Art. 100 Reg. (UE) 2024/1689 — Sanzioni amministrative pecuniarie inflitte a istituzioni, organi e organismi dell’Unione

Commento

Un sistema sanzionatorio speciale per le istituzioni dell'Unione

L'articolo 100 del Regolamento (UE) 2024/1689 risolve un problema istituzionale fondamentale: le istituzioni, gli organi e gli organismi dell'Unione europea non possono essere soggetti alle stesse autorità di vigilanza nazionali cui sono sottoposti i privati. Non esiste un'autorità di vigilanza del mercato nazionale che possa esercitare poteri coercitivi sulle istituzioni dell'UE; analogamente, le norme nazionali di esecuzione delle sanzioni non si applicano ai fondi e alle attività delle istituzioni europee.

La soluzione adottata dall'AI Act è coerente con il sistema già collaudato nel GDPR: così come il Regolamento (UE) 2018/1725 affida al GEPD la vigilanza sulla protezione dei dati nelle istituzioni UE, l'art. 100 affida al Garante europeo della protezione dei dati il compito di vigilare sull'applicazione dell'AI Act da parte delle istituzioni europee e il potere di infliggere sanzioni pecuniarie in caso di violazione. Questa scelta garantisce coerenza istituzionale e sfrutta le competenze già maturate dal GEPD in materia di tecnologia, dati e diritti fondamentali.

I massimali sanzionatori: una struttura a due livelli

L'art. 100 prevede massimali sanzionatori in valori assoluti — non in percentuale del fatturato, criterio applicabile ai soggetti privati ai sensi dell'art. 99 — con una struttura a due livelli che riflette la gravità delle diverse violazioni:

• Violazione dei divieti dell'art. 5 (pratiche di IA vietate: manipolazione subliminale, sfruttamento delle vulnerabilità, social scoring generalizzato, remote biometric identification in tempo reale non autorizzata, ecc.): sanzione fino a 1.500.000 euro.
• Violazione degli altri requisiti o obblighi del Regolamento: sanzione fino a 750.000 euro.

I massimali per le istituzioni UE sono significativamente inferiori a quelli previsti per i privati dall'art. 99, che raggiunge i 35 milioni di euro o il 7% del fatturato mondiale annuo per le violazioni dei divieti dell'art. 5. Questa differenza è giustificata dalla natura non commerciale delle istituzioni europee e dal fatto che la sanzione non è parametrata al vantaggio economico ottenuto dalla violazione, ma deve comunque essere dissuasiva e proporzionata.

I criteri di determinazione della sanzione

Il paragrafo 1 dell'art. 100 elenca i criteri che il GEPD deve prendere in debita considerazione nel decidere se infliggere una sanzione e nel determinarne l'importo:

• Natura, gravità e durata della violazione: incluse le conseguenze per le persone interessate e il numero di soggetti coinvolti;
• Finalità del sistema di IA interessato dalla violazione;
• Grado di responsabilità dell'istituzione, tenendo conto delle misure tecniche e organizzative adottate;
• Misure di attenuazione del danno adottate dall'istituzione nei confronti delle persone interessate;
• Grado di cooperazione con il GEPD, compreso il rispetto di eventuali misure precedenti;
• Precedenti violazioni analoghe commesse dall'istituzione;
• Come il GEPD è venuto a conoscenza della violazione (notifica spontanea o scoperta di ufficio);
• Bilancio annuale dell'istituzione, organo o organismo (criterio che sostituisce il fatturato usato per i privati).

L'elencazione di criteri analoghi a quelli del GDPR (art. 83) e dell'art. 99 AI Act crea coerenza nell'approccio sanzionatorio europeo e riduce la discrezionalità arbitraria del GEPD, favorendo prevedibilità e proporzionalità.

Le garanzie procedurali: il diritto di difesa delle istituzioni

I paragrafi 4 e 5 sanciscono garanzie procedurali fondamentali che devono essere rispettate prima di adottare qualsiasi decisione sanzionatoria. Il GEPD deve dare all'istituzione oggetto del procedimento la possibilità di esprimersi in merito all'eventuale violazione, e può basare le proprie decisioni solo sugli elementi e le circostanze su cui le parti interessate sono state poste in condizione di esprimersi. I ricorrenti — cioè le persone o le organizzazioni che hanno segnalato la violazione — sono «strettamente associati al procedimento».

Nel corso del procedimento le parti interessate hanno diritto di accesso al fascicolo del GEPD, con il limite degli interessi legittimi di altre persone fisiche o imprese alla tutela dei propri dati personali o segreti aziendali. Questi diritti di difesa ricalcano quelli previsti nel procedimento sanzionatorio del GEPD in materia di GDPR e garantiscono il rispetto del principio del contraddittorio, che ha valenza di principio generale del diritto dell'Unione.

La destinazione dei proventi sanzionatori

Il paragrafo 6 stabilisce che i fondi raccolti mediante le sanzioni contribuiscono al bilancio generale dell'Unione. Questa scelta, che può apparire paradossale — l'istituzione sanzionata paga nel bilancio dell'Unione di cui essa stessa è parte — ha una logica istituzionale precisa: evita che la sanzione finisca nelle casse dell'istituzione vigilante (il GEPD stesso), eliminando qualsiasi incentivo distorto. Garantisce inoltre che la sanzione abbia effettiva valenza redistributiva, andando a beneficio di tutti gli Stati membri attraverso il bilancio comune.

La norma aggiunge che le sanzioni «non pregiudicano l'effettivo funzionamento dell'istituzione, dell'organo o dell'organismo dell'Unione sanzionato»: una clausola di salvaguardia che riconosce la specificità delle istituzioni pubbliche dell'Unione rispetto alle imprese private.

Coordinamento con il Regolamento (UE) 2018/1725 e con l'art. 99

L'art. 100 si innesta in modo coerente nel sistema di tutela giuridica delle persone fisiche nell'ambito del diritto europeo. Da un lato, il richiamo al ruolo del GEPD istituisce un parallelo strutturale con il Regolamento (UE) 2018/1725 (protezione dei dati nelle istituzioni UE), rafforzando la connessione tra AI Act e tutela della privacy nell'ambito delle istituzioni europee. Dall'altro, la struttura a due livelli dei massimali replica in termini assoluti la logica proporzionale dell'art. 99 per i soggetti privati, garantendo coerenza nell'applicazione del Regolamento sull'intero spettro dei soggetti obbligati.

Per le istituzioni che utilizzano sistemi di IA, l'art. 100 non è solo un sistema sanzionatorio: è anche un incentivo a dotarsi di una governance interna dell'IA robusta, con sistemi di gestione della qualità, documentazione tecnica e procedure di supervisione umana adeguate, per ridurre il rischio di violazioni e dimostrare la cooperazione con il GEPD in caso di indagine.