La FRIA (fundamental rights impact assessment) è la valutazione d'impatto sui diritti fondamentali che l'articolo 27 dell'AI Act chiede prima del primo uso di un sistema ad alto rischio. Riguarda enti pubblici, privati che erogano servizi pubblici e chi usa l'IA per il merito creditizio o per prezzare assicurazioni vita e malattia. L'esito va notificato all'autorità di vigilanza del mercato.
In sintesi
- La FRIA è un obbligo del deployer, non del fornitore: riguarda come e dove usate il sistema, non come è stato costruito.
- Vale solo per i sistemi ad alto rischio dell'allegato III, escluse le infrastrutture critiche (punto 2).
- L'articolo 27, paragrafo 1, elenca sei elementi obbligatori, dai processi in cui il sistema è usato ai meccanismi di reclamo.
- Se una DPIA del GDPR copre già alcuni elementi, la FRIA la integra e può riutilizzarla.
- A ottobre 2026 l'obbligo si applica con l'alto rischio dell'allegato III, dal 2 dicembre 2027. In Italia l'omessa FRIA può costare fino a 1 milione di euro o lo 0,5% del fatturato.
Perché l'AI Act chiede una valutazione sui diritti fondamentali
Quasi tutti gli obblighi dell'AI Act ricadono sul fornitore, che però non può conoscere ogni contesto d'uso. Un modello di selezione testato bene in laboratorio può comunque svantaggiare un gruppo quando un centro per l'impiego lo usa su disoccupati di lungo periodo. La FRIA chiude questo vuoto: chiede al deployer, che conosce le persone coinvolte, di guardare ai danni concreti prima di partire. Si affianca agli obblighi dell'articolo 26, spiegati nella pagina su deployer e fornitore nell'AI Act; il quadro generale è nella guida all'AI Act.
Il nome ufficiale nel testo italiano è «valutazione d'impatto sui diritti fondamentali per i sistemi di IA ad alto rischio». In Italia si cerca soprattutto come «FRIA AI Act», sigla inglese che useremo anche qui.
Hai bisogno di aiuto con cloud?
Prenota un incontro gratuito di 30 minuti con uno dei nostri specialisti in cloud. Analizziamo le tue esigenze e forniamo raccomandazioni concrete — nessun obbligo.
Chi deve fare la FRIA
Secondo l'articolo 27, la FRIA è obbligatoria prima di utilizzare un sistema ad alto rischio dell'allegato III per tre gruppi di deployer:
| Gruppo | Quali sistemi | Esempi italiani |
|---|---|---|
| Organismi di diritto pubblico | Tutti i sistemi dell'allegato III, escluse le infrastrutture critiche | Un Comune che usa l'IA per dare priorità alle pratiche di assistenza sociale; un'università statale che la usa nelle ammissioni; un'azienda sanitaria |
| Enti privati che forniscono servizi pubblici | Stesso perimetro | Una clinica privata accreditata, una scuola paritaria, un gestore di servizi per l'impiego accreditato che usa un sistema ad alto rischio in quei servizi |
| Deployer dei sistemi dell'allegato III, punto 5, lettere b) e c), pubblici o privati | Valutazione del merito creditizio o punteggio di credito (esclusa l'individuazione di frodi); valutazione del rischio e prezzi delle assicurazioni vita e malattia | Una società di credito al consumo con un modello di scoring; una compagnia che prezza polizze sanitarie con l'IA |
Due conseguenze pratiche. Un'azienda privata che usa uno strumento di selezione del personale non è obbligata alla FRIA se non eroga un servizio pubblico, anche se molte scelgono di farne una versione leggera. E ogni banca, finanziaria o compagnia che usa l'IA per credito o polizze vita e malattia rientra nell'obbligo, qualunque sia la proprietà.
Se non siete sicuri di quali sistemi rientrino, l'assessment gratuito di Opsio sull'AI Act mappa in circa 40 minuti l'uso dell'IA e scrive un modello di valutazione dei rischi per la vostra organizzazione, una base pratica per la parte sui rischi della FRIA.
