La fecha límite de agosto de 2026 para los usuarios de IA de alto riesgo se acerca rápidamente, y la mayoría de las organizaciones aún no han empezado a prepararse.
Un banco utiliza un modelo de inteligencia artificial para evaluar las solicitudes de préstamo. Este modelo procesa miles de decisiones a la semana. La productividad mejora. El equipo está satisfecho.
Dieciocho meses después, una auditoría interna pone de manifiesto algo que nadie había programado ni aprobado. Las solicitudes procedentes de determinados códigos postales están siendo rechazadas a un ritmo muy superior a la media estadística. El patrón parece, sin lugar a dudas, un caso de discriminación indirecta.
Esto es lo que hace que esta situación sea tan peligrosa: el tratamiento de datos se realizaba de conformidad con la normativa. La documentación del modelo estaba actualizada. Se habían cumplido todos los requisitos de la EIPD. La organización creía que lo había hecho todo correctamente.
Pero no fue así, porque existe una categoría de riesgo que su evaluación de impacto sobre la protección de datos (DPIA) nunca se diseñó para detectar. En virtud de la Ley de la UE sobre la IA, esa laguna tiene un nombre, un plazo legal y una importante sanción económica asociada a ella, denominada «evaluación de impacto sobre los derechos fundamentales» (FRIA).
¿Qué es una evaluación de impacto sobre los derechos fundamentales (FRIA)?
Una evaluación del impacto sobre los derechos fundamentales (FRIA) es un análisis estructurado previo a la puesta en servicio exigido por el artículo 27 de la Ley de la UE sobre la IA para determinados responsables de la puesta en servicio de sistemas de IA de alto riesgo. Entrará en vigor el 2 de agosto de 2026.
Mientras que una evaluación de impacto relativa a la protección de datos (DPIA) se centra en los datos (qué datos se recogen, cómo se almacenan y si el tratamiento es lícito), una FRIA se centra en las personas: si el sistema las trata de forma justa, si genera desventajas sistémicas y si las personas afectadas por sus decisiones disponen de una vía efectiva para impugnar dichas decisiones.
Una FRIA te obliga a responder a cinco preguntas que tu DPIA no te plantea:
- ¿Qué derechos fundamentales ve afectados por este sistema de inteligencia artificial?
- ¿De qué manera podría poner en peligro la dignidad, la igualdad, la privacidad o el acceso a la tutela judicial?
- ¿Qué les ocurre a determinadas personas cuando el sistema falla?
- ¿Quién es responsable de esos resultados y qué mecanismos de supervisión existen?
- ¿Cómo puede una persona afectada impugnar una decisión tomada sobre ella?
Estas son las preguntas que te plantearán tus clientes, las autoridades reguladoras y el consejo de administración cuando surja algún problema. La FRIA te permite preparar las respuestas antes de que las necesites.
¿A quién se aplica el artículo 27?
La obligación de la FRIA se aplica a:
- Organismos públicosque utilizan sistemas de IA de alto riesgo
- Organizaciones privadas que prestan servicios públicos, como los servicios públicos básicos, el transporte o las infraestructuras públicas
- Empresas que operan en ámbitos regulados de alto riesgo, entre los que se incluyen la evaluación de la solvencia y la fijación de tarifas en los seguros de vida y de salud
Si su organización entra dentro de una de estas categorías y utiliza un sistema de IA de alto riesgo, tal y como se define en el anexo III de la Ley de IA de la UE, se le aplica el artículo 27.
FRIA frente a DPIA: cómo entender la diferencia
La mayoría de los equipos de cumplimiento normativo dan por sentado que su EIPD actual cubre todos los aspectos. Cubre solo una parte, y es precisamente esa suposición la que da lugar a la laguna.
Es casi seguro que el banco de nuestro escenario inicial contaba con un historial de tratamiento de datos conforme a la normativa. El patrón de discriminación que creó su IA no tenía nada que ver con el almacenamiento de datos, sino que dependía por completo de los objetivos de optimización del modelo. Una EIPD no lo habría detectado. Una EIRF sí lo habría hecho.
La Ley de IA de la UE permite a los responsables del despliegue combinar una FRIA con una DPIA ya existente cuando existan solapamientos, pero la FRIA debe abordar, en cualquier caso, los derechos que la DPIA nunca tuvo por objeto evaluar: la no discriminación, la libertad de expresión, el acceso a la justicia y el derecho a una buena administración.
Un sistema puede cumplir todos los requisitos de protección de datos y, aun así, generar resultados que perjudiquen a las personas de formas que tu marco de cumplimiento actual nunca fue diseñado para detectar.
El coste del incumplimiento
Las autoridades reguladoras de toda Europa están desarrollando su capacidad de auditoría para adaptarse al calendario de aplicación de la ley. Las cifras no son teóricas.
El incumplimiento del artículo 27 expone a las organizaciones a multas de hasta 30 millones de euros o el 6 % de su volumen de negocio anual a nivel mundial, lo que sea mayor.
Más allá de la sanción económica, las autoridades reguladoras pueden ordenar la suspensión de un sistema hasta que se subsanen las deficiencias. Para cualquier organización en la que dicho sistema sea la base de un proceso empresarial fundamental, la interrupción operativa puede suponer un coste mucho mayor que la propia multa.
