L’impresa che introduce un sistema di intelligenza artificiale deve svolgere una valutazione d’impatto sulla protezione dei dati, la DPIA, ogni volta che il trattamento presenta un rischio elevato per le persone, e deve farlo già oggi; la valutazione d’impatto sui diritti fondamentali, la FRIA, è invece un obbligo distinto, che scatta il 2 dicembre 2027 e riguarda soltanto gli organismi di diritto pubblico, i privati che erogano servizi pubblici e chi utilizza sistemi ad alto rischio per il merito creditizio delle persone fisiche o per la tariffazione delle assicurazioni sulla vita e sanitarie.
Confondere le due valutazioni è l’errore più diffuso in questa materia; produce, peraltro, due danni opposti. C’è chi rinvia la DPIA perché crede che il differimento degli obblighi sull’alto rischio la riguardi, e c’è chi si fa vendere una FRIA che non deve fare; nessuna delle due posizioni regge alla lettura dei testi.
Indice
- DPIA e FRIA hanno presupposti diversi
- Quando la DPIA è obbligatoria e che cosa deve contenere
- Chi deve fare la FRIA, e chi non la deve fare
- Il rapporto tra DPIA e FRIA
- Il rinvio del Digital Omnibus non tocca la DPIA
- Le decisioni automatizzate e il caso SCHUFA
- Che cosa devono verificare ora le imprese
- Domande frequenti
DPIA e FRIA hanno presupposti diversi
La DPIA nasce dal Regolamento generale sulla protezione dei dati e riguarda il trattamento dei dati personali; la FRIA nasce dall’AI Act e riguarda l’uso di uno specifico sistema di intelligenza artificiale classificato ad alto rischio. Cambiano l’oggetto, il presupposto, il soggetto obbligato e il momento dell’adempimento, sicché nessuna delle due può assorbire l’altra.
Il punto di partenza è lo stesso AI Act, che non sostituisce la disciplina sulla protezione dei dati e lo afferma espressamente. L’art. 2, § 7, stabilisce che «Il diritto dell’Unione in materia di protezione dei dati personali, della vita privata e della riservatezza delle comunicazioni si applica ai dati personali trattati in relazione ai diritti e agli obblighi stabiliti dal presente regolamento», e aggiunge che il regolamento «lascia impregiudicati» il GDPR.
La stessa logica ricorre negli obblighi degli utilizzatori professionali – che il regolamento definisce deployer –; l’art. 26, § 3, precisa che gli obblighi di uso conforme e di sorveglianza umana «lasciano impregiudicati gli altri obblighi dei deployer previsti dal diritto dell’Unione o nazionale», clausola da richiamare quando il cliente ritiene che l’AI Act esaurisca la materia.
Quando la DPIA è obbligatoria e che cosa deve contenere
La regola generale è contenuta nell’art. 35, § 1, del GDPR e presenta una struttura condizionale che va letta per intero. «Quando un tipo di trattamento, allorché prevede in particolare l’uso di nuove tecnologie, considerati la natura, l’oggetto, il contesto e le finalità del trattamento, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento effettua, prima di procedere al trattamento, una valutazione dell’impatto dei trattamenti previsti sulla protezione dei dati personali».
Due elementi richiedono particolare attenzione. Il primo è l’espresso riferimento alle nuove tecnologie, che impone di valutare con particolare attenzione l’introduzione di sistemi di intelligenza artificiale, senza tuttavia rendere la DPIA automaticamente obbligatoria per ogni loro utilizzo; il secondo riguarda il momento, poiché la valutazione va svolta prima di procedere al trattamento e non quando il sistema è già in produzione.
Il § 3 elenca le ipotesi nelle quali la DPIA è richiesta in particolare, e la prima riguarda proprio la profilazione algoritmica, ossia «una valutazione sistematica e globale di aspetti personali relativi a persone fisiche, basata su un trattamento automatizzato, compresa la profilazione, e sulla quale si fondano decisioni che hanno effetti giuridici o incidono in modo analogo significativamente su dette persone fisiche»; seguono il trattamento su larga scala di categorie particolari di dati e la sorveglianza sistematica su larga scala di una zona accessibile al pubblico.
