Intelligenza artificiale: cos’è la valutazione d’impatto sui diritti fondamentali per i sistemi ad alto rischio (art. 27 AI Act)

Si tratta di un istituto distinto dalla valutazione d’impatto sulla protezione dei dati (DPIA) prevista dal Regolamento (UE) 2016/679 – GDPR, art. 35, ma con essa complementare, poiché entrambe mirano a prevenire danni a diritti e libertà fondamentali delle persone fisiche.

1. Cos’è la valutazione d’impatto ex art. 27 AI Act

La Fundamental Rights Impact Assessment (FRIA) o Valutazione d’Impatto ex art. 27 AI Act è una valutazione documentata e preventiva che i deployer (gli utilizzatori dei sistemi di IA) devono effettuare prima dell’uso del sistema.
L’obiettivo è individuare, analizzare e mitigare i potenziali rischi per i diritti fondamentali riconosciuti dalla Carta dei diritti fondamentali dell’Unione Europea, inclusi la dignità, la privacy, la non discriminazione, la libertà di espressione e il diritto al lavoro.
La valutazione deve prendere in considerazione:

• la natura e le finalità del sistema di IA;
• il contesto d’uso (ambito pubblico o privato);
• le categorie di persone interessate e l’eventuale presenza di soggetti vulnerabili;
• gli effetti potenziali sull’esercizio dei diritti fondamentali e le misure di mitigazione previste.

3. Quando la Valutazione di Impatto ex art. 27 AI Act è obbligatoria?

Prima di utilizzare un sistema di IA ad alto rischio – come definito dall’articolo 6, paragrafo 2, AI Act – ad eccezione dei sistemi di IA ad alto rischio destinati a essere usati nei settori elencati nell’allegato III, punto 2 (“2. Infrastrutture critiche: i sistemi di IA destinati a essere utilizzati come componenti di sicurezza nella gestione e nel funzionamento delle infrastrutture digitali critiche, del traffico stradale o nella fornitura di acqua, gas, riscaldamento o elettricità”) i deployer devono procedere con una specifica verifica.

In particolare, i deployer che sono organismi di diritto pubblico o sono enti privati che forniscono servizi pubblici e i deployer di sistemi di IA ad alto rischio di cui all’allegato III, punto 5, lettera b (“sistemi di IA destinati a essere utilizzati per valutare l’affidabilità creditizia delle persone fisiche o per stabilire il loro merito di credito, a eccezione dei sistemi di IA utilizzati allo scopo di individuare frodi finanziarie”) e lettera c (“sistemi di IA destinati a essere utilizzati per la valutazione dei rischi e la determinazione dei prezzi in relazione a persone fisiche nel caso di assicurazioni sulla vita e assicurazioni sanitarie”) devono effettuare una valutazione dell’impatto ex art. 27 AI Act. 

3. Requisiti minimi e contenuto della valutazione

La valutazione d’impatto deve contenere almeno:

• a) una descrizione dei processi del deployer in cui il sistema di IA ad alto rischio sarà utilizzato in linea con la sua finalità prevista;
• b) una descrizione del periodo di tempo entro il quale ciascun sistema di IA ad alto rischio è destinato a essere utilizzato e con che frequenza;
• c) le categorie di persone fisiche e gruppi verosimilmente interessati dal suo uso nel contesto specifico;
• d) i rischi specifici di danno che possono incidere sulle categorie di persone fisiche o sui gruppi di persone individuati a norma della lettera c), del presente paragrafo tenendo conto delle informazioni trasmesse dal fornitore a norma dell’articolo 13 AI Act;
• e)  una descrizione dell’attuazione delle misure di sorveglianza umana, secondo le istruzioni per l’uso;
• f) le misure da adottare qualora tali rischi si concretizzino, comprese le disposizioni relative alla governance interna e ai meccanismi di reclamo.

4. E’ necessario ripetere la valutazione?

Non sempre. Il deployer può, in casi analoghi, basarsi su valutazioni d’impatto sui diritti fondamentali effettuate in precedenza o su valutazioni d’impatto esistenti effettuate da un fornitore. Se, durante l’uso del sistema di IA ad alto rischio, ritiene che uno qualsiasi degli elementi – alla base della valutazione – sia cambiato o non sia più aggiornato, il deployer adotta le misure necessarie per aggiornare le informazioni.

5. Obbligo di notifica ed esenzioni

Il deployer notifica all’autorità di vigilanza i risultati della valutazione, presentando un modello predisposto appositamente dall’Autorità.

Qualsiasi autorità di vigilanza del mercato può autorizzare l’immissione sul mercato o la messa in servizio di specifici sistemi di IA ad alto rischio nel territorio dello Stato membro interessato, per motivi eccezionali di sicurezza pubblica o di protezione della vita e della salute delle persone e di protezione dell’ambiente o dei principali beni industriali e infrastrutturali. Tale autorizzazione è valida per un periodo limitato, mentre sono in corso le necessarie procedure di valutazione della conformità, tenendo conto dei motivi eccezionali che giustificano la deroga. Il completamento di tali procedure è effettuato senza indebito ritardo.

6. Collegamento con il GDPR e altri strumenti normativi

Il Comitato europeo per la protezione dei dati (EDPB) ha chiarito che la valutazione ex art. 27 non sostituisce la DPIA, ma la integra, poiché la prima ha un focus più ampio: non solo privacy, ma tutti i diritti fondamentali.
Inoltre, la Legge italiana n. 132/2025, che attua parte dell’AI Act, impone l’adozione di sistemi di IA “eticamente e giuridicamente sostenibili”, richiamando esplicitamente la necessità di valutazioni d’impatto preventive.
Le Linee Guida MIM 2025 ribadiscono l’obbligo di valutazioni d’impatto anche in ambito scolastico, quando l’IA incide su studenti o personale.

7. L’analisi legale preventiva come strumento strategico

Effettuare una valutazione preventiva accurata, con il supporto di professionisti legali e tecnici qualificati, consente non solo di evitare sanzioni e contenziosi, ma anche di prevenire inefficienze strutturali nei processi aziendali e migliorare la qualità dei risultati prodotti dal sistema di IA.

8. Vantaggi economici e organizzativi

• riduzione dei costi futuri legati a violazioni o incidenti reputazionali;
• maggiore efficienza interna, grazie alla revisione dei flussi decisionali e delle responsabilità;
• ottimizzazione del ciclo di vita del sistema di IA, evitando interventi correttivi costosi dopo l’immissione sul mercato;
• miglioramento del trust da parte di clienti, partner e investitori, che riconoscono la conformità come garanzia di affidabilità.

La consulenza preventiva, in questo senso, agisce come un audit strategico, in grado di far emergere debolezze organizzative che spesso restano invisibili fino alla fase di implementazione.
La Legge n. 132/2025 valorizza questo approccio, richiedendo che l’uso dell’IA nella pubblica amministrazione e nel settore privato avvenga in modo etico, trasparente e verificabile.

7 novembre 2025

avv. Gianfranco Leggio