I modelli di valutazione preventiva del rischio tra protezione dei dati e regolazione dell'intelligenza artificiale

This thesis examines the relationship between preventive risk assessment models in data protection and artificial intelligence regulation, focusing on the coexistence of the Data Protection Impact Assessment (DPIA) under the GDPR and the Fundamental Rights Impact Assessment (FRIA) introduced by the AI Act for high-risk AI systems. Chapter I reconstructs, through comparative regulatory analysis, the emergence of preventive assessment techniques in contemporary legal systems, distinguishing between subject-impact oriented and system-risk oriented assessments, and identifying the legal conditions under which concurrent assessments conflict, such as identity of the regulated object, temporal overlap, divergent prescriptive outcomes, and absence of precedence rules. Chapter II applies these criteria to the European framework, examining DPIA and FRIA in terms of triggering conditions, object of assessment, decision-making outcomes, temporal dimension, and allocation of responsibilities, in order to qualify their relationship as redundancy, complementarity, or incompatibility. Chapter III subjects these findings to comparative verification against three alternative regulatory models: the United Kingdom (DPIA under the UK GDPR), the United States (NIST AI Risk Management Framework), and Brazil (LGPD impact report practice) to determine whether the identified conflicts are structural or drafting-dependent. The thesis concludes with the procedural reconstruction of a hypothetical integrated DPIA-FRIA assessment model, developed through legal design methodology and critically evaluated for its coherence with the current regulatory framework.

La tesi esamina il coordinamento tra la valutazione d'impatto sulla protezione dei dati (DPIA), prevista dall'art. 35 GDPR, e la valutazione d'impatto sui diritti fondamentali (FRIA), introdotta dall'art. 27 dell'AI Act per i sistemi di IA ad alto rischio. Pur richiedendo in larga parte le stesse informazioni, i due strumenti restano privi di un meccanismo che ne regoli il rapporto. Anche dopo l'Omnibus digitale, l'AI Act si limita a consentire al deployer di richiamare nella FRIA le sezioni pertinenti della DPIA. Il lavoro si chiede se tali difficoltà di coordinamento siano un difetto specifico del modello europeo o un tratto inevitabile della regolazione dell'IA, adottando un metodo giuridico-comparato di tipo funzionale che confronta l'ordinamento dell'Unione con quelli del Regno Unito, degli Stati Uniti e del Brasile. Il primo capitolo ricostruisce i principi della prevenzione ex ante nei quattro ordinamenti (precauzione, graduazione del rischio, principio antropocentrico nelle sue articolazioni della riserva di umanità e della supervisione umana, spiegabilità), distinguendo tra modelli rights-driven e market-driven. Il secondo capitolo confronta gli strumenti di valutazione d'impatto su quattro piani (valutazioni sui dati, valutazioni sui diritti fondamentali, grado di integrazione e regimi sanzionatori), vagliando gli elementi stranieri alla luce dei criteri di efficacia, efficienza ed elasticità e della loro compatibilità con gli obiettivi dell'Unione. Ne derivano alcuni correttivi quali il recepimento nella DPIA del metodo iterativo del NIST AI RMF, l'aggancio dell'obbligo di FRIA alla destinazione d'uso del sistema anziché alla natura giuridica del deployer, sull'esempio dell'AIA brasiliana, l'inclusione della FRIA nel regime sanzionatorio armonizzato dell'art. 99(4) AI Act, l'estensione della registrazione delle sintesi delle valutazioni e un risarcimento predeterminato per l'omissione della FRIA, ispirato al BIPA dell'Illinois. In assenza di soluzioni importabili, si avanzano due proposte originali: una regola di non contraddizione tra DPIA e FRIA, riunite in un documento unico, e l'opponibilità delle risultanze della valutazione da parte dell'interessato. Il terzo capitolo ricompone tali elementi in un modello integrato, ne segue il funzionamento attraverso il caso ipotetico di un datore di lavoro privato che impiega un sistema di selezione del personale e ne valuta in chiave prognostica effetti e limiti. Le conclusioni riconducono le difficoltà di coordinamento al costo strutturale della scelta europea del doppio binario, condivisa dal Brasile, e individuano nel modello proposto una via per integrare i due strumenti preservandone la distinzione, a fronte di maggiori oneri per i deployer privati.