Quanto al contenuto, il § 7 individua almeno quattro elementi; occorrono una descrizione sistematica dei trattamenti previsti e delle finalità, una valutazione della loro necessità e proporzionalità rispetto a tali finalità, una valutazione dei rischi per i diritti e le libertà degli interessati e, infine, le misure previste per affrontarli.
Nella pratica, proprio il secondo elemento viene spesso trascurato e può costare caro; valutare necessità e proporzionalità impone di dimostrare che il risultato non poteva essere raggiunto con uno strumento meno invasivo, il che richiede di mettere per iscritto le alternative scartate e le ragioni della scelta, ossia una documentazione che, se non viene prodotta quando si assume la decisione, difficilmente può essere ricostruita in seguito.
Chi deve fare la FRIA, e chi non la deve fare
Il perimetro soggettivo della FRIA è ristretto ed è definito letteralmente dall’art. 27, § 1, dell’AI Act; sono tenuti alla valutazione «i deployer che sono organismi di diritto pubblico o sono enti privati che forniscono servizi pubblici e i deployer di sistemi di IA ad alto rischio di cui all’allegato III, punto 5, lettere b) e c)».
Le due lettere richiamate individuano ambiti precisi; la lettera b) riguarda «i sistemi di IA destinati a essere utilizzati per valutare l’affidabilità creditizia delle persone fisiche o per stabilire il loro merito di credito, a eccezione dei sistemi di IA utilizzati allo scopo di individuare frodi finanziarie». La lettera c) riguarda «i sistemi di IA destinati a essere utilizzati per la valutazione dei rischi e la determinazione dei prezzi in relazione a persone fisiche nel caso di assicurazioni sulla vita e assicurazioni sanitarie».
Si badi all’eccezione contenuta nella lettera b), perché è quella che esclude gli strumenti antifrode delle banche; si badi inoltre al fatto – rilevante per delimitare il perimetro – che le assicurazioni interessate sono soltanto quelle sulla vita e quelle sanitarie. Restano fuori, fra l’altro, i sistemi dell’allegato III, punto 2, relativi alle infrastrutture critiche, che l’art. 27 esclude espressamente.
Va inoltre chiarita una nozione che genera frequenti equivoci in sede di qualificazione. «Organismo di diritto pubblico» non coincide con «ente pubblico», sicché società in house, fondazioni e consorzi devono essere verificati caso per caso secondo la nozione eurounitaria; anche un’impresa privata che gestisce in concessione un servizio pubblico può rientrarvi, sebbene la sua veste formale non lo suggerisca.
Per i soggetti tenuti a svolgerla, la valutazione deve essere effettuata prima del primo utilizzo del sistema di IA ad alto rischio, ferma la possibilità, nei casi analoghi, di basarsi su valutazioni precedenti proprie o del fornitore; il § 3 prevede un passaggio assente nella DPIA, poiché il deployer, conclusa la valutazione, ne notifica i risultati all’autorità di vigilanza del mercato presentando il modello compilato.
Il rapporto tra DPIA e FRIA
Il Digital Omnibus ha riscritto i paragrafi 4 e 5 dell’art. 27 in senso favorevole a chi ha già lavorato bene sul fronte della protezione dei dati; il nuovo § 4 consente al deployer, quando gli obblighi siano già rispettati mediante la DPIA, di «includere rimandi alle sezioni pertinenti di tale valutazione d’impatto sulla protezione dei dati o includerne parti pertinenti nella valutazione d’impatto sui diritti fondamentali».
