Valutazione d'impatto sui diritti fondamentali: a chi si applica l'articolo 27

La valutazione d'impatto sui diritti fondamentali — in inglese fundamental rights impact assessment, da cui la sigla FRIA — compare spesso negli elenchi di documenti che un'impresa dovrebbe avere. Il paragrafo 1 dell'articolo 27 comincia però dicendo chi la deve fare, e l'elenco è più corto di quanto quegli elenchi lascino intendere.

A chi si applica

Prima di mettere in servizio un sistema ad alto rischio ai sensi dell'articolo 6(2), la valutazione è a carico di:

• organismi di diritto pubblico;
• soggetti privati che erogano servizi pubblici;
• chi utilizza i sistemi indicati ai punti 5(b) e 5(c) dell'Allegato III, cioè quelli destinati a valutare l'affidabilità creditizia di persone fisiche o a stabilirne il punteggio di credito — esclusi i sistemi usati per rilevare frodi finanziarie — e quelli destinati alla valutazione del rischio e alla determinazione dei prezzi per le assicurazioni sulla vita e sulla salute.

Il paragrafo 1 porta anche un'esclusione: restano fuori i sistemi ad alto rischio destinati a essere usati nell'area del punto 2 dell'Allegato III, le infrastrutture critiche.

Un'impresa che classifica un proprio sistema come ad alto rischio non rientra dunque, per ciò solo, fra i soggetti tenuti alla valutazione. Cosa il regolamento chieda in quel caso a chi utilizza sta nell'articolo 26, riportato in Chi sorveglia il sistema.

Che cosa contiene

Il paragrafo 1 elenca sei elementi: la descrizione dei processi in cui il sistema sarà usato conformemente alla finalità prevista; il periodo e la frequenza d'uso previsti; le categorie di persone e di gruppi verosimilmente interessati; i rischi specifici di danno per quelle categorie, tenuto conto delle informazioni fornite dal fornitore ai sensi dell'articolo 13; la descrizione delle misure di sorveglianza umana attuate secondo le istruzioni per l'uso; le misure da adottare se quei rischi si concretizzano, comprese le modalità di governance interna e i meccanismi di reclamo.

Quando, e che cosa ne segue

L'obbligo riguarda il primo utilizzo del sistema. In casi simili chi utilizza può basarsi su valutazioni già svolte, anche condotte dal fornitore; se nel corso dell'uso uno degli elementi cambia o non è più aggiornato, va aggiornata (paragrafo 2).

Una volta svolta, i risultati vanno notificati all'autorità di vigilanza del mercato, trasmettendo il modello compilato di cui al paragrafo 5; nel caso previsto dall'articolo 46(1) chi utilizza può essere esentato dall'obbligo di notifica (paragrafo 3).

Il paragrafo 5 prevede che l'ufficio per l'AI elabori un modello di questionario, anche attraverso uno strumento automatizzato, per agevolare l'adempimento in forma semplificata.

Il rapporto con la valutazione sulla protezione dei dati

È il punto che viene riassunto più spesso in modo impreciso. Il paragrafo 4 dispone che, se uno degli obblighi dell'articolo 27 è già assolto attraverso la valutazione d'impatto sulla protezione dei dati svolta ai sensi dell'articolo 35 del GDPR o dell'articolo 27 della direttiva (UE) 2016/680, la valutazione d'impatto sui diritti fondamentali integra quella valutazione.

Integrare non è sostituire: il testo dice che la seconda si aggiunge alla prima completandola, non che la prima esonera dalla seconda.

Da quando

Gli obblighi relativi ai sistemi dell'Allegato III seguono il calendario di attuazione pubblicato dalla Commissione, che tiene conto del regolamento di semplificazione del 27 luglio 2026: le date, con le due che circolano sbagliate, stanno in Il calendario dell'AI Act.

Un avvertimento sulla fonte

La pagina della Commissione dedicata all'articolo 27 riporta un avviso: la disposizione è stata modificata dal Digital Omnibus e il testo mostrato non è ancora aggiornato a quelle modifiche. Per il testo vigente vale il consolidato su EUR-Lex, citato in fondo.