#Finsubito news – IA, chi non spiega le decisioni rischia 1 milione di multa

Dal 23 ottobre l’Italia ha il suo sistema di sanzioni per l’intelligenza artificiale. Il rischio non riguarda solo chi costruisce gli algoritmi, ma anche chi li usa.

Banche, assicurazioni, ospedali, scuole e datori di lavoro che affidano una decisione a un sistema di intelligenza artificiale dovranno saperla spiegare alla persona che la subisce. Se non lo fanno rischiano una sanzione amministrativafino a 1 milione di euro o, se l’importo è più alto, fino allo 0,5% del fatturato. Lo prevede il decreto legislativo n. 179/2026, pubblicato sulla Gazzetta Ufficiale n. 234 dell’8 ottobre 2026 e in vigore dal 23 ottobre 2026. Il decreto adegua l’ordinamento italiano al Regolamento Ue n. 2024/1689, l’AI act, e costruisce il catalogo delle multe. Si parte dagli avvertimenti e si arriva a 35 milioni di euro o al 7% del fatturato mondiale per chi usa sistemi vietati. A vigilare sarà un gruppo numeroso di autorità: l’Agenzia per la cybersicurezza, Banca d’Italia, Consob, Ivass, il Garante della privacy e l’AgID. La regola generale è questa: chi decide con l’aiuto di un algoritmo ad alto rischio resta responsabile della decisione e deve renderla comprensibile.

Chi deve spiegare le decisioni prese con l’IA?

L’obbligo pesa sul deployer. Nel linguaggio dell’AI act è il soggetto che utilizza un sistema di intelligenza artificiale sotto la propria autorità nell’ambito di un’attività professionale. Non chi lo progetta o lo vende (il fornitore), ma chi lo mette al lavoro. La banca che valuta una richiesta di mutuo con un software di scoring, l’azienda che seleziona i curricula con un algoritmo, l’istituto scolastico che usa un sistema per assegnare i voti o ammettere gli studenti.

La sanzione per la violazione del diritto alla spiegazione non è la più alta prevista dal decreto. È però quella con il campo di applicazione più largo, perché i soggetti tenuti a rispettarlo sono moltissimi: banche, assicurazioni, istituzioni finanziarie, gestori di servizi essenziali, scuole e università, datori di lavoro, ospedali.

Quando scatta il diritto alla spiegazione?

La fonte è l’articolo 86 dell’AI act. Il diritto spetta a qualsiasi persona destinataria di una decisione che il deployer ha adottato sulla base dell’output di un sistema di IA ad alto rischio elencato nell’allegato III del regolamento. L’allegato III è la lista dei settori in cui l’Ue considera l’algoritmo potenzialmente pericoloso per i diritti delle persone: accesso al credito e alle assicurazioni, lavoro, istruzione, servizi pubblici essenziali, giustizia, migrazione.

Servono altre due condizioni. La decisione deve produrre effetti giuridici o incidere in modo analogo e significativo sulla persona. E la persona deve ritenere che abbia un impatto negativo sulla sua salute, sulla sua sicurezza o sui suoi diritti fondamentali. Chi si vede rifiutare un finanziamento, scartare da una selezione di lavoro o negare una prestazione sanitaria rientra in pieno nella fattispecie.

Il contenuto della risposta è preciso. Il deployer deve fornire spiegazioni chiare e significative su due aspetti: il ruolo che il sistema di IA ha avuto nella procedura decisionale e i principali elementi della decisione. Una risposta generica del tipo “la valutazione automatica non è stata favorevole” non basta.

Esistono eccezioni. Il diritto non riguarda i sistemi ad alto rischio usati nelle infrastrutture critiche (reti energetiche, idriche, di trasporto). Non si applica quando la legge prevede deroghe o quando la trasparenza è già garantita da altre disposizioni, per esempio dalle regole del Gdpr sulle decisioni automatizzate.

