Introduzione: un obbligo che ricade su chi utilizza l’IA ad alto rischio
L’articolo 27 del regolamento (UE) 2024/1689, noto come AI Act, impone a determinati deployer di sistemi di intelligenza artificiale ad alto rischio di valutare l’impatto del loro utilizzo sui diritti fondamentali. L’obbligo riguarda l’organizzazione che impiega il sistema nel proprio contesto operativo, non soltanto chi lo ha sviluppato o fornito.
La valutazione d’impatto sui diritti fondamentali, o FRIA (Fundamental Rights Impact Assessment), è uno strumento preventivo: serve a identificare prima del primo utilizzo le persone e i gruppi che potrebbero essere coinvolti, i rischi specifici e le misure da adottare. Non è una valutazione generica del prodotto: deve considerare il modo concreto in cui l’organizzazione intende usare il sistema e le procedure nelle quali lo inserisce.
Quadro giuridico e ambito di applicazione
L’articolo 27 riguarda i sistemi di IA ad alto rischio di cui all’articolo 6, paragrafo 2, con un’esclusione espressa per i sistemi destinati a essere utilizzati nel settore delle infrastrutture critiche indicato nell’allegato III, punto 2. L’obbligo si applica prima del loro impiego ai deployer che sono organismi di diritto pubblico e alle entità private che forniscono servizi pubblici.
L’obbligo si applica inoltre ai deployer di sistemi ad alto rischio impiegati per la valutazione del merito creditizio delle persone fisiche e per la valutazione del rischio e la determinazione dei prezzi in relazione all’assicurazione sulla vita e sull’assicurazione malattia, come indicato all’allegato III, punto 5, lettere b) e c). La formulazione dell’articolo non estende la FRIA a tutti i deployer di qualsiasi sistema elencato nell’allegato III: occorre verificare sia la categoria d’uso sia il profilo del deployer.
Chi deve svolgere la FRIA ai sensi dell’articolo 27
La tabella riassume i profili di deployer e gli utilizzi coperti dalla disposizione, compresa l’eccezione relativa alle infrastrutture critiche.
| Profilo del deployer | Sistemi o utilizzi interessati |
|---|---|
| Organismo di diritto pubblico | Sistemi ad alto rischio di cui all’articolo 6, paragrafo 2, salvo quelli destinati al settore dell’allegato III, punto 2 |
| Entità privata che fornisce servizi pubblici | Sistemi ad alto rischio di cui all’articolo 6, paragrafo 2, salvo quelli destinati al settore dell’allegato III, punto 2 |
| Deployer di sistemi ad alto rischio | Sistemi per la valutazione del merito creditizio e per l’assicurazione sulla vita o malattia di cui all’allegato III, punto 5, lettere b) e c) |
Contenuto minimo della valutazione d’impatto
L’articolo 27, paragrafo 1, specifica sei elementi che la FRIA deve includere. Sono requisiti legali, non soltanto suggerimenti per una valutazione più completa. L’analisi deve basarsi sulle informazioni fornite dal fornitore ai sensi dell’articolo 13, ma deve riferirsi al contesto in cui il deployer utilizzerà il sistema.
Una descrizione astratta dei possibili rischi non basta. Occorre documentare i processi interessati, la durata e la frequenza previste, le categorie di persone che potrebbero subire gli effetti dell’utilizzo, i rischi specifici per tali categorie, l’applicazione della supervisione umana e le misure previste qualora i rischi si concretizzino.
I sei elementi richiesti dall’articolo 27, paragrafo 1
La FRIA deve trattare ciascuno degli elementi elencati dalla norma, adattandoli al contesto d’uso concreto.
- 01Descrivere i processi del deployer nei quali sarà utilizzato il sistema, in linea con la finalità prevista.
- 02Indicare il periodo per il quale si prevede di utilizzare il sistema e la frequenza d’uso prevista.
- 03Identificare le categorie di persone fisiche e i gruppi che potrebbero essere interessati nel contesto specifico.
- 04Descrivere i rischi specifici di danno per le persone e i gruppi identificati, tenendo conto delle informazioni ricevute dal fornitore ai sensi dell’articolo 13.
- 05Descrivere come saranno applicate le misure di supervisione umana, conformemente alle istruzioni per l’uso.
