Skip to main content

Valutazione d’impatto sui diritti fondamentali (FRIA) ai sensi dell’articolo 27

Quali deployer devono svolgere una FRIA prima del primo utilizzo, cosa copre e come si rapporta alla DPIA del GDPR.

Alcuni deployer di sistemi di IA ad alto rischio devono valutare l’impatto sui diritti fondamentali prima del primo uso (articolo 27). Rientrano gli organismi di diritto pubblico e gli enti privati che forniscono servizi pubblici. Rientrano anche i deployer di sistemi di valutazione del merito creditizio e di assicurazione vita e malattia (allegato III, punto 5, lettere b) e c)). I sistemi dell’allegato III, punto 2, sono esclusi.

L’obbligo si applica dal 2 dicembre 2027. Il deployer notifica poi i risultati all’autorità di vigilanza del mercato. L’articolo 99(4) non cita l’articolo 27; le sanzioni dipendono quindi dalle norme nazionali (articolo 99(1)). Prossimo passo: verifichi se l’articolo 27 La riguarda, poi avvii la valutazione.

Tre gruppi di deployer devono svolgere una FRIA

L’articolo 27 riguarda i sistemi ad alto rischio dell’articolo 6(2), cioè la via dell’allegato III, tranne l’allegato III, punto 2 (infrastrutture critiche). Non riguarda i sistemi dell’allegato I. Tre gruppi di deployer devono svolgere la valutazione.

  • Organismi di diritto pubblico

    I deployer che sono organismi di diritto pubblico devono svolgere una FRIA per ogni sistema ad alto rischio dell’allegato III che impiegano, tranne il punto 2.

  • Enti privati che forniscono servizi pubblici

    Gli enti privati che forniscono servizi pubblici devono svolgere una FRIA per gli stessi sistemi.

  • Deployer di sistemi di merito creditizio e assicurativi

    Ogni deployer di un sistema che valuta il merito creditizio di persone fisiche o ne stabilisce il punteggio di credito (allegato III, punto 5, lettera b)), o che è usato per la valutazione del rischio e la determinazione dei prezzi nell’assicurazione vita e malattia (lettera c)), deve svolgere una FRIA. I sistemi usati solo per individuare frodi finanziarie non rientrano nella lettera b).

La FRIA copre sei elementi, poi si notifica l’autorità

  1. 1

    1. I vostri processi

    Descrivete i processi in cui userete il sistema, in linea con la sua finalità prevista (articolo 27(1), lettera a)).

  2. 2

    2. Periodo e frequenza d’uso

    Descrivete il periodo di tempo e la frequenza con cui è previsto l’uso di ciascun sistema (lettera b)).

  3. 3

    3. Persone interessate

    Individuate le categorie di persone fisiche e i gruppi che potrebbero essere interessati dall’uso nel contesto specifico (lettera c)).

  4. 4

    4. Rischi specifici di danno

    Individuate i rischi specifici di danno per tali categorie, tenendo conto delle informazioni fornite dal fornitore a norma dell’articolo 13 (lettera d)).

  5. 5

    5. Sorveglianza umana

    Descrivete come è attuata la sorveglianza umana, secondo le istruzioni per l’uso (lettera e)).

  6. 6

    6. Misure in caso di concretizzazione dei rischi

    Definite le misure da adottare se i rischi si concretizzano, compresi i dispositivi di governance interna e i meccanismi di reclamo (lettera f)).

  7. 7

    7. Notificare l’autorità

    Notificate i risultati all’autorità di vigilanza del mercato e presentate il modello compilato (articolo 27(3)). Nel caso di cui all’articolo 46(1), i deployer possono essere esentati da questa notifica.

La FRIA può essere riutilizzata, aggiornata e collegata a una DPIA

  • Riutilizzo e aggiornamenti

    L’obbligo si applica al primo uso del sistema. In casi analoghi il deployer può basarsi su FRIA già svolte o su valutazioni d’impatto esistenti realizzate dal fornitore. Se durante l’uso un elemento cambia o non è più aggiornato, il deployer deve adottare le misure necessarie per aggiornarlo (articolo 27(2)).

