Se stai impiegando un agente IA in un processo regolamentato (triage della criminalità finanziaria, screening dei pagamenti, onboarding dei prestiti, aggiudicazione dei sinistri) quasi sicuramente devi una valutazione dell'impatto sulla protezione dei dati ai sensi dell'articolo GDPR 35. E se lo stesso sistema è ad alto rischio ai sensi della legge dell’UE sull’AI, sei tenuto anche a effettuare una valutazione d’impatto sui diritti fondamentali ai sensi dell’articolo 27. Le due valutazioni si sovrappongono pesantemente, il regolamento prevede che tu riutilizza la sovrapposizione, eppure la maggior parte dei team le esegue come due esercizi di pratiche burocratiche sconnesse che si allontanano nel momento in cui il modello cambia. Questa guida fa il contrario: ti fornisce una struttura DPIA che si mappa in modo chiaro sulla tua FRIA (e sulla tua valutazione dei legittimi interessi) in modo da produrre un pacchetto di prove combinato invece di tre documenti che si contraddicono a vicenda nell'audit. Puoi generare quel pacchetto combinato con il generatore DPIA + FRIA. La tesi dell'KLA è tutta: una valutazione d'impatto vale la carta su cui si trova solo se i controlli che promette effettivamente escono nel momento in cui l'agente agisce: governano per esecuzione, non per PDF.
Quando è obbligatoria una DPIA per un sistema di IA?
Una DPIA non è un atto burocratico facoltativo. L'articolo 35(1) lo rende un obbligo legale prima dell'inizio del trattamento ogniqualvolta il trattamento ("in particolare utilizzando le nuove tecnologie"*) possa comportare un rischio elevato per i diritti e le libertà delle persone fisiche. Gli agenti di intelligenza artificiale che agiscono sui dati personali in un flusso di lavoro regolamentato sono vicini al caso paradigmatico che i redattori avevano in mente.
L'articolo 35(3) elenca tre trigger legali, ognuno dei quali rende obbligatoria una DPIA. Le linee guida del gruppo di lavoro Articolo 29 (WP248) (approvate dall'EDPB) aggiungono nove criteri e una regola pratica: se il trattamento ne soddisfa due o più, tratta una DPIA come richiesto. Anche le autorità di vigilanza nazionali pubblicano le proprie "liste nere" di trattamenti che ne richiedono sempre uno. La tabella seguente mappa i criteri che gli agenti di intelligenza artificiale nei servizi finanziari e assicurativi utilizzano più spesso.
Il punto pratico per un distributore di IA regolamentato: non passare una settimana a discutere se sei tecnicamente obbligato. Se il tuo agente profila le persone, assegna loro un punteggio o alimenta una decisione che influisce sull'accesso al credito, ai pagamenti o al pagamento di un'assicurazione, quasi certamente sei nel campo di applicazione: documenta lo screening e passa alla sostanza.
| Grilletto | Fonte | Tipico scenario di un agente IA che lo colpisce |
|---|---|---|
| Valutazione o profilazione sistematica ed estesa, basata sul trattamento automatizzato, su cui si basano le decisioni | Arte. 35(3)(a) | Agente di monitoraggio delle transazioni che assegna un punteggio ai clienti per il rischio di criminalità finanziaria; punteggio relativo alla frode comportamentale |
| Decisioni che producono effetti legali o simili significativi sulla persona | Arte. 35(3)(a) /Art. 22 | Decisioni automatizzate sull'inserimento del prestito; accettazione o rifiuto automatizzato delle richieste |
| Trattamento su larga scala di dati di categorie particolari o di reati penali | Arte. 35(3)(b) | Screening antiriciclaggio contro sanzioni/media negativi che deducono etnia, esposizione politica o precedenti penali |
| Monitoraggio sistematico di un'area accessibile al pubblico su larga scala | Arte. 35(3)(c) | Meno comune per gli agenti di back-office; rilevanti per l'onboarding identitario/biometrico |
| Corrispondenza o combinazione di set di dati | WP248 | Arricchire il record del richiedente unendo i dati KYC, del dispositivo e dell'ufficio di terze parti |
| Dati riguardanti interessati vulnerabili | WP248 | I prezzi del credito al dettaglio o delle assicurazioni colpiscono i consumatori con un potere contrattuale limitato |
| Uso innovativo di nuove soluzioni tecnologiche | WP248 | Implementazione di un sistema decisionale basato su LLM o ad agenti: un flag quasi automatico |
Cosa deve effettivamente contenere una DPIA: Articolo 35(7)
L'articolo 35(7) è breve e prescrittivo. Una DPIA conforme contiene almeno quattro elementi e un regolatore cercherà ciascuno di essi in modo esplicito, non sepolto nella narrazione.
