"Multe fino a 35 milioni." È il titolo che ha terrorizzato mezza Italia ad agosto. È anche vero, ed è anche fuorviante — perché quella cifra è il massimale previsto per la fascia più grave, e non si applica alla tua azienda che ha attivato un chatbot.
Mettiamo i numeri in ordine, che è l'unico modo per smettere di avere paura della cosa sbagliata.
Le tre fasce
Fascia uno — pratiche vietate. Le violazioni dell'articolo 5, cioè i sistemi proibiti: punteggio sociale, riconoscimento delle emozioni sul lavoro e a scuola, scraping indiscriminato di volti, categorizzazione biometrica per dedurre caratteristiche protette. Fino a 35 milioni di euro o al 7% del fatturato mondiale annuo, se superiore. Applicabili dal 2 febbraio 2025.
Fascia due — altre violazioni. La gran parte degli obblighi: trasparenza dell'articolo 50, requisiti sull'alto rischio, doveri di fornitori, deployer, importatori e distributori. Fino a 15 milioni o al 3% del fatturato mondiale.
Fascia tre — informazioni inesatte. Fornire alle autorità informazioni inesatte, incomplete o fuorvianti. Fino a 7,5 milioni o all'1%.
Quest'ultima è la più sottovalutata e la più stupida da prendere: si prende non perché hai sbagliato il sistema, ma perché hai risposto male a una richiesta.
La regola che cambia i conti per le piccole imprese
I massimali sono formulati come "somma fissa oppure percentuale del fatturato, se superiore". Per PMI e start-up vale il criterio opposto: si applica l'importo inferiore fra i due.
Non è un'esenzione, ma è la differenza fra un tetto che cresce con le dimensioni e uno che resta fisso. Il Digital Omnibus ha inoltre esteso misure di proporzionalità e sostegno a PMI e piccole imprese a media capitalizzazione.
Come si arriva davvero alla cifra
Nessuna autorità parte dal massimale. La sanzione si determina considerando natura, gravità e durata della violazione, il numero di persone coinvolte e l'entità del danno, il carattere doloso o colposo, le misure adottate per attenuare il danno, la cooperazione con l'autorità, le dimensioni e il fatturato dell'operatore, ed eventuali precedenti.
Tradotto: chi ha documentazione, ha rimediato spontaneamente e collabora sta in una posizione radicalmente diversa da chi non ha niente e discute.
Il pezzo italiano: sanzioni calibrate
C'è una notizia buona nei decreti attuativi della legge 132/2025 approvati il 4 agosto 2026: le sanzioni nazionali sono calibrate su livelli inferiori rispetto ai massimali europei, con previsione di misure alternative non pecuniarie per le violazioni minori.
È la differenza fra un ordinamento che punisce l'errore e uno che punisce l'abuso. Per una piccola impresa che ha sbagliato un adempimento è una notizia rilevante.
Il rischio che conta più della multa
Ed è quello che nessuno mette nei titoli. Con i decreti di agosto 2026 è entrato l'articolo 437-bis del codice penale — omessa adozione di misure di sicurezza sui sistemi ad alto rischio e loro alterazione illecita — e sono state introdotte tutele civilistiche per i danneggiati: accesso alla documentazione tecnica, presunzioni sul nesso causale, foro vicino alla vittima, azione diretta verso l'assicuratore.
Per un'impresa, il conto vero non è la sanzione amministrativa: è il contenzioso civile in cui il danneggiato ha accesso ai tuoi documenti tecnici, più l'eventuale profilo penale in capo a chi doveva adottare le misure.
Cosa fare per stare tranquilli sul serio
Non serve un piano da centomila euro. Serve poter rispondere a cinque domande con un documento datato: quali sistemi di IA usiamo e per cosa; come li abbiamo classificati e perché; che informazioni diamo alle persone; che formazione abbiamo fatto; chi è l'essere umano responsabile di ciascun sistema.
Chi ha queste cinque risposte scritte non prende la sanzione da 7,5 milioni per informazioni inesatte, ed è già oltre la maggior parte delle aziende italiane.
Una nota personale
Io di mestiere costruisco sistemi IA privati per studi professionali e piccole imprese italiane. Non vendo corsi e non vendo pacchetti di conformità da 4.000 euro con la copertina lucida. I regolamenti li leggo perché mi tocca, e li racconto come li ho capiti. Se hai una domanda, sul gruppo Telegram di Super Squalo (t.me/Squalogruppo) si discute di questa roba ogni giorno, e si risponde gratis.
I 35 milioni sono per chi accende un sistema vietato. Per tutti gli altri, il rischio si abbatte con un foglio scritto e una data sopra.
Domande frequenti
Le sanzioni si applicano già?
L'impianto sanzionatorio è applicabile dal 2 agosto 2026. I divieti dell'articolo 5 erano già applicabili dal 2 febbraio 2025.
Una microimpresa rischia davvero 35 milioni?
Per PMI e start-up si applica l'importo inferiore fra somma fissa e percentuale, e la sanzione è comunque graduata sulla base della gravità e delle dimensioni. In Italia i decreti attuativi prevedono livelli calibrati e misure alternative per le violazioni minori.
Cosa mi conviene fare se scopro una violazione?
Rimediare subito e documentare l'intervento con la data. Le misure adottate per attenuare il danno e la cooperazione con l'autorità sono criteri espressamente considerati nella determinazione della sanzione.