Perché l’Italia ha aggiunto multe non previste dall’Ue?

L’articolo 99 dell’AI act fissa un elenco di violazioni da sanzionare, ma lascia agli Stati la facoltà di ampliarlo. Il legislatore italiano l’ha usata. Il confronto tra l’articolo 23 del dlgs 179/2026 e l’articolo 99 del regolamento mostra quattro aggiunte: le violazioni degli articoli 27, 73, 80 e 86.

L’articolo 27 impone la valutazione d’impatto sui diritti fondamentali prima di usare un sistema ad alto rischio. L’articolo 73 riguarda la comunicazione degli incidenti gravi. L’articolo 80 disciplina la procedura per i sistemi che il fornitore stesso ha classificato come non ad alto rischio. L’articolo 86 è quello sul diritto alla spiegazione. Da noi, quindi, ignorare la richiesta di chi vuole sapere perché un algoritmo lo ha penalizzato è un illecito con una sanzione propria.

Quanto si rischia se si viola l’AI act?

L’articolo 23 del decreto contiene il catalogo delle sanzioni pecuniarie, applicabili salvo che il fatto costituisca reato. I livelli sono quattro.

Il più alto colpisce chi usa sistemi vietati dall’articolo 5 dell’AI act, cioè le pratiche manipolative e discriminatorie: fino a 35 milioni di euro o, per le imprese, fino al 7% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore.

Il secondo livello arriva fino a 15 milioni di euro o al 3% del fatturato. Riguarda gli obblighi dei fornitori di sistemi ad alto rischio (art. 16), dei loro rappresentanti autorizzati (art. 22), degli importatori (art. 23) e dei distributori (art. 24). Comprende la responsabilità lungo la catena del valore dell’IA (art. 25), gli obblighi dei deployer di sistemi ad alto rischio (art. 26), i requisiti e gli obblighi operativi degli organismi notificati (artt. 31 e 34), le regole su affiliate e subappaltatori di questi organismi (art. 33, paragrafi 1, 3 e 4). Rientrano qui anche gli obblighi di trasparenza dell’articolo 50, per esempio l’obbligo di avvisare l’utente che sta parlando con una macchina o che un contenuto è stato generato artificialmente, e le violazioni degli articoli 73 e 80.

Il terzo livello punisce chi fornisce informazioni inesatte, incomplete o fuorvianti agli organismi notificati o alle autorità che le hanno richieste: fino a 7,5 milioni di euro o all’1% del fatturato.

L’ultimo livello è quello degli articoli 27 e 86: fino a 1 milione di euro o allo 0,5% del fatturato, se superiore. Per un gruppo bancario con 10 miliardi di ricavi, lo 0,5% vale 50 milioni.

Da quando si possono applicare le nuove multe?

Il decreto è in vigore dal 23 ottobre 2026, ma ogni sanzione segue il calendario dell’obbligo che punisce. Una violazione è sanzionabile solo quando la norma dell’AI act che impone quell’obbligo è diventata operativa. Il regolamento europeo ha un’applicazione scaglionata. Per esempio, le prescrizioni sui sistemi indipendenti di IA ad alto rischio hanno efficacia rinviata al 2 dicembre 2027: fino a quella data le relative multe restano sulla carta.

Come decide l’autorità l’importo della sanzione?

Le norme fissano solo il massimo della sanzione, non il minimo. La discrezionalità delle autorità di vigilanza è quindi amplissima. Il limite è l’obbligo di motivazione: l’autorità deve giustificare l’importo in base ai parametri dell’AI act (gravità e durata della violazione, dimensioni dell’impresa, collaborazione, eventuali recidive) e, aggiunge il dlgs 179/2026, in base alla natura sostanziale o formale dell’obbligo violato. Chi omette una comunicazione burocratica non può essere trattato come chi discrimina i clienti.

