De todas las partidas que aparecen al estimar lo que cuesta cumplir, esta es la que más se calcula mal, y en las dos direcciones: unos la presupuestan sin que les aplique, y otros la dan por resuelta con un documento que ya tenían.
Primero: comprobar si te aplica, porque la lista es corta
El Art. 27(1) no obliga a todo el que despliega un sistema de alto riesgo. Obliga a:
«los responsables del despliegue que sean organismos de Derecho público, o entidades privadas que prestan servicios públicos, y los responsables del despliegue de sistemas de IA de alto riesgo a que se refiere el anexo III, punto 5, letras b) y c).»
Tres supuestos, y el tercero es muy concreto: la evaluación de solvencia de personas físicas y la fijación de precios en seguros de vida y salud.
Una empresa privada que no presta servicios públicos y no hace ninguna de esas dos cosas no está en la lista, aunque tenga sistemas de alto riesgo. Puede hacer la evaluación si le resulta útil —es una buena práctica defendible—, pero no es una obligación suya, y presentarla como tal infla un presupuesto con trabajo que la norma no pide.
Segundo: si te aplica, la DPIA no la sustituye
Aquí está el punto que da título al artículo, y el literal, en la redacción dada por el Digital Ómnibus, no admite lectura alternativa:
«Si ya se cumplen cualesquiera de las obligaciones establecidas en el presente artículo mediante la evaluación de impacto relativa a la protección de datos realizada en virtud del artículo 35 del Reglamento (UE) 2016/679 o del artículo 27 de la Directiva (UE) 2016/680, el responsable del despliegue podrá, al llevar a cabo la evaluación de impacto relativa a los derechos fundamentales a que se refiere el apartado 1 del presente artículo, incluir referencias cruzadas a las secciones pertinentes de dicha evaluación de impacto relativa a la protección de datos o incluir las partes pertinentes de esta en la evaluación de impacto relativa a los derechos fundamentales.»
Léase el sujeto de la frase: «el responsable del despliegue podrá, al llevar a cabo la evaluación de impacto relativa a los derechos fundamentales». La facultad se concede dentro de una FRIA que se está haciendo. Lo que se reutiliza es el material de la DPIA; lo que se queda es la evaluación. Nada en el apartado dice «podrá sustituirse por» ni «se entenderá cumplida mediante».
Lo que el apartado 4 concede es real y tiene valor: si una parte del trabajo ya está hecha en la DPIA, no se rehace. Descripciones de tratamiento, categorías de personas afectadas, medidas de seguridad, análisis de riesgos ya realizados — todo eso puede referenciarse por secciones o incorporarse como partes pertinentes. Y el apartado 5 apunta en la misma dirección: el modelo de cuestionario que la Oficina de IA debe elaborar tiene que ofrecer a los responsables del despliegue esa misma posibilidad.
Lo que no concede es saltarse la evaluación. Son instrumentos distintos con objetos distintos: la DPIA mira el tratamiento de datos personales; la FRIA mira el impacto sobre derechos fundamentales del uso del sistema. Se solapan en material y no coinciden en alcance. Es la misma distinción que ya explicamos cuando ninguna de las dos sustituye a la otra.
Qué significa eso para el coste, que es lo que se preguntaba
Tres consecuencias, y ninguna es un número.
No es «dos documentos desde cero». Con una DPIA hecha y bien hecha, la parte reutilizable es sustancial, y el trabajo adicional se concentra en lo que la DPIA no mira: qué derechos pueden verse afectados, sobre qué colectivos, con qué medidas de supervisión y qué mecanismos de reclamación.
Tampoco es «una DPIA con una referencia cruzada encima». Las referencias cruzadas van dentro de una FRIA que tiene que existir y llevar contenido propio, contenido que solo está en el Art. 27: la descripción de los procesos en que se usará el sistema, el período y la frecuencia de uso, las categorías de personas afectadas, los riesgos específicos de perjuicio, las medidas de supervisión humana y lo que se hará si esos riesgos se materializan.
Y tiene dos titulares distintos. La DPIA suele recaer en quien lleva protección de datos; la FRIA mira derechos que van más allá de los datos. Que una organización pequeña asigne ambas a la misma persona es razonable; que las funda en un solo documento sin distinguir qué responde a qué, no — porque el día que haya que enseñar una de las dos, lo que se enseñe tiene que poder leerse solo.
El error caro, y el error barato
El caro: hacer una FRIA que no te aplica, porque alguien presentó el Art. 27 como obligación general del alto riesgo. Es trabajo entero que la norma no pide.
El barato pero peor: dar la FRIA por cumplida con la DPIA. Barato hoy, y descubierto exactamente el día en que alguien compare los dos objetos y vea que uno de los dos análisis no se hizo.
Entre los dos está lo que el artículo dice: comprobar si estás en la lista de sujetos; si lo estás, reutilizar todo lo reutilizable; y no confundir reutilizar con evitar.
La fecha
El Art. 27 sigue el calendario del alto riesgo del Anexo III: 2 de diciembre de 2027, y la fecha que circula en muchas guías es otra. Hoy no hay incumplimiento posible por esta vía, y ninguna estimación de coste debería presentarse con un plazo que no existe.
La DPIA del Art. 35 del RGPD, en cambio, lleva años siendo exigible cuando su supuesto concurre. Si tu cálculo incluye una DPIA pendiente, ese trabajo no lo trae el AI Act: lo traía el reglamento anterior.
Contenido con arreglo al artículo 27 y al Anexo III del Reglamento (UE) 2024/1689, en la redacción dada por el Reglamento (UE) 2026/1744 (DOUE de 24/07/2026), y al artículo 35 del Reglamento (UE) 2016/679.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.