Hay un malentendido que circula con demasiada comodidad entre quienes despliegan sistemas de IA que tratan datos personales: la idea de que si ya hiciste tu evaluación de impacto en protección de datos (DPIA), tienes cubierta la evaluación de impacto en derechos fundamentales (FRIA). Es un atajo tentador y, en general, incorrecto. Las dos evaluaciones se parecen lo suficiente para confundirlas y difieren lo suficiente para que confundirlas salga caro. Vale la pena separarlas con precisión.
La figura compara los dos instrumentos en tres columnas —quién, cuándo y qué—: la FRIA del Art. 27, que deben determinados responsables del despliegue antes del primer uso y que tiene seis contenidos; la DPIA del Art. 35 del RGPD, que debe el responsable del tratamiento antes del tratamiento y que tiene cuatro contenidos mínimos; y, entre las dos, la reutilización de material que permite el Art. 27(4).
Dos instrumentos, dos normas, dos objetos
La DPIA —Data Protection Impact Assessment— nace del Artículo 35 del RGPD. Su objeto es el tratamiento de datos personales. Se exige cuando un tratamiento probablemente entrañe un alto riesgo para los derechos y libertades de las personas físicas: tecnologías nuevas, tratamiento a gran escala de categorías especiales de datos, observación sistemática, y los supuestos de las listas de las autoridades de control. Pregunta, en esencia: ¿este tratamiento de datos pone en riesgo a las personas y cómo lo mitigo?
La FRIA —Fundamental Rights Impact Assessment— nace del Artículo 27 del AI Act. Su objeto no son los datos, sino el sistema de IA de alto riesgo y su impacto sobre los derechos fundamentales de las personas afectadas por su uso. La exige a determinados responsables del despliegue de sistemas de alto riesgo del Anexo III. Pregunta algo distinto: ¿este sistema de IA, por cómo decide y sobre quién decide, afecta a derechos fundamentales, y qué medidas de gobernanza y supervisión humana pongo alrededor?
El objeto es diferente. El disparador es diferente. La norma es diferente. Que compartan metodología —identificar riesgos, valorarlos, mitigarlos, documentarlos— no los convierte en el mismo documento.
Dónde se cruzan (y por qué eso confunde)
El solapamiento es real. Un mismo sistema de IA de alto riesgo que procesa datos personales puede requerir las dos evaluaciones a la vez. Y buena parte del análisis de contexto, de finalidad y de personas afectadas es común. Es lógico que quien ha hecho una sienta que ya ha hecho la otra.
El Digital Ómnibus reconoce ese solapamiento y busca reducir duplicidades: el Art. 27(4), en su redacción vigente, permite al responsable del despliegue incluir en la FRIA referencias cruzadas a las secciones pertinentes de la DPIA, o las partes pertinentes de esta. Pero conviene leer esto con cuidado. Que puedas reutilizar análisis de la DPIA como insumo de la FRIA es una buena práctica de eficiencia. Que la DPIA sustituya a la FRIA como regla general no es lo que dice el marco. Son instrumentos estructuralmente independientes, y la diferencia no es que uno mire los datos y el otro los derechos: los dos evalúan riesgos para las personas. La diferencia está en el objeto, en quién los debe y en qué tienen que contener.
Dónde está la diferencia real
Tres ejes, y ninguno es «datos frente a derechos»:
- Objeto. La DPIA evalúa un tratamiento de datos personales; la FRIA, el uso de un sistema de IA de alto riesgo en unos procesos concretos.
- Sujeto y supuesto. La DPIA la debe el responsable del tratamiento cuando sea probable que el tratamiento entrañe un alto riesgo para los derechos y libertades de las personas (Art. 35 del RGPD). La FRIA la deben solo determinados responsables del despliegue: los organismos de Derecho público y las entidades privadas que prestan servicios públicos cuando despliegan sistemas de alto riesgo del anexo III —salvo su punto 2—, y quienes despliegan los sistemas del anexo III, punto 5, letras b) y c) (Art. 27, apartado 1).
- Contenido. El Art. 27(1) pide seis contenidos propios: los procesos en que se usará el sistema, el período y la frecuencia de uso, las categorías de personas afectadas, los riesgos específicos de perjuicio, las medidas de supervisión humana y lo que se hará si los riesgos se materializan. El Art. 35(7) del RGPD fija otro contenido mínimo, y en él está «c) una evaluación de los riesgos para los derechos y libertades de los interesados a que se refiere el apartado 1».
Esa letra c) desmonta el atajo habitual. Imagina un sistema que ordena y prioriza candidatos en un proceso de selección. Su DPIA no puede quedarse en la base jurídica, la conservación y la seguridad de los datos: tiene que evaluar los riesgos para los derechos y libertades de los candidatos, y entre ellos el de discriminación. Lo que la FRIA añade no son «los derechos», que la DPIA ya mira, sino su contenido propio: cómo se usa el sistema en el proceso, a quién afecta, qué supervisión humana hay sobre sus decisiones y qué se hará si el riesgo se materializa.
El calendario: cada una con su reloj
Aquí hay otro punto que la confusión oscurece. La DPIA es una obligación del RGPD vigente hoy: si tu tratamiento cae en Art. 35, la evaluación se exige ya, con independencia del AI Act.
La FRIA sigue el calendario del alto riesgo del Anexo III. Con el Digital Ómnibus, esa fecha se desplaza al 2 de diciembre de 2027. Es decir: puedes tener hoy la obligación de una DPIA y todavía no la de una FRIA para el mismo sistema. Tratarlas como el mismo documento borra esa diferencia de plazos y lleva a errores en los dos sentidos —creerse cubierto cuando no lo estás, o adelantar trabajo con una lógica equivocada.
Qué hacer en la práctica
Tres recomendaciones sobrias:
- No fusiones los documentos. Mantén la DPIA como DPIA y la FRIA como FRIA, aunque compartan secciones. Cada una responde a una autoridad y a una norma distinta.
- Reutiliza, no sustituyas. Aprovecha el análisis de contexto y de personas afectadas de la DPIA como insumo de la FRIA. Es eficiente y el Ómnibus lo favorece. Pero completa la FRIA con lo que le es propio: los seis contenidos del Art. 27(1), incluida la supervisión humana.
- Ubica cada una en su calendario. La DPIA, cuando el tratamiento la exija (hoy), y puede exigirla aunque el sistema no sea de alto riesgo para el AI Act. La FRIA, cuando el sistema de alto riesgo del Anexo III entre en su fecha de aplicación.
La distinción no es un tecnicismo académico. Es la diferencia entre documentar diligencia de verdad y creer que la has documentado. En gobernanza de IA, esa diferencia es todo.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.