L'articolo 5 dell'AI Act vieta otto pratiche, in vigore dal 2 febbraio 2025, quasi tutte con eccezioni tassative per specifici contesti. A queste se ne aggiungono due dal 2 dicembre 2026. Le sanzioni hanno tre livelli: fino a 35 milioni o al 7 per cento del fatturato per le pratiche vietate, 15 milioni o il 3 per cento per gli altri obblighi, 7,5 milioni o l'1 per cento per le informazioni false. Per le PMI vale l'importo minore.
I divieti sono la parte del regolamento già pienamente operativa da oltre un anno, e insieme la più ignorata. Per capire dove si collocano nell'impianto complessivo, si parte dalla guida all'AI Act per le PMI.
Le pratiche vietate
Punteggio sociale
Sistemi che valutano o classificano le persone in base al comportamento sociale o a caratteristiche personali, producendo trattamenti sfavorevoli in contesti estranei a quelli in cui i dati sono stati raccolti.
Manipolazione subliminale
Tecniche che agiscono sotto la soglia della consapevolezza, o tecniche deliberatamente ingannevoli, che distorcono il comportamento e causano un danno significativo.
Sfruttamento delle vulnerabilità
Sistemi che sfruttano la vulnerabilità di una persona dovuta a età, disabilità o situazione sociale ed economica per alterarne il comportamento con effetti dannosi.
Riconoscimento delle emozioni sul lavoro e a scuola
È il divieto che sorprende più imprese italiane. Un software che analizza il tono di voce degli operatori per misurarne l'ingaggio, o l'espressione facciale degli studenti per valutarne l'attenzione, ricade qui. Il consenso della persona non rende lecita la pratica.
Restano ammessi gli usi per motivi medici o di sicurezza, per esempio rilevare la sonnolenza di chi guida.
Raccolta indiscriminata di volti
Costruire o ampliare banche dati di riconoscimento facciale raccogliendo immagini senza criterio da internet o dalle telecamere a circuito chiuso.
Categorizzazione biometrica su caratteristiche sensibili
Dedurre da dati biometrici la razza, le opinioni politiche, l'appartenenza sindacale, le convinzioni religiose, la vita sessuale.
Valutazione predittiva del rischio di reato basata sulla profilazione
Sistemi che valutano la probabilità che una persona commetta un reato basandosi esclusivamente sulla profilazione o sulla valutazione dei tratti della personalità. Meno rilevante per le PMI, ma parte dell'elenco dell'articolo 5, lettera d.
Identificazione biometrica remota in tempo reale per contrasto
L'uso di sistemi di identificazione biometrica remota in tempo reale in spazi pubblici a fini di contrasto. Ammette tre eccezioni tassative: la ricerca di persone scomparse o vittime di tratta, la prevenzione di una minaccia terroristica imminente e specifica, l'identificazione di indagati per reati gravi elencati dal regolamento. Anche in questi casi servono autorizzazione giudiziaria preventiva e limiti temporali e geografici stretti.
I due nuovi divieti dal 2 dicembre 2026
Il Digital Omnibus ha aggiunto all'articolo 5 il divieto dei sistemi che generano materiale pedopornografico e di quelli che producono immagini intime non consensuali, le applicazioni cosiddette di spogliazione.
I tre livelli di sanzione
L'articolo 99 struttura le sanzioni per gravità.
| Violazione | Importo massimo | Percentuale del fatturato mondiale |
|---|---|---|
| Pratiche vietate dell'articolo 5 | 35 milioni | 7% |
| Altri obblighi del regolamento | 15 milioni | 3% |
| Informazioni false o fuorvianti alle autorità | 7,5 milioni | 1% |
Si applica l'importo maggiore fra la cifra fissa e la percentuale. Per un'impresa con un miliardo di fatturato la percentuale supera la cifra fissa; per una piccola impresa vale il contrario.
Il regime per le PMI
Qui il criterio si rovescia. Per le piccole e medie imprese e per le start-up si applica l'importo minore fra la cifra fissa e la percentuale sul fatturato. Il Digital Omnibus ha esteso questo regime anche alle small mid-cap fino a 500 dipendenti (articolo 99, paragrafo 6a).
Una società con due milioni di fatturato che violasse un divieto rischia il sette per cento, cioè centoquarantamila euro, non trentacinque milioni. Resta una cifra che chiude un'azienda piccola, ma il principio di proporzionalità evita l'assurdo.
Chi controlla e da quando
Il capo sulle sanzioni si applica dal 2 agosto 2025, e dal 2 agosto 2026 la governance è pienamente operativa. Per i modelli per finalità generali la competenza è dell'Ufficio europeo per l'IA.
In Italia le autorità nazionali sono state designate dalla Legge 132/2025, in vigore dal 10 ottobre 2025: AgID per la promozione e come organismo di notifica, ACN per la sorveglianza del mercato, Banca d'Italia, CONSOB e IVASS per il settore finanziario, il Garante per la protezione dei dati per le materie dell'articolo 74 paragrafo 8. L'articolo 11 della stessa legge introduce obblighi informativi specifici verso i lavoratori quando l'AI è impiegata in ambito lavorativo.
Le altre date sono nel calendario aggiornato delle scadenze.
Le sanzioni per la violazione degli obblighi di trasparenza dell'articolo 50 rientrano nel secondo livello: fino a 15 milioni o al 3 per cento. È la fascia che riguarda la maggior parte delle aziende, perché la trasparenza è l'obbligo più diffuso.
Cosa verificare in azienda
Quattro controlli, tutti eseguibili in una mattinata.
Il software delle risorse umane. Se analizza colloqui registrati, verificate se produce indicatori emotivi. È la trappola più comune, perché la funzione spesso c'è ma nessuno l'ha attivata consapevolmente.
Gli strumenti di monitoraggio dei dipendenti. Il confine fra misurare la produttività e dedurre stati emotivi è sottile, e sta dalla parte sbagliata più spesso di quanto si creda.
I sistemi di videosorveglianza con analisi. Se salvano volti per costruire un archivio, guardate come lo popolano.
Le funzioni di classificazione dei clienti. Un punteggio interno basato su dati raccolti per altri scopi può avvicinarsi al punteggio sociale se produce trattamenti sfavorevoli.
Una precisazione sul rischio reale
Le cifre delle sanzioni si prestano al catastrofismo, e vale la pena ridimensionare senza minimizzare.
I divieti dell'articolo 5 riguardano pratiche che pochissime imprese italiane adottano deliberatamente. Il rischio concreto non è la multa da trentacinque milioni: è attivare senza saperlo una funzione vietata dentro un software comprato per altro.
Per questo l'inventario degli usi conta più della lettura del regolamento. Non serve conoscere la norma a memoria: serve sapere cosa fanno gli strumenti che avete già in casa.
Il primo passaggio della checklist di conformità serve esattamente a questo.
Fonti
- Regolamento (UE) 2024/1689, articoli 5, 50, 99
- Digital Omnibus, in vigore dal 27 luglio 2026
- Commissione europea, linee guida sulle pratiche vietate
- Key4biz, i divieti imposti dall'Unione europea
- EUR-Lex, testo integrale del regolamento
Ultimo aggiornamento: 25 agosto 2026.