Articolo 27: valutazione d'impatto sui diritti fondamentali
Articolo 27 del regolamento sull’IA: quali deployer devono svolgere una valutazione d’impatto sui diritti fondamentali, che cosa copre, quando è dovuta e come notificare l’autorità.
Alcuni deployer di sistemi di IA ad alto rischio devono svolgere una valutazione d’impatto sui diritti fondamentali (FRIA) prima del primo uso (articolo 27).
Riguarda gli organismi di diritto pubblico e gli enti privati che forniscono servizi pubblici. Riguarda anche i deployer di sistemi di valutazione del merito creditizio o di assicurazione vita e malattia (allegato III, punto 5, lettere b) e c)). I sistemi per le infrastrutture critiche (allegato III, punto 2) sono esclusi. L’obbligo si applica dal 2 dicembre 2027. I deployer notificano poi i risultati all’autorità di vigilanza del mercato. L’articolo 99(4) non cita l’articolo 27; le sanzioni dipendono quindi dalle norme nazionali o dall’Ufficio per l’IA (articolo 99(1), articolo 75 quater). Per prima cosa, verificate se rientrate in questo elenco.
Chi deve svolgere una FRIA
L’articolo 27 riguarda i sistemi ad alto rischio dell’articolo 6(2), cioè la via dell’allegato III, tranne l’allegato III, punto 2 (infrastrutture critiche). Non riguarda i sistemi dell’allegato I. Tre gruppi di deployer devono svolgere la valutazione.
Organismi di diritto pubblico
I deployer che sono organismi di diritto pubblico devono svolgere una FRIA per ogni sistema ad alto rischio dell’allegato III che impiegano, tranne il punto 2.
Enti privati che forniscono servizi pubblici
Gli enti privati che forniscono servizi pubblici devono svolgere una FRIA per gli stessi sistemi.
Deployer di sistemi di merito creditizio e assicurativi
Ogni deployer di un sistema che valuta il merito creditizio di persone fisiche o ne stabilisce il punteggio di credito (allegato III, punto 5, lettera b)), o che è usato per la valutazione del rischio e la determinazione dei prezzi nell’assicurazione vita e malattia (lettera c)), deve svolgere una FRIA. I sistemi usati solo per individuare frodi finanziarie non rientrano nella lettera b).
La FRIA copre sei elementi, poi si notifica l’autorità
1. I vostri processi
Descrivete i processi in cui userete il sistema, in linea con la sua finalità prevista (articolo 27(1), lettera a)).
2. Periodo e frequenza d’uso
Descrivete il periodo di tempo e la frequenza con cui è previsto l’uso di ciascun sistema (lettera b)).
3. Persone interessate
Individuate le categorie di persone fisiche e i gruppi che potrebbero essere interessati dall’uso nel contesto specifico (lettera c)).
4. Rischi specifici di danno
Individuate i rischi specifici di danno per tali categorie, tenendo conto delle informazioni fornite dal fornitore a norma dell’articolo 13 (lettera d)).
5. Sorveglianza umana
Descrivete come è attuata la sorveglianza umana, secondo le istruzioni per l’uso (lettera e)).
6. Misure in caso di concretizzazione dei rischi
Definite le misure da adottare se i rischi si concretizzano, compresi i dispositivi di governance interna e i meccanismi di reclamo (lettera f)).
7. Notificare l’autorità
Notificate i risultati all’autorità di vigilanza del mercato e presentate il modello compilato (articolo 27(3)). Nel caso di cui all’articolo 46(1), i deployer possono essere esentati da questa notifica.
La FRIA è dovuta prima del primo uso e resta aggiornata
Riutilizzo e aggiornamenti
L’obbligo si applica al primo uso del sistema. In casi analoghi il deployer può basarsi su FRIA già svolte o su valutazioni d’impatto esistenti realizzate dal fornitore. Se durante l’uso un elemento cambia o non è più aggiornato, il deployer deve adottare le misure necessarie per aggiornarlo (articolo 27(2)).