- 06Definire le misure da adottare se i rischi si concretizzano, compresi gli accordi di governance interna e i meccanismi di reclamo.
FRIA, gestione dei rischi del fornitore e supervisione umana
La FRIA del deployer non va confusa con il sistema di gestione dei rischi del fornitore previsto dall’articolo 9. Quest’ultimo riguarda i rischi del sistema di IA e la loro gestione durante il ciclo di vita. L’articolo 27 sposta l’attenzione sull’impatto dell’impiego previsto dall’organizzazione: chi potrebbe esserne coinvolto, in quale processo e con quali possibili conseguenze sui diritti fondamentali.
La supervisione umana è uno degli elementi esplicitamente richiesti nella FRIA. Il deployer deve descrivere come la applicherà nel proprio contesto, attenendosi alle istruzioni per l’uso. Questo requisito collega la valutazione all’uso effettivo del sistema, ma non equivale, da solo, a dimostrare che la supervisione sia efficace o che ogni rischio sia stato eliminato. La valutazione deve anche indicare cosa farà l’organizzazione se un rischio si materializza.
Articolo 9 e articolo 27: responsabilità diverse
Confronto sintetico tra la gestione dei rischi del fornitore e la valutazione d’impatto richiesta ad alcuni deployer.
| Criterio | Articolo 9: fornitore | Articolo 27: deployer |
|---|---|---|
| Responsabile | Fornitore del sistema di IA | Deployer che rientra nei profili obbligati |
| Oggetto | Gestione dei rischi del sistema di IA | Impatto sui diritti fondamentali nel contesto d’uso del deployer |
| Momento | Processo di gestione dei rischi relativo al ciclo di vita del sistema | Prima del primo utilizzo; aggiornamento delle informazioni se gli elementi valutati cambiano o non sono più attuali |
| Elementi documentati | Identificazione, analisi, valutazione e mitigazione dei rischi del sistema secondo gli obblighi applicabili | Processi, durata e frequenza, persone interessate, rischi specifici, supervisione umana e misure in caso di concretizzazione dei rischi |
| Relazione reciproca | Fornisce informazioni sul sistema, comprese quelle pertinenti ai sensi dell’articolo 13 | Considera tali informazioni, ma valuta autonomamente il proprio specifico contesto d’uso |
Attuazione pratica, aggiornamenti e documentazione
L’obbligo si applica al primo utilizzo del sistema. Nei casi simili, il deployer può basarsi su valutazioni d’impatto sui diritti fondamentali svolte in precedenza o su valutazioni d’impatto esistenti effettuate dal fornitore. Questa possibilità non elimina l’obbligo di verificare che la valutazione sia pertinente al contesto specifico e che gli elementi richiesti siano coperti.
Durante l’uso, se il deployer ritiene che uno degli elementi elencati nell’articolo 27, paragrafo 1, sia cambiato o non sia più aggiornato, deve adottare le misure necessarie per aggiornare le informazioni. Una procedura interna dovrebbe quindi indicare chi controlla i cambiamenti rilevanti, come vengono registrati e quando la valutazione deve essere rivista. La norma richiede l’aggiornamento delle informazioni in tali circostanze; non definisce una cadenza periodica universale.
Dopo aver svolto la valutazione, il deployer deve comunicarne i risultati all’autorità di vigilanza del mercato, presentando il modello compilato previsto dall’articolo 27, paragrafo 5. L’articolo 46, paragrafo 1, contempla un caso in cui i deployer possono essere esentati dall’obbligo di notifica. La Commissione europea, attraverso l’Ufficio per l’IA, deve elaborare un modello di questionario, anche tramite uno strumento automatizzato, per agevolare l’adempimento. Poiché il testo normativo prevede la predisposizione del modello, non è opportuno presumere che una specifica versione o procedura operativa sia già disponibile senza verificarlo.
Sanzioni e conseguenze della mancata conformità
L’articolo 99 stabilisce il regime sanzionatorio dell’AI Act. Tra le violazioni che possono comportare sanzioni rientrano quelle degli obblighi dei deployer previsti dall’articolo 26; l’articolo 27 stabilisce un distinto obbligo di valutazione e notifica, ma i dettagli sanzionatori vanno verificati sul testo applicabile dell’articolo 99 e sulla disposizione violata. Non è quindi corretto attribuire automaticamente una specifica fascia di multa alla sola mancata documentazione della FRIA senza verificare la base giuridica pertinente.
