Il regime sanzionatorio previsto dall'AI Act è strutturato su più livelli, con tetti massimi diversi a seconda della natura e della gravità della violazione contestata, in una logica di proporzionalità che riflette la gravità relativa delle diverse categorie di obblighi previsti dal regolamento.
Le sanzioni più severe, fino al 7% del fatturato mondiale annuo del gruppo o a un importo fisso di 35 milioni di euro se superiore, si applicano alle violazioni relative alle pratiche di intelligenza artificiale espressamente vietate — come il social scoring generalizzato o l'utilizzo di tecniche manipolative vietate dalla legge.
Per la violazione degli obblighi specifici previsti per i sistemi ad alto rischio, il tetto sanzionatorio scende, pur restando significativo, fino al 3% del fatturato mondiale annuo o 15 milioni di euro, un livello comunque paragonabile a quello previsto per le violazioni più gravi del GDPR.
Le violazioni degli obblighi di trasparenza — come la mancata informazione sull'interazione con un chatbot o sull'utilizzo di un deepfake — sono sanzionate con importi inferiori, fino all'1,5% del fatturato o 7,5 milioni di euro, ma restano comunque un rischio economico concreto che le imprese devono considerare seriamente nella propria strategia di conformità complessiva al regolamento.