Accanto al contenuto si affiancano due obblighi procedurali. Ai sensi dell'Articolo 35(2), il titolare del trattamento deve chiedere il parere del responsabile della protezione dei dati e, ai sensi dell'Articolo 35(9), deve, se del caso, chiedere il parere degli interessati o dei loro rappresentanti. Per un sistema basato su agenti, l’approvazione del DPO e la documentazione di chi è stato consultato sono parte delle prove, non un ripensamento. Inoltre, ai sensi dell'Articolo 36, se il rischio residuo rimane elevato dopo la mitigazione, è necessario consultare l'autorità di vigilanza prima di entrare in funzione.
I quattro elementi di contenuto obbligatori sono:
- (a) Una descrizione sistematica delle operazioni di trattamento previste e delle finalità del trattamento, compreso, ove applicabile, l'interesse legittimo perseguito dal titolare del trattamento.
- (b) Una valutazione della necessità e della proporzionalità delle operazioni di trattamento in relazione alle finalità: la parte che la maggior parte delle DPIA salta e la parte che con maggiore probabilità non avrà esito positivo nell'audit.
- (c) Una valutazione dei rischi per i diritti e le libertà degli interessati.
- (d) Le misure previste per affrontare i rischi, comprese garanzie, misure di sicurezza e meccanismi per garantire la protezione dei dati personali e dimostrarne la conformità.
La sovrapposizione: dove la DPIA e la FRIA sono lo stesso documento
L’EU AI Act non ti chiede di iniziare da zero. L'articolo 27(4) è esplicito: laddove gli obblighi della FRIA sono già soddisfatti attraverso una DPIA condotta ai sensi dell'articolo 35 GDPR, la FRIA "integrerà" tale valutazione d'impatto sulla protezione dei dati. In altre parole, il legislatore pretende il riuso, e penalizza le duplicazioni che derivano.
Le due valutazioni non sono identiche. Una DPIA è un dovere del titolare riguardo ai dati personali; una FRIA è un dovere di attuazione di tutti i diritti fondamentali previsti dalla Carta dell'UE: compresi i diritti che non hanno nulla a che fare con la protezione dei dati, come la non discriminazione, la dignità umana e l'accesso a un ricorso efficace. La FRIA è più ampia e deve essere valutata diritto per diritto (non è possibile compensare un danno da discriminazione con un guadagno di efficienza). Ma la spina dorsale strutturale (descrivere il sistema, giustificarlo, identificare i rischi, dichiarare le mitigazioni) è condivisa quasi elemento per elemento.
La tabella seguente mappa ciascun elemento dell'Articolo 35(7) DPIA alla sua controparte dell'Articolo 27(1) FRIA. Dove una cella dice Solo FRIA, cioè il contenuto che la DPIA non cattura e che devi aggiungere. Tratta le righe condivise come scrivibili una volta: creale nel pacchetto combinato e fai riferimento ad entrambe le valutazioni anziché copiarle.