Las organizaciones que cuenten con procesos de FRIA documentados avanzarán rápidamente en las conversaciones con las autoridades reguladoras. Las que no los tengan dedicarán la primera semana de cualquier investigación a explicar por qué no existe dicha documentación.
Más allá del cumplimiento normativo: por qué las FRIA mejoran los sistemas de IA
La mayoría de los equipos de cumplimiento normativo tratan la FRIA como un elemento más que marcar en una lista de comprobación de la implementación. Ese enfoque deja sin aprovechar un valor significativo.
Un FRIA riguroso obliga a los departamentos jurídico, de recursos humanos, de producto, de ciencia de datos y de riesgos a reunirse en una misma sala y ponerse de acuerdo sobre qué hace el sistema, a quién afecta y cuál es el nivel de riesgo aceptable. Esa conversación saca a la luz supuestos que los equipos habían estado barajando por separado. Identifica casos extremos que el equipo técnico pasó por alto porque se centraba en evaluar el rendimiento, y nadie les pidió que evaluaran el impacto en las personas.
Las organizaciones que utilizan los FRIA suelen señalar el mismo resultado: el proceso mejora el propio sistema de IA.Las restricciones se añaden antes del lanzamiento. Las funciones objetivo se ajustan. Los mecanismos de supervisión se incorporan en la fase de diseño, en lugar de introducirse a posteriori bajo presión.
La Ley de IA fomenta la participación de las partes interesadas, incluidos los grupos afectados, los expertos independientes y la sociedad civil, cuando proceda. Las organizaciones que obtienen el máximo provecho de los FRIA no lo consideran un mero ejercicio de documentación, sino una revisión del diseño.
Lo que tienes que hacer antes de agosto de 2026
El artículo 27 entrará en vigor el 2 de agosto de 2026, dentro de menos de cinco meses. La Oficina de IA publicará una plantilla de FRIA para ayudar a los responsables de la implantación, y las organizaciones podrán basarse en las evaluaciones ya realizadas por los proveedores y combinar las FRIA con las DPIA existentes cuando exista un solapamiento real.
El marco estructural para el cumplimiento normativo ya está establecido. La cuestión es si tu equipo desarrolla el proceso ahora, con tiempo suficiente para hacerlo como es debido, o si acaba de rellenar las plantillas bajo la presión de la normativa unas semanas antes de la fecha límite.
Un punto de partida práctico:
- Identifica cuáles de tus implementaciones de IA entran dentro de las categorías de alto riesgo del anexo III
- Identificar los derechos fundamentales que podrían verse afectados por cada sistema
- Establecer una responsabilidad interdepartamental: departamento jurídico, ciencia de datos, recursos humanos, gestión de riesgos y producto
- Comprueba si la documentación existente sobre la EIPD puede servir de base
- Documenta tu evaluación, tus conclusiones y las medidas de mitigación antes de la puesta en marcha.
Las organizaciones que empiecen ahora contarán con algo de lo que carecerán las demás: un historial de gobernanza anterior a la presión reguladora. Esto tiene más importancia de lo que la mayoría de los equipos de cumplimiento normativo aprecian en la actualidad.
Crea tu proceso FRIA con Archer
Archer ayuda a las organizaciones a diseñar procesos FRIA que se integren en sus marcos generales de gobernanza de la IA y gestión de riesgos, convirtiendo un requisito normativo en una capacidad repetible y auditable.
Más información sobre Archer AI Governance →
Habla con nuestro equipo sobre la gobernanza de la IA en tu organización →
Preguntas frecuentes
¿Qué es una evaluación del impacto sobre los derechos fundamentales (FRIA) en el marco de la Ley de la UE sobre la IA?
Una evaluación del impacto sobre los derechos fundamentales (FRIA) es una evaluación obligatoria exigida por el artículo 27 de la Ley de la UE sobre la IA para determinados sistemas de IA de alto riesgo. En ella se determina cómo un sistema de IA puede afectar a los derechos fundamentales de las personas, entre ellos la privacidad, la no discriminación y el acceso a la justicia. La FRIA debe realizarse antes de la puesta en marcha e incluye la evaluación de los riesgos, los grupos afectados y las medidas de mitigación para garantizar un uso responsable de la IA.
¿Quién está obligado a llevar a cabo una FRIA con arreglo al artículo 27 de la Ley de la UE sobre la IA?
Los responsables del despliegue de sistemas de IA de alto riesgo, en concreto las organizaciones del sector público y las entidades privadas que prestan servicios públicos, deben llevar a cabo una FRIA. Esto también se aplica a determinados casos de uso que impliquen la toma de decisiones delicadas, como la calificación crediticia o la evaluación del riesgo en seguros. Estas organizaciones deben completar la FRIA antes de la primera utilización y actualizarla si el sistema o su uso sufren cambios.
¿En qué se diferencia una FRIA de una evaluación de impacto relativa a la protección de datos (DPIA)?
Mientras que una evaluación de impacto relativa a la protección de datos (DPIA) se centra en los riesgos para los datos personales en el marco del RGPD, una FRIA tiene un alcance más amplio. Evalúa el impacto de los sistemas de IA en una amplia gama de derechos fundamentales, como la equidad, la dignidad y la no discriminación. En algunos casos, una DPIA puede complementar una FRIA, pero la FRIA aborda específicamente las implicaciones sociales y éticas de la implantación de la IA en el marco de la Ley de IA de la UE.
