La proroga di alcuni adempimenti, prevista dalle modifiche all’AI Act (regolamento UE 2024/1689), introdotte dal cd. Digital Omnibus (Reg. UE 1744/2026, entrato in vigore il 27 luglio 2026), non deve fare dimenticare i similari, vigenti ed efficaci, adempimenti previsti dalla normativa sulla privacy di cui al GDPR (Reg. UE 679/2016).

Ciò deve essere attentamente considerato, ad esempio, per la FRIA (simile alla DPIA), per gli obblighi di trasparenza come la marcatura (riconducibili alla trasparenza “privacy”) e per la sorveglianza umana (abbinabile alla richiesta di intervento umano nelle decisioni interamente automatizzate).

FRIA e DPIA

La FRIA, ossia la valutazione d'impatto sui diritti fondamentali per i sistemi di IA ad alto rischio è disciplinata all’art. 27 dell'AI Act. Essa deve essere obbligatoriamente adottata da alcuni soggetti espressamente individuati, prima di utilizzare un sistema di AI ad alto rischio “indipendente”, ad eccezione dei sistemi di AI destinati a essere usati nel settore delle infrastrutture critiche (elencati al punto 2 dell'Allegato III dell’AI Act).

I soggetti vincolati alla stesura della FRIA sono i seguenti deployer (utilizzatori):

• organismi di diritto pubblico;
• enti privati che forniscono servizi pubblici;
• istituti finanziari e assicurazioni;

o, più precisamente, i deployer di sistemi di AI elencati alle lettere b e c del punto 5 del citato Allegato III.

Nella FRIA si devono inserire i seguenti capitoli:

1. descrizione di finalità e processi;
2. tempi e frequenza di utilizzo del sistema di AI;
3. categorie di persone fisiche e gruppi di persone verosimilmente interessati;
4. rischi specifici di danno che possono incidere sulle categorie di persone fisiche o sui gruppi di persone;
5. descrizione dell'attuazione delle misure di sorveglianza umana, secondo le istruzioni per l'uso;
6. misure da adottare qualora tali rischi si concretizzino.

I risultati della FRIA, di regola, dovranno essere notificati all’autorità di vigilanza.

L’art. 27 dell'AI Act, come modificato dal Digital Omnibus, si preoccupa del rapporto tra FRIA e DPIA, cioè la valutazione dell’impatto sulla protezione dei dati prevista dall’art. 35 GDPR. In particolare, il nuovo paragrafo 4 dell’art. 27 stabilisce che se uno qualsiasi degli obblighi relativi alla FRIA è già rispettato mediante la DPIA, allora, nello scrivere la FRIA, l’ente può includere rimandi alle sezioni pertinenti della DPIA o includerne parti pertinenti nella FRIA. La nuova disposizione, dunque, obbliga sempre e comunque alla stesura di due documenti (la FRIA e la DPIA), ma permette rinvii e “copia e incolla”.

Al di là di questi aspetti redazionali, si consideri che l’adempimento della FRIA è inserito in un articolo (l'art. 27), che fa parte della Sezione 3 del Capo III dell’AI Act; che il Digital Omnibus ha rinviato l’applicazione di tale sezione al 2 dicembre 2027.

Il differimento dell’obbligo di stesura della FRIA, tuttavia, non deve indurre a una sottovalutazione degli adempimenti. Al riguardo, si tenga conto del fatto che sistemi ad alto rischio possono essere già messi in servizio (si veda l’art. 11 par. 2 dell'AI Act) e del fatto che i contenuti della DPIA sono ampiamente sovrapponibili a quelli della FRIA.

A dimostrazione di ciò, si consulti l’art. 35 GDPR, che include nella DPIA i seguenti elementi:

1. descrizione dei trattamenti e delle loro finalità;
2. valutazione di necessità e proporzionalità dei trattamenti;
3. valutazione dei rischi per i diritti e le libertà degli interessati;
4. misure previste per affrontare i rischi.

Si rifletta, ora, sul fatto che la DPIA deve valutare i rischi per “i diritti e le libertà delle persone fisiche” e sul fatto che tra tali diritti sono certamente compresi i “diritti fondamentali”. Si consideri, poi, che tra i rischi da valutare nella DPIA sono certamente inclusi i rischi specifici nominati dall’art. 27 dell'AI Act.

Ragionando sistematicamente su questi concetti, il risultato è inequivoco: chi usa l’AI deve scrivere una DPIA apposita, il cui contenuto è pressoché integralmente sovrapponibile alla FRIA. Pertanto, abbiamo istituti e adempimenti “comunicanti”, che devono essere realizzati, seguendo regole parallele, queste ultime da studiare e applicare nella loro peculiarità, anche se possono costituire, e certamente lo sono, appesantimenti e duplicazioni.

Tutto ciò comporta, inoltre, che le eventuali proroghe previste dal Digital Omnibus riguardano un determinato adempimento considerato come “contenitore”(ad esempio, la FRIA), ma il contenuto sostanziale dell’adempimento (ad esempio, valutazione dell’impatto su diritti) potrebbe essere già efficace e ciò per effetto di un altro contenitore del tutto simile (ad esempio la DPIA).

Sorveglianza umana

Lo stesso discorso vale per la funzione di sorveglianza umana prevista dall’art. 14 dell'AI Act. Tale articolo fa parte della Sezione 2 del Capo III dell’AI act; la quale, per effetto del Digital Omnibus si applica a decorrere dal 2 dicembre 2027 (per i sistemi di IA indipendenti ad alto rischio).

Anche in questo caso, sempre alla luce del fatto che sistemi ad alto rischio possono essere già messi in servizio, imprese e consulenti devono valutare se e in che modo incidono gli obblighi previsti dall’art. 22 GDPR, tra cui l’obbligo di garantire all’interessato l’intervento umano. Va constatato, infatti, che l’azione umana in funzione di correzione e di azzeramento degli output (prevista dall’art. 14 dell'AI Act) è certamente simile all’intervento umano nei trattamenti di dati personali, consistenti in processi decisionali interamente automatizzati (prevista dall’art. 22 GDPR).

Trasparenza e marcatura

Altro esempio di cruciale importanza è rappresentato dagli adempimenti previsti in caso di uso di AI generativa che produce o modifica contenuti sintetici, tra cui è compreso un peculiare obbligo di trasparenza: il fornitore dei sistemi di IA deve, infatti, predisporre un meccanismo di marcatura (art. 50 par. 2 AI Act). Al riguardo, una norma transitoria introdotta dal Digital Omnibus ha concesso ai fornitori di AI tempo fino al 2 dicembre 2026 per mettere a norma i sistemi già messi sul mercato prima del 2 agosto 2026.

Anche qui, non bisogna cadere in un equivoco. Qualora il contenuto sintetico assuma la qualifica di dato personale (si pensi ad esempio a gemelli digitali, generati dall’IA, che forniscono una replica virtuale di persone), valgono immediatamente a tappeto gli obblighi di trasparenza previsti dagli artt. 2, 13 e 14 GDPR.

Di conseguenza, imprese e consulenti devono attentamente decodificare le norme dell’AI Act, andare al nocciolo degli istituti e valutare gli stessi nelle implicazioni discendenti dall’AI Act e contemporaneamente anche in quelle derivanti da altre fonti normative, tra le quali un posto prioritario spetta al GDPR.