| Elemento DPIA: GDPR art. 35(7) | Elemento LFRIA: legge AI art. 27(1) | Stato di riutilizzo |
|---|---|---|
| (a) Descrizione sistematica del trattamento e delle finalità | (a) Descrizione dei processi dell'operatore in cui verrà utilizzato il sistema ad alto rischio; (b) periodo e frequenza d'uso previsto | Condiviso: una descrizione del sistema/processo serve entrambi |
| Categorie di interessati e dati personali (all'interno della descrizione (a)) | (c) Categorie di persone fisiche e gruppi che potrebbero essere interessati | Condiviso: estendere l'elenco degli interessati ai gruppi interessati per la FRIA |
| (b) Valutazione della necessità e della proporzionalità | Implicito nell'art. 27 contesto d'uso; rafforzata dalla proporzionalità della Carta | Condiviso: il ragionamento necessità/proporzionalità è valido |
| (c) Rischi per i diritti e le libertà degli interessati | (d) Rischi specifici di danni che potrebbero avere un impatto sulle persone e sui gruppi interessati | Condiviso ma ampliato: la FRIA copre tutti i diritti della Carta, non solo la protezione dei dati |
| (d) Misure, tutele e sicurezza per affrontare i rischi | (f) Misure di governance, inclusa la supervisione umana, e (g) accordi di reclamo/ricorso | Condiviso ma ampliato: la FRIA richiede esplicitamente misure di controllo umano e di risarcimento |
| Consulenza al DPO (Art. 35(2)); opinioni degli interessati (Art. 35(9)) | (e) Misure di supervisione umana secondo le istruzioni per l'uso | Parzialmente condiviso: conservare il registro della consultazione una volta, soddisfare entrambi |
| , (non richiesto dal GDPR) | Notifica della FRIA all'autorità di vigilanza del mercato (art. 27(3)) | Solo FRIA: aggiungi questo passaggio; nessun equivalente DPIA |
Integrazione nella valutazione degli interessi legittimi (LIA)
Se la base giuridica del trattamento è costituita da interessi legittimi ai sensi dell'articolo 6(1)(f) (comune per il rilevamento di frodi e antiriciclaggio, che i considerando GDPR riconoscono espressamente come interessi legittimi), sei tenuto anche a una valutazione degli interessi legittimi. La buona notizia: la LIA non è un terzo silo. Il suo test in tre parti si inserisce direttamente nella DPIA che stai già scrivendo.
Il test della finalità della LIA (esiste un interesse legittimo?) e il test della necessità (il trattamento è necessario per questo?) sono la stessa analisi richiesta dall'articolo 35(7)(b). Il test di bilanciamento della LIA (l'interesse prevale sui diritti dell'interessato, date le sue ragionevoli aspettative?) è una versione più precisa dell'articolo 35(7)(c) di valutazione del rischio. L'autore dell'interesse legittimo una volta nella descrizione sistematica della tua DPIA (articolo 35(7)(a) lo invita esplicitamente: "incluso, ove applicabile, l'interesse legittimo perseguito") e fa riferimento ad esso dall'output del generatore LIA.
Un avvertimento specifico per gli agenti AI: un agente basato su LLM può espandere silenziosamente lo scopo dell'elaborazione aggiungendo strumenti e contesto. Un interesse legittimo valutato per "vagliare le transazioni rispetto agli elenchi di sanzioni" non copre automaticamente "profilare lo stile di vita del cliente dalle narrazioni delle transazioni." Il test comparativo deve essere eseguito nuovamente quando cambia lo scopo effettivo dell'agente, motivo per cui la valutazione non può vivere solo in un documento statico.
Un pacchetto di prove combinato e perché deve essere pubblicato
Gestire DPIA, FRIA e LIA come tre file Word separati è il modo in cui i team finiscono per difendere le contraddizioni in un audit: la DPIA promette una revisione umana, la FRIA descrive un modello di supervisione diverso e la LIA si bilancia con uno scopo che nessuno degli altri menziona. La correzione è un pacchetto di prove combinato unico con sezioni condivise, riscrivibili una sola volta e tre sovrapposizioni specifiche per la valutazione. Costruiscilo con il generatore DPIA + FRIA, che produce gli elementi Articolo 35(7) e Articolo 27(1) come un unico documento mappato.