  • Collegamento con la valutazione d’impatto sulla protezione dei dati

    Se un obbligo dell’articolo 27 è già soddisfatto da una valutazione d’impatto sulla protezione dei dati a norma dell’articolo 35 del regolamento (UE) 2016/679 o dell’articolo 27 della direttiva (UE) 2016/680, la FRIA può rinviare a tale valutazione o includerne le parti pertinenti (articolo 27(4), come modificato dal regolamento (UE) 2026/1744). L’Ufficio per l’IA elabora un modello di questionario, anche sotto forma di strumento automatizzato, per aiutare i deployer a conformarsi (articolo 27(5)).

  • Anche le autorità pubbliche registrano gli esiti

    I deployer che sono autorità pubbliche registrano il proprio uso del sistema nella banca dati UE, compresa una sintesi degli esiti della FRIA (articolo 49(3) e allegato VIII, sezione C, punto 4). Per i punti 1, 6 e 7 dell’allegato III, nei settori delle attività di contrasto, della migrazione, dell’asilo e della gestione del controllo delle frontiere, la registrazione si trova in una sezione sicura non pubblica e omette tale sintesi (articolo 49(4)).

Come Scanara supporta la vostra FRIA

Scanara non decide se l’articolo 27 La riguarda e non notifica l’autorità. Entrambe le cose restano a Lei.

Valutazione FRIA guidata

Le domande seguono i sei elementi dell’articolo 27(1). Scanara redige il rapporto FRIA a partire dalle Sue risposte e crea una nuova versione quando un elemento cambia (articolo 27(2)).

Collegamento a una DPIA

Può collegare alla FRIA una DPIA approvata dello stesso sistema. La FRIA può poi rinviare a essa (articolo 27(4)).

Documento di notifica

Scanara esporta un documento per la notifica all’autorità di vigilanza del mercato (articolo 27(3)). L’invio lo effettua Lei.

Apra la demo di Scanara

Approfondimenti sulle norme collegate

Domande frequenti sulla FRIA

Una valutazione d’impatto GDPR sostituisce la FRIA?

No. Una valutazione d’impatto sulla protezione dei dati può fornire parti della FRIA, perché l’articolo 27(4) consente al deployer di rinviare a essa o di includerne le parti pertinenti, ma solo per gli obblighi dell’articolo 27 che già soddisfa. La FRIA deve comunque coprire ogni elemento dell’articolo 27(1).

Ogni quanto va aggiornata una FRIA?

L’articolo 27 non fissa un ciclo. L’obbligo si applica al primo uso di un sistema e il deployer deve aggiornare la FRIA se ritiene che un elemento sia cambiato o non sia più aggiornato (articolo 27(2)).

Cosa succede se un deployer omette la FRIA?

Omettere una FRIA obbligatoria viola il regolamento. L’articolo 99(4) elenca gli obblighi dei deployer dell’articolo 26, ma non quelli dell’articolo 27. Gli Stati membri stabiliscono le norme sulle sanzioni per qualsiasi violazione del regolamento (articolo 99(1)); verificate quindi le norme nazionali del vostro Stato membro. Quando l’Ufficio per l’IA è competente ai sensi dell’articolo 75(1), può infliggere le sanzioni di cui all’articolo 99(4) per la violazione di qualsiasi disposizione applicabile, comprese quelle non elencate nell’articolo 99(4) (articolo 75 quater(4), lettera a)).

La FRIA viene pubblicata?

Il deployer deve notificare i risultati all’autorità di vigilanza del mercato (articolo 27(3)). Quelli che sono autorità pubbliche registrano inoltre una sintesi degli esiti nella banca dati UE (articolo 49(3), allegato VIII, sezione C, punto 4). Il regolamento non obbliga gli altri deployer a pubblicare la propria FRIA.

Scanara prepara evidenze dai vostri repository

Scanara legge i vostri repository GitHub collegati ed esegue scansioni basate su regole per individuare pattern comuni di IA e machine learning. Può non rilevare il codice non standard. Separatamente genera bozze di documentazione a partire da modelli e dalle vostre risposte alle valutazioni, come evidenze per il vostro lavoro di conformità. La classificazione la decidete voi.