L’articolo 27 del Regolamento (UE) 2024/1689 introduce uno degli strumenti più innovativi dell’AI Act: la valutazione d’impatto sui diritti fondamentali, nota come FRIA (Fundamental Rights Impact Assessment). È un adempimento distinto dalla valutazione d’impatto sulla protezione dei dati (DPIA) già prevista dall’articolo 35 del GDPR — la integra, non la sostituisce — ed è pensato per un perimetro di soggetti molto specifico. Non tutti i deployer di sistemi ad alto rischio sono tenuti a effettuarla.
Chi è obbligato
Il paragrafo 1 dell’articolo 27 circoscrive l’obbligo a tre categorie di deployer di sistemi di IA ad alto rischio ai sensi dell’articolo 6 paragrafo 2 (quindi Allegato III):
- Organismi di diritto pubblico — tipicamente pubbliche amministrazioni statali, regionali, locali, enti pubblici strumentali, società in house.
- Enti privati che forniscono servizi pubblici — soggetti privati concessionari o affidatari di servizi pubblici essenziali (per esempio servizi di welfare, servizi sanitari, trasporti pubblici).
- Deployer di sistemi di cui all’Allegato III punto 5 lettere b) e c) — cioè i sistemi di IA usati per valutare l’affidabilità creditizia e stabilire il merito di credito (lettera b) e i sistemi usati per la valutazione dei rischi e la determinazione dei prezzi nelle assicurazioni sulla vita e sanitarie (lettera c).
La terza categoria non è intuitiva. L’articolo 27 importa nel perimetro della FRIA anche i soggetti privati del settore bancario e assicurativo, limitatamente a due specifiche applicazioni: lo scoring creditizio e il pricing delle polizze vita e sanitarie. È una scelta che riflette l’impatto diretto e massivo che questi sistemi hanno sui diritti fondamentali delle persone — accesso al credito, accesso a servizi assicurativi essenziali — anche quando il deployer non è una pubblica amministrazione.
L’obbligo non copre invece — ed è un’esclusione testuale dell’articolo 27 paragrafo 1 — i sistemi di IA ad alto rischio destinati al settore elencato al punto 2 dell’Allegato III, cioè le infrastrutture critiche. Per i sistemi usati come componenti di sicurezza nella gestione di infrastrutture digitali critiche, traffico stradale o fornitura di acqua, gas, riscaldamento o elettricità la FRIA non è richiesta (restano fermi gli altri obblighi dell’articolo 26).
Il contenuto della FRIA: sei elementi
Il paragrafo 1 elenca sei elementi che la valutazione deve comprendere. Li riporto nella formulazione testuale del Regolamento:
- a) Descrizione dei processi — «una descrizione dei processi del deployer in cui il sistema di IA ad alto rischio sarà utilizzato in linea con la sua finalità prevista». Non una descrizione del sistema in astratto, ma dei processi concreti in cui viene inserito.
- b) Durata e frequenza d’uso — «una descrizione del periodo di tempo entro il quale ciascun sistema di IA ad alto rischio è destinato a essere utilizzato e con che frequenza».
- c) Categorie di persone interessate — «le categorie di persone fisiche e gruppi verosimilmente interessati dal suo uso nel contesto specifico». È un’analisi degli impatti differenziata per gruppi, non una valutazione media.
- d) Rischi specifici di danno — «i rischi specifici di danno che possono incidere sulle categorie di persone fisiche o sui gruppi di persone individuati a norma della lettera c)», tenendo conto delle informazioni trasmesse dal fornitore ai sensi dell’articolo 13 (istruzioni per l’uso, metriche di accuratezza, robustezza e cibersicurezza, circostanze che possono incidere sulle prestazioni).
- e) Misure di sorveglianza umana — «una descrizione dell’attuazione delle misure di sorveglianza umana, secondo le istruzioni per l’uso». Qui la FRIA si collega direttamente all’articolo 14 e all’articolo 26 paragrafo 2.
- f) Misure di reazione e governance — «le misure da adottare qualora tali rischi si concretizzino, comprese le disposizioni relative alla governance interna e ai meccanismi di reclamo». Questo punto è quello che chiude il cerchio: non basta identificare il rischio, occorre pianificare cosa fare se si materializza.
La sequenza è logica: processi → tempi → persone coinvolte → rischi per quelle persone → controllo umano previsto → risposta agli eventi negativi. È uno schema che può essere riconosciuto da chi fa già DPIA ai sensi dell’articolo 35 GDPR, ma con un’apertura esplicita ai diritti fondamentali nel loro insieme, non soltanto al diritto alla protezione dei dati personali.
Quando va fatta
L’articolo 27 paragrafo 2 chiarisce la tempistica: «L’obbligo di cui al paragrafo 1 si applica al primo uso del sistema di IA ad alto rischio». La FRIA è dunque un adempimento ex ante, da completare prima dell’utilizzo effettivo del sistema nell’organizzazione. Non è una valutazione ricorrente annuale, ma neppure una formalità una tantum: lo stesso paragrafo 2 prevede che, «se durante l’uso del sistema di IA ad alto rischio, [il deployer] ritiene che uno qualsiasi degli elementi elencati al paragrafo 1 sia cambiato o non sia più aggiornato, il deployer adotta le misure necessarie per aggiornare le informazioni».
Il Regolamento ammette inoltre una forma di riuso: in «casi analoghi», il deployer può basarsi su FRIA effettuate in precedenza o su valutazioni d’impatto esistenti effettuate dal fornitore. Questo consente, per chi gestisce più istanze dello stesso sistema in contesti simili, di non moltiplicare inutilmente il lavoro — purché l’analogia sia sostanziale.