Ma il problema più difficile non è la creazione: è deriva. Una valutazione d'impatto descrive il sistema com'era il giorno in cui l'hai scritta. Nel momento in cui qualcuno aggiunge uno strumento all’agente, scambia il modello o amplia l’accesso ai dati, la valutazione diventa obsoleta e una DPIA obsoleta è non conforme. Questa è la posizione fondamentale dell'KLA: governare in base all'esecuzione, non alla documentazione. Le mitigazioni promesse dalla DPIA (revisione umana di decisioni ad alto impatto, blocchi su dati fuori ambito, escalation quando la fiducia è bassa) non dovrebbero essere frasi in un PDF; dovrebbero essere controlli che vengono eseguiti quando l'agente agisce.
Nel piano di controllo dell’KLA questa mappatura è concreta. Le misure che ti impegni a rispettare nell'Articolo 35(7)(d) e nell'Articolo 27(1)(f della FRIA diventano cancelli di Policy Builder con decisioni esplicite (consenti, avvisa, richiedi_approvazione o blocca. Gli accordi di supervisione umana e di ricorso (FRIA Art. 27(1)(e)–(g)) diventano un Decision Desk di approvazione composto da due persone, maker-checker, sulle decisioni che hanno effetti legali o significativi. E ogni azione controllata) cosa ha fatto l'agente, quale polizza ha attivato, chi ha approvato: arriva nella Evidence Room come un record di esecuzione sigillato e a prova di manomissione. Questa è la differenza tra una valutazione che rivendica una salvaguardia e un pacchetto di prove che può dimostrare che la salvaguardia è stata eseguita su una transazione specifica in un momento specifico.
La lacuna del modello articolo 27(5) e come agire ora
Articolo 27(5) incarica l'Ufficio AI di sviluppare un modello di questionario (incluso uno strumento automatizzato) per aiutare gli operatori a svolgere la FRIA in modo semplificato. A partire da giugno 2026, quel modello non è stato pubblicato. I distributori che chiedono "dovremmo aspettare il formato ufficiale?" stanno ponendo la domanda sbagliata: l'obbligo non attende il modello e gli elementi di contenuto sottostanti nell'articolo 27(1) sono già fissati nel regolamento.
C'è un secondo punto temporale. Il Digital Omnibus sull'intelligenza artificiale dell'UE, adottato il 29 giugno 2026,, ha spostato gli obblighi autonomi ad alto rischio dell'allegato III, compreso l'articolo 27 FRIA, da 2 agosto 2026 a 2 dicembre 2027. Considera il differimento come una comodità di pianificazione e continua a costruire la valutazione. (Consulta la guida ai modelli FRIA per l'immagine completa della scadenza.)
Il percorso pragmatico, quindi, è quello di costruire sulla struttura che è stabile oggi: lo scheletro dell’articolo 35(7) del GDPR, mappato sugli elementi dell’articolo 27(1) come nella tabella sopra. Quando arriva il modello AI Office, lo esporti nuovamente nel suo formato, ma la sostanza, l'analisi dei rischi e le prove sono già state completate e già in esecuzione.
Domande frequenti
È sempre necessaria una DPIA per un sistema di intelligenza artificiale?
Non letteralmente sempre, ma molto spesso. Una DPIA è obbligatoria ai sensi dell'articolo 35(1) del GDPR ogni volta che il trattamento può comportare un rischio elevato per i diritti e le libertà delle persone, specialmente utilizzando le nuove tecnologie. L’articolo 35(3) elenca tre trigger automatici (profilazione sistematica che alimenta le decisioni, dati di categorie speciali su larga scala e monitoraggio pubblico su larga scala) e la guida WP248 tratta due o più dei suoi nove criteri come soglia. La maggior parte degli agenti di intelligenza artificiale regolamentati che profilano, valutano o guidano una decisione consequenziale colpiscono almeno un trigger, quindi l'impostazione predefinita sicura è presumere che sia necessaria una DPIA e documentare lo screening.
Qual è la differenza tra una DPIA e una FRIA?