È una previsione di economia documentale, da leggere anche per le sue implicazioni. Chi dispone di una DPIA seria, completa della mappatura dei trattamenti, dell’analisi dei rischi e delle misure adottate, può costruire la FRIA mediante rinvii; chi dispone di una DPIA di facciata dovrà ripetere l’analisi nel 2027, sotto la pressione della scadenza.
Il nuovo § 5 prevede inoltre un modello di questionario predisposto dall’ufficio per l’IA, anche mediante uno strumento automatizzato, destinato ad agevolare l’adempimento in forma semplificata; sotto questo profilo conviene attendere il modello prima di irrigidire le procedure interne, mentre l’analisi sostanziale può e deve essere svolta subito.
Il rinvio del Digital Omnibus non tocca la DPIA
Da mesi circola il messaggio che vi sia ancora tempo e, per una parte degli obblighi, è vero; il Regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026, ha differito l’applicazione del capo III al 2 dicembre 2027 per i sistemi ad alto rischio dell’allegato III e al 2 agosto 2028 per quelli dell’allegato I, mentre il rinvio è incondizionato e la FRIA dell’art. 27 segue quella decorrenza.
La DPIA, però, non appartiene all’AI Act. È un obbligo previsto dal GDPR fin dal 25 maggio 2018; non è stato interessato da alcun rinvio e non lo sarà, sicché l’impresa che oggi introduce un sistema di intelligenza artificiale con un impatto rilevante sulle persone deve svolgere la valutazione adesso, prima di attivarlo. Confondere le due date espone al rischio di una contestazione immediata del Garante per un adempimento che non è mai stato differito.
Del resto, la sequenza favorisce chi si muove per tempo; gli orientamenti della Commissione sono attesi al più tardi entro il 1° agosto 2027, sicché chi aspetterà quella data prima di cominciare avrà quattro mesi per arrivare alla scadenza di dicembre. Ne abbiamo scritto più diffusamente nell’analisi delle nuove decorrenze introdotte dal Digital Omnibus.
Le decisioni automatizzate e il caso SCHUFA
Esiste poi un terzo binario, spesso dimenticato, che nella pratica può produrre le conseguenze più immediate; l’art. 22, § 1, del GDPR riconosce all’interessato «il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona», salve le eccezioni del § 2.
La portata di questa disposizione è stata precisata dalla Corte di giustizia, Prima Sezione, con la sentenza del 7 dicembre 2023 nella causa C-634/21, nota come SCHUFA Holding, secondo cui lo scoring può costituire esso stesso una decisione automatizzata quando il punteggio svolge un ruolo determinante nella decisione del terzo; il dispositivo è netto e conviene conservarne la formulazione letterale, perché smentisce la difesa più comune, secondo la quale la decisione resta umana poiché il punteggio costituisce soltanto un elemento istruttorio.
Secondo la Corte, «il calcolo automatizzato, da parte di una società che fornisce informazioni commerciali, di un tasso di probabilità basato su dati personali relativi a una persona e riguardanti la capacità di quest’ultima di onorare in futuro gli impegni di pagamento costituisce un «processo decisionale automatizzato relativo alle persone fisiche», ai sensi di tale disposizione, qualora da tale tasso di probabilità dipenda in modo decisivo la stipula, l’esecuzione o la cessazione di un rapporto contrattuale con tale persona da parte di un terzo, al quale è comunicato tale tasso di probabilità».
Ne deriva una verifica pratica, valida per lo scoring creditizio come per i sistemi di allerta interna che incidono su persone fisiche. Se l’esito dipende in modo decisivo dall’output del sistema, la presenza formale di un operatore – che si limiti a ratificarlo – non basta a sottrarre la decisione all’art. 22, mentre la stessa circostanza costituisce al tempo stesso un indice particolarmente rilevante ai fini della necessità di una DPIA, soprattutto nelle ipotesi contemplate dall’art. 35, § 3, lettera a), del GDPR.