Collegamento con la valutazione d’impatto sulla protezione dei dati
Se un obbligo dell’articolo 27 è già soddisfatto da una valutazione d’impatto sulla protezione dei dati a norma dell’articolo 35 del regolamento (UE) 2016/679 o dell’articolo 27 della direttiva (UE) 2016/680, la FRIA può rinviare a tale valutazione o includerne le parti pertinenti (articolo 27(4), come modificato dal regolamento (UE) 2026/1744). L’Ufficio per l’IA elabora un modello di questionario, anche sotto forma di strumento automatizzato, per aiutare i deployer a conformarsi (articolo 27(5)).
Anche le autorità pubbliche registrano gli esiti
I deployer che sono autorità pubbliche registrano il proprio uso del sistema nella banca dati UE, compresa una sintesi degli esiti della FRIA (articolo 49(3) e allegato VIII, sezione C, punto 4). Per i punti 1, 6 e 7 dell’allegato III, nei settori delle attività di contrasto, della migrazione, dell’asilo e della gestione del controllo delle frontiere, la registrazione si trova in una sezione sicura non pubblica e omette tale sintesi (articolo 49(4)).
Come Scanara supporta la vostra FRIA
Scanara esegue una valutazione FRIA guidata che struttura i sei elementi e redige il rapporto FRIA a partire dalle vostre risposte. Una valutazione d’impatto sulla protezione dei dati collegata può fornire rinvii. Voi decidete se siete interessati, completate il contenuto e notificate voi stessi l’autorità.
Domande frequenti sulla FRIA
Una valutazione d’impatto GDPR sostituisce la FRIA?
No. Una valutazione d’impatto sulla protezione dei dati può fornire parti della FRIA, perché l’articolo 27(4) consente al deployer di rinviare a essa o di includerne le parti pertinenti, ma solo per gli obblighi dell’articolo 27 che già soddisfa. La FRIA deve comunque coprire ogni elemento dell’articolo 27(1).
Ogni quanto va aggiornata una FRIA?
L’articolo 27 non fissa un ciclo. L’obbligo si applica al primo uso di un sistema e il deployer deve aggiornare la FRIA se ritiene che un elemento sia cambiato o non sia più aggiornato (articolo 27(2)).
Cosa succede se un deployer omette la FRIA?
Omettere una FRIA obbligatoria viola il regolamento. L’articolo 99(4) elenca gli obblighi dei deployer dell’articolo 26, ma non quelli dell’articolo 27. Gli Stati membri stabiliscono le norme sulle sanzioni per qualsiasi violazione del regolamento (articolo 99(1)); verificate quindi le norme nazionali del vostro Stato membro. Quando l’Ufficio per l’IA è competente ai sensi dell’articolo 75(1), può infliggere le sanzioni di cui all’articolo 99(4) per la violazione di qualsiasi disposizione applicabile, comprese quelle non elencate nell’articolo 99(4) (articolo 75 quater(4), lettera a)).
La FRIA viene pubblicata?
Il deployer deve notificare i risultati all’autorità di vigilanza del mercato (articolo 27(3)). Quelli che sono autorità pubbliche registrano inoltre una sintesi degli esiti nella banca dati UE (articolo 49(3), allegato VIII, sezione C, punto 4). Il regolamento non obbliga gli altri deployer a pubblicare la propria FRIA.
Di più sulle norme collegate
Articolo 26: obblighi dei deployer
Illustra gli 11 obblighi che si applicano a ogni deployer di un sistema di IA ad alto rischio.
Articolo 6: quando un sistema di IA è ad alto rischio
Spiega come stabilire se il vostro sistema è ad alto rischio, il che decide se l’articolo 27 può applicarsi.
Regolamento sull’IA e GDPR a confronto
Confronta il regolamento sull’IA e il GDPR, compreso dove la valutazione d’impatto sulla protezione dei dati e la FRIA si sovrappongono.
Scanara prepara evidenze dai vostri repository
Scanara legge i vostri repository GitHub collegati ed esegue scansioni basate su regole per individuare pattern comuni di IA e machine learning. Può non rilevare il codice non standard. Separatamente genera bozze di documentazione a partire da modelli e dalle vostre risposte alle valutazioni, come evidenze per il vostro lavoro di conformità. La classificazione la decidete voi.