La notifica all’autorità di vigilanza del mercato
Il paragrafo 3 introduce un passaggio che distingue la FRIA dell’AI Act dalla DPIA del GDPR. La DPIA di regola è un documento interno, oggetto di consultazione preventiva del Garante solo in caso di rischio residuo elevato. La FRIA dell’articolo 27, invece, è soggetta a un obbligo di notifica: «Una volta effettuata la valutazione […], il deployer notifica all’autorità di vigilanza del mercato i suoi risultati, presentando il modello compilato di cui al paragrafo 5». La notifica non è un’autorizzazione preventiva, ma una comunicazione sistematica dei risultati.
Un’eccezione è prevista per i casi di cui all’articolo 46 paragrafo 1 (deroga alla procedura di valutazione della conformità per motivi eccezionali di sicurezza pubblica, protezione della vita, della salute o dell’ambiente), in cui i deployer possono essere esentati dall’obbligo di notifica.
Il coordinamento con la DPIA
Il paragrafo 4 è la clausola di anti-duplicazione: «Se uno qualsiasi degli obblighi di cui al presente articolo è già rispettato mediante la valutazione d’impatto sulla protezione dei dati effettuata a norma dell’articolo 35 del regolamento (UE) 2016/679 o dell’articolo 27 della direttiva (UE) 2016/680, la valutazione d’impatto sui diritti fondamentali di cui al paragrafo 1 del presente articolo integra tale valutazione d’impatto sulla protezione dei dati».
È una formula cruciale per la pratica. Un’organizzazione che tratta dati personali nell’uso di un sistema di IA ad alto rischio avrà probabilmente già una DPIA ai sensi dell’articolo 35 GDPR: alcuni degli elementi della FRIA (categorie di interessati, rischi, misure) si sovrappongono a elementi della DPIA. Il Regolamento non obbliga a riscrivere da zero: consente di integrare la DPIA esistente con la parte mancante della FRIA (tipicamente la sezione sui diritti fondamentali non riducibili al solo diritto alla protezione dei dati, come la non discriminazione, la libertà di espressione, il diritto al lavoro, l’accesso ai servizi pubblici).
L’integrazione è operazionalmente più efficiente di un doppio binario, ma richiede una DPIA già esistente, ben strutturata e aggiornata. Le organizzazioni che hanno DPIA storiche rigide — e a maggior ragione quelle che non ne hanno — si troveranno a dover ripensare la loro metodologia di valutazione d’impatto in chiave più ampia.
Il modello dell’ufficio per l’IA
Il paragrafo 5 affida all’ufficio per l’IA il compito di elaborare «un modello di questionario, anche attraverso uno strumento automatizzato, per agevolare i deployer nell’adempimento dei loro obblighi a norma del presente articolo in modo semplificato». È un elemento importante: il Regolamento riconosce che la FRIA, specie per i soggetti pubblici di medie e piccole dimensioni, può essere un adempimento oneroso e prevede esplicitamente uno strumento di supporto (potenzialmente uno strumento online) messo a disposizione dall’ufficio di Bruxelles.
Applicazione pratica nel contesto italiano
L’articolo 27 si applica dal 2 agosto 2026 come il resto del regime dei sistemi dell’Allegato III. Nei prossimi mesi chi è tipicamente toccato dovrebbe iniziare a mappare il proprio perimetro:
- Una pubblica amministrazione che usa un sistema di IA per istruire pratiche di accesso a prestazioni sociali (Allegato III punto 5 lettera a) deve preparare una FRIA prima del primo uso. Lo stesso vale se usa sistemi per triage delle chiamate di emergenza (punto 5 lettera d).
- Una scuola che usa strumenti di proctoring o di valutazione automatizzata dei risultati di apprendimento (punto 3) deve fare altrettanto, nella misura in cui ricade nella definizione di organismo di diritto pubblico.
- Una banca che usa un sistema di IA per lo scoring creditizio sui clienti privati è obbligata alla FRIA anche se non è un’amministrazione pubblica, perché ricade nell’Allegato III punto 5 lettera b).
- Una compagnia assicurativa che usa un sistema di IA per pricing di polizze vita o sanitarie ricade nel punto 5 lettera c), ed è tenuta alla FRIA con lo stesso regime.
- Un concessionario privato di servizi pubblici — per esempio, nella sanità convenzionata o nel trasporto pubblico locale — rientra nell’obbligo in qualità di «ente privato che fornisce servizi pubblici», anche se il servizio specifico non è elencato alla lettera b) o c) del punto 5.
Per nessuna di queste realtà la FRIA è un esercizio burocratico. I sei elementi dell’articolo 27 paragrafo 1 tengono insieme, in un unico documento, la dimensione tecnica del sistema (le informazioni trasmesse dal fornitore ai sensi dell’articolo 13), la dimensione operativa (i processi concreti in cui viene inserito), la dimensione dei diritti (le persone e i gruppi coinvolti) e la dimensione organizzativa (governance interna e meccanismi di reclamo). Fatta bene, diventa lo strumento principale di controllo interno di un’organizzazione sulla propria adozione dell’IA. Fatta male, può trasformarsi in una dichiarazione di rischio che l’autorità di vigilanza del mercato riceve, archivia e può usare come base per un’ispezione.
Fonte
Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio del 13 giugno 2024 che stabilisce regole armonizzate sull’intelligenza artificiale, pubblicato nella Gazzetta Ufficiale dell’Unione Europea, Serie L, del 12 luglio 2024. Articolo 27 e, per i richiami, articoli 6, 13, 14, 26, 35 del Regolamento (UE) 2016/679 (GDPR), 46, 113, Allegato III. Testo ufficiale disponibile su EUR-Lex: eur-lex.europa.eu/eli/reg/2024/1689/oj.