Cosa deve contenere: i sei elementi dell'articolo 27
Nel testo di legge gli elementi sono brevi; la colonna di destra suggerisce cosa scrivere perché la valutazione sia utile.
| Lettera | Elemento richiesto | Una buona risposta include |
|---|---|---|
| a) | Descrizione dei processi del deployer in cui il sistema sarà usato, conformemente alla finalità prevista | Il processo passo per passo, dove entra l'output dell'IA, chi agisce sulla base di esso |
| b) | Periodo e frequenza d'uso previsti | Data di avvio, durata prevista, numero di decisioni al mese |
| c) | Categorie di persone e gruppi che possono essere interessati nel contesto specifico | Richiedenti, clienti, dipendenti, e sottogruppi vulnerabili come persone con disabilità o scarse competenze digitali |
| d) | Rischi specifici di danno per quelle categorie, tenendo conto delle informazioni del fornitore (art. 13) | Discriminazione, esclusione da servizi, errori in decisioni importanti, intrusione nella vita privata; per ciascuno probabilità e gravità |
| e) | Misure di sorveglianza umana secondo le istruzioni per l'uso | Chi controlla gli output, con quale formazione e autorità, quando deve intervenire, come si registra il disaccordo |
| f) | Misure da adottare se i rischi si concretizzano, compresi governance interna e meccanismi di reclamo | Escalation, criteri di sospensione, canale di reclamo per le persone interessate, rimedi e ciclo di revisione |
La lettera d) è il cuore della valutazione. Usate i diritti della Carta dei diritti fondamentali dell'UE come lista di controllo: dignità, non discriminazione, vita privata e protezione dei dati, libertà di espressione, diritti del minore, diritti dei lavoratori, accesso alla sicurezza sociale, diritto a un ricorso effettivo. Un metodo di punteggio costante, come quello del nostro modello di valutazione dei rischi dell'IA, rende confrontabili i risultati tra sistemi.
Tempi, riutilizzo e aggiornamenti
La FRIA va fatta prima del primo uso. Per casi analoghi successivi il deployer può basarsi su una FRIA precedente o su una valutazione d'impatto già svolta dal fornitore. Se uno dei sei elementi cambia durante l'uso, per esempio perché il sistema viene esteso a una nuova categoria di clienti, la valutazione va aggiornata.
Notifica all'autorità: in Italia ACN, Banca d'Italia o IVASS
Completata la FRIA, l'articolo 27, paragrafo 3, chiede di notificarne i risultati all'autorità di vigilanza del mercato, usando il modello di questionario previsto. In Italia, in base al d.lgs. 179/2026, l'autorità generale è l'ACN; per i sistemi ad alto rischio usati nel credito è competente la Banca d'Italia e per le assicurazioni l'IVASS. Fa eccezione solo il caso dell'articolo 46, paragrafo 1, quando un'autorità ha autorizzato un sistema per motivi eccezionali senza valutazione di conformità. Conservate la FRIA completa: l'autorità può fare domande.
Il paragrafo 5 affida all'ufficio per l'IA lo sviluppo di un modello di questionario, anche con uno strumento automatizzato. A ottobre 2026 non abbiamo potuto confermare la pubblicazione di una versione definitiva ufficiale: verificate le pagine della Commissione prima dell'invio e, nel frattempo, strutturate la FRIA sui sei elementi, così da riversarla facilmente nel modello quando arriverà.
La sanzione italiana per la FRIA
L'Italia ha fissato un massimale specifico. L'articolo 23, comma 4, del d.lgs. 179/2026, in vigore dal 23 ottobre 2026, punisce il mancato rispetto degli obblighi dell'articolo 27 (e del diritto alla spiegazione dell'articolo 86) con una sanzione fino a 1 milione di euro o, se superiore, fino allo 0,5% del fatturato mondiale annuo. Per PMI e start-up innovative si applica il criterio dell'importo più basso. Il contesto nazionale completo è nella guida alla legge 132/2025 e ai suoi decreti.
FRIA e DPIA: come farle lavorare insieme
La maggior parte dei sistemi ad alto rischio tratta dati personali, quindi molti deployer dovranno fare anche una valutazione d'impatto sulla protezione dei dati ai sensi dell'articolo 35 del GDPR, di competenza del Garante. L'articolo 27, paragrafo 4, prevede che, se un obbligo è già soddisfatto dalla DPIA, la FRIA la integri; con l'Omnibus digitale il deployer può richiamare la DPIA o riutilizzarne le parti pertinenti. Non serve fare lo stesso lavoro due volte.
| DPIA (GDPR) | FRIA (AI Act) | |
|---|---|---|
| Base giuridica | Art. 35 GDPR | Art. 27 AI Act |
| Chi la fa | Titolare del trattamento | Deployer in uno dei tre gruppi |
| Quando | Trattamento che può comportare un rischio elevato | Primo uso di un sistema ad alto rischio dell'allegato III |
| Oggetto | Diritti e libertà toccati dal trattamento dei dati | Tutti i diritti fondamentali toccati dall'uso dell'IA, anche oltre la privacy |
| Rapporto con l'autorità | Consultazione preventiva del Garante solo se resta un rischio elevato | Risultati notificati all'autorità di vigilanza del mercato |
Un approccio pratico è un'unica valutazione con una descrizione comune di trattamento e sistema, e due sezioni distinte: rischi per la protezione dei dati e rischi più ampi per i diritti fondamentali. L'articolo 26, paragrafo 9, consente inoltre di usare le informazioni del fornitore per la DPIA. Per il coordinamento con il GDPR potete vedere la nostra pagina sulla conformità GDPR.
