Omnibus digitale e obbligo di FRIA per le Polizie Locali

Un’analisi tecnica e approfondita sul Regolamento UE 2026/1744 che ha voluto introdurre importanti novità in materia di intelligenza artificiale

Lo scorso 27 luglio 2026 è entrato in vigore il Regolamento (UE) 2026/1744[1], noto come “Omnibus digitale sull’IA”.

Il Regolamento UE 2026/1744 ha modificato e aggiornato il Regolamento UE 2024/1689 (AI-Act), introducendo importanti novità in materia di intelligenza artificiale, traslando una serie di scadenze, ma anche introducendo misure di semplificazione.

Il tutto, a dire del legislatore europeo, senza modificare il livello di tutela previsto dall’AI Act in materia di salute, sicurezza e diritti fondamentali.

Le modifiche introdotte dell’Omnibus digitale

Riguardano essenzialmente quattro aspetti fondamentali collegati all’AI-Act:

• rinvio della scadenza relativa all’obbligo di FRIA (Fundamental Rights Impact Assessment) relativamente ai sistemi di IA ad alto rischio;
• alcune semplificazioni per le PMI e le imprese di media capitalizzazione;
• una serie di nuovi divieti relativi a deepfake e contenuti intimi generati dall’IA;
• un rafforzamento dei poteri dell’AI Office, l’Ufficio europeo per l’Intelligenza Artificiale.

Soggetti coinvolti

Le novità riguardano un numero molto ampio di soggetti pubblici e privati che producono sviluppano, commercializzano, integrano o utilizzano sistemi di AI, fra i quali:

• aziende di qualsiasi settore che impiegano strumenti di AI all’interno dei propri processi aziendali produttivi o di servizio;
• pubbliche amministrazioni che utilizzano sistemi automatizzati o soluzioni basate su AI;
• scuole, università ed enti di formazione che utilizzano piattaforme di AI per le attività didattiche o anche solo per le attività amministrative;
• produttori di hardware e software basati su AI e fornitori di servizi digitali basati su AI;
• professionisti, consulenti e responsabili anche interni alle aziende e agli enti, chiamati a verificare la conformità dei sistemi alle disposizioni europee.

Cosa cambia per i sistemi di AI ad alto rischio

Viene introdotta una revisione complessiva delle tempistiche di applicazione delle norme relative ai sistemi ad alto rischio in modo tale che gli obblighi del Capo III dell’AI-Act diverranno applicabili solamente nel momento in cui la Commissione confermerà formalmente la disponibilità di standard armonizzati e specifiche comuni.

Rimangono fissate le scadenze, così come traslate dall’Omnibus digitale per l’AI, anche per evitare un differimento indefinito degli obblighi per produttori e deployer.

Cosa non convince

Convincono poco le modifiche all’art. 2 dell’AI-Act perché essenzialmente autoreferenziali anche perché possono condurre a scadenze sine die.

In sintesi si stabilisce che per alcuni sistemi ad alto rischio l’applicazione delle norme di cui agli art. da 9 a 15 e da 17 a 25 possa essere limitata, purché la normativa di armonizzazione stabilisca requisiti equivalenti, cosa che però non è stata fatta in sede di provvedimento.

Cosa cambia riguardo la FRIA (valutazione di impatto sui diritti fondamentali)?

Riguardo la FRIA (valutazione di impatto sui diritti fondamentali) che va necessariamente redatta quando si utilizzano sistemi di AI ad alto rischio, adesso si prevede che la stessa debba essere strettamente coordinata con la DPIA (valutazione di impatto sulla protezione dei dati personali).

La scadenza per la predisposizione della stessa è inoltre traslata a fine anno 2027 (precedentemente agosto 2026).

Quali sono i sistemi ad alto rischio per l’AI-Act?

Sono sistemi di AI ad alto rischio quando presentano una delle seguenti condizioni:

• i sistemi di IA sono destinati a essere usati in uno dei settori elencati nell’allegato III
• i sistemi di IA presentano un rischio di danno per la salute e la sicurezza, o di impatto negativo sui diritti fondamentali, e tale rischio è equivalente o superiore al rischio di danno o di impatto negativo presentato dai sistemi di IA ad alto rischio di cui all’allegato III.

I sistemi ad alto rischio con riferimento alle attività della Polizia Locale

Con riferimento alle attività della Polizia Locale sono sistemi ad alto rischio i seguenti:

• sistemi di IA usati per valutare e classificare le chiamate di emergenza;
• sistemi di IA utilizzati per stabilire priorità per l’invio di pattuglia sul posto;
• sistemi di IA usati per determinare il rischio di essere vittima di reati;
• sistemi di IA utilizzati per valutare l’affidabilità degli elementi probatori;
• sistemi di IA usati per determinare il rischio di commissione di un reato o di recidiva;
• sistemi di IA utilizzati per valutare i tratti e le caratteristiche della personalità o il comportamento criminale;
• sistemi di IA usati per effettuare la profilazione di persone fisiche nel corso di indagini o dell’accertamento o perseguimento di reati.

