Guida all’utilizzo degli strumenti di AI: evita sanzioni fino al 7% del tuo fatturato

Stai utilizzando correttamente l’intelligenza artificiale? Strumenti come Claude, ChatGPT e Gemini sono già nelle mani dei tuoi collaboratori, spesso senza una policy e senza che l’organo amministrativo ne abbia piena consapevolezza giuridica. Con l’AI Act europeo e la Legge italiana n. 132/2025, l’uso non governato dell’AI è diventato un rischio concreto: le sanzioni arrivano fino a 35 milioni di euro o il 7% del fatturato mondiale annuo.

Di Avv. Dott. Comm. Dario Carta — Strategie Fiscali · Aggiornato: giugno 2026 · Tempo di lettura: 12 minuti

1. L’intelligenza artificiale è già in azienda

L’intelligenza artificiale è già dentro le aziende, spesso senza che l’organo amministrativo ne abbia una piena consapevolezza giuridica. Strumenti di AI generativa utilizzati dal personale, software HR basati su algoritmi, sistemi di profilazione commerciale, analisi predittiva sui clienti: nella maggior parte dei casi l’adozione è avvenuta in modo spontaneo, non governato e privo di un inquadramento normativo strutturato.

Con l’entrata in vigore dell’AI Act europeo e della Legge italiana n. 132/2025, questo approccio non è più sostenibile. Il legislatore ha qualificato l’intelligenza artificiale come area ad alto rischio regolatorio, introducendo un sistema sanzionatorio che, per entità, è comparabile a quello di GDPR e antitrust: fino a 35 milioni di euro o il 7% del fatturato globale.

Non si tratta di un rischio teorico, ma di una variabile economica che incide direttamente su continuità aziendale, responsabilità degli amministratori, pianificazione fiscale e rating bancario. In questo scenario, la compliance AI non è un costo: è uno strumento di protezione patrimoniale e di ottimizzazione del rischio.

2. AI Act: cos’è e chi coinvolge davvero

L’AI Act — il Regolamento (UE) 2024/1689 — introduce una disciplina uniforme a livello europeo, basata su un approccio risk-based. Elemento centrale è la definizione di “sistema di intelligenza artificiale”: un sistema automatizzato progettato per operare con livelli variabili di autonomia e capace di generare output (previsioni, raccomandazioni, decisioni) che influenzano ambienti fisici o digitali.

Sotto il profilo giuridico, la norma non si rivolge solo ai produttori di software. Sono destinatari degli obblighi anche gli utilizzatori (deployer), gli importatori e i distributori, e tutti i soggetti che integrano l’AI nei propri processi aziendali. Questo implica che la quasi totalità delle imprese è potenzialmente coinvolta.

A livello nazionale, la Legge 23 settembre 2025, n. 132 — in vigore dal 10 ottobre 2025 — ha introdotto principi e regole interne, individuando in AgID e nell’Agenzia per la Cybersicurezza Nazionale le autorità competenti e delegando il Governo a introdurre, entro dodici mesi, nuove fattispecie di reato e sanzioni per l’uso illecito dell’AI. Il quadro, dunque, è destinato ad arricchirsi ulteriormente.

3. La classificazione del rischio: il vero nodo

La corretta qualificazione del sistema AI è il passaggio più delicato. Il regolamento distingue quattro categorie: rischio inaccettabile (vietato), alto rischio, rischio limitato e rischio minimo.

L’errore più frequente è sottovalutare sistemi apparentemente “banali”. Un software di screening dei CV o di scoring dei clienti può rientrare tra gli high-risk systems se incide su diritti fondamentali o su decisioni rilevanti. Questa qualificazione attiva obblighi stringenti e, in caso di violazione, sanzioni significative.

4. Il sistema sanzionatorio: tre livelli

Il regime sanzionatorio è costruito su tre livelli, con criteri di proporzionalità e dissuasività analoghi al GDPR.

Violazioni delle pratiche vietate. Sono le condotte relative ai sistemi a rischio inaccettabile: social scoring generalizzato, manipolazione comportamentale subliminale, sfruttamento delle vulnerabilità di soggetti fragili, identificazione biometrica remota in tempo reale (salvo deroghe). La sanzione arriva fino a 35 milioni di euro o il 7% del fatturato mondiale annuo. Si tratta di illeciti oggettivi: non rileva solo l’evento, ma l’adozione stessa del sistema vietato.

Violazioni degli obblighi per i sistemi ad alto rischio. È l’area di maggiore esposizione per le imprese. Gli obblighi comprendono il sistema di gestione del rischio, la data governance (qualità dei dati, pertinenza, assenza di bias), la documentazione tecnica e i registri, il logging e la tracciabilità, la supervisione umana e i requisiti di accuratezza, robustezza e cybersecurity. La sanzione arriva fino a 15 milioni di euro o il 3% del fatturato. Il dato critico: molte violazioni derivano non da comportamenti dolosi, ma da carenze organizzative.

