Nel precedente Editoriale del 5 marzo 2026 abbiamo inaugurato il nostro percorso di approfondimento sulla Valutazione d’Impatto sui Diritti Fondamentali (FRIA), un adempimento cruciale introdotto dall’AI Act che diventerà pienamente obbligatorio a partire dal 2 agosto 2026, salvo variazioni apportate dal Digital Omnibus.
Abbiamo chiarito la profonda interconnessione e complementarità tra la FRIA e la DPIA (Valutazione d’impatto sulla protezione dei dati): se quest’ultima si concentra sui rischi derivanti dal trattamento dei dati personali previsti dal GDPR, la FRIA allarga l’orizzonte all’impatto sociale, etico e giuridico che l’implementazione del sistema IA genera nel mondo reale.
In quel contesto, abbiamo esplorato la necessità di adottare metodologie granulari come la FRAIA (Fundamental Rights and Algorithms Impact Assessment) per analizzare il funzionamento profondo dell’algoritmo (input, throughput e output), evidenziando il ruolo di cerniera dei DPO e dei team multidisciplinari.
Sono tenuti all’adempimento alcune categorie di deployer (come PA, banche e assicurazioni), mentre le condizioni di esenzione per i sistemi ad alto rischio (il cosiddetto “filtro”) vanno applicate in modo restrittivo; rimane ferma la necessità di un aggiornamento continuo della valutazione.
Riprendendo il filo di questa analisi, questa seconda puntata si addentra nel cuore operativo e contenutistico della FRIA.
In questo nuovo approfondimento illustreremo come strutturare questa analisi preliminare per poi tradurre il concetto astratto di “diritti fondamentali” in una griglia di valutazione operativa.
Infine, per calare la teoria nella pratica aziendale e istituzionale, presenteremo una serie di esempi concreti elaborati dall’Agenzia dell’UE per i Diritti Fondamentali (FRA).
Soggetti obbligati alla FRIA
Secondo l’AI Act, l’obbligo di condurre una Valutazione d’Impatto sui Diritti Fondamentali (FRIA) ai sensi dell’Articolo 27 non si applica indiscriminatamente a chiunque utilizzi l’IA, ma è strettamente limitato a specifiche categorie di utilizzatori (deployers) di sistemi di Intelligenza Artificiale ad alto rischio elencati nell’Allegato III dell’AI Act (con l’eccezione dei sistemi impiegati nel settore delle infrastrutture critiche).
Nello specifico, l’obbligo ricade su:
- Enti di diritto pubblico (pubbliche amministrazioni e autorità).
- Entità private che forniscono servizi pubblici essenziali.
- Entità bancarie e finanziarie, qualora utilizzino sistemi IA per valutare il merito creditizio o per stabilire il punteggio di credito di persone fisiche (con l’eccezione dei sistemi destinati esclusivamente al rilevamento di frodi finanziarie).
- Compagnie assicurative, qualora utilizzino sistemi IA per la valutazione del rischio e la determinazione dei prezzi nel ramo vita e salute.
