Evaluación de impacto en sistemas de IA: cuándo conviene hacerla

Una de las preguntas que más recibimos al analizar un proyecto de inteligencia artificial es si resulta obligatorio realizar una Evaluación de Impacto relativa a la Protección de Datos (EIPD). La respuesta no es un sí o un no genérico: depende de una serie de criterios que el propio RGPD y la Agencia Española de Protección de Datos (AEPD) han delimitado, y que en el caso de la IA suelen concurrir con más frecuencia de la que muchas organizaciones imaginan.

Qué es la EIPD y qué exige el art. 35 RGPD

El art. 35 RGPD obliga a realizar una evaluación de impacto cuando un tipo de tratamiento, en particular si utiliza nuevas tecnologías, entrañe probablemente un alto riesgo para los derechos y libertades de las personas físicas. La EIPD no es un formulario burocrático: es un análisis estructurado que debe describir el tratamiento, valorar su necesidad y proporcionalidad, identificar los riesgos para las personas afectadas y definir las medidas para mitigarlos, todo ello antes de iniciar el tratamiento.

Beneficios de anticipar la EIPD en un proyecto de IA

• Permite detectar problemas de diseño (datos excesivos, ausencia de supervisión humana, sesgos) antes de invertir en el desarrollo completo del sistema.
• Facilita la coordinación con los requisitos del Reglamento (UE) 2024/1689 (Reglamento de IA) para sistemas de alto riesgo, evitando duplicar análisis más adelante.
• Acredita la responsabilidad proactiva de la organización (art. 24 RGPD) ante una eventual inspección o reclamación.
• Aporta un documento de referencia que facilita explicar el sistema a las personas afectadas y a terceros (clientes, socios, auditores).

Riesgos de omitir la EIPD cuando resulta exigible

• Sanción autónoma por no realizar la EIPD, independiente de que el tratamiento en sí mismo sea lícito.
• Detección tardía de riesgos relevantes, cuando el sistema ya está en producción y corregirlo resulta mucho más costoso.
• Dificultad para acreditar ante la AEPD que se valoró la necesidad y proporcionalidad del sistema antes de ponerlo en marcha.
• Mayor exposición si, además, el sistema se clasifica como de alto riesgo conforme al Reglamento de IA y carece de la evaluación de impacto en los derechos fundamentales correspondiente.

Criterios que determinan si un sistema de IA requiere EIPD

La AEPD, siguiendo el criterio del antiguo Comité Europeo de Protección de Datos, valora un conjunto de factores para determinar el alto riesgo. Cuando concurren dos o más de estos criterios, la EIPD debe considerarse obligatoria; con uno solo, conviene al menos documentar por qué no se realiza:

• Evaluación o puntuación de personas, incluida la elaboración de perfiles (scoring, perfiles de riesgo, recomendaciones personalizadas).
• Toma de decisiones automatizadas con efectos jurídicos o significativos sobre las personas (selección de personal, concesión de crédito, acceso a un servicio).
• Observación sistemática de personas, incluida la monitorización mediante sistemas de IA.
• Tratamiento de categorías especiales de datos o de naturaleza altamente personal (salud, biometría, datos financieros detallados).
• Tratamiento de datos a gran escala.
• Cotejo o combinación de conjuntos de datos procedentes de tratamientos distintos.
• Datos relativos a personas vulnerables, incluidos menores de edad.
• Uso innovador o aplicación de nuevas soluciones tecnológicas, categoría en la que encaja, por definición, la mayoría de los proyectos de inteligencia artificial.
• Tratamientos que, en sí mismos, impidan a las personas ejercer un derecho o utilizar un servicio o contrato.

Marco normativo aplicable

• RGPD: obligación de EIPD (art. 35), en particular el art. 35.3.a para decisiones automatizadas con efectos jurídicos y el art. 35.3.b para tratamiento a gran escala de categorías especiales.
• LOPDGDD: remisión al listado de tratamientos de la AEPD y garantías reforzadas cuando el sistema afecte a menores o colectivos vulnerables.
• Reglamento (UE) 2024/1689 (Reglamento de IA): evaluación de impacto en los derechos fundamentales (FRIA, art. 27) exigible para determinados sistemas de alto riesgo del Anexo III, que debe coordinarse con la EIPD del RGPD sin sustituirla.
• Esquema Nacional de Seguridad, para sistemas de IA implantados en el sector público, que exige un análisis de riesgos propio complementario al de protección de datos.

Base de legitimación y su relación con la EIPD

La EIPD no otorga por sí misma una base de legitimación: es el instrumento que permite verificar si la base jurídica elegida (contrato, interés legítimo, consentimiento, obligación legal) resulta adecuada una vez analizados los riesgos concretos del sistema. Por eso, el análisis debe aplicar siempre el juicio de necesidad, idoneidad y proporcionalidad: si la finalidad puede alcanzarse con una solución menos invasiva que el sistema de IA propuesto, la EIPD debe reflejarlo y replantear el diseño antes de continuar.

¿Cuándo NO resulta necesaria una EIPD completa?

No todo uso de IA con datos personales exige una EIPD completa. Cuando el sistema trata volúmenes reducidos de datos, no realiza perfilado ni decisiones automatizadas con efectos relevantes, no utiliza categorías especiales de datos y no implica observación sistemática, puede bastar con un análisis de riesgo simplificado que documente por qué no concurren los criterios de alto riesgo. Aun así, conviene registrar esa valoración por escrito, ya que la ausencia de documentación es, en la práctica, uno de los motivos más frecuentes de reproche por parte de la AEPD.

Medidas de proporcionalidad y buenas prácticas

• Realizar un triaje inicial de cada proyecto de IA frente a los criterios de alto riesgo antes de decidir si se necesita una EIPD completa.
• Aplicar el juicio de necesidad, idoneidad y proporcionalidad como metodología central de la EIPD, no como un apartado accesorio.
• Coordinar la EIPD con la FRIA cuando el sistema se clasifique como de alto riesgo conforme al Reglamento de IA, evitando análisis duplicados o contradictorios.
• Revisar y actualizar la EIPD cuando el sistema cambie de forma sustancial (nuevos datos de entrenamiento, nueva finalidad, ampliación del volumen de personas afectadas).
• Involucrar al Delegado de Protección de Datos desde las primeras fases del proyecto, y no solo para validar un documento ya cerrado.
• Documentar siempre la decisión, tanto si se concluye que la EIPD es obligatoria como si se concluye razonadamente que no lo es.

Conclusión

La EIPD en proyectos de IA no debería vivirse como un obstáculo burocrático, sino como la herramienta que permite detectar a tiempo los riesgos que, de otro modo, se descubren cuando ya es mucho más costoso corregirlos. Aplicando los criterios del art. 35 RGPD y el listado de la AEPD, la mayoría de los proyectos de IA con datos personales encontrarán al menos dos factores de riesgo concurrentes, lo que convierte la EIPD, más que en una posibilidad, en la práctica habitual recomendable.

Este contenido tiene carácter informativo y divulgativo. La determinación de si un sistema concreto requiere EIPD, FRIA o ambas, y el contenido exacto de dicho análisis, requiere una valoración jurídica específica caso por caso.

#EvaluaciónDeImpacto #InteligenciaArtificial #ProtecciónDeDatos #RGPD #LOPDGDD #sipylopd #SIPY