La evaluación de impacto en los derechos fundamentales (FRIA) es el documento en el que quien despliega un sistema de IA de alto riesgo describe el uso, las personas afectadas, los riesgos para sus derechos, la supervisión humana y las medidas si esos riesgos se materializan. El art. 27 de la ley de IA de la UE la exige a organismos públicos, a quien presta servicios públicos y a quien usa IA para crédito o seguros de vida y salud.
Cómo usar
- Indica el sistema, el responsable del despliegue y la finalidad prevista, o impórtalos de la EIPD o del clasificador de riesgo.
- Responde a la evaluación previa: ¿el sistema es de alto riesgo y el perfil del responsable entra en el alcance del art. 27?
- Describe los procesos, el período y la frecuencia de uso y las personas y colectivos afectados, incluidos los vulnerables.
- Lista los riesgos por derecho fundamental con probabilidad, gravedad y la medida que reduce cada uno.
- Registra la supervisión humana, la gobernanza y el mecanismo de reclamación, y exporta el borrador en DOCX y la tabla en CSV.
Qué pide cada campo
| Campo | Qué completar |
|---|---|
| Nombre del sistema de IA | Cómo se conoce el sistema en la organización. |
| Responsable del despliegue | La organización que usa el sistema bajo su autoridad. |
| Finalidad prevista | Qué hace el sistema, según las instrucciones de uso del proveedor. |
| ¿El sistema es de alto riesgo según la ley de IA de la UE? | Usa tu propia clasificación o el resultado del clasificador de riesgo de la ley de IA. |
| Perfil del responsable del despliegue | Marca lo que corresponda. Sin ninguno, el art. 27 no exige la FRIA. |
| a) Procesos en los que se usa el sistema | Cómo entra el sistema en el flujo de trabajo, quién usa el resultado y qué se decide. |
| b) Período de uso | Desde cuándo y durante cuánto tiempo se usará el sistema. |
| b) Frecuencia de uso | Elige |
| c) Personas y colectivos afectados | Categorías de personas físicas y colectivos que el uso puede afectar. Una por línea. |
| c) Colectivos vulnerables entre los afectados | Marca los colectivos que requieren un cuidado específico. |
| Medidas específicas para colectivos vulnerables | Qué cambia en el proceso para proteger a esos colectivos. |
| Derecho afectado | |
| Perjuicio posible y colectivo afectado | Ej.: tasa de rechazo mayor para ciertos grupos de edad |
| Probabilidad | |
| Gravedad | |
| Medida | Ej.: pruebas de sesgo por grupo cada trimestre |
| e) Responsable de la supervisión humana | El cargo que responde por la supervisión, no el nombre de la persona. |
| e) Medidas de supervisión humana | Cómo las personas vigilan y corrigen el sistema, según las instrucciones de uso. |
| f) Medidas si los riesgos se materializan | Gobernanza interna: quién decide, cómo suspender el sistema, cómo corregir y comunicar. |
| f) ¿Hay un mecanismo de reclamación para las personas afectadas? | Elige |
| ¿Existe una EIPD para este uso? | La FRIA puede reutilizar o incorporar la EIPD. |
| Fecha de la próxima revisión | Ej.: 30/04/2027 |
Ejemplo
Una empresa minorista ficticia usa un sistema comprado a un proveedor para puntuar solicitudes de crédito a plazos, un uso de alto riesgo del anexo III con perfil de crédito: la FRIA es exigida. De los cuatro riesgos listados, el de discriminación tiene nivel inherente alto y baja a medio con las pruebas de sesgo trimestrales; el de privacidad baja a bajo; el de acceso a servicios queda en medio porque la gravedad es alta; el de tutela efectiva, sin medida, queda en medio y genera un aviso. El riesgo residual global es medio, los seis elementos del art. 27.1 están completos y los próximos pasos incluyen definir la medida que falta y notificar los resultados a la autoridad.
Cuándo usar
- Antes del primer uso de un sistema de alto riesgo por un organismo público o por quien presta servicios públicos.
- Cuando un banco, una empresa minorista o una aseguradora empieza a usar IA para crédito o para seguros de vida y de salud.
- Cuando ya existe la EIPD de un sistema de IA y faltan los derechos más allá de la protección de datos.
- Cuando cambia el uso: nueva finalidad, nuevo colectivo afectado o nueva versión del sistema.
Preguntas frecuentes
¿Quién debe hacer la FRIA?
Según el art. 27 de la ley de IA de la UE, los responsables del despliegue de sistemas de alto riesgo del anexo III que son organismos de Derecho público o entidades privadas que prestan servicios públicos. También quien usa el sistema para evaluar la solvencia de personas o para fijar precios de seguros de vida y de salud. Los sistemas usados solo en infraestructura crítica quedan fuera.
¿Qué diferencia hay entre la FRIA y la EIPD?
La EIPD evalúa los riesgos del tratamiento de datos personales. La FRIA mira todos los derechos fundamentales que el uso del sistema puede afectar, como la no discriminación, el acceso a servicios y la tutela efectiva, y cubre la supervisión humana y las reclamaciones. Según la ley de IA, modificada por el Reglamento (UE) 2026/1744, la FRIA puede reutilizar o incorporar la EIPD.
¿Cómo calcula la herramienta el riesgo de cada derecho?
El nivel inherente es la probabilidad multiplicada por la gravedad, cada una de 1 a 3. Con una medida registrada, el residual baja un nivel, pero la gravedad alta nunca queda por debajo de medio. El residual global es el mayor residual y sube un nivel si falta un responsable de la supervisión humana o un mecanismo de reclamación.
¿Tengo que notificar la FRIA a alguna autoridad?
El art. 27 pide que el responsable del despliegue notifique los resultados a la autoridad de vigilancia del mercado, y la Oficina de IA ofrece un modelo de cuestionario para ello. Verifica en el texto oficial el procedimiento vigente.
¿Y si la FRIA no es exigida en mi caso?
La herramienta indica cuándo el art. 27 no exige la evaluación. Aun así, hacerla puede ser una buena práctica cuando el sistema afecta a las personas de forma relevante, y el documento sirve como evidencia de diligencia.
¿El resultado es asesoría legal o garantiza el cumplimiento?
No. Es una herramienta educativa que genera un borrador estructurado. No es una auditoría ni una certificación de la organización. Revísalo con la asesoría jurídica y verifica las normas vigentes de la ley de IA, que fueron modificadas.
¿Qué certificación de DPCert cubre la FRIA?
La RAIP (Responsible AI Practitioner) evalúa la evaluación de riesgo e impacto de sistemas de IA, incluida la FRIA. La DPAI (Data Protection & AI Professional) profundiza en la privacidad en la IA y en la relación con la EIPD. La certificación demuestra el conocimiento de las personas, no el cumplimiento de la organización.