Che cosa devono verificare ora le imprese
Il lavoro comincia da un inventario dei sistemi che non si esaurisce in un elenco di software, poiché per ciascuno vanno annotati fornitore, finalità, dati trattati, tipo e modello, data di messa in servizio e ruolo dell’impresa; quella stessa tabella serve tanto alla qualificazione ai fini dell’AI Act quanto al registro dei trattamenti, sicché il tempo speso a costruirla non va perduto.
Sull’inventario si innesta la qualificazione del rischio, che va condotta sull’allegato III e non per impressione, ed è lì che si accerta se il sistema sia ad alto rischio, se rientri fra quelli che richiedono anche la FRIA e se comporti un trattamento automatizzato rilevante ai fini dell’art. 22 del GDPR. Dove i presupposti ricorrono si passa alla DPIA, condotta secondo i quattro elementi dell’art. 35, § 7, e redatta fin d’ora in modo da consentire i richiami della futura FRIA; conviene perciò numerare le sezioni e tenere distinta l’analisi dei rischi per i diritti fondamentali da quella dei rischi per i dati, poiché è la prima la sezione destinata a essere riutilizzata.
Il passaggio che più spesso fa slittare il calendario, però, non è tecnico ma contrattuale. Al fornitore vanno chieste le informazioni tecniche necessarie alla valutazione, l’impegno a comunicare le modifiche significative della progettazione e la documentazione sulla sorveglianza umana, atteso che senza questi dati la valutazione non può nemmeno essere impostata e l’impresa si trova a rispondere di scelte che non è in grado di ricostruire.
Resta la sorveglianza umana, che va affidata a persone individuate, formate e dotate dell’autorità necessaria per fermare il sistema. Le due discipline la guardano da angolature diverse e non conviene sovrapporle, poiché l’AI Act detta un vero e proprio regime di sorveglianza umana per i sistemi ad alto rischio, mentre il GDPR pone il problema dell’intervento umano effettivo soprattutto nel campo dell’art. 22. In entrambi i casi, comunque, una procedura che esista soltanto sulla carta è il difetto che emerge per primo durante una verifica.
Domande frequenti
La DPIA è obbligatoria per ogni impresa che usa l’intelligenza artificiale?
No. È obbligatoria quando il trattamento può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, considerati natura, oggetto, contesto e finalità. L’uso di nuove tecnologie è un indice espresso, non una presunzione assoluta, ma nella pratica un sistema che profila persone o incide sulle decisioni che le riguardano ricade quasi sempre nell’obbligo.
La mia azienda deve fare la FRIA?
Solo se è un organismo di diritto pubblico, un ente privato che fornisce servizi pubblici oppure un utilizzatore di sistemi ad alto rischio per il merito creditizio delle persone fisiche o per la tariffazione delle assicurazioni sulla vita e sanitarie. Fuori da questi casi la FRIA non è dovuta e, in ogni caso, l’obbligo decorre dal 2 dicembre 2027.
Il rinvio dell’AI Act al 2027 mi permette di rimandare anche la DPIA?
No. La DPIA deriva dal GDPR ed è dovuta da maggio 2018, mentre il differimento riguarda il capo III dell’AI Act e non gli obblighi in materia di protezione dei dati. Rinviare la DPIA sulla base di una decorrenza che non la riguarda espone a una contestazione immediata.
Se ho già una DPIA devo rifare tutto per la FRIA?
No, ed è proprio il caso in cui il lavoro già svolto produce risultati. Il nuovo art. 27, § 4, dell’AI Act consente di inserire nella FRIA rimandi alle sezioni pertinenti della DPIA o di incorporarne parti, purché la DPIA sia effettivamente strutturata e documentata.
Basta che la decisione finale la prenda una persona per evitare l’art. 22 del GDPR?
Non basta. Dopo la sentenza SCHUFA, quando l’esito del rapporto dipende in modo decisivo dall’output automatizzato, si è in presenza di un processo decisionale automatizzato anche se interviene formalmente un operatore. Conta il peso effettivo dell’output nella decisione, non la firma che la conclude.