Una DPIA (articolo 35) del GDPR è un obbligo di titolare incentrato sui rischi per i dati personali e la privacy. Una FRIA (articolo 27) della legge sull'intelligenza artificiale dell'UE) è un obbligo di implementazione incentrato su tutti i diritti fondamentali nella Carta dell'UE (inclusi la non discriminazione, la dignità umana e l'accesso ai rimedi) e si applica anche quando sono coinvolti pochi o nessun dato personale. Condividono una spina dorsale strutturale (descrivere, giustificare, valutare i rischi, mitigare), motivo per cui l'articolo 27(4) afferma che una FRIA dovrebbe integrare una DPIA esistente anziché duplicarla.
Un documento può soddisfare sia la DPIA che la FRIA?
Puoi soddisfare entrambi con un pacchetto di prove combinato che contiene sezioni condivise, scrivibili una sola volta, più sovrapposizioni specifiche per la valutazione, e l'articolo 27(4) incoraggia attivamente il riutilizzo. Ma non sono intercambiabili: la FRIA è più ampia (tutti i diritti della Carta, valutati diritto per diritto) e aggiunge passaggi che mancano alla DPIA, come la notifica all’autorità di vigilanza del mercato ai sensi dell’articolo 27(3).. Quindi mappali insieme, ma mantieni entrambe le valutazioni chiaramente indirizzabili.
Quali sono i quattro elementi richiesti di una DPIA ai sensi dell'articolo 35(7)?
(a) una descrizione sistematica del trattamento e delle sue finalità, compreso l'eventuale interesse legittimo perseguito; (b) una valutazione della necessità e proporzionalità del trattamento rispetto a tali finalità; c) una valutazione dei rischi per i diritti e le libertà degli interessati; e d) le misure previste per affrontare tali rischi, comprese le salvaguardie e la sicurezza. Oltre a questi, l’articolo 35(2) richiede la consulenza del DPO e l’articolo 35(9) richiede la richiesta di opinioni da parte dell’interessato, ove appropriato.
L'Ufficio AI ha già pubblicato il modello Articolo 27 FRIA?
No. A partire da giugno 2026 l'Ufficio AI non ha pubblicato il modello di questionario e lo strumento automatizzato previsto dall'articolo 27(5).. L'obbligo in sé non dipende da tale modello (gli elementi di contenuto sono fissati nell'articolo 27(1)) quindi l'approccio pratico è quello di basarsi ora sulla struttura stabile dell'articolo 35(7) del GDPR e riesportarlo nel formato ufficiale quando verrà rilasciato.
Come si inserisce la valutazione degli interessi legittimi nella DPIA?
Se la tua base legale è costituita da interessi legittimi ai sensi dell'articolo 6(1)(f) (comune per frode e antiriciclaggio), il test in tre parti della LIA (scopo, necessità, bilanciamento) si associa direttamente alla DPIA. I test di finalità e necessità sono l'analisi di necessità e proporzionalità dell'articolo 35(7)(b), mentre il test comparativo affina la valutazione del rischio dell'articolo 35(7)(c). Crea l'interesse legittimo una volta nella descrizione sistematica della DPIA, che l'Articolo 35(7)(a) invita esplicitamente, e fai riferimento ad esso dalla tua LIA.
Punti chiave
Una DPIA, una FRIA e una LIA non sono tre compiti in competizione: sono tre punti di vista della stessa domanda: questo sistema di intelligenza artificiale è necessario, proporzionato e adeguatamente governato prima di agire su una persona reale? L'articolo 35(7) del GDPR ti offre l'impalcatura più stabile e testata dai regolatori oggi disponibile, e l'articolo 27(4) ti istruisce a costruire la tua FRIA sopra piuttosto che accanto ad essa. Mappa gli elementi una volta, aggiungi l'analisi degli interessi legittimi e avrai un unico pacchetto di prove combinato invece di tre documenti che si allontanano l'uno dall'altro. Il passaggio finale è quello che la documentazione non potrà mai fornire da sola: le mitigazioni che ti impegni a eseguire (come controlli, come approvazioni di due persone, come record di esecuzione sigillati) nel momento in cui l'agente agisce. Avvia la valutazione combinata con il generatore DPIA + FRIA e crea i controlli in modo che le prove si dimostrino.