La evaluación de impacto en derechos fundamentales, o FRIA por sus siglas en inglés, es el análisis que el artículo 27 del Reglamento de IA exige a algunos responsables del despliegue antes de usar por primera vez un sistema de IA de alto riesgo. Recoge para qué se va a usar el sistema, a quién afecta, qué daños puede causar a sus derechos y cómo se vigila. Será obligatoria desde el 2 de diciembre de 2027, la fecha en la que el Ómnibus Digital fijó las obligaciones de alto riesgo del anexo III.
No la hace quien desarrolla el sistema, sino quien lo usa en su organización. Y no todos los que usan un sistema de alto riesgo están obligados.
Quién tiene que hacer la FRIA
El artículo 27.1 del Reglamento (UE) 2024/1689 la exige a tres grupos de responsables del despliegue de sistemas de alto riesgo del anexo III:
- Los organismos de derecho público, como ministerios, ayuntamientos, universidades públicas o el servicio de salud.
- Las entidades privadas que prestan servicios públicos, por ejemplo una concesionaria de transporte, una empresa de agua o un centro concertado.
- Cualquier empresa que use IA para evaluar la solvencia de personas o calcular su calificación crediticia (salvo para detectar fraude), o para evaluar riesgos y fijar precios en seguros de vida y de salud. Son las letras b) y c) del punto 5 del anexo III.
Quedan fuera los sistemas del punto 2 del anexo III, los de infraestructuras críticas, aunque sean de alto riesgo.
Un caso que conviene tener claro: una empresa privada que usa IA para filtrar currículums tiene un sistema de alto riesgo (punto 4 del anexo III), pero no está obligada a la FRIA si no presta un servicio público. Aun así, nosotros la haríamos. Las preguntas que pide el artículo 27 son las mismas que hará un candidato que reclame o la autoridad en una inspección, y tenerlas contestadas cuesta poco más que el inventario.
Qué tiene que incluir
El artículo 27.1 enumera seis contenidos. Dicho de forma práctica:
- En qué procesos de la organización se usa el sistema y para qué, de acuerdo con su finalidad prevista.
- Durante cuánto tiempo y con qué frecuencia se va a usar.
- Qué personas y grupos pueden verse afectados en ese uso concreto.
- Qué riesgos de daño tiene para ellos, teniendo en cuenta lo que el proveedor informa en las instrucciones de uso (artículo 13).
- Cómo se aplica la supervisión humana.
- Qué se hará si los riesgos se materializan, con el gobierno interno y la vía de reclamación.
Nuestro consejo con el quinto punto: no basta con escribir que «una persona revisa las decisiones». Hay que decir quién, con qué criterio y si puede revertirlas. Si la supervisión humana no está diseñada antes, la FRIA lo deja a la vista.
FRIA y EIPD: qué se puede reutilizar
Si el sistema trata datos personales, es muy probable que ya exista una evaluación de impacto de protección de datos (EIPD) del artículo 35 del RGPD. El artículo 27.4, tal como queda tras el Ómnibus, permite que la FRIA remita a esa EIPD o incorpore sus partes. No hay que repetir el trabajo, pero tampoco basta con la EIPD.
| EIPD (RGPD) | FRIA (AI Act) | |
|---|---|---|
| Qué protege | Los derechos de las personas en relación con sus datos personales | Todos los derechos fundamentales: igualdad, no discriminación, acceso a servicios, tutela, además de la privacidad |
| Quién la hace | El responsable del tratamiento | El responsable del despliegue de los grupos del artículo 27.1 |
| Cuándo | Antes de un tratamiento que suponga un alto riesgo | Antes del primer uso del sistema de alto riesgo |
| A quién se comunica | A la autoridad de control solo si el riesgo sigue siendo alto (consulta previa del artículo 36) | Siempre se notifica el resultado a la autoridad de vigilancia del mercado |
La diferencia de fondo está en la primera fila. Un sistema de scoring puede cumplir el RGPD sin problemas y aun así rechazar más a las personas mayores de cierta edad. Eso no lo recoge una EIPD y es justo lo que busca la FRIA.
Cuándo se hace y cuándo se actualiza
Se hace antes del primer uso y se actualiza cuando cambia algo de lo que recoge: la finalidad, los grupos afectados, el modelo o las medidas de supervisión. El artículo 27.2 permite apoyarse en evaluaciones anteriores o en las que haya hecho el proveedor para casos parecidos, siempre que se revisen para el uso propio.
Una vez hecha, el resultado se notifica a la autoridad de vigilancia del mercado con un cuestionario que tiene que publicar la Oficina de IA (artículo 27.5). Cuando revisamos este artículo, ese modelo oficial todavía no estaba publicado en la web de la Comisión, así que conviene preparar la FRIA con los seis contenidos del artículo y pasarla al cuestionario cuando salga.
Cómo la planteamos
Nosotros la planteamos como una parte más de la ficha de cada sistema de IA, no como un documento aparte que se escribe una vez y se olvida:
- Partir del inventario de sistemas de IA y marcar los que la necesitan con las tres preguntas de arriba.
- Recuperar la EIPD del mismo sistema y ver qué secciones se pueden citar.
- Evaluar cada derecho afectado con la misma escala de probabilidad e impacto que el resto de riesgos de la empresa, para que el comité de IA pueda compararlos.
- Dar a la supervisión humana un dueño con nombre, y medirla con algún indicador, como el porcentaje de decisiones revisadas por una persona.
- Programar la revisión cuando cambie el modelo o su uso.
En GlobalSuite® AI Governance la FRIA se hace como una encuesta sobre cada sistema del inventario: cada derecho afectado se valora por probabilidad e impacto, y el agente de IA compara con sistemas parecidos y propone los que faltan. El informe sale de una plantilla con los datos de la propia ficha.
Si estás empezando con el Reglamento, en la página del AI Act tienes el calendario y cómo se organiza el resto de obligaciones de alto riesgo.
