Valutazione d'impatto sui diritti fondamentali per i sistemi di IA ad alto rischio

1.   Prima di utilizzare un sistema di IA ad alto rischio di cui all'articolo 6, paragrafo 2, ad eccezione dei sistemi di IA ad alto rischio destinati a essere usati nel settore elencati nell'allegato III, punto 2, i deployer che sono organismi di diritto pubblico o sono enti privati che forniscono servizi pubblici e i deployer di sistemi di IA ad alto rischio di cui all'allegato III, punto 5, lettere b) e c), effettuano una valutazione dell'impatto sui diritti fondamentali che l'uso di tale sistema può produrre. A tal fine, i deployer effettuano una valutazione che comprende gli elementi seguenti:

a)	una descrizione dei processi del deployer in cui il sistema di IA ad alto rischio sarà utilizzato in linea con la sua finalità prevista;

b)	una descrizione del periodo di tempo entro il quale ciascun sistema di IA ad alto rischio è destinato a essere utilizzato e con che frequenza;

c)	le categorie di persone fisiche e gruppi verosimilmente interessati dal suo uso nel contesto specifico;

d)	i rischi specifici di danno che possono incidere sulle categorie di persone fisiche o sui gruppi di persone individuati a norma della lettera c), del presente paragrafo tenendo conto delle informazioni trasmesse dal fornitore a norma dell'articolo 13;

e)	una descrizione dell'attuazione delle misure di sorveglianza umana, secondo le istruzioni per l'uso;

f)	le misure da adottare qualora tali rischi si concretizzino, comprese le disposizioni relative alla governance interna e ai meccanismi di reclamo.

2.   L'obbligo di cui al paragrafo 1 si applica al primo uso del sistema di IA ad alto rischio. Il deployer può, in casi analoghi, basarsi su valutazioni d'impatto sui diritti fondamentali effettuate in precedenza o su valutazioni d'impatto esistenti effettuate da un fornitore. Se, durante l'uso del sistema di IA ad alto rischio, ritiene che uno qualsiasi degli elementi elencati al paragrafo 1 sia cambiato o non sia più aggiornato, il deployer adotta le misure necessarie per aggiornare le informazioni.

3.   Una volta effettuata la valutazione di cui al paragrafo 1 del presente articolo, il deployer notifica all'autorità di vigilanza del mercato i suoi risultati, presentando il modello compilato di cui al paragrafo 5 del presente articolo nell'ambito della notifica. Nel caso di cui all'articolo 46, paragrafo 1, i deployer possono essere esentati da tale obbligo di notifica.

4.   Se uno qualsiasi degli obblighi di cui al presente articolo è già rispettato mediante la valutazione d'impatto sulla protezione dei dati effettuata a norma dell'articolo 35 del regolamento (UE) 2016/679 o dell'articolo 27 della direttiva (UE) 2016/680, la valutazione d'impatto sui diritti fondamentali di cui al paragrafo 1 del presente articolo integra tale valutazione d'impatto sulla protezione dei dati.

5.   L'ufficio per l'IA elabora un modello di questionario, anche attraverso uno strumento automatizzato, per agevolare i deployer nell'adempimento dei loro obblighi a norma del presente articolo in modo semplificato.

1.   Před zavedením vysoce rizikového systému AI podle čl. 6 odst. 2, s výjimkou vysoce rizikových systémů AI určených k použití v oblasti uvedené v příloze III bodě 2, zavádějící subjekty, které jsou veřejnoprávními nebo soukromými subjekty poskytujícími veřejné služby, a zavádějící subjekty provozující vysoce rizikové systémy AI uvedené v příloze III bodě 5 písm. b) a c) provedou posouzení dopadu na základní práva, který může použití takového systému mít. Za tímto účelem provedou zavádějící subjekty posouzení, které zahrnuje:

a)	popis procesů zavádějícího subjektu, v nichž bude vysoce rizikový systém AI používán v souladu s jeho zamýšleným účelem;

b)	popis časového období a frekvence plánovaného použití každého z vysoce rizikových systémů AI;

c)	kategorie fyzických osob a skupin, které by mohly být jeho používáním v konkrétním kontextu dotčeny;

d)	specifická rizika újmy, která by mohla mít dopad na kategorie fyzických osob nebo skupiny osob určených podle písmene c) tohoto odstavce, a to při zohlednění informací dodaných poskytovatelem podle článku 13;

e)	popis provádění opatření lidského dohledu, v souladu s návodem k použití;

f)	opatření, která mají být přijata v případě naplnění těchto rizik, včetně opatření pro vnitřní správu a mechanismy vyřizování stížností.

2.   Povinnost stanovená v odstavci 1 platí pro první použití vysoce rizikového systému AI. Zavádějící subjekt může v podobných případech vycházet z dříve provedeného posouzení dopadů na základní práva nebo ze stávajících posouzení, které provedl poskytovatel. Pokud během použití vysoce rizikového systému AI zavádějící subjekt posoudí, že se některý z prvků uvedených v odstavci 1 změnil nebo již není aktuální, přijme nezbytné kroky k aktualizaci těchto informací.

3.   Po provedení posouzení uvedeném v odstavci 1 tohoto článku zavádějící subjekt informuje o jeho výsledcích orgán dozoru na trhem prostřednictvím vyplněného dotazníku uvedeného v odstavci 5 tohoto článku. V případě uvedeném v čl. 46 odst. 1 mohou být zavádějící subjekty od této povinnosti oznámení osvobozeny.

4.   Je-li některá z povinností stanovených v tomto článku splněna již na základě posouzení dopadu na ochranu osobních údajů provedeného podle článku 35 nařízení (EU) 2016/679 nebo článku 27 směrnice (EU) 2016/680, potom může posouzení dopadu na základní práva uvedené v odstavci 1 tohoto článku doplnit posouzení dopadu na ochranu osobních údajů.

5.   Úřad pro AI vypracuje vzor pro dotazník, a to i prostřednictvím automatizovaného nástroje, aby zavádějícím subjektům usnadnil plnění povinností podle tohoto článku.