Per piccole e medie imprese, microimprese e start-up innovative vale la regola di favore dell’articolo 99, paragrafo 6, del regolamento. Per tutti gli altri si applica l’importo più alto tra cifra fissa e percentuale del fatturato. Per le Pmi vale il più basso. Una start-up con un milione di fatturato che viola il diritto alla spiegazione rischia al massimo 5.000 euro (lo 0,5%), non un milione.

Ai procedimenti si applicano le regole di procedura dei singoli settori e, se compatibili, quelle della legge n. 689/1981, la legge quadro sulle sanzioni amministrative. Con un’eccezione: non è ammesso il pagamento in misura ridottadell’articolo 16 di quella legge, cioè la possibilità di chiudere il procedimento versando subito una somma inferiore al massimo. Chi viola l’AI act non può comprarsi lo sconto.

Si può evitare la multa correggendo l’errore?

Il sistema sanzionatorio è costruito su più gradini: avvertimenti, misure non pecuniarie e sanzioni in denaro (art. 19). Per le violazioni di scarsa offensività o pericolosità l’autorità può evitare la multa e scegliere tra due strade.

La prima è l’ordine di eliminare l’infrazione e di non ripeterla, con l’indicazione delle misure da adottare e del termine per farlo. La seconda è possibile se l’infrazione è già cessata: una dichiarazione pubblica che indica la violazione e il responsabile. Una sanzione reputazionale, che per una banca o un’assicurazione può pesare quanto una multa.

Chi ignora l’ordine entro il termine fissato paga caro. Scatta la sanzione pecuniaria prevista per la violazione originaria, aumentata fino a un terzo, fermi restando i massimi (art. 22).

Quali autorità vigilano sull’intelligenza artificiale?

In prima fila c’è l’Agenzia per la cybersicurezza nazionale (Acn). È autorità di vigilanza del mercato e punto di contatto unico con l’Ue. È competente anche per la registrazione dei sistemi ad alto rischio nel settore delle infrastrutture critiche.

Banca d’Italia, Consob e Ivass vigilano sui sistemi ad alto rischio usati nei settori creditizio, finanziario e assicurativo di loro competenza. Il Garante della privacy è competente per attività di contrasto, gestione delle frontiere, giustizia e processi democratici.

L’AgID (Agenzia per l’Italia digitale) è l’autorità di notifica. Valuta e designa gli organismi che certificano la conformità dei sistemi ad alto rischio, li notifica alla Commissione europea e controlla che mantengano i requisiti. Può avvalersi di Accredia, l’ente nazionale di accreditamento, e applica le sanzioni per le violazioni in materia di notifica.

Le autorità devono cooperare tra loro e hanno poteri di vigilanza, ispettivi e sanzionatori. Il cittadino può presentare loro un reclamo per segnalare violazioni. Il dlgs 179/2026 estende poi alle liti legate all’uso dell’IA i sistemi di risoluzione alternativa delle controversie già attivi nel bancario, nel finanziario e nell’assicurativo, come l’Arbitro bancario finanziario. Chi ritiene che un algoritmo gli abbia negato un prestito senza spiegazioni potrà quindi rivolgersi anche a questi organismi, senza passare dal tribunale.

La multa sarà pubblicata con il nome dell’impresa?

L’articolo 24 del decreto impone di pubblicare senza ritardo, per estratto, il provvedimento sanzionatorio sul sito istituzionale dell’autorità. Va annotata anche l’eventuale impugnazione e il suo esito.

La pubblicazione avviene però in forma anonima in tre casi: se appare sproporzionata rispetto alla violazione; se può creare rischi per la cybersicurezza o pregiudicare un’indagine penale in corso; se può causare un pregiudizio sproporzionato ai soggetti coinvolti, purché il danno sia determinabile.

Sono criteri molto elastici. Per questo chi è destinatario di un procedimento dovrà chiedere in modo esplicito l’omissione dei propri dati personali e portare elementi concreti a sostegno della richiesta. L’anonimato non arriva d’ufficio.