Cos'è la FRIA, e dobbiamo farla?
In breve
La FRIA (fundamental rights impact assessment, valutazione d'impatto sui diritti fondamentali) valuta come un sistema di AI ad alto rischio può incidere sui diritti fondamentali delle persone. Va fatta prima dell'uso da enti pubblici, da privati che forniscono servizi pubblici e da aziende che usano l'AI per valutare il merito creditizio delle persone o per fissare i prezzi di assicurazioni vita e malattia. Descrive l'uso, chi è coinvolto, i rischi, la sorveglianza umana e cosa fai se qualcosa va storto. Dopo il Digital Omnibus può basarsi sulla tua DPIA.
Chi deve fare una FRIA?
| Deployer | FRIA? |
|---|---|
| Enti pubblici che usano AI ad alto rischio | Sì |
| Privati che forniscono servizi pubblici (per esempio per conto di un comune) | Sì |
| Banche e finanziarie che valutano il merito creditizio delle persone con l'AI | Sì |
| Compagnie assicurative che fissano i prezzi di polizze vita e malattia con l'AI | Sì |
| Un'azienda privata che usa l'AI nella selezione del personale | No, ma di solito serve una DPIA |
FRIA e DPIA in un unico flusso di lavoro
Visto che le due valutazioni si sovrappongono, ha senso farle insieme. GoalCube ha una bozza di DPIA, che si compila con gli usi dell'AI del tuo registro e può servire come base per una FRIA.
Come fare
- Descrivi l'uso.In quale processo, per quanto tempo e con quale frequenza si usa l'AI.
- Descrivi le persone coinvolte.Quali gruppi di persone ne sono toccati.
- Individua i rischi.Per esempio discriminazione, errori nelle decisioni, impossibilità di presentare reclamo.
- Descrivi la sorveglianza.Chi esercita la sorveglianza umana, e come.
- Descrivi le misure in caso di errore.Reclami, governance interna e cosa succede quando emergono i rischi.
- Informa l'autorità.Il risultato va comunicato all'autorità di vigilanza del mercato con il suo modello.
Cosa dice la legge
- Art. 27 dell'AI Act – valutazione d'impatto sui diritti fondamentali
- Si applica insieme alle regole sull'alto rischio, cioè dal 2 dicembre 2027 per l'allegato III.
- Regolamento (UE) 2026/1744 – Omnibus digitale sull'IA
- La FRIA può rinviare a parti di una DPIA o integrarle; l'ufficio per l'IA predispone un modello.
- Art. 35 GDPR – DPIA
- Valutazione d'impatto sulla protezione dei dati.
Domande e risposte
Un'azienda privata deve fare una FRIA per la selezione del personale?
Non ai sensi dell'art. 27, a meno che tu fornisca servizi pubblici. Ma di solito devi fare una DPIA ai sensi del GDPR.
Che differenza c'è tra FRIA e DPIA?
La DPIA riguarda i dati personali. La FRIA riguarda tutti i diritti fondamentali, per esempio la non discriminazione e l'accesso ai servizi. Si sovrappongono, e la FRIA può basarsi sulla DPIA.
Quando deve essere pronta la FRIA?
Prima di mettere in uso l'AI ad alto rischio: per l'allegato III dal 2 dicembre 2027.
Fonti
A cura di Redazione GoalCube. Ultimo aggiornamento 11 ottobre 2026. GoalCube ti aiuta a rispettare l’AI Act e il GDPR. Non è consulenza legale.
Sii tra i primi.
Prevediamo di partire a novembre 2026. Iscriviti e ti scriveremo quando potrai iniziare.