Alcuni esempi pratici di sistemi di AI ad alto rischio utilizzati dalla Polizia Locale

Alcuni esempi pratici sono i seguenti:

• recupero intelligente dei flussi video degli impianti di videosorveglianza urbana, basato sull’individuazione di specifici comportamenti (e non soltanto movimenti, esempio: soggetto di un determinato genere in un posto specifico, oppure soggetto che staziona in un determinato luogo di culto, ecc. ecc.);
• software di video synopsis, capaci di ricostruire i movimenti di aggregazioni di persone partendo da caratteristiche particolari (esempio: individuare tutte le persone di sesso maschile, vestite di blu, che in un determinato spazio temporale e in una specifica zona si sono scambiati un pacco);
• individuazione a posteriori dello stesso soggetto in più flussi video provenienti da punti di ripresa diversi e magari anche da impianti di videosorveglianza diversi per rintracciare chi è fuggito a seguito di un reato;
• individuazione a posteriori di un veicolo in più flussi video provenienti da punti di ripresa diversi e/o da impianti di videosorveglianza diversi per rintracciare chi è fuggito in seguito a incidente stradale.

Gli obblighi per la Polizia Locale

Osservato che la Polizia Locale è sicuramente un deployer, dal momento che in questa categoria rientrano sia le persone fisiche che quelle giuridiche che utilizzano professionalmente sistemi di AI, tenuto conto che anche solo il sistema di videosorveglianza cittadino è un sistema ad alto rischio, considerate le funzioni che incorpora, ne deriva l’obbligo di redazione della FRIA.

La valutazione di impatto sui diritti fondamentali può essere condotta direttamente quanto indirettamente tramite altri uffici comunali, tanto più se il Comune nel quale la Polizia Locale è incardinata utilizza altri sistemi di AI ad alto rischio (esempio: call center con funzioni particolari, firewall sul sistema informatico che utilizzano AI, ecc.).

Quali i diritti fondamentali a rischio?

Qualora la FRIA debba essere redatta direttamente perché l’ente di appartenenza non utilizza altri sistemi di AI ad alto rischio, la prima considerazione da fare è quali diritti fondamentali l’uso dell’AI può mettere a rischio.

Vi sono quattro categorie di diritti fondamentali a rischio per la AI:

• la presunzione di innocenza, il diritto a ricorrere, il diritto a un giusto processo;
• il diritto di eguaglianza e di non discriminazione;
• la libertà di espressione e di informazione;
• il diritto al rispetto della vita privata e familiare e alla protezione dei dati personali.

La valutazione va dunque operata su ognuno di questi quattro aspetti (definiti dalla carta fondamentale dei diritti EU).

Le due domande

La prima domanda che un Comando di Polizia Locale deve porsi è: stiamo utilizzando sistemi vietati?

La domanda successiva è: stiamo utilizzando sistemi ad alto rischio per i quali si debba prevedere la valutazione d’impatto sui diritti fondamentali (FRIA)?

L’analisi necessaria

Per rispondere a queste due domande si deve fare un’analisi delle tecnologie che si stanno utilizzando, così come si dovrà fare per i futuri acquisti, con particolare riferimento a quelle che recuperano o lavorano su immagini e flussi video.

In particolare videosorveglianza urbana, bodycam, dashcam, altri strumenti di video sorveglianza (es. «fototrappole»), varchi ZTL e altre strumentazioni che utilizzano comunque telecamere (es. strumenti di controllo del passaggio con il rosso, ma anche strumentazioni di videoripresa mobili),  APR (UAV – “droni”).

Questo per comprendere se si stanno utilizzando:

• tecnologie con rischio inaccettabile, che sono vietate;
• tecnologie ad alto rischio, per le quali va redatta la FRIA;
• tecnologie a rischio limitato;
• tecnologie a rischio minimo (non regolato).

La redazione della FRIA

Effettuata l’analisi va effettuata la valutazione di impatto e quindi adottate una serie di misure per mitigare l’impatto e conseguentemente il rischio per i diritti fondamentali delle persone relativamente alle tecnologie ad alto rischio, secondo lo schema seguente.

Come previsto in modo specifico dal Regolamento (UE) 2026/1744 la FRIA ha forti relazioni con la DPIA per cui andrebbero redatte, e conseguentemente costantemente adeguate, di pari passo.

È bene ricordare che la mancata predisposizione della FRIA può comportare sanzioni fino a 35.000.000 di euro.

[1] Regolamento (UE) 2026/1744 del Parlamento europeo e del Consiglio dell’8 luglio 2026 che modifica i regolamenti (UE) 2024/1689, (UE) 2018/1139 e (UE) 2023/1230 per quanto riguarda la semplificazione dell’attuazione di regole armonizzate sull’intelligenza artificiale (Omnibus digitale sull’IA)