FRIA e DPIA: le valutazioni d'impatto per i sistemi di IA

Per i sistemi più delicati la legge richiede due distinte valutazioni d'impatto: la DPIA del GDPR sulla protezione dei dati, la FRIA dell'AI Act sui diritti fondamentali. Iusprivacy.eu le costruisce in modo integrato.

Due valutazioni, una sola compliance

Quando un sistema di IA tratta dati personali ed è classificato come ad alto rischio, la tua azienda deve affrontare contemporaneamente due adempimenti distinti ma collegati. La Valutazione d'Impatto sulla Protezione dei Dati (DPIA, Data Protection Impact Assessment) prevista dall'articolo 35 del GDPR, e la Valutazione d'Impatto sui Diritti Fondamentali (FRIA, Fundamental Rights Impact Assessment) prevista dall'articolo 27 dell'AI Act. Sono valutazioni che condividono una filosofia comune — analizzare in anticipo i rischi di un sistema per le persone — ma hanno presupposti, contenuti e destinatari diversi.

Il considerando 96 dell'AI Act incoraggia esplicitamente l'integrazione delle due valutazioni quando entrambe si applicano allo stesso sistema, per evitare duplicazioni di sforzo e incoerenze. È l'approccio metodologico di iusprivacy.eu: un processo unico di valutazione che soddisfa simultaneamente entrambi gli obblighi e restituisce due documenti coerenti.

La DPIA: chi, quando, cosa

La DPIA è obbligatoria, ai sensi dell'articolo 35 GDPR, quando un trattamento di dati personali presenta un rischio elevato per i diritti e le libertà delle persone fisiche. Le Linee guida WP248 rev.01 individuano nove criteri che, se presenti in numero significativo, fanno presumere il rischio elevato: trattamento valutativo, decisioni automatizzate con effetti legali, monitoraggio sistematico, dati sensibili, dati su larga scala, incrocio di dataset, trattamento di soggetti vulnerabili, uso innovativo di tecnologie, impedimento all'esercizio di diritti. La maggior parte dei sistemi di IA che si incontrano nella pratica soddisfa più di un criterio, e quindi la DPIA è ordinariamente richiesta.

Il Garante per la protezione dei dati personali ha inoltre adottato un elenco dei trattamenti soggetti a DPIA obbligatoria (provvedimento dell'11 ottobre 2018, doc. web n. 9058979), che include esplicitamente trattamenti su larga scala basati su tecnologie innovative come l'IA. Quando la DPIA è obbligatoria, omettere di farla — o farla in modo carente — espone l'azienda a sanzioni significative (fino a 10 milioni di euro o al 2% del fatturato globale, art. 83 GDPR).

Il contenuto della DPIA è definito dall'art. 35, par. 7 GDPR: descrizione del trattamento e delle sue finalità, valutazione della necessità e proporzionalità, valutazione dei rischi per i diritti e le libertà degli interessati, misure previste per affrontare i rischi (garanzie, misure di sicurezza, meccanismi per assicurare la conformità). La DPIA va consultata con il DPO (se nominato) e, in caso di rischio residuo elevato, sottoposta al Garante per la consultazione preventiva.

La FRIA: l'innovazione dell'AI Act

La FRIA è una novità dell'AI Act e rappresenta una delle innovazioni concettualmente più importanti del Regolamento. Mentre la DPIA si concentra sul diritto alla protezione dei dati personali, la FRIA prende in considerazione tutti i diritti fondamentali potenzialmente coinvolti dall'uso di un sistema ad alto rischio: dignità, libertà di espressione, non discriminazione, diritto all'istruzione, diritto al lavoro, libertà professionale, eccetera.

L'articolo 27 AI Act prevede l'obbligo di FRIA per i deployer di sistemi ad alto rischio elencati nell'Allegato III, quando questi deployer sono organismi pubblici o soggetti privati che forniscono servizi pubblici, oppure deployer privati che usano sistemi nei settori della valutazione del merito creditizio e dei premi assicurativi (in materia sanitaria o di assicurazione sulla vita). L'obbligo si attiva con la piena applicabilità delle norme sui sistemi ad alto rischio dell'Allegato III, ovvero il 2 agosto 2026. Le aziende coinvolte hanno quindi alcuni mesi per prepararsi.

Il contenuto della FRIA è specificato dall'art. 27, par. 1: descrizione dei processi del deployer in cui il sistema sarà usato, descrizione del periodo di utilizzo e della frequenza, categorie di persone fisiche e gruppi potenzialmente colpiti, rischi specifici di pregiudizio per quelle persone, misure di supervisione umana, misure adottate qualora i rischi si materializzino (procedure di governance interna, meccanismi di reclamo). La FRIA va trasmessa all'autorità di vigilanza.

Come integriamo DPIA e FRIA

Di fronte a un sistema che richiede entrambe le valutazioni — situazione tipica per sistemi HR ad alto rischio che trattano dati personali — si costruisce un processo unico articolato in fasi che alimentano simultaneamente i due documenti. Si parte dall'analisi del sistema e del suo contesto d'uso, si individuano i dati personali trattati e le categorie di persone coinvolte (questo serve sia alla DPIA sia alla FRIA), si analizzano i rischi (per la DPIA in chiave di protezione dei dati, per la FRIA in chiave di diritti fondamentali più ampia), si valutano le misure di mitigazione (con possibili sovrapposizioni), si producono i due documenti coordinati.

Iusprivacy.eu utilizza per questa attività una metodologia consolidata, supportata dagli strumenti software della propria piattaforma (in particolare il modulo PIA/DPIA disponibile sul portale). I documenti finali rispettano la struttura prevista dalle norme, sono motivati su ogni passaggio rilevante, e sono mantenuti aggiornati nel tempo. Quando il sistema cambia — perché viene aggiornato dal fornitore, perché viene usato in un nuovo processo, perché cambiano le categorie di persone coinvolte — le valutazioni vengono riviste.

Lo staff dedicato alle valutazioni d'impatto

Il servizio di redazione delle valutazioni d'impatto è erogato dallo staff senior: i Maestri della Protezione dei Dati certificati iscritti all'albo dell'Istituto Italiano Privacy (Roberto Pagano, Emanuela D'Amico, Monica Riccobono), gli avvocati specializzati (Erika Marchesano per il diritto dei consumatori, Giovanni Pagano per il diritto civile e amministrativo), e le Privacy Specialist del team. Questa composizione consente di affrontare nello stesso documento gli aspetti tecnici e quelli giuridici, con il rigore richiesto da documenti che possono essere oggetto di scrutinio da parte del Garante o di altre autorità.