regionale (TAR) del Lazio, sede dell'ACN
La fase 3 (diffida e regolarizzazione) è di gran lunga la più frequente nei primi mesi di operatività di un'autorità di vigilanza. Il messaggio è: se ti contattano, rispondi prontamente, mettiti in regola, e quasi certamente la cosa si chiude lì.
Come ridurre l'esposizione (lavoro pratico, non fuffa)
Per un piccolo creator italiano, le azioni concrete per minimizzare il rischio sono poche, chiare, e quasi tutte già utili per il GDPR e per il MiCA:
- Tieni traccia del processo editoriale: conserva bozze AI, commenti di revisione, data di approvazione, nome dell'editor. Google Docs, Notion o Git bastano
- Avere una pagina "chi-siamo" o "about" che identifica il responsabile editoriale del sito, con recapito verificabile
- Aggiungi una policy editoriale sintetica in homepage o in pagina dedicata, che spiega come usi l'AI e come fai la revisione
- Per i chatbot: messaggio di benvenuto che dichiara la natura AI del sistema
- Per i deepfake: mai pubblicare senza dichiarazione visibile e contestuale
- Per i watermark tecnici: mai rimuoverli manualmente (crop, screenshot, ricodifica)
- In caso di dubbio su un singolo contenuto: etichetta. Il costo di un'etichetta "Contenuto generato con AI" è quasi nullo, il beneficio in caso di contestazione è enorme
Il "fattore paura" e il "fattore realtà"
Le sanzioni AI Act esistono e sono serie. Ma la differenza tra il numero sui giornali (€15M) e la realtà operativa per un singolo professionista è enorme. Le autorità di vigilanza europee e italiane stanno ancora costruendo le procedure operative, le linee guida applicative, e i criteri di priorità.
Il rischio zero realistico di una sanzione piena nei prossimi 24 mesi per un singolo blogger che pubblica qualche decina di articoli informativi con l'ausilio di AI e fa una revisione editoriale seria è molto basso. Il rischio di una diffida con richiesta di regolarizzazione, se segnalato, è invece concreto.
La regola pratica: compliance documentata, processo editoriale reale, risposta pronta in caso di contatto. Con questi tre elementi, l'esposizione reale è gestibile. Senza, diventa un problema evitabile.
Cosa guardare nei prossimi mesi
Tre indicatori da monitorare per capire come l'enforcement si sta evolvendo:
- Le prime linee guida operative ACN: annunciate per fine 2026 o inizio 2027, definiranno le priorità di enforcement
- I primi procedimenti sanzionatori: saranno probabilmente casi di alto profilo (deepfake, piattaforme grandi), e daranno il tono a tutta l'attività successiva
- Le sentenze TAR: eventuali ricorsi contro le sanzioni ACN daranno indicazioni su come i giudici interpretano i criteri di proporzionalità
Per ora, l'AI Act è una cornice normativa seria ma in rodaggio. Lavorare con metodo, documentare il processo editoriale, e rispondere prontamente in caso di contatto è la strategia giusta per il 95% dei piccoli creator italiani.