DPIA e FRIA: due strumenti, una logica comune

21 apr DPIA e FRIA: due strumenti, una logica comune

Con l’entrata in piena operatività dell’AI Act europeo, il panorama della conformità si arricchisce di un nuovo istituto: la Fundamental Rights Impact Assessment. Per i soggetti già avvezzi alla DPIA del GDPR, il déjà vu è immediato — e non è casuale.

La Data Protection Impact Assessment (DPIA), disciplinata dall’art. 35 GDPR, impone una valutazione sistematica del rischio quando un trattamento è suscettibile di generare un rischio elevato per i diritti e le libertà delle persone fisiche. La Fundamental Rights Impact Assessment (FRIA), introdotta dall’art. 27 dell’AI Act per i deployer di sistemi AI ad alto rischio in contesti pubblici o di interesse pubblico, estende questa logica all’intero spettro dei diritti fondamentali garantiti dalla Carta di Nizza — dal diritto al lavoro alla non discriminazione, dalla libertà di espressione all’accesso alla giustizia.

• Valutazione ex ante del rischio: sia la DPIA che la FRIA impongono un’analisi preventiva, da condurre prima dell’avvio del trattamento o del deployment del sistema. L’obiettivo è anticipare le conseguenze negative anziché rilevarle a posteriori, spostando la logica di compliance dalla reazione alla prevenzione;
• Principio di accountability: entrambi gli strumenti incarnano la responsabilizzazione attiva del soggetto obbligato: non basta conformarsi, occorre dimostrare di averlo fatto. Il titolare del trattamento (sotto il GDPR) e il deployer (sotto l’AI Act) sono chiamati a costruire e conservare evidenza documentale delle scelte effettuate e delle ragioni che le sorreggono;
• Documentazione strutturata: tutte le due valutazioni richiedono una forma scritta e articolata, che segua uno schema logico riproducibile: descrizione del contesto, identificazione dei rischi, misure adottate, esito della valutazione. Questa struttura non è mero formalismo: è lo strumento che rende il ragionamento verificabile da parte delle autorità di controllo;
• Misure proporzionate di mitigazione: In nessuno dei due regimi la mera identificazione del rischio è sufficiente: occorre adottare misure — tecniche, organizzative o procedurali — adeguate alla natura e all’entità del rischio rilevato. Il principio di proporzionalità governa entrambi i percorsi, scoraggiando tanto l’inerzia quanto l’eccesso di restrizione;
• Aggiornamento periodico: Né la DPIA né la FRIA sono adempimenti esauribili in un unico momento. Entrambe le normative presuppongono una revisione continua, da attivare al mutare delle condizioni di trattamento o del contesto applicativo del sistema AI. La compliance non è uno stato acquisito, ma un processo dinamico che segue l’evoluzione tecnologica e organizzativa.

Entrambi gli strumenti condividono una medesima architettura concettuale: identificare i rischi prima che si materializzino, documentarne la valutazione, adottare misure proporzionate e garantire tracciabilità. D’altra parte, ciò non dovrebbe stupire, laddove si pensi che la FRIA è, in larga misura, figlia intellettuale della DPIA, elaborata mutuandone la struttura logica e adattandola alle specificità dei sistemi automatizzati decisionali.

Nei sistemi AI che trattano dati personali — scenario ormai tutt’altro che eccezionale — le due valutazioni si sovrappongono parzialmente. La profilazione algoritmica di soggetti vulnerabili, ad esempio, è simultaneamente un trattamento ad alto rischio ai sensi GDPR e un sistema AI ad alto rischio ai sensi AI Act.

Il Regolamento AI Act non esclude esplicitamente la possibilità di redigere un documento unificato. La Commissione europea ha anzi auspicato, nei considerando, forme di coordinamento tra i due regimi per evitare oneri duplicati. In sede applicativa, diverse autorità di controllo hanno già suggerito approcci integrati.

Un documento congiunto DPIA/FRIA potrebbe, per ipotesi, essere tecnicamente praticabile se strutturato per blocchi modulari: ad esempio, una sezione comune (contesto del sistema, categorie di interessati, finalità del trattamento) e sezioni specializzate che rispondono agli specifici requisiti normativi di ciascuno strumento. L’integrità formale di entrambe le valutazioni deve tuttavia essere preservata: la fusione non può tradursi in semplificazione, ma in coordinamento.

Permane, invero, una tensione strutturale: la DPIA guarda alla persona come titolare di dati, laddove la FRIA la guarda come titolare di diritti.

Il potenziale rischio del documento unico potrebbe quindi essere quello di appiattire questa distinzione, perdendo la profondità analitica che ciascuno strumento garantisce nella propria autonomia.

Avv. Domenico Balestra