Informazioni inesatte o mancata collaborazione. Riguarda gli obblighi informativi verso le autorità di vigilanza, con sanzioni fino a 7,5 milioni di euro o l’1% del fatturato. Sul piano difensivo, questo ambito è strettamente legato alla qualità della documentazione interna.

5. PMI e proporzionalità: una falsa area di comfort

Per PMI e startup l’AI Act applica il criterio del “minor importo”: la sanzione è la più bassa tra il valore assoluto e la percentuale sul fatturato. Sarebbe però un errore leggerla come una zona franca.

Resta infatti la responsabilità piena degli amministratori; l’impatto finanziario può essere comunque rilevante; e le autorità possono adottare misure correttive invasive. C’è di più: in ottica bancaria e di rating ESG, la non conformità AI può incidere negativamente sull’accesso al credito anche in assenza di una sanzione.

6. Responsabilità degli amministratori e “shadow AI”

L’AI Act incide direttamente sui doveri degli organi gestori. Si salda con l’obbligo di adeguata organizzazione previsto dall’art. 2086 del Codice civile: il dovere di istituire assetti idonei a prevenire i rischi e la responsabilità per omessa vigilanza valgono anche per il rischio AI.

Il punto più critico è l’uso “shadow AI”: collaboratori che utilizzano strumenti di AI generativa senza policy aziendali. In questi casi il rischio non è solo tecnologico, ma organizzativo e giuridico, e ricade in primo luogo sull’organo amministrativo.

7. Modelli 231 e AI compliance

L’integrazione dell’AI nei modelli organizzativi ex D.Lgs. 231/2001 è una leva concreta di mitigazione del rischio. Gli interventi tipici: l’aggiornamento della mappatura dei rischi, l’introduzione di protocolli specifici sull’AI, la definizione di flussi informativi verso l’Organismo di Vigilanza e un sistema disciplinare coerente.

In prospettiva, alcune violazioni in materia di AI possono collegarsi a reati presupposto — tra cui il trattamento illecito di dati, le frodi informatiche e le condotte discriminatorie. Un modello aggiornato rafforza la posizione difensiva dell’impresa e riduce l’esposizione sanzionatoria.

8. L’impatto fiscale: le sanzioni sono indeducibili

Le sanzioni amministrative pecuniarie sono indeducibili. È un dettaglio che cambia la dimensione del rischio: il costo reale della multa è superiore al suo valore nominale, perché non genera alcun risparmio d’imposta.

Lo stesso ragionamento, ribaltato, mostra perché la compliance conviene. Un approccio evoluto trasforma l’adeguamento in leva di pianificazione: corretta qualificazione dei costi di compliance (deducibilità o capitalizzazione), accesso a crediti d’imposta per l’innovazione tecnologica, strutturazione dei processi per ridurre i rischi fiscali indiretti e integrazione con i sistemi di controllo interno. Una buona gestione del rischio AI contribuisce inoltre alla stabilità dei flussi economici e alla prevedibilità fiscale.

9. Come strutturare una AI compliance efficace

Per le imprese serve un modello operativo concreto, articolato in cinque fasi.

L’AI Act vale anche se uso solo ChatGPT o Claude per email e documenti?
Sì. Anche l’uso di AI generativa rientra nel perimetro. Il livello di rischio dipende dall’impiego concreto, ma serve comunque una policy interna e piena consapevolezza, soprattutto sui dati che vengono inseriti negli strumenti.

Da quando si applicano le sanzioni?
Il Regolamento (UE) 2024/1689 è in vigore con applicazione scaglionata: i divieti sulle pratiche vietate sono già operativi e gli obblighi sui sistemi ad alto rischio entrano progressivamente. È il momento di adeguarsi, non di attendere.

La mia è una PMI: rischio davvero 35 milioni?
No: per PMI e startup si applica l’importo minore tra cifra fissa e percentuale. Ma la responsabilità degli amministratori resta piena e l’impatto può essere serio, anche sul rating bancario e sull’accesso al credito.

Cosa rischio di più, in pratica?
La maggior parte delle contestazioni nasce da carenze organizzative — assenza di policy, di documentazione, di supervisione umana — non da condotte dolose. È esattamente ciò che una compliance ben costruita previene.

La compliance AI è solo un costo?
No. Ben impostata è deducibile o capitalizzabile, può accedere a crediti d’imposta per l’innovazione e riduce rischi (indeducibili) molto più costosi. È una leva di protezione patrimoniale e di pianificazione.

Governare l’AI, non solo adottarla

In un contesto in cui l’intelligenza artificiale è già operativa nelle aziende, il vero vantaggio competitivo non è adottarla, ma governarla. E oggi governarla significa anche proteggere il patrimonio: sanzioni indeducibili, responsabilità degli amministratori e impatti sul credito rendono l’AI compliance una priorità fiscale e legale, non un adempimento formale. Le imprese che si adeguano per tempo riducono il rischio sanzionatorio, migliorano la governance e rafforzano la propria posizione competitiva.

Nota: il presente articolo ha finalità informativa e divulgativa e non costituisce parere professionale. Per una consulenza personalizzata, contattare un professionista qualificato.