Quienes conocen el RGPD están familiarizados con la Evaluación de Impacto relativa a la Protección de Datos (EIPD o DPIA). El AI Act introduce una figura distinta pero relacionada: la evaluación de impacto sobre los derechos fundamentales, conocida como FRIA por sus siglas en inglés (Fundamental Rights Impact Assessment). No son lo mismo. Tienen distinto alcance, distinto momento de realización y recaen sobre sujetos distintos.
Qué es la FRIA y qué la diferencia de la DPIA
La DPIA evalúa los riesgos del tratamiento de datos personales sobre los derechos de privacidad e intimidad. La FRIA evalúa el impacto potencial de un sistema de IA de alto riesgo sobre un conjunto más amplio de derechos: igualdad, no discriminación, dignidad, libertad de expresión, acceso a la justicia, y protección social, entre otros.
Dicho con más precisión: la DPIA protege datos. La FRIA protege a las personas en su relación con sistemas automatizados que toman o influyen en decisiones que les afectan.
Quién tiene que hacer la FRIA
La FRIA no es obligatoria para todos los que usan sistemas de alto riesgo. El artículo 27 del AI Act la exige específicamente a los desplegadores que sean organismos públicos, o entidades privadas que operen en nombre de autoridades públicas, o que utilicen sistemas de alto riesgo en áreas que el propio Reglamento identifica como de especial impacto sobre derechos fundamentales.
En la práctica, esto incluye: administraciones públicas que usan IA para gestionar prestaciones sociales, sistemas de puntuación crediticia, herramientas de vigilancia o reconocimiento biométrico, sistemas de selección de personal en el sector público, y aplicaciones de IA en el ámbito de la educación o la salud.
Las empresas privadas que usan sistemas de alto riesgo en contextos puramente comerciales sin mandato público pueden no estar obligadas a la FRIA. La recomendación es hacerla igualmente como parte de una gestión de riesgos responsable, ya que su ausencia puede comprometer la evaluación global del sistema.
Cuándo realizarla
La FRIA debe completarse antes del despliegue del sistema, no después. Si el sistema ya está operativo, debe realizarse lo antes posible. El resultado tiene que registrarse y estar disponible para entregarlo a la autoridad de control cuando esta lo solicite.
Al contrario que la DPIA del RGPD, la FRIA del AI Act no tiene un plazo de revisión periódica fijado en el texto. Pero el principio de supervisión continua implica actualizarla cuando el sistema cambia o cuando cambia el contexto de uso de forma significativa.
Qué debe contener
El artículo 27 establece los elementos mínimos de la evaluación:
- Descripción del proceso o decisión en el que se usa el sistema de IA
- Período de uso previsto y las personas o grupos afectados
- Fuentes de riesgo para los derechos fundamentales identificadas
- Medidas aplicadas o previstas para mitigar esos riesgos
- Justificación de la necesidad y proporcionalidad del sistema respecto a sus alternativas
No existe todavía una plantilla oficial obligatoria para la FRIA. Los organismos de supervisión europeos han publicado orientaciones preliminares, y algunos Estados miembros están desarrollando modelos propios. La AESIA previsiblemente publicará una guía para el mercado español.
FRIA y DPIA: coordinación en la práctica
Cuando el sistema de IA de alto riesgo trata datos personales —que es la mayoría de los casos prácticos—, tanto la FRIA como la DPIA son obligatorias. El AI Act indica que ambas evaluaciones deben coordinarse y que pueden llevarse a cabo conjuntamente si eso resulta más eficiente.
En la práctica, muchas organizaciones están integrando la FRIA dentro del proceso de DPIA o en paralelo a él. El resultado es un documento más completo que responde a ambos marcos regulatorios con una sola auditoría del sistema.
¿Tu organización necesita realizar una FRIA? En Adapta RGPD integramos la FRIA dentro de la consultoría de cumplimiento AI Act, coordinada con tu DPIA existente, desde 199€/año.
