Ideas clave
- El artículo 35 del RGPD exige una EIPD antes de un tratamiento que probablemente suponga un alto riesgo. Evalúa cada uso de IA por separado.
- El artículo 35.3 cita tres casos: decisiones automatizadas con efectos significativos, datos sensibles a gran escala y observación sistemática a gran escala de zonas públicas.
- Las directrices del Grupo de Trabajo del Artículo 29 enumeran nueve criterios, y cumplir dos o más suele significar que hace falta una EIPD.
- Una EIPD debe describir el tratamiento, evaluar la necesidad y la proporcionalidad, valorar los riesgos para las personas y fijar las medidas que los reducen. La evaluación de impacto sobre los derechos fundamentales de la Ley de IA puede apoyarse en ella.
Qué es una EIPD y por qué la activan los proyectos de IA
Una evaluación de impacto relativa a la protección de datos (EIPD) documenta cómo afecta tu tratamiento a las personas y cómo reducirás los riesgos. El artículo 35 del RGPD la exige antes de un tratamiento que probablemente suponga un alto riesgo. Usar IA no determina por sí solo la obligación. Evalúa datos, escala, personas y decisiones, y consulta la lista de tu autoridad nacional.
¿Cuándo es obligatoria una EIPD?
El artículo 35.3 enumera tres situaciones en las que siempre se exige una EIPD.
- Una evaluación sistemática y exhaustiva de aspectos personales basada en un tratamiento automatizado, incluida la elaboración de perfiles, sobre la cual se basen decisiones que produzcan efectos jurídicos o afecten significativamente de modo similar a una persona.
- El tratamiento a gran escala de categorías especiales de datos (como los de salud, biométricos o de opiniones políticas) o de datos sobre condenas penales.
- La observación sistemática a gran escala de una zona de acceso público.
El artículo 35.4 añade que cada autoridad de control nacional publica una lista de operaciones de tratamiento que también la exigen, y la mayoría de las listas mencionan la IA, la elaboración de perfiles o los datos de salud. Consulta la lista de tu país antes de decidir que estás exento.
Los nueve criterios que señalan un alto riesgo
El Grupo de Trabajo del Artículo 29, predecesor del Comité Europeo de Protección de Datos, publicó criterios para ayudar a decidir si un tratamiento puede entrañar un alto riesgo. Como regla general, cumplir dos o más significa que debes hacer una EIPD.
| Criterio | Cómo puede cumplirlo un proyecto de IA |
|---|---|
| Evaluación o puntuación, incluida la elaboración de perfiles | Clasificar candidatos, puntuar crédito, predecir bajas o comportamientos |
| Decisiones automatizadas con efecto jurídico o similar | Un modelo que aprueba, rechaza o prioriza a personas sin una decisión humana |
| Observación sistemática | Analizar llamadas, mensajes o imágenes de cámaras de forma continua |
| Datos sensibles o de carácter muy personal | Audio de consultas, notas médicas, registros financieros |
| Tratamiento a gran escala | Todo el listado de pacientes, toda la base de clientes, miles de llamadas al día |
| Cruce o combinación de conjuntos de datos | Unir datos de CRM, soporte y uso para entrenar o alimentar un modelo |
| Interesados vulnerables | Pacientes, empleados, menores, solicitantes de prestaciones |
| Uso innovador o nueva tecnología | Usar un modelo de lenguaje o reconocimiento de voz de una forma nueva |
| Tratamiento que impide ejercer un derecho o usar un servicio | Un modelo que decide quién accede a un servicio |
Qué debe contener la EIPD
| Elemento exigido | Qué escribir para un sistema de IA |
|---|---|
| Una descripción sistemática del tratamiento y de sus fines | Flujos de datos de la entrada a la salida, los modelos y proveedores implicados, dónde se ejecuta cada paso, conservación y quién ve qué |
| Una evaluación de la necesidad y la proporcionalidad | Por qué necesitas datos personales, qué eliminas u ocultas antes del modelo y cuál es tu base jurídica |
| Una evaluación de los riesgos para las personas | Resultados erróneos o inventados, sesgos, fugas por prompts o registros, memorización, reutilización de datos para entrenamiento, decisiones injustas |
| Las medidas para afrontar los riesgos | Eliminación de datos, alojamiento en la UE, control de acceso, registros, revisión humana, pruebas de precisión, límites contractuales al proveedor |
Pide consejo a tu delegado de protección de datos mientras redactas, como exige el artículo 35.2, y mantén viva la evaluación. Una actualización del modelo, un proveedor nuevo o un caso de uso nuevo son motivo para revisarla.
Cómo encaja con la Ley de IA
Quienes despliegan sistemas de IA de alto riesgo deben usar la información que aporta el proveedor para cumplir su propio deber de EIPD. El artículo 27 de la Ley de IA exige además una evaluación de impacto sobre los derechos fundamentales antes de usar ciertos sistemas de alto riesgo, a organismos públicos, a entidades privadas que prestan servicios públicos y a quienes despliegan algunos sistemas de crédito y seguros. Cuando una EIPD ya cubre parte de ese terreno, la evaluación de derechos fundamentales la complementa, así que un ejercicio conjunto suele costar menos que dos por separado.
Si el riesgo sigue siendo alto tras tus medidas
Según el artículo 36, si la EIPD muestra un alto riesgo que no puedes reducir lo suficiente, debes consultar a la autoridad de control antes de empezar. En muchos proyectos se evita rediseñando: recoger menos, eliminar más datos, mantener a una persona en el circuito o cambiar dónde se ejecuta el sistema.
Comparte tu proceso de IA y los tipos de datos. Documentaremos los flujos, proveedores y controles técnicos que necesita tu EIPD.
Consulta sobre tus flujos de datosFAQ
¿Necesitamos una EIPD para un chatbot?
No automáticamente. Depende de qué datos entran, quiénes son los usuarios y qué decide el bot. Un chatbot que trate asuntos de salud, financieros o laborales, o que elabore perfiles de usuarios, normalmente cumplirá al menos dos de los nueve criterios.
¿Quién redacta la EIPD, el proveedor o nosotros?
El responsable del tratamiento, que eres tú. El proveedor, como encargado, debe ayudarte según el artículo 28 y puedes reutilizar su documentación, pero la evaluación y la decisión son tuyas.
¿Podemos usar el mismo documento para la EIPD y para la evaluación de derechos fundamentales de la Ley de IA?
A menudo, en parte. El artículo 27 de la Ley de IA dice que la evaluación de impacto sobre los derechos fundamentales complementa una EIPD cuando ya se cumplen algunas obligaciones. Mantenlas como un solo expediente con secciones claramente rotuladas.
Fuentes
- Reglamento (UE) 2016/679 (RGPD), artículos 35 y 36, Diario Oficial de la UE
- Grupo de Trabajo del Artículo 29, Directrices sobre la evaluación de impacto relativa a la protección de datos (WP248 rev.01)
- Comité Europeo de Protección de Datos, Dictamen 28/2024 sobre modelos de IA
- Reglamento (UE) 2024/1689 (Ley de IA), artículos 26 y 27, Diario Oficial de la UE
Sobre el autor
Artem Synytskyi · Cofundador · IA
Artem dirige la IA en ESADEX y desarrolla sistemas LLM, RAG y de voz a texto para entornos regulados.