# Estratto: AI Act Art. 26-27 - Obblighi deployer + FRIA **Fonte**: `sources.yaml` id `ai-act-it-eurlex` **Data consultazione**: 2026-04-25 **Hash SHA256**: a61b61706aee6676e3988ab696162d71d759c3debd48b2ecccac3555207f2b0c --- ## Articolo 26 - Obblighi dei deployer dei sistemi di IA ad alto rischio Il "**deployer**" (utilizzatore) e' la persona fisica o giuridica che usa un sistema di IA sotto la propria autorita', salvo uso personale non professionale (art. 3 par. 4). ### Par. 1 - Obblighi generali I deployer di sistemi high-risk adottano idonee misure tecniche e organizzative per garantire di utilizzare tali sistemi conformemente alle **istruzioni per l'uso** che accompagnano i sistemi, a norma dei paragrafi 3 e 6. ### Par. 2 - Sorveglianza umana I deployer **affidano la sorveglianza umana** a persone fisiche dotate della **competenza, formazione e autorita' necessarie** nonche' del sostegno necessario. ### Par. 4 - Dati di input Fatti salvi i paragrafi 1 e 2, nella misura in cui esercita il controllo sui dati di input, il deployer garantisce che tali dati di input siano **pertinenti e sufficientemente rappresentativi** alla luce della finalita' prevista del sistema di IA ad alto rischio. ### Par. 5 - Monitoraggio funzionamento I deployer **monitorano il funzionamento** del sistema di IA ad alto rischio sulla base delle istruzioni per l'uso e, se del caso, informano i fornitori a tale riguardo conformemente all'art. 72. Qualora abbiano motivo di ritenere che l'uso del sistema possa comportare un rischio ai sensi dell'art. 79 par. 1, i deployer **ne informano, senza indebito ritardo**, il fornitore o il distributore e la pertinente autorita' di vigilanza del mercato, e **sospendono l'uso**. Qualora abbiano individuato un **incidente grave**, i deployer ne informano immediatamente il fornitore (in primo luogo), poi l'importatore o il distributore e le pertinenti autorita' di vigilanza. ### Par. 6 - Conservazione log I deployer conservano i **log automaticamente generati** dal sistema per un periodo adeguato alla finalita' prevista, di **almeno 6 mesi**, salvo diversamente disposto dal diritto UE o nazionale applicabile. ### Par. 7 - Informazione lavoratori Prima di mettere in servizio o utilizzare un sistema high-risk **sul luogo di lavoro**, i deployer che sono **datori di lavoro** informano i rappresentanti dei lavoratori e i lavoratori interessati che saranno soggetti all'uso del sistema. ### Par. 8 - Deployer PA e istituzioni UE - registrazione I deployer di sistemi di IA ad alto rischio che sono **autorita' pubbliche o istituzioni, organi e organismi dell'Unione** rispettano gli **obblighi di registrazione** di cui all'art. 49. Verificano che il sistema sia registrato nella banca dati UE prima dell'uso. *Nota*: questa registrazione riguarda PA e istituzioni UE. I privati che forniscono servizi pubblici hanno obblighi diversi derivanti dall'art. 27 (FRIA), non dall'art. 26 par. 8. ### Par. 9 - Sinergia DPIA Se del caso, i deployer usano le informazioni fornite ai sensi dell'art. 13 per adempiere all'obbligo di effettuare una **DPIA** a norma dell'art. 35 GDPR o dell'art. 27 della direttiva LED. ### Par. 11 - Informazione persone fisiche interessate I deployer dei sistemi high-risk di cui all'Allegato III che adottano decisioni o assistono nell'adozione di decisioni che riguardano persone fisiche **informano** tali persone che sono soggette all'uso del sistema di IA ad alto rischio (fatta salva l'art. 50). ### Par. 12 - Cooperazione con autorita' I deployer **cooperano** con le pertinenti autorita' competenti in merito a qualsiasi azione intrapresa da dette autorita' in relazione al sistema high-risk. --- ## Articolo 27 - Valutazione d'impatto sui diritti fondamentali (FRIA) ### Par. 1 - Quando e' obbligatorio Prima di utilizzare un sistema