FRIA: Fundamental Rights Impact Assessment

Fonti primarie: Reg. UE 2024/1689 (AI Act), art. 27 · Reg. UE 2026/1744, modifiche agli artt. 27 e 113 · Reg. UE 2016/679 (GDPR), art. 35

La FRIA è uno degli strumenti normativi meno conosciuti dell'AI Act ma tra i più rilevanti per le organizzazioni che utilizzano sistemi AI nelle aree di maggiore impatto sulle persone: selezione del personale, accesso al credito, valutazione del rischio assicurativo, erogazione di servizi pubblici. In queste aree, la conformità non può limitarsi alla tutela dei dati personali: deve affrontare il rischio che l'algoritmo discrimini, escluda o danneggi individui o gruppi in modo sistemico. Per il quadro normativo integrato, si veda la guida alle architetture di compliance per SaaS e startup e la guida sulla DPIA integrata con l'AI Act.

FRIA e DPIA: due strumenti diversi per rischi diversi

La confusione tra FRIA e DPIA è comprensibile ma pericolosa. Le due valutazioni hanno basi normative, oggetti e metodologie distinte.

Le due valutazioni possono essere condotte congiuntamente (AgID lo raccomanda) per evitare duplicazioni documentali, ma devono affrontare rispettivamente tutti i requisiti normativi di entrambe.

Chi è obbligato a fare la FRIA?

L'art. 27 individua un perimetro più ristretto rispetto all'insieme dei sistemi ad alto rischio. Prima dell'impiego, la FRIA riguarda sistemi dell'art. 6(2) e Allegato III, esclusa l'area del punto 2 dell'Allegato III, quando ricorre almeno una delle seguenti condizioni:

• il deployer è un organismo di diritto pubblico;
• il deployer è un soggetto privato che presta servizi pubblici;
• il sistema rientra nel punto 5(b) dell'Allegato III, relativo all'affidabilità o al merito creditizio delle persone fisiche, esclusi i sistemi destinati a rilevare frodi finanziarie;
• il sistema rientra nel punto 5(c), relativo alla valutazione del rischio e alla determinazione dei prezzi nelle assicurazioni vita e malattia.

Una startup B2B non diventa automaticamente soggetto tenuto alla FRIA perché fornisce un sistema high-risk. Deve però identificare correttamente il proprio ruolo e fornire ai deployer le informazioni richieste dall'AI Act quando opera come provider. L'eventuale supporto alla valutazione può essere disciplinato anche contrattualmente.

Quali contenuti deve coprire la FRIA

L'art. 27 stabilisce contenuti minimi che, operativamente, possono essere organizzati nelle seguenti aree:

1. Quali diritti fondamentali sono potenzialmente interessati dal sistema AI? La valutazione deve mappare sistematicamente tutti i diritti della Carta dei Diritti Fondamentali dell'UE che possono essere toccati dall'operazione del sistema: dignità umana, libertà, uguaglianza, solidarietà, diritti dei cittadini, giustizia. Non basta identificare il rischio principale: va esaminata l'intera catena degli effetti indiretti.

2. In che modo il funzionamento algoritmico può compromettere questi diritti? Per ciascun diritto identificato come potenzialmente esposto, la valutazione deve descrivere il meccanismo specifico attraverso cui il sistema potrebbe causare una lesione: distorsioni algoritmiche (bias), decisioni automatizzate erronee, effetti discriminatori su gruppi vulnerabili, eccessiva limitazione dell'autonomia individuale.

3. Quali sono le conseguenze concrete per l'individuo in caso di decisione automatizzata errata? La FRIA deve esaminare gli impatti tangibili per le persone interessate: un'esclusione da un finanziamento, un rigetto di una candidatura, un diniego di accesso a un servizio, una misura restrittiva basata su un profilo errato. La gravità e la reversibilità di queste conseguenze determinano il livello di rischio e l'intensità delle misure di attenuazione richieste.

4. Chi è responsabile e qual è il livello di supervisione previsto? La valutazione deve identificare con precisione le responsabilità all'interno della catena del valore AI: chi risponde delle decisioni automatizzate, quale supervisione umana è stata predisposta, chi ha l'autorità per correggere o annullare una decisione errata e con quali procedure.

5. Quali meccanismi di ricorso sono disponibili per le persone interessate? Per ogni impatto identificato, la FRIA deve documentare i rimedi effettivamente accessibili: diritto di opposizione alla decisione automatizzata, diritto di richiedere la revisione umana, diritto di contestare l'output del sistema, accesso a mezzi di tutela giurisdizionale. I meccanismi di ricorso devono essere pratici, accessibili e non eccessivamente onerosi per l'individuo.

Come si struttura e si documenta la FRIA

La FRIA non ha un formato standard prescritto dall'AI Act, che si limita a definirne gli obiettivi e il contenuto minimo. La struttura consigliata prevede:

Sezione 1: Descrizione del sistema AI e contesto di deployment

• Categoria di rischio (Allegato III) e motivazione
• Finalità dichiarata e casi d'uso effettivi
• Categorie di persone interessate
• Processo decisionale in cui il sistema è inserito

Sezione 2: Mappatura degli impatti sui diritti fondamentali

• Per ogni diritto potenzialmente interessato: probabilità dell'impatto, gravità, reversibilità
• Gruppi particolarmente vulnerabili esposti a rischio aggiuntivo

Sezione 3: Misure di attenuazione

• Misure tecniche implementate (bias testing, fairness metrics, spiegabilità)
• Misure organizzative (supervisione umana, procedure di revisione)
• Misure procedurali (canali di ricorso, procedure di escalation)

Sezione 4: Responsabilità e governance

• Designazione dei responsabili della supervisione
• Procedure di incident reporting
• Calendario delle revisioni periodiche

Sezione 5: Meccanismi di ricorso

• Diritti degli interessati specifici per questo sistema
• Procedure accessibili per l'esercizio di tali diritti
• Contatti e canali di comunicazione

FRIA e fundraising: perché gli investitori la richiedono

In una due diligence può essere richiesto di dimostrare se la FRIA sia applicabile e, in caso positivo, come verrà predisposta. Per le categorie dell'Allegato III interessate, la data di applicazione dell'art. 27 è ora il 2 dicembre 2027. La preparazione anticipata resta utile, ma non va confusa con un obbligo già applicabile al 1° agosto 2026.

Per la roadmap completa verso l'investor readiness AI Act, si veda l'articolo dedicato all'investor readiness AI Act per startup.

Contenuto informativo aggiornato al 1° agosto 2026. Non sostituisce la valutazione del sistema, del deployer e del contesto concreto.