Il regime generale contempla, per determinate violazioni degli obblighi applicabili agli operatori, sanzioni fino a 15 milioni di euro o al 3% del fatturato mondiale annuo, a seconda di quale importo sia maggiore. Per le PMI e le start-up si applica il minore tra l’importo fisso e la percentuale prevista. L’applicazione concreta dipende dalla classificazione giuridica della violazione, dalle circostanze e dalle regole pertinenti: il massimale generale non va presentato come una multa automatica per ogni carenza nella FRIA.
Limiti interpretativi e checklist operativa
L’articolo 27 stabilisce chi deve effettuare la valutazione e quali elementi includere, ma non prescrive un formato dettagliato né una periodicità generale di riesame. Prevede invece un modello di questionario predisposto dall’Ufficio per l’IA. Inoltre, la possibilità di coordinare la FRIA con una valutazione d’impatto sulla protezione dei dati non elimina la necessità di coprire i requisiti specifici sui diritti fondamentali.
Una checklist interna può aiutare a trasformare questi requisiti in un processo verificabile. È essenziale distinguere gli obblighi direttamente previsti dalla norma dalle misure organizzative raccomandate: per esempio, l’articolo impone l’aggiornamento quando gli elementi valutati cambiano o non sono più attuali, mentre stabilire un calendario di riesame o assegnare responsabilità interne dettagliate sono scelte operative utili, non intervalli o ruoli fissati dal testo dell’articolo 27.
Checklist per applicare l’articolo 27
I primi passaggi verificano i presupposti legali; quelli successivi organizzano l’esecuzione e la conservazione delle evidenze.
- 01Verificare che il sistema rientri tra quelli ad alto rischio contemplati dall’articolo 6, paragrafo 2.
- 02Controllare se il deployer è un organismo di diritto pubblico, un’entità privata che fornisce servizi pubblici oppure un deployer degli utilizzi indicati nell’allegato III, punto 5, lettere b) e c).
- 03Verificare l’esclusione per i sistemi destinati al settore delle infrastrutture critiche dell’allegato III, punto 2, quando il deployer rientra nei profili dell’articolo 27, paragrafo 1.
- 04Prima del primo utilizzo, documentare tutti e sei gli elementi richiesti dall’articolo 27, paragrafo 1.
- 05Considerare le informazioni fornite dal fornitore ai sensi dell’articolo 13 e descrivere le misure di supervisione umana conformemente alle istruzioni per l’uso.
- 06Definire le misure da adottare in caso di concretizzazione dei rischi, incluse governance interna e procedure di reclamo.
- 07Comunicare i risultati all’autorità di vigilanza del mercato con il modello previsto, salvo l’eventuale esenzione dell’articolo 46, paragrafo 1.
- 08Aggiornare le informazioni se un elemento valutato cambia o non è più attuale; come buona pratica, assegnare responsabilità interne e conservare una traccia delle modifiche e delle decisioni.
- 09Se esiste una valutazione d’impatto sulla protezione dei dati, usare riferimenti incrociati o riprendere le parti pertinenti senza presumere che sostituisca la FRIA.
Questioni aperte
- L’articolo 27 prevede che l’Ufficio per l’IA elabori un modello di questionario, anche automatizzato; la disponibilità e le modalità della versione operativa devono essere verificate al momento dell’uso.
- La norma non stabilisce un intervallo periodico generale per il riesame: richiede di aggiornare le informazioni quando gli elementi valutati cambiano o non sono più attuali.
- Il rapporto tra gli obblighi dell’articolo 27 e le singole fasce sanzionatorie deve essere valutato sulla base del testo applicabile dell’articolo 99 e della specifica condotta contestata; non è possibile dedurre una multa automatica dal solo obbligo di FRIA.
Continua a esplorare
Fonti consultate
Correzioni e trasparenza
Se trovi un dato errato o non aggiornato, inviaci la pagina e la fonte da verificare.
Proponi una correzione