high-risk dell'**Allegato III** (con esclusione esplicita solo dei sistemi per l'Allegato III **punto 2** - infrastrutture critiche), i deployer che rientrano in una delle seguenti categorie effettuano il FRIA: - **Organismi di diritto pubblico** - **Enti privati che forniscono servizi pubblici** - Deployer di sistemi di cui all'**Allegato III, punto 5, lettere b) e c)** (credit scoring + insurance pricing per persone fisiche) *Nota*: gli altri deployer privati (es. datori di lavoro che usano HR AI, banche per antifrode) non sono obbligati al FRIA da Art. 27, salvo ricadano nelle categorie sopra. L'esclusione esplicita del regolamento riguarda solo il settore infrastrutture critiche (Allegato III pt. 2), non il settore contrasto (pt. 6) ne' migrazione/asilo/frontiere (pt. 7). ### Par. 1 - Contenuti del FRIA La valutazione comprende: - **a)** Descrizione dei **processi del deployer** in cui il sistema sara' utilizzato in linea con la sua finalita' prevista - **b)** Descrizione del **periodo di tempo** entro il quale ciascun sistema e' destinato a essere utilizzato e con che **frequenza** - **c)** Le **categorie di persone fisiche** e i gruppi verosimilmente interessati nel contesto specifico - **d)** I **rischi specifici di danno** che possono incidere sulle categorie identificate, tenendo conto delle informazioni trasmesse dal fornitore ai sensi dell'art. 13 - **e)** Descrizione dell'attuazione delle **misure di sorveglianza umana**, secondo le istruzioni per l'uso - **f)** Le **misure da adottare qualora i rischi si concretizzino**, comprese le disposizioni relative alla governance interna e ai meccanismi di reclamo ### Par. 2 - Primo uso e aggiornamenti L'obbligo si applica al **primo uso**. Il deployer puo' basarsi su valutazioni d'impatto precedenti o fornite dal fornitore. Se durante l'uso ritiene che un elemento sia cambiato, adotta le misure necessarie per aggiornare le informazioni. ### Par. 3 - Notifica autorita' di vigilanza Una volta effettuata la FRIA, il deployer **notifica all'autorita' di vigilanza del mercato i risultati**, presentando il modello standardizzato di cui al par. 5. ### Par. 4 - Sinergia con DPIA Se uno qualsiasi degli obblighi FRIA e' gia' soddisfatto da una **DPIA condotta ai sensi del GDPR art. 35** o della direttiva LED art. 27, la FRIA **integra** tale DPIA. ### Par. 5 - Modello standardizzato L'ufficio per l'IA elabora un modello di questionario, anche attraverso uno strumento automatizzato, per agevolare i deployer nell'adempimento. --- ## Note operative ### Chi DEVE fare il FRIA (sintesi) - **Sempre**: organismi di diritto pubblico che usano sistemi high-risk Allegato III, **eccetto** infrastrutture critiche (punto 2) - **Sempre**: enti privati che forniscono servizi pubblici + stessi sistemi Allegato III eccetto pt. 2 - **Sempre**: qualunque deployer (anche privato standard) che usa sistemi di credit scoring (Allegato III par. 5 lett. b) o insurance pricing (par. 5 lett. c) ### Chi NON deve (necessariamente) fare il FRIA - Deployer **privati standard** (es. azienda HR, retailer) per sistemi HR/educazione/biometria, a meno che rientrino nelle categorie sopra - Fornitori del sistema (loro adempiono all'art. 9 gestione rischi, non al FRIA che e' obbligo del deployer) ### Sinergia FRIA-DPIA Se il sistema tratta dati personali, il deployer deve fare entrambe ma puo' integrarle. In pratica: documento unico che soddisfa GDPR art. 35 + AI Act art. 27, con sezioni dedicate. ### Differenza art. 9 (fornitore) vs art. 27 (deployer FRIA) - **Art. 9**: gestione rischi interna del fornitore, su tutto il ciclo di vita del sistema - **Art. 27 (FRIA)**: valutazione contestuale del deployer al **proprio uso specifico**, prima di metterlo in servizio. Usa le informazioni che il fornitore ha gia' fornito ai sensi dell'art. 13.