La FRIA passo per passo
- Confermate il perimetro: il sistema è ad alto rischio dell'allegato III, fuori dal punto 2, e voi siete un ente pubblico, un privato che eroga servizi pubblici o un deployer per credito o assicurazioni?
- Raccogliete le informazioni del fornitore: istruzioni per l'uso, finalità prevista, accuratezza, limiti noti, eventuale valutazione d'impatto del fornitore.
- Descrivete il processo (lettera a) e periodo e frequenza d'uso (lettera b).
- Individuate le persone interessate (lettera c), coinvolgendo il personale a contatto con il pubblico e, dove possibile, rappresentanti dei gruppi coinvolti.
- Valutate i rischi (lettera d) diritto per diritto, con probabilità e gravità.
- Definite la sorveglianza umana (lettera e) con ruoli nominativi e formazione.
- Pianificate la risposta (lettera f): soglie di sospensione, reclami, rimedi.
- Collegate la DPIA con richiami incrociati, senza duplicare.
- Approvate, notificate e archiviate: firma della direzione, notifica all'autorità, data di revisione.
Domande frequenti
Cos'è la FRIA dell'AI Act?
È la valutazione d'impatto sui diritti fondamentali prevista dall'articolo 27 del regolamento (UE) 2024/1689. Alcuni deployer di sistemi ad alto rischio devono farla prima del primo uso, descrivendo il processo, le persone coinvolte, i rischi di danno, la sorveglianza umana e le misure in caso di problemi, e poi notificarne l'esito all'autorità.
Un'azienda privata deve fare la FRIA per uno strumento HR?
Di norma no. L'obbligo riguarda enti pubblici, privati che forniscono servizi pubblici e chi usa l'IA per merito creditizio o assicurazioni vita e malattia. Un'azienda privata che usa un software di selezione resta però deployer di un sistema ad alto rischio, con gli obblighi dell'articolo 26 e, in Italia, le regole del d.lgs. 179/2026 sulle decisioni nel rapporto di lavoro.
La FRIA sostituisce la DPIA?
No. Sono due valutazioni con basi giuridiche diverse: la DPIA riguarda il trattamento dei dati personali, la FRIA tutti i diritti fondamentali toccati dall'uso dell'IA. Se la DPIA copre già alcuni elementi, la FRIA la integra e può riutilizzarne le parti pertinenti. In pratica conviene un documento unico con sezioni distinte.
A chi si notifica la FRIA in Italia?
All'autorità di vigilanza del mercato competente: in generale l'ACN, designata dalla legge 132/2025 e dal d.lgs. 179/2026; la Banca d'Italia per i sistemi ad alto rischio usati nel credito e l'IVASS per quelli assicurativi. Verificate le modalità di invio pubblicate dall'autorità e il modello di questionario dell'ufficio per l'IA.
Da quando è obbligatoria la FRIA?
Dopo l'Omnibus digitale, l'obbligo si applica insieme agli obblighi per l'alto rischio dell'allegato III, dal 2 dicembre 2027. Prepararla prima è sensato: la FRIA richiede informazioni dal fornitore, il coinvolgimento di più funzioni e, per gli enti pubblici, spesso un passaggio formale di approvazione.
Preparate la base della vostra FRIA
Una FRIA è solida quanto l'inventario e la valutazione dei rischi su cui si regge. L'assessment gratuito di Opsio con modelli di governance AI richiede circa 40 minuti di domande in italiano e, all'invio, scrive quattro documenti sulle vostre risposte, tra cui un modello di valutazione dei rischi dell'IA e una checklist per i fornitori AI, più un quadro di maturità su dieci ambiti. I documenti sono consegnati in inglese come file Word modificabili. Non sostituiscono la FRIA, ma ne preparano il materiale.
Questo articolo è un'informazione generale e non costituisce consulenza legale. Verificate il testo consolidato del regolamento (UE) 2024/1689, come modificato dal regolamento (UE) 2026/1744, e il d.lgs. 179/2026. Situazione aggiornata a ottobre 2026.
Scritto da
Country Manager, India
Praveena guida le operazioni di Opsio in India, portando oltre 17 anni di esperienza trasversale in IA, manifattura, DevOps e managed services.
Standard editoriali: Questo articolo è stato scritto da professionisti cloud e revisionato dal nostro team di ingegneria. Lo aggiorniamo quando cambiano la tecnologia o la normativa di cui tratta; le date in questa pagina indicano l'ultimo aggiornamento. Opsio è editorialmente indipendente.