L’intelligenza artificiale è oramai divenuta parte integrante dei processi organizzativi di imprese, enti e Pubbliche Amministrazioni, incidendo in modo capillare su molteplici aspetti: muta gli assetti operativi, efficienta compiti routinari e influenza i meccanismi decisionali.
Ed è proprio tema del “decision making” che emerge un principio cardine: nessuna valutazione discrezionale può essere lasciata all’esclusivo arbitrio dell’applicativo; dietro ogni scelta deve esservi sempre un operatore umano.
Infatti, quando i sistemi di IA concorrono alla formazione delle decisioni, il nodo della questione assume un carattere eminentemente giuridico: la tutela dei diritti fondamentali degli interessati.
Il rischio non risiede nell’algoritmo in sé, quanto nell’assenza di adeguati presidi di controllo, nelle esigenze di trasparenza (in contrasto all’opacità algoritmica) e nei profili di responsabilità e affidabilità.
Ad esempio, in procedimenti amministrativi o aziendali interamente automatizzati, senza supervisione umana, l’IA è in grado di incidere in modo rilevante sulla sfera soggettiva degli interessati, richiedendo un intervento regolatore a tutela di temi come l’uguaglianza, la non discriminazione, la protezione dei dati personali e il diritto a una decisione comprensibile, intellegibile e appellabile.
In questo contesto si collega il quadro normativo europeo, articolato principalmente su due discipline fondanti:
- il Regolamento (UE) 2016/679 (GDPR);
- il Regolamento europeo sull’intelligenza artificiale (AI Act).
A tali fonti si affiancano ulteriori disposizioni specifiche, fra cui, a titolo esemplificativo: l’art. 30 del d.lgs. 36/2023.
Quest’ultimo, infatti, disciplina l’uso di procedure automatizzate nel ciclo di vita dei contratti pubblici, imponendo obblighi stringenti di trasparenza, supervisione umana e tracciabilità algoritmica.
L’adozione di sistemi di IA, specie se ad “alto rischio”, richiede dunque una valutazione preventiva dettagliata dei rischi e degli impatti sui diritti e sulle libertà fondamentali degli interessati.
In tale prospettiva assumono ruolo centrale due strumenti complementari:
- la Data Protection Impact Assessment (DPIA), prevista dal GDPR in merito ai rischi sul trattamento dei dati personali;
- la Fundamental Rights Impact Assessment (FRIA), introdotta dall’AI Act, focalizzata sull’impatto complessivo dei sistemi ad alto rischio sui diritti fondamentali.
Entrambi richiedono un approccio metodico e strutturato.
Il primo passaggio è la definizione chiara delle finalità del trattamento e della tipologia di dati coinvolti (sensibili, ultrasensibili, aggregati, ecc.).
Senza tale premessa, la valutazione d’impatto rischia di ridursi ad un adempimento formale privo di una reale utilità.
La FRIA, in particolare, deve individuare i potenziali rischi, giustificare le scelte progettuali operate e descrivere puntualmente le misure di mitigazione adottate, indicando criteri, periodicità delle verifiche e le procedure di gestione delle anomalie.
Tale documentazione, oltre a garantire conformità normativa, assume grande rilievo probatorio in caso di contenzioso.
Un ulteriore profilo critico è l’esternalizzazione dei servizi di IA: l’affidamento di essi a soggetti terzi non attenua la responsabilità del titolare del trattamento.
Il soggetto utilizzatore resta onerato all’adempimento dei propri doveri di verifica, integrazione e controllo, anche in presenza di documentazione tecnica fornita dal provider contenente le valutazioni di quest’ultimo.
Ne deriva l’esigenza di rapporti contrattuali chiari che disciplinino:
- livelli di servizio;
- diritti di audit;
- diritti d’accesso alle informazioni rilevanti (es. dataset di addestramento);
- oneri di notifica per modifiche sostanziali ai modelli IA o condizioni d’uso;
- procedure per cancellazione, restituzione o migrazione dei dati alla cessazione del rapporto.
Nel settore pubblico tali requisiti devono essere previsti già nella fase di gara, traducendosi in criteri tecnici e obblighi vincolanti previsti nel capitolato di gara.
Quanto alla trasparenza, essa costituisce spesso sinonimo di legittimità, specie in tema d’intelligenza artificiale.
Gli interessati devono ricevere informative chiare sull’impiego di processi decisionali automatizzati, finalità, logiche essenziali del sistema, conseguenze e diritti esercitabili (con modalità di esercizio).
Il consenso, specie in contesti di “squilibrio” o dipendenza, non è di per sé sufficiente a legittimare l’utilizzo di sistemi IA: occorre sempre dimostrare il rispetto dei principi di proporzionalità e minimizzazione del rischio mediante un’adeguata valutazione d’impatto e predisposizione di misure organizzative/di sicurezza congrue.
Sul piano organizzativo è indispensabile possedere competenze specifiche e un assetto di governance appropriato.
Strumenti digitali di supporto alla redazione di DPIA e FRIA possono agevolare il processo, ma non sostituiscono il ruolo critico del DPO, dell’ufficio legale e degli organi di governance, chiamati a valutare gli esiti delle analisi effettuate e ad adottare eventuali misure correttive.
La trasformazione verso l’IA richiede investimenti nella formazione di figure dedicate alla governance della stessa, procedure periodiche di revisione, verifica e gestione di test e segnalazioni.
Ogni progetto deve prevedere scenari di sospensione, dismissione o transizione del servizio, assicurando protezione dei dati lungo l’intero ciclo di vita e piena governabilità (anche tramite piani di rollback e garanzie contrattuali in caso di outsourcing).
In conclusione, l’integrazione dell’intelligenza artificiale nei processi pubblici e privati impone un cambio di paradigma, in cui la formazione del personale assume rilevanza chiave.
DPIA e FRIA non sono meri adempimenti burocratici, ma vere e